Comment utiliser l’IA sans enfreindre le RGPD
Il n’existe aucun fournisseur d’IA « conforme au RGPD » dont le simple achat vous mettrait en règle — au regard du RGPD, c’est vous le responsable du traitement, et c’est à vous que la responsabilité incombe. La bonne nouvelle : une seule mesure fait tomber l’essentiel du problème d’un coup — ne transmettez pas les données personnelles, tout simplement. Il s’agit ici d’indications générales, et non d’un conseil juridique.
Est-il seulement légal de saisir des données personnelles dans ChatGPT au regard du RGPD ?
En principe, oui — mais coller des données personnelles dans un outil d’IA constitue une divulgation à un tiers, et relève à ce titre d’un traitement à part entière au sens du RGPD, et non d’un simple bloc-notes privé. Pour le faire licitement, vous devez franchir cinq obstacles : une base légale, la minimisation des données, un mécanisme de transfert valable, une condition supplémentaire pour les données sensibles, et une AIPD lorsque le risque est élevé. Nous les passons en revue ci-dessous. Or l’approche qui les simplifie tous est aussi celle vers laquelle les régulateurs renvoient en premier : minimiser.
1. Il vous faut une base légale avant que les données ne quittent vos locaux (art. 6)
Tout traitement de données personnelles nécessite au moins l’une des six bases légales de l’article 6. Pour alimenter un outil d’IA commercial, les candidats réalistes sont le consentement, le contrat ou l’intérêt légitime — et ce dernier ne tient que si votre intérêt ne se trouve pas supplanté par les droits de la personne concernée, ce que le CEPD analyse en un test en trois étapes. Le piège à éviter : un contrat signé avec le fournisseur d’IA n’est pas une base légale. C’est à vous, responsable du traitement, d’en établir une par vous-même avant que les données ne quittent votre environnement.
2. La minimisation des données est le principe que les régulateurs attendent vraiment (art. 5)
L’article 5(1)(c) exige que les données personnelles soient « adéquates, pertinentes et limitées à ce qui est nécessaire », et l’article 5(2) vous en rend redevable de la preuve. Concrètement, cela revient à n’exposer que ce dont la tâche a réellement besoin : si une synthèse ou un brouillon peut être produit à partir de marqueurs plutôt que de vrais noms, c’est que ces vrais noms n’étaient pas nécessaires. Tel est le fondement juridique du retrait des identifiants avant qu’ils n’atteignent un outil d’IA — non pas une échappatoire, mais le simple respect du principe.
3. Un contrat de sous-traitance avec le fournisseur d’IA est nécessaire — mais pas suffisant
Lorsqu’un fournisseur traite des données personnelles pour votre compte, il vous faut un contrat de sous-traitance au titre de l’article 28. Mais un tel contrat ne régit que la manière dont le sous-traitant manipule les données : il ne fournit pas votre base légale, ne mène pas votre AIPD et ne règle pas votre transfert. Et il n’existe que sur les offres professionnelles : OpenAI propose un avenant au titre de l’art. 28 et des clauses contractuelles types sur l’API, ChatGPT Business et Enterprise, tandis que le ChatGPT grand public (Free/Plus) n’est assorti d’aucun contrat de sous-traitance. (Source : OpenAI.) Le CEPD a par ailleurs rappelé qu’un accord conclu en aval ne peut pas rattraper un défaut de base légale en amont.
4. Envoyer des requêtes à un outil d’IA américain constitue un transfert international (chapitre V)
Lorsque votre requête est adressée à un fournisseur établi aux États-Unis, il s’agit d’un transfert international régi par le chapitre V. Depuis l’invalidation du Privacy Shield par l’arrêt Schrems II, les transferts reposent désormais sur le cadre de protection des données UE-États-Unis ou sur les clauses contractuelles types assorties d’une analyse d’impact du transfert. Ce cadre a été validé par le Tribunal de l’Union européenne en 2025, mais il demeure frappé d’appel — la même incertitude juridique, précisément, qui a eu raison des deux dispositifs précédents. Minimiser les données personnelles que vous envoyez neutralise entièrement la question du transfert : pas de donnée personnelle, pas de transfert à justifier.
5. Les données sensibles sont là où l’usage de l’IA devient le plus délicat (art. 9)
Les données de santé, biométriques, politiques, religieuses, syndicales et relatives à l’orientation sexuelle sont des données sensibles, et leur traitement nécessite une condition de l’article 9 qui s’ajoute à votre base de l’article 6 — le plus souvent le consentement explicite. Alimenter un agent conversationnel avec de telles données présente par défaut un risque élevé : la posture la plus sûre consiste donc à les retirer ou à les pseudonymiser avant la saisie.
Quand vous avez besoin d’une AIPD (art. 35)
Une analyse d’impact relative à la protection des données est obligatoire lorsque le traitement est « susceptible d’engendrer un risque élevé » — usage à grande échelle de données sensibles, ou profilage systématique produisant des effets juridiques ou des effets comparables significatifs. Bon nombre de déploiements d’IA en entreprise entrent dans l’un de ces cas. L’absence d’une AIPD pourtant requise relève de la tranche de sanction inférieure : jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial.
Un entraînement et une conservation qui vous échappent
Sur le ChatGPT grand public (Free et Plus), vos conversations servent par défaut à entraîner les modèles d’OpenAI, sauf à désactiver l’option « Améliorer le modèle pour tout le monde » ; et une décision de justice américaine de 2025 a contraint OpenAI à conserver les journaux — y compris les conversations que les utilisateurs avaient supprimées. Une fois les données sur les serveurs d’un fournisseur, « supprimer » tient de la demande, non de la garantie. Nous approfondissons ce point dans ChatGPT stocke-t-il vos données ?
Ce que font réellement les régulateurs
Rien de théorique là-dedans. En décembre 2024, la Garante italienne a infligé à OpenAI une amende de 15 millions d’euros pour avoir entraîné ChatGPT sur des données personnelles sans base légale adéquate, ainsi que pour des manquements à la transparence, une violation non notifiée et l’absence de vérification de l’âge. (Source : Euronews.) À l’échelle de l’UE, l’ avis 28/2024 du CEPD a fixé un seuil délibérément élevé pour qu’un modèle d’IA puisse être tenu pour « anonyme ». Dans le même temps, l’essentiel de l’usage de l’IA au travail passe encore par des comptes personnels, dépourvus de toutes les garanties des offres professionnelles — et c’est précisément là que l’exposition s’accumule.
Un flux de travail conforme au RGPD
Une séquence reproductible, que vous pouvez documenter au titre du principe de responsabilité, chaque étape se rattachant à un article :
- Cartographiez les données personnelles. Avant de rédiger votre requête, identifiez précisément les données personnelles réellement en jeu — noms, coordonnées, identifiants, données financières ou de santé — et déterminez si certaines relèvent des catégories particulières (art. 9).
- Établissez une base légale (art. 6). Choisissez et documentez une base pour la divulgation au fournisseur d’IA — le plus souvent le consentement, le contrat ou l’intérêt légitime. Un contrat avec le prestataire ne constitue pas en soi une base légale : c’est à vous, en tant que responsable du traitement, d’en disposer.
- Minimisez avant de saisir (art. 5(1)(c)). Retirez ou pseudonymisez tout ce dont la tâche n’a pas besoin. C’est la seule étape qui élimine l’essentiel du risque : si aucune donnée personnelle n’atteint l’outil, la plupart des autres obstacles tombent d’eux-mêmes. Un outil local comme Occlira s’en charge en une seule passe, au sein de documents, feuilles de calcul, e-mails, fichiers audio et images.
- Utilisez une offre professionnelle assortie d’un contrat de sous-traitance. Si des données personnelles doivent être saisies, privilégiez une offre proposant un contrat de sous-traitance au titre de l’art. 28 et des clauses contractuelles types (l’API, ChatGPT Business/Enterprise) plutôt qu’un compte grand public — et désactivez l’entraînement du modèle.
- Traitez le transfert (chapitre V). Adresser des requêtes à un fournisseur américain constitue un transfert international. Appuyez-vous sur le cadre de protection des données UE-États-Unis (EU-US Data Privacy Framework) ou sur les clauses contractuelles types assorties d’une analyse de transfert — ou évacuez purement et simplement la question en n’envoyant aucune donnée personnelle.
- Réalisez une AIPD si elle est déclenchée (art. 35). Un traitement à grande échelle de données sensibles ou un profilage systématique produisant des effets significatifs impose généralement une analyse d’impact relative à la protection des données (AIPD) avant de commencer.
- Documentez, puis restaurez en local (art. 5(2)). Consignez votre base légale, votre minimisation et votre AIPD afin de satisfaire au principe de responsabilité. Faites travailler l’IA sur la copie anonymisée, puis rétablissez les valeurs réelles sur votre propre machine.
Comment s’intègre Occlira — l’étape de minimisation
Occlira concrétise l’étape 3. Il détecte et retire 40+ types de données personnelles — noms, numéros d’identité nationaux, e-mails, données financières et de santé, et bien d’autres encore — au sein de documents, feuilles de calcul, e-mails, fichiers audio et images, 100 % sur votre propre ordinateur, sans cloud ni compte. Rien n’atteint un serveur américain, rien ne peut alimenter l’entraînement d’un modèle, et rien qu’une décision de justice puisse ordonner de conserver — car les données personnelles ne quittent jamais votre appareil.
Une réserve honnête, parce qu’elle a son importance : l’anonymisation de Occlira est réversible — elle remplace chaque identifiant par un marqueur et conserve la table de correspondance sur votre appareil. Au sens du RGPD, il s’agit d’une pseudonymisation, et les données pseudonymisées demeurent des données personnelles (considérant 26). Voyez-y donc une forte minimisation des données, qui maintient votre traitement au strict minimum et sous votre contrôle — et non un moyen de soustraire les données au champ du RGPD. Découvrez précisément ce qui reste sur votre appareil sur la page Pratiques en matière de données et de confidentialité, et consultez anonymiser avant ChatGPT pour le détail des rouages, étape par étape.
Foire aux questions
En principe oui, mais à condition de franchir plusieurs obstacles : une base légale (art. 6), la minimisation des données (art. 5(1)(c)), un mécanisme valable pour le transfert vers un fournisseur américain (chapitre V), une condition supplémentaire pour toute donnée sensible (art. 9) et une AIPD lorsque le traitement présente un risque élevé (art. 35). Coller des données personnelles dans un outil d’IA revient à les divulguer à un tiers : c’est donc un traitement à part entière, et non une simple note privée. Le seul raccourci vraiment fiable consiste à ne pas envoyer ces données du tout.
Il vous faut l’une des six bases de l’art. 6 avant que les données ne quittent votre environnement. Pour l’usage de l’IA, les candidats réalistes sont le consentement, le contrat ou l’intérêt légitime ; ce dernier suppose un test de mise en balance démontrant que votre intérêt ne prévaut pas sur les droits de la personne concernée. Point essentiel : un contrat avec le fournisseur d’IA ne constitue pas une base légale — c’est à vous d’établir la vôtre.
Non. Un contrat de sous-traitance (art. 28) est nécessaire lorsqu’un fournisseur traite des données personnelles pour votre compte, mais il ne fournit pas votre base légale, ne réalise pas votre analyse de transfert et ne mène pas votre AIPD à votre place. Il n’existe d’ailleurs que sur les offres professionnelles : le ChatGPT grand public (Free/Plus) n’est assorti d’aucun contrat de sous-traitance. Le CEPD a par ailleurs rappelé qu’un accord conclu en aval ne peut pas rattraper un défaut de base légale en amont.
Oui. Les données transmises à un fournisseur établi aux États-Unis constituent un transfert au titre du chapitre V et nécessitent un mécanisme valable — aujourd’hui le cadre de protection des données UE-États-Unis, ou les clauses contractuelles types assorties d’une analyse de transfert. Ce cadre étant contesté en justice, comme l’ont été ceux qui l’ont précédé, minimiser ce que vous envoyez reste le moyen le plus durable de désamorcer la question.
Dès lors que le traitement est « susceptible d’engendrer un risque élevé » — par exemple un usage à grande échelle de données sensibles, ou un profilage systématique produisant des effets juridiques ou des effets comparables significatifs. Bon nombre de déploiements d’IA en entreprise entrent dans l’un de ces cas. L’absence d’une AIPD pourtant requise relève de la tranche de sanction inférieure (jusqu’à 10 M€ ou 2 % du chiffre d’affaires mondial).
Uniquement moyennant une condition de l’art. 9 qui s’ajoute à votre base de l’art. 6 — le plus souvent le consentement explicite — sachant qu’il s’agit d’un traitement à risque élevé. Les données de santé, biométriques, politiques, religieuses et relatives à l’orientation sexuelle en relèvent toutes. De loin la posture la plus sûre : les retirer ou les pseudonymiser avant même qu’elles n’atteignent l’outil.
Les données pseudonymisées — réversibles à l’aide d’informations conservées à part — demeurent des données personnelles (considérant 26). Seules les données véritablement anonymes échappent au RGPD, et le seuil à atteindre est exigeant. Remplacer les identifiants par des marqueurs réversibles constitue donc une forte minimisation des données, et non une sortie du champ d’application des règles.
Oui. En décembre 2024, la Garante italienne a infligé à OpenAI une amende de 15 millions d’euros, estimant que l’entreprise avait entraîné ChatGPT sur des données personnelles sans base légale adéquate, manqué à ses obligations de transparence, omis de notifier une violation survenue en 2023 et négligé la vérification de l’âge. Le signal est clair : les régulateurs sanctionnent concrètement les manquements à la base légale et à la transparence, et ne se contentent pas de recommandations.
C’est vous (ou votre organisation) qui êtes responsable du traitement pour les données personnelles que vous choisissez de saisir, puisque c’est vous qui en déterminez la finalité et les moyens. Le fournisseur d’IA n’a la qualité de sous-traitant que dans le cadre d’un accord professionnel ; sur un compte grand public, un tel dispositif n’existe pas, et vous assumez alors seul l’entière responsabilité du responsable du traitement, sans aucune des garanties de l’art. 28.
Minimisez les données personnelles avant que l’IA ne les voie
Retirez les identifiants en local, utilisez l’outil d’IA de votre choix sur la copie, puis restaurez sur votre machine. Gratuit pendant 14 jours sous Windows et macOS.
À lire aussi : pour les cabinets d’avocats · la checklist CNIL pour l’IA · anonymisation en local ou dans le cloud · comment vos données sont traitées