ChatGPT est-il conforme au RGPD ? Ce que les entreprises doivent savoir

En bref : ChatGPT n'est pas conforme au RGPD par lui-même. La conformité n'est pas un interrupteur dans l'outil. Elle résulte de plusieurs briques. Cela dépend de l'offre (gratuite, Team ou Enterprise, API ou grand public), de la configuration (entraînement désactivé, durée de conservation), d'un contrat de sous-traitance (DPA) signé, d'une base légale valable — et surtout de ce que vous saisissez. Si vous entrez des données personnelles sans clarifier ces points, vous portez tout le risque.

La réponse courte pour les entreprises

« Conforme au RGPD » n'est pas une propriété d'un produit. C'est un état que vous créez en tant que responsable de traitement. ChatGPT peut faire partie d'un traitement conforme — ou être une faille ouverte. La différence tient à ces points :

• L'offre : les versions grand public et les offres professionnelles traitent vos données différemment.
• Le contrat : sans DPA signé, la base contractuelle de la sous-traitance manque.
• La base légale : tout traitement de données personnelles exige un fondement licite au titre de l'article 6 du RGPD.
• La configuration : l'entraînement sur les saisies, la conservation et les droits d'accès doivent être correctement réglés.
• Le contenu : ce que vous ne saisissez pas ne peut pas fuir. C'est le levier le plus fort.

Grand public, Team/Enterprise et API comparés

Tous les « ChatGPT » ne se valent pas. La différence clé pour les entreprises se situe entre la version grand public et les offres professionnelles. Selon OpenAI, les saisies des produits Business, Enterprise et API ne servent pas à entraîner les modèles par défaut ; les versions grand public gratuite et Plus suivent d'autres règles (source : documentation Enterprise Privacy d'OpenAI). Vérifiez la version en vigueur, car ces règles évoluent.

• Gratuit / Plus (grand public) : selon OpenAI, les saisies peuvent servir à améliorer les modèles sauf désactivation dans les réglages. Inadapté aux données d'entreprise sans règles claires.
• Team / Enterprise (professionnel) : selon OpenAI, pas d'entraînement sur vos données professionnelles par défaut ; un DPA est disponible ; plus de contrôle sur la conservation et l'administration.
• API : selon OpenAI, pas d'entraînement par défaut sur les données envoyées via l'API ; adapté à vos intégrations maîtrisées.
• Important : « pas d'entraînement » ne veut pas dire « pas de conservation ». Des données peuvent être conservées un temps limité pour détecter les abus — voir la documentation du fournisseur.

L'entraînement sur vos saisies — ce que dit OpenAI

Une préoccupation centrale du RGPD est ce qu'il advient de votre texte après l'envoi. Selon OpenAI, les saisies de la version grand public peuvent servir à améliorer les modèles sauf désactivation. Dans les produits Business et API, l'entraînement sur vos données est désactivé par défaut selon OpenAI. Vérifiez toujours ces affirmations dans la documentation à jour, car les fournisseurs ajustent régulièrement leurs politiques.

1. 1Vérifiez dans les réglages si « améliorer le modèle » est activé, et désactivez-le si besoin.
2. 2Clarifiez la conservation : combien de temps les conversations et l'historique sont-ils gardés ?
3. 3Notez l'offre utilisée — les règles diffèrent selon le produit.
4. 4Documentez le réglage dans votre registre des activités de traitement.

Le DPA et votre base légale

Quand un fournisseur traite des données personnelles pour votre compte, l'article 28 du RGPD impose un contrat de sous-traitance (DPA, AVV en Allemagne). Sans ce contrat, la base juridique du partage manque. OpenAI propose un DPA aux clients Business et API ; la simple version grand public n'est pas prévue pour cela. Vous devez aussi disposer d'une base légale au titre de l'article 6 pour le traitement lui-même.

• Signer un DPA : uniquement avec un contrat professionnel ou API, pas avec un compte privé.
• Déterminer la base légale : consentement, contrat ou intérêt légitime — selon le cas d'usage.
• Vérifier les transferts hors UE : si les données sont traitées hors de l'UE, prévoyez des garanties (ex. clauses contractuelles types).
• Garantir les droits des personnes : accès, effacement et opposition doivent rester possibles.
• Envisager une AIPD : pour des données sensibles ou massives, une analyse d'impact peut être requise.

Ce que disent les autorités de protection des données

Les autorités européennes surveillent de près l'IA générative. Le Comité européen de la protection des données (CEPD/EDPB) a créé un groupe de travail ChatGPT et publié un rapport le 23 mai 2024 sur des questions ouvertes comme la base légale, la transparence et l'exactitude des réponses. En Allemagne, la Datenschutzkonferenz (DSK) a publié son « Orientierungshilfe KI und Datenschutz », un guide pratique pour l'usage des applications d'IA. Message commun : celui qui déploie l'IA reste responsable — pas le fournisseur seul.

• Groupe de travail du CEPD : examine notamment la base légale et l'exactitude ; les travaux ne sont pas terminés selon le CEPD.
• Guide de la DSK : recommande des finalités claires, la minimisation et aucune donnée sensible dans les services d'IA ouverts.
• Pratique de contrôle : des autorités comme la CNIL, le BfDI ou les autorités régionales attendent des décisions documentées, pas un usage spontané.
• Principe : des données pseudonymisées ou agrégées réduisent le risque mais ne remplacent pas une base légale.

Tableau de décision et minimisation des données

Avant de déployer ChatGPT dans votre entreprise, passez ces points en revue. Le tableau indique, par offre ou réglage, ce que vous devez vérifier. Le levier le plus efficace et le plus simple figure à la fin : ne saisissez pas de données personnelles. C'est la minimisation des données de l'article 5 du RGPD en pratique.

C'est précisément là qu'un outil comme ONYRI Sanitize aide. Il détecte les données sensibles dans votre prompt et les remplace par des jetons réversibles (tokens) avant que le texte parte vers l'IA. La correspondance entre le jeton et la valeur d'origine reste dans votre navigateur et ne le quitte jamais. Après la réponse, les vraies valeurs sont restaurées. Pour être honnête et précis : il s'agit de pseudonymisation, pas d'anonymisation. Les données pseudonymisées restent personnelles au sens du considérant 26 du RGPD. L'approche réduit l'exposition et soutient la minimisation — mais elle ne remplace ni le DPA ni la base légale.

En résumé : traitez ChatGPT comme n'importe quel sous-traitant. Réglez l'offre, le contrat, la base légale et la configuration — et minimisez ce que vous saisissez. La faille ouverte devient alors une brique maîtrisée.