IA et protection des données : ce que les salariés doivent respecter avec ChatGPT & Co.

Dès que vous saisissez des données à caractère personnel dans ChatGPT, Copilot ou Gemini, il s'agit d'un traitement tout à fait ordinaire au sens du RGPD (art. 4, point 2) : les mêmes règles s'appliquent qu'ailleurs, à savoir une base juridique au titre de l'art. 6 et les principes de l'art. 5. La règle quotidienne la plus importante : pas de données personnelles réelles dans des outils d'IA gratuits non autorisés, sans contrat de sous-traitance. La voie sûre consiste à anonymiser les noms et les identifiants avant la saisie.

De la rédaction de Provimedia · Date : juillet 2026 · Cet article est une information générale et ne constitue pas un conseil juridique.

Un prompt ChatGPT est-il un « traitement » au sens du RGPD ?

Oui. L'art. 4, point 2, du RGPD définit le traitement de manière très large : toute opération effectuée sur des données à caractère personnel, avec ou sans procédés automatisés. Un prompt qui contient un nom de client ou un numéro de client en relève, indépendamment de sa brièveté ou de son caractère informel. Il faut donc, comme pour tout autre traitement, une base juridique au titre de l'art. 6, par. 1, du RGPD et le respect des principes de l'art. 5, par. 1. S'y ajoute, pour de nombreux services d'IA : les saisies sont transmises aux serveurs du fournisseur, souvent hors de l'UE, et peuvent, pour certains services, être réutilisées pour l'entraînement du modèle.

La règle la plus importante : pas de données personnelles dans des outils d'IA non autorisés

Les noms, coordonnées, dossiers de candidature, dossiers du personnel ou listes de clients n'ont pas leur place dans des outils d'IA gratuits non autorisés par votre entreprise. La raison : sans autorisation, il manque en règle générale un contrat de sous-traitance au titre de l'art. 28 du RGPD avec le fournisseur, et sans ce contrat, aucune donnée personnelle réelle ne peut être confiée à un prestataire, ce qui vaut pour les services d'IA comme pour tout autre fournisseur de cloud (plus de détails dans notre article Contrat de sous-traitance (AVV)).

La voie sûre : anonymiser avant la saisie

Vous souhaitez malgré tout utiliser un outil d'IA pour une tâche impliquant des données réelles ? Remplacez avant la saisie les informations identifiantes par des espaces réservés neutres : « Réclamation de Mme Meier, n° client 4711 » devient « Réclamation de la cliente A », et les lieux et noms d'entreprises précis deviennent « site X » et « entreprise B ». Une IA n'a pas besoin de vrais noms pour formuler un texte ou fournir un résumé : la minimisation des données (art. 5, par. 1, du RGPD) et l'utilisation de l'IA ne s'excluent pas.

Quand l'IA décide à propos de personnes : art. 22 du RGPD

La situation devient particulièrement délicate lorsque des systèmes d'IA préparent ou prennent des décisions concernant des personnes, par exemple dans une présélection automatisée de candidats ou une évaluation de solvabilité. Selon l'art. 22, par. 1, du RGPD, une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou affectant de manière significative n'est admissible qu'exceptionnellement. Un humain doit avoir la possibilité de vérifier le résultat et d'intervenir. Concrètement : l'IA peut assister, par exemple pré-trier des candidatures, mais la responsabilité et la décision finale restent à l'humain.

Sécurité et analyse d'impact pour les systèmes d'IA

Les systèmes d'IA sont soumis aux mêmes exigences de sécurité que tout autre traitement : des mesures techniques et organisationnelles appropriées, adaptées au risque (art. 32, par. 1, du RGPD). En cas de risque élevé probable pour les droits et libertés des personnes, par exemple en cas de traitement à grande échelle ou de technologie nouvelle, une analyse d'impact relative à la protection des données (AIPD) est souvent nécessaire (art. 35, par. 1, du RGPD). En tant que salarié, vous n'avez pas à établir d'AIPD, mais vous devriez signaler tôt les nouveaux projets d'IA au délégué à la protection des données.

La maîtrise de l'IA est en plus obligatoire, au titre d'une autre loi

Outre le RGPD, une autre obligation, distincte, s'applique depuis le 2 février 2025 : l'art. 4 du règlement sur l'IA (AI Act) de l'UE (règlement (UE) 2024/1689) oblige les fournisseurs et les déployeurs de systèmes d'IA à veiller à un niveau suffisant de maîtrise de l'IA de leur personnel. Selon la Commission européenne, un certificat n'est expressément pas exigé pour cela, un enregistrement interne des formations suffit. Protection des données et maîtrise de l'IA reposent sur deux bases juridiques différentes, avec des objectifs différents : le RGPD régit quelles données vous pouvez confier à une IA, le règlement sur l'IA le degré de compétence avec lequel vous maniez de façon générale les systèmes d'IA.

Questions fréquentes (FAQ)

Puis-je saisir des données clients dans ChatGPT ?

Uniquement si l'outil est autorisé par votre entreprise et qu'un contrat de sous-traitance existe avec le fournisseur. Dans tous les autres cas, vous devriez anonymiser au préalable les noms et les identifiants.

La version gratuite de ChatGPT est-elle utilisable en conformité avec le RGPD ?

Pour des textes anonymisés sans lien avec des personnes, elle ne pose en principe pas de problème. Pour de vraies données de clients ou de salariés, le contrat de sous-traitance nécessaire fait en règle générale défaut dans l'usage privé gratuit.

Ai-je besoin d'un contrat de sous-traitance avec le fournisseur d'IA ?

Oui, dès que le service d'IA traite des données à caractère personnel pour votre compte (art. 28 du RGPD), exactement comme pour tout autre prestataire externe ayant accès aux données.

Quel rapport entre le règlement sur l'IA et la protection des données ?

Le règlement sur l'IA (art. 4) exige, en plus du RGPD, une maîtrise suffisante de l'IA de la part des salariés qui utilisent des systèmes d'IA. Les deux textes s'appliquent en parallèle et se complètent, mais ne se remplacent pas.

Vous souhaitez transmettre de façon systématique à votre équipe un usage compétent et respectueux de la protection des données de l'IA ? Notre certificat IA traite les bases de l'IA et l'exigence de maîtrise de l'IA de l'art. 4 du règlement sur l'IA, la formation de base au RGPD approfondie traite la protection des données — les deux ensemble sont proposées dans le pack conformité. Pour savoir comment démontrer dans son ensemble le respect du principe de responsabilité, lisez notre article Principe de responsabilité selon le RGPD.

Sources

• Règlement (UE) 2016/679 (RGPD), art. 4, point 2, art. 5, par. 1, art. 6, par. 1, art. 22, par. 1, art. 28, art. 32, par. 1, art. 35, par. 1 – eur-lex.europa.eu
• Règlement (UE) 2024/1689 (règlement sur l'IA, AI Act), art. 4 – eur-lex.europa.eu
• Commission européenne, AI Literacy – Questions & Answers – digital-strategy.ec.europa.eu