Peut-on mettre des données clients dans ChatGPT et Cie ? Les règles du RGPD

Peut-on saisir des données clients dans ChatGPT, Copilot ou Gemini ? Réponse courte : parfois oui, souvent sous conditions, et parfois clairement non. Trois éléments décident. Avez-vous une base légale au titre de l'article 6 du RGPD ? Ne saisissez-vous que les données vraiment nécessaires ? Et avez-vous un contrat de sous-traitance (DPA) avec le fournisseur ? Le levier le plus sûr reste le même : saisir le moins de données personnelles possible, et les anonymiser au préalable.

D'abord la base légale : l'article 6 du RGPD

Une donnée personnelle est toute information sur une personne identifiable : nom, e-mail, téléphone, numéro client. Dès que vous traitez ces données, il vous faut un motif légal. L'article 6 du RGPD les liste. Trois comptent le plus pour une entreprise. Sans l'un de ces motifs, la saisie dans un outil d'IA n'est pas autorisée.

• Contrat (art. 6.1.b) : le traitement est nécessaire pour exécuter un contrat avec le client.
• Intérêt légitime (art. 6.1.f) : votre intérêt l'emporte et les droits du client ne sont pas lésés. Une mise en balance est obligatoire.
• Consentement (art. 6.1.a) : le client a accepté librement et en connaissance de cause. Il doit être révocable.
• Important : la base légale doit couvrir l'usage précis avec un fournisseur d'IA, pas seulement la finalité initiale de la collecte.

Finalité et minimisation : seulement le nécessaire

L'article 5 du RGPD demande deux choses souvent oubliées dans l'usage quotidien de l'IA. La limitation des finalités : une donnée ne sert qu'au but pour lequel vous l'avez collectée. La minimisation : autant de données que nécessaire, pas plus. Pour rédiger un devis, l'IA a rarement besoin du nom de la société et presque jamais du nom complet du client.

1. 1Avant chaque prompt, demandez-vous : l'IA a-t-elle vraiment besoin de cette personne pour la tâche ?
2. 2Remplacez les vrais noms par des espaces réservés quand le contexte fonctionne aussi avec un espace réservé.
3. 3Retirez les pièces jointes, signatures et métadonnées qui contiennent des données personnelles cachées.
4. 4Notez quels types de données sont permis pour quelle tâche, et formez l'équipe dessus.

Catégories particulières : l'article 9 du RGPD

Certaines données sont protégées de façon renforcée. L'article 9 du RGPD parle de catégories particulières. Il vise la santé, l'origine, la religion, l'opinion politique, l'appartenance syndicale, la vie sexuelle et les données biométriques. Pour elles, le principe est l'interdiction avec des exceptions étroites. En règle générale, ces données n'ont pas leur place dans un outil d'IA généraliste.

• Règle de base : traitement interdit, sauf exception étroite (par exemple le consentement explicite).
• Exemples : arrêt maladie d'un client, diagnostic, mention d'origine ou de conviction religieuse.
• En pratique : retirer ou remplacer ces données avant tout usage de l'IA, sans chercher à faire une balance.
• La protection des données des salariés joue aussi : pour les données du personnel, le comité social peut avoir son mot à dire.

Fournisseurs US et transfert hors UE

Beaucoup de fournisseurs d'IA sont aux États-Unis ou y traitent les données. C'est un transfert hors UE, qui exige une base au titre du chapitre V du RGPD. Depuis 2023, le cadre EU-US Data Privacy Framework existe : les transferts vers des entreprises certifiées sont possibles par ce biais. Vérifiez toujours si le fournisseur précis est certifié, et lisez sa documentation à jour.

• Vérifiez si le fournisseur figure au EU-US Data Privacy Framework ou utilise des clauses contractuelles types.
• Vérifiez où vos saisies sont stockées et si elles servent à l'entraînement. Selon OpenAI, les entrées via l'API et les produits professionnels ne servent pas à l'entraînement par défaut ; les versions grand public gratuites peuvent être traitées autrement. Consultez la documentation à jour d'OpenAI.
• Idem pour Microsoft Copilot et Google Gemini : les offres entreprise ont souvent des règles différentes des versions gratuites. Selon les fournisseurs, le stockage et l'entraînement varient selon le produit.
• Le moyen le plus sûr de réduire le risque de transfert : ne pas envoyer de données en clair au fournisseur.

Tableau de décision : quelles données peuvent aller dans l'IA ?

Le tableau ci-dessous résume des cas fréquents. C'est un repère, pas un blanc-seing. Examinez chaque cas dans votre contexte, car un seul détail supplémentaire peut changer l'analyse.

Le levier : un DPA plus anonymiser avant d'envoyer

Deux mesures réduisent le plus le risque. D'abord un contrat de sous-traitance (DPA) au titre de l'article 28 du RGPD : il fixe comment le fournisseur peut traiter les données. Ensuite la minimisation à la source. Si l'IA ne voit jamais de vraies données en clair, il y a moins à protéger. C'est exactement là qu'intervient ONYRI Sanitize.

• Signez un DPA avec chaque fournisseur d'IA avant de traiter des données personnelles.
• Anonymisez les prompts avant l'envoi : ONYRI détecte les données sensibles dans le navigateur et les remplace par des jetons réversibles.
• La correspondance jeton-valeur reste dans le navigateur et ne le quitte jamais ; seul le texte déjà anonymisé part vers le modèle.
• Restez honnête : la tokénisation est une pseudonymisation. Elle réduit l'exposition et sert la minimisation, mais ne supprime aucune obligation. Une donnée pseudonymisée reste personnelle (RGPD, considérant 26).