Journal — IA & confidentialité · RGPD × IA

Peut-on mettre des données clients dans ChatGPT ?

30 août 2026 — Neutralyse

Non, pas telles quelles. Un prompt qui contient le nom, l'e-mail ou le dossier d'un client est une communication de données personnelles à un tiers — donc un traitement soumis au RGPD, avec base légale, qualification contractuelle du fournisseur à vérifier (sous-traitant, responsable de traitement, voire responsable conjoint — au cas par cas, rappelle la CNIL) et encadrement des transferts à la clé. La façon simple de rester dans les clous : caviarder les données sur votre appareil avant l'envoi, pour que l'IA travaille sur des marqueurs plutôt que sur des valeurs réelles.

Que devient un prompt une fois envoyé ?

Dès la touche Entrée, votre texte quitte votre machine pour les serveurs du fournisseur d'IA, où il est traité, journalisé, et — selon l'offre et vos réglages — parfois conservé ou utilisé pour améliorer les modèles. Sur les offres grand public, l'utilisation des conversations pour l'entraînement est souvent le réglage par défaut, à désactiver soi-même ; les offres professionnelles prennent d'autres engagements. Dans tous les cas, vérifiez votre offre : la réponse dépend du contrat, pas de la réputation.

Le point clé : une fois la donnée partie, vous n'avez plus aucun contrôle technique sur ce qu'elle devient. Il ne reste que le contrat.

Ce que dit le RGPD, concrètement

• C'est un traitement (art. 4) : transmettre des données personnelles à un fournisseur d'IA est une communication à un destinataire.
• Il faut une base légale (art. 6) et une information des personnes concernées — votre client sait-il que son dossier transite par une IA ?
• La qualification du fournisseur se vérifie au cas par cas : il peut agir comme sous-traitant (art. 28) lorsqu'il traite les données uniquement pour votre compte — un DPA est alors nécessaire — mais la CNIL rappelle qu'il peut aussi être responsable de traitement, voire responsable conjoint, selon le service et le contrat.
• Les transferts hors UE (art. 44 et suivants) doivent être couverts (clauses contractuelles types, décision d'adéquation).
• La minimisation (art. 5) reste le principe cardinal : ne communiquer que ce qui est nécessaire à la finalité.

C'est ce dernier point qui change tout : la question n'est pas « ai-je le droit d'utiliser ChatGPT ? » mais « qu'est-ce que j'ai besoin de lui envoyer ? »

Les trois mauvaises réponses

Interdire : l'IA fait gagner un temps réel ; l'interdiction pousse l'usage dans l'ombre (voir notre article sur le shadow AI) et ne se vérifie pas.

Fermer les yeux : chaque collaborateur devient responsable, seul, d'un tri juridique complexe à chaque copier-coller.

Faire confiance sur parole : un engagement contractuel de non-conservation est une promesse — pas une garantie technique que vous pouvez auditer.

La bonne pratique : minimiser par caviardage réversible

L'IA n'a pas besoin de savoir qui pour comprendre quoi. Remplacez les valeurs sensibles par des marqueurs avant l'envoi : « Le client [PERSON_1], joignable à [EMAIL_1], conteste la facture… » — l'IA travaille généralement aussi bien sur cette version, et la réponse est restaurée avec les vraies valeurs sur votre écran uniquement. C'est le principe du caviardage réversible : la table de correspondance ne quitte jamais votre appareil, et les valeurs détectées ne sortent pas — la relecture avant envoi montre exactement ce qui part.

Check-list avant de coller un texte dans une IA

• Ai-je retiré ou caviardé noms, coordonnées, identifiants, montants et références de dossier ?
• Mon fournisseur a-t-il signé un DPA, et où l'inférence a-t-elle lieu ?
• L'entraînement sur mes conversations est-il désactivé sur mon offre ?
• Puis-je prouver, message par message, ce qui a été envoyé ?

Dernière vérification éditoriale : 1^er septembre 2026 — relecture interne Neutralyse (équipe AIGENGO), sans validation juridique externe à ce jour. Cet article est une information générale, pas un avis juridique.