ChatGPT en entreprise : les 5 risques RGPD que personne ne regarde

Vos équipes peuvent utiliser ChatGPT et les autres IA génératives sans exposer votre entreprise, à une condition : encadrer cet usage par une charte qui traite en même temps les cinq risques RGPD que personne ne regarde. Ce n'est pas l'outil qui vous met en danger, c'est l'usage libre, sans règle ni garde-fou. Dans cet article, je vous montre les cinq fuites que je retrouve chez presque tous mes clients, puis la méthode en cinq règles pour reprendre le contrôle avant que la donnée ne parte.

Le problème : une IA géniale, branchée sur vos données sensibles

Une IA générative est un formidable accélérateur. Le souci n'est pas là. Le souci, c'est que pour obtenir une bonne réponse, un collaborateur lui donne du contexte : un extrait de contrat, une liste de clients, un compte rendu médical, un bout de code, un tableau de paie. En quelques secondes, une donnée protégée par le RGPD sort de votre système d'information et atterrit chez un tiers, souvent hors de l'Union européenne, sans que personne n'ait rien décidé.

Le scénario que je vois revenir : la direction croit que « personne n'utilise ça ici », alors que la moitié des équipes s'en sert déjà au quotidien. C'est le phénomène du Shadow AI, ces outils adoptés sans validation, que je détaille dans mon article pour savoir ce que vos équipes utilisent vraiment. Tant que vous ne voyez pas ces usages, vous ne pouvez pas les encadrer.

Les 5 risques RGPD que personne ne regarde

La plupart des entreprises se focalisent sur la qualité des réponses de l'IA. Or les vrais risques juridiques se logent ailleurs, dans la manière dont la donnée circule. Les voici, avec la parade que votre charte doit poser en face de chacun.

1. La donnée personnelle collée dans le prompt

C'est le risque numéro un, et le plus banal. Un collaborateur copie un mail client, un CV ou un dossier pour « résumer » ou « reformuler ». Il vient de transmettre des données personnelles à un traitement que vous n'avez ni choisi ni cadré. Au sens du RGPD, cette transmission est un traitement de données à part entière, qui exige une base légale, une finalité et une information des personnes. Presque jamais réunies dans ce geste réflexe.

2. La réutilisation de vos données pour entraîner le modèle

Sur les offres grand public, ce que vous saisissez peut servir à améliorer le modèle. Autrement dit, votre donnée confidentielle nourrit un système partagé, et vous en perdez la maîtrise. Vous ne pouvez plus garantir qu'elle sera effacée sur demande, ni qu'elle ne ressortira pas ailleurs. Le droit à l'effacement, pilier du RGPD, devient impossible à honorer.

3. Le transfert des données hors de l'Union européenne

La plupart des IA génératives grand public traitent les données sur des serveurs situés hors de l'Union. Or le RGPD encadre strictement ces transferts : ils supposent des garanties précises. En laissant vos équipes utiliser un service qui traite hors UE sans encadrement, vous créez un transfert non maîtrisé, exactement le genre de manquement que la CNIL sanctionne.

4. L'absence de base légale et d'information

Utiliser une IA sur des données personnelles reste un traitement soumis au RGPD. Il vous faut donc une base légale (intérêt légitime, contrat, consentement selon le cas), une finalité claire et une information des personnes concernées. Dans un usage sauvage, rien de tout cela n'existe. Vous traitez des données sans cadre, ce qui vous expose à une plainte comme à un contrôle.

5. Les sorties inventées prises pour des faits

Une IA générative peut produire une information fausse avec un aplomb parfait. Si une donnée personnelle inexacte est réutilisée telle quelle dans une décision, un courrier ou un dossier, vous manquez au principe d'exactitude du RGPD, et vous pouvez causer un préjudice réel à la personne concernée. C'est le risque le plus sournois, car il ne se voit pas dans les journaux techniques.

La méthode : une charte d'usage en 5 règles

La bonne réponse n'est ni l'interdiction ni le laisser-faire, mais un cadre écrit, court et connu de tous. Voici les cinq règles qui répondent point par point aux cinq risques ci-dessus. Chacune est simple à énoncer et vérifiable.

1. Cloisonnez la donnée sensible. Posez une règle nette : aucune donnée personnelle, confidentielle ou couverte par un secret ne se colle dans un prompt public. Donnez des exemples concrets de ce qui est interdit (noms de clients, données de santé, code propriétaire) pour que la règle soit sans ambiguïté.
2. Choisissez une offre qui ne réutilise pas vos données.Basculez sur une offre professionnelle ou entreprise qui garantit contractuellement l'absence de réentraînement sur vos saisies, et désactivez l'historique de conversation quand l'option existe.
3. Exigez un traitement dans l'Union.Privilégiez les solutions qui traitent et hébergent les données dans l'Union européenne, ou qui apportent des garanties de transfert solides. La localisation n'est pas un détail technique, c'est une condition de conformité.
4. Inscrivez l'usage dans votre registre.Déclarez le traitement dans votre registre RGPD : finalité, base légale, catégories de données, durée. Informez les personnes concernées quand l'IA touche leurs données. C'est ce qui transforme un usage sauvage en usage documenté et défendable.
5. Imposez la relecture humaine.Aucune sortie d'IA ne part vers l'extérieur ou n'alimente une décision sans vérification par une personne compétente. La relecture n'est pas une formalité, c'est le dernier filet contre l'erreur et l'inexactitude.

Ce cadre est aussi une obligation qui monte en puissance : depuis février 2025, la littératie IA impose de former vos équipes à un usage éclairé de ces outils. Une charte accompagnée d'une courte formation coche cette case tout en réduisant vos risques.

Récapitulatif : le risque, la parade, l'obligation

Le résultat : une IA utile et sous contrôle

Une fois cette charte posée et expliquée, vous sortez du faux choix entre « interdire » et « subir ». Vos équipes savent ce qu'elles peuvent faire, avec quels outils, et sur quelles données. Vous, de votre côté, vous disposez d'un usage tracé, déclaré et défendable en cas de contrôle. C'est exactement ce qui distingue une entreprise exposée d'une entreprise maîtrisée, l'un des signaux que je décris dans mon article sur les 5 signes que votre IA vous expose à une sanction.

Avant de rédiger votre charte, encore faut-il savoir où vous vous situez. La première étape reste de vérifier votre périmètre, ce que vous pouvez faire avec ma méthode pour savoir si vous êtes concerné en cinq minutes.

Questions fréquentes

Interdire ChatGPT, n'est-ce pas plus simple ?

Plus simple en apparence, plus dangereux en pratique. Une interdiction pousse les équipes vers leurs comptes personnels, hors de tout contrôle. Un cadre clair, lui, garde l'usage visible et maîtrisé. Encadrer bat interdire à chaque fois.

Une version payante suffit-elle à être conforme ?

Elle règle une partie du problème (souvent le réentraînement et parfois la localisation), mais pas tout. La base légale, l'information des personnes et la relecture humaine restent de votre responsabilité. La conformité vient de la combinaison des cinq règles, pas d'un seul abonnement.

Le RGPD et l'AI Act se cumulent-ils sur ce sujet ?

Oui. Le RGPD protège les données personnelles, l'AI Act encadre les systèmes d'IA et impose notamment la transparence et la littératie. Un usage d'IA générative sur des données personnelles relève des deux, et votre charte est le document qui les fait tenir ensemble.

Par où commencer concrètement ?

Par la visibilité : recensez les outils réellement utilisés, y compris informels. Ensuite seulement, rédigez la charte et formez les équipes. C'est ce que révèle un audit, qui cartographie vos usages et pointe vos risques prioritaires.

C'est précisément l'objet de mon audit Sécurité & Conformité IA : en une à deux semaines, vous savez quels outils circulent, où sont vos fuites RGPD et par quelle règle commencer. Pour en parler à partir de votre cas réel, un premier échange de trente minutes suffit à situer votre exposition.

Cet article a une visée pédagogique et ne constitue pas un conseil juridique. Chaque situation mérite une analyse au cas par cas.