Données clients et ChatGPT : ce que disent le RGPD et la CNIL

Un commercial colle l’historique d’un client dans ChatGPT pour préparer une relance, une assistante y dépose un RIB pour rédiger un courrier : ces gestes sont devenus courants. Sont-ils légaux ? La réponse dépend de l’offre utilisée, des réglages, du type de données et du contrat signé avec l’éditeur. Cet article fait le point, au 25 octobre 2026, sur les règles du RGPD, les recommandations de la CNIL et le statut des transferts vers les États-Unis, avec une checklist à appliquer avant tout usage.

Où vont vos données quand vous les saisissez

Tout commence par une distinction que les utilisateurs ignorent souvent. La politique d’OpenAI sur l’utilisation des données pour améliorer les modèles indique que, pour ses services destinés aux particuliers comme ChatGPT, le contenu des conversations peut être utilisé pour entraîner les modèles, sauf si l’utilisateur désactive cette option dans ses réglages ; pour ses offres professionnelles (ChatGPT Team, ChatGPT Enterprise et l’API), les entrées et sorties ne sont pas utilisées pour l’entraînement par défaut. La documentation destinée aux développeurs ajoute que les journaux de surveillance des abus de l’API sont conservés jusqu’à trente jours et qu’une option de conservation nulle existe, sur approbation préalable.

Autrement dit, un salarié qui utilise un compte gratuit créé avec son adresse personnelle place les données de vos clients dans un circuit que l’entreprise ne contrôle pas : ni le réglage d’entraînement, ni la durée de conservation, ni le lieu de traitement. C’est le phénomène décrit dans notre article sur le Shadow AI. La CNIL demande d’ailleurs explicitement d’éviter la création de comptes avec des adresses électroniques personnelles pour un usage professionnel.

Ce que le RGPD impose avant d’envoyer une donnée client

Un nom, une adresse e-mail, un numéro de téléphone, un historique d’achats ou un RIB sont des données à caractère personnel, et leur traitement par un outil d’IA est soumis à cinq exigences. Une base légale (article 6) : l’exécution du contrat avec le client ou l’intérêt légitime de l’entreprise, à documenter. La minimisation (article 5) : les données doivent être « limitées à ce qui est nécessaire » à la finalité, et coller un dossier entier pour obtenir un résumé de deux lignes ne l’est pas. L’information des personnes (article 13) : votre politique de confidentialité doit mentionner le recours à ce type de prestataire. La sous-traitance (article 28) : l’éditeur n’est acceptable que s’il présente des garanties suffisantes et si un contrat écrit encadre le traitement, ce qu’un compte gratuit ne fournit pas. Enfin la sécurité (article 32) et, pour les traitements à risque élevé, une analyse d’impact (article 35).

Deux catégories appellent une interdiction de principe. Les données de santé, l’orientation sexuelle, les opinions politiques ou l’appartenance syndicale relèvent de l’article 9 : leur traitement est interdit sauf exceptions strictes, et un dossier de sinistre ou un arrêt de travail n’a rien à faire dans un assistant grand public. Et l’article 22 interdit de fonder sur le seul traitement automatisé une décision produisant des effets juridiques pour la personne, comme un refus de crédit ou de candidature.

Transferts hors UE : où en est le Data Privacy Framework

Envoyer des données personnelles à un prestataire qui les traite aux États-Unis est un transfert au sens du chapitre V du RGPD, possible seulement avec un fondement : décision d’adéquation (article 45), clauses contractuelles types ou autre garantie appropriée (article 46). La Commission européenne a adopté le 10 juillet 2023 une décision d’adéquation pour les entreprises américaines certifiées au titre du Data Privacy Framework. Le Tribunal de l’Union européenne a rejeté le 3 septembre 2025 le recours en annulation formé contre cette décision (affaire T-553/23). Un pourvoi a été introduit le 31 octobre 2025 devant la Cour de justice (affaire C-703/25 P) ; au 25 octobre 2026, aucun arrêt n’a été rendu. La décision reste donc applicable, avec une incertitude que tout responsable de traitement doit garder en tête.

S’y ajoute le CLOUD Act américain de 2018, qui oblige un fournisseur soumis à la juridiction des États-Unis à communiquer les données qu’il contrôle, qu’elles soient stockées sur le territoire américain ou ailleurs ; le Comité européen de la protection des données a estimé en 2019 qu’une telle injonction ne rend pas à elle seule un transfert licite au regard de l’article 48 du RGPD. Les éditeurs ont réagi en proposant des options de résidence des données : la documentation d’OpenAI décrit ainsi une région Europe où les données sont stockées et où l’inférence est exécutée, réservée à certaines offres et soumise à conditions. Ces options réduisent le risque sans supprimer la soumission de l’éditeur au droit américain.

Les recommandations de la CNIL

La CNIL a publié le 8 avril 2024 ses premières fiches pratiques sur le développement des systèmes d’IA, puis les a finalisées le 22 juillet 2025 en annonçant des travaux sectoriels. Pour les entreprises utilisatrices, le texte de référence reste ses questions-réponses du 18 juillet 2024 sur l’utilisation d’un système d’IA générative : partir d’un besoin concret, choisir le système selon les risques (un assistant de rédaction présente moins de risques qu’un outil d’aide à la décision sur des clients ou des candidats), privilégier un déploiement sur site pour les données personnelles, adopter une charte interne définissant les usages autorisés et interdits, former les utilisateurs et contrôler régulièrement les usages.

Deux points engagent directement la direction. La CNIL rappelle que c’est l’organisme utilisateur qui engage sa responsabilité légale en cas de mauvaise utilisation de l’IA par son personnel, et que les utilisateurs ne doivent soumettre que des informations qu’ils sont autorisés à partager. Elle ajoute, en renvoyant au règlement européen sur l’IA, que les systèmes en interaction directe avec des personnes doivent les informer qu’elles échangent avec une IA. Les clauses à négocier avec l’éditeur sont détaillées dans notre article sur les clauses contractuelles RGPD avec les sous-traitants IT.

Checklist avant de confier des données clients à une IA

Lorsque la réponse est non à l’une de ces questions, la solution la plus simple consiste à ne faire entrer dans l’outil que des données pseudonymisées, ou à choisir une IA hébergée en France sous contrat de sous-traitance, comme nous l’expliquons dans notre article sur l’IA souveraine hébergée en France et dans notre guide sur l’IA et la conformité RGPD. Odyssix propose à ce titre une IA d’entreprise hébergée en France, sans entraînement sur les données des clients et avec un accord de traitement des données.

Questions fréquentes

Sources

• CNIL — Les questions-réponses sur l’utilisation d’un système d’IA générative (18 juillet 2024)
• CNIL — Texte du RGPD, chapitre IV, articles 28, 32 et 35
• OpenAI — Documentation développeurs « Data controls in the OpenAI platform » (entraînement, conservation, résidence des données)
• Cour de justice de l’Union européenne — Communiqué de presse n° 106/25, arrêt du Tribunal dans l’affaire T-553/23 (3 septembre 2025)
• OpenAI, politique « How your data is used to improve model performance » ; Journal officiel de l’UE C/2025/6610 (pourvoi C-703/25 P du 31 octobre 2025) ; CNIL, actualités du 8 avril 2024 et du 22 juillet 2025 sur les fiches pratiques IA ; Commission européenne, page « EU-US data transfers » (consultés le 24 octobre 2026)