Liste d’attente

RGPD et IA générative : ce qu’un entrepreneur doit savoir

Guide pratique · , 8 min de lecture

La CNIL n’interdit pas d’utiliser ChatGPT ou Claude dans ton entreprise, mais elle demande de faire très attention à ce que tu y mets. Sa recommandation : dans un service grand public, ne jamais partager d’informations confidentielles, comme des données personnelles ou des données de l’entreprise. Viennent ensuite quelques réglages, des règles écrites pour ton équipe et, selon les cas, un contrat avec le fournisseur.

Pourquoi le RGPD concerne ton usage de l’IA

Le RGPD, le règlement européen sur la protection des données, s’applique dès que tu traites des données personnelles : le nom d’un client, son adresse, un devis nominatif, le dossier d’un salarié. Coller ces informations dans un assistant d’IA, c’est les confier à un fournisseur, et parfois les faire sortir de l’Union européenne.

L’IA générative, c’est la famille d’outils qui produisent du texte, des images ou du code, comme ChatGPT, Claude, Gemini ou Le Chat. La CNIL, l’autorité française de protection des données, a publié une foire aux questions sur leur utilisation par les organisations. Elle sert de base à ce guide.

Trois idées en ressortent pour une petite entreprise.

Tu es responsable. Selon la CNIL, « dans le cas général », c’est l’organisme utilisateur qui engage sa responsabilité légale en cas de mauvaise utilisation de l’IA par son personnel.

L’outil peut se tromper. Les modèles génératifs « ne sont pas des bases de connaissance » : ils peuvent produire des résultats faux mais plausibles, ce qu’on appelle des hallucinations. Pour la CNIL, une bonne pratique consiste à ne jamais reprendre telles quelles leurs réponses.

Tout dépend de l’usage. Aider à rédiger un e-mail présente moins de risques que s’appuyer sur l’IA pour une décision qui touche un client ou un candidat. Plus l’usage est sensible, plus il faut être exigeant.

Ce que tu peux y mettre, et ce que tu ne dois pas y mettre

La CNIL distingue selon la façon dont l’outil est fourni.

Où mettre quoi ?

  • Si c’est un texte sans nom ni secret (une annonce, un modèle de courrier, une idée de post)un service grand public peut être envisagé, avec une adresse professionnelle et, le cas échéant, la réutilisation des données coupée
  • Si ce sont des données de clients ou de salariéspas dans un service grand public ; la CNIL juge plus sûr un outil installé chez toi, ou un outil hébergé encadré par un contrat de sous-traitance
  • Si c’est un secret d’affaires (prix d’achat, stratégie, dossier sensible)même règle : pas dans un service grand public
  • Si tu passes par l’APIla maîtrise est presque entièrement chez le fournisseur : évite autant que possible les données personnelles

Un service « grand public », c’est le compte que n’importe qui crée sur le site de l’assistant. Une API, c’est la porte d’entrée technique qu’un logiciel utilise pour parler à l’IA (voir Clé API OpenAI et Claude).

Un contrat de sous-traitance, c’est l’accord qui fixe ce que le fournisseur a le droit de faire avec les données que tu lui confies. La CNIL précise que rien n’interdit à une petite entreprise d’utiliser un service hébergé à distance, si les transferts de données sont encadrés et leur sécurité assurée. Si les données partent hors de l’Union européenne, il faut aussi encadrer ce transfert.

Dans le doute, une précaution simple : enlève les noms. « Le client A a reçu un devis » suffit souvent à l’IA pour t’aider. Attention : si on peut encore reconnaître la personne en recoupant les détails, cela reste une donnée personnelle.

Les réglages à vérifier dans ton assistant

La CNIL recommande, le cas échéant, de désactiver la réutilisation de tes données d’usage par le fournisseur, et de créer les comptes avec des adresses professionnelles dédiées, pas personnelles.

Dans Claude, offres Free, Pro et Max

Sur ces offres individuelles, Anthropic, l’éditeur de Claude, peut utiliser tes conversations pour améliorer ses modèles si tu l’autorises. Pour le couper :

  1. Ouvre les réglagesclique sur ton nom, puis Settings
  2. Va dans la confidentialitéPrivacy
  3. Coupe l’entraînementdésactive Help Improve our AI models
  4. Sur téléphonemême chemin : ton nom, Settings, Privacy

Deux limites à connaître. D’abord, ce réglage vaut pour tes nouvelles conversations : celles déjà utilisées dans un entraînement commencé ou un modèle déjà entraîné le restent. Ensuite, les conversations signalées par les filtres de sécurité peuvent toujours servir aux modèles de sécurité internes d’Anthropic.

Les conversations incognito ne servent pas à améliorer Claude, même si le réglage est activé. Et un pouce haut ou bas sur une réponse conserve toute la conversation jusqu’à 5 ans, sur les offres individuelles comme professionnelles : évite-le sur un échange sensible.

Dans les offres professionnelles

Pour ses offres commerciales, comme Claude for Work ou l’API, Anthropic indique que, par défaut, tes échanges ne servent pas à entraîner ses modèles, sauf si tu envoies un retour ou l’autorises. Sur Team ou Enterprise, le propriétaire du compte peut même désactiver le bouton de retour pour toute l’équipe, avec le réglage Rate chats dans Organization settings > Data and Privacy.

Chez OpenAI, la documentation développeurs indique que, depuis le 1er mars 2023, les données envoyées à l’API ne servent pas à entraîner ses modèles, sauf accord explicite. Elles peuvent être conservées jusqu’à 30 jours dans des journaux de surveillance des abus, ou plus longtemps si la loi l’exige ou pour protéger ses services. Pour les réglages de ChatGPT lui-même, vérifie dans les paramètres de ton compte et sur la page d’aide d’OpenAI.

Pour choisir entre les deux outils sur d’autres critères, lis ChatGPT ou Claude : lequel choisir.

Écrire ta charte d’utilisation de l’IA

La CNIL recommande d’encadrer l’usage de l’IA par une politique ou une charte interne, avec les usages autorisés et les usages interdits, et de former les utilisateurs. Pour une petite équipe, une page courte est un bon point de départ.

Les quatre parties d’une charte simple

  1. Les outils autoriséslesquels, avec quels comptes professionnels
  2. Les données interditesdonnées personnelles, secrets d’affaires, selon l’outil
  3. Les usages autorisésrédiger, résumer, traduire, avec des prompts types
  4. La vérificationqui relit, et rien n’est envoyé tel quel

La CNIL suggère aussi de prévoir des « prompts types », des consignes toutes prêtes pour des tâches bien identifiées. Elles orientent chacun vers des tâches bien identifiées et éprouvées.

Par exemple, si tu diriges un petit cabinet de conseil, ta charte peut tenir en dix lignes : Claude Pro avec l’adresse du cabinet, entraînement coupé ; jamais de nom de client ni de numéro de dossier ; autorisé pour reformuler un courrier, résumer une documentation publique, préparer un plan ; chaque texte relu par celui qui l’envoie.

Le prompt pour préparer ta charte
Tu m'aides à rédiger une charte d'utilisation de l'IA pour mon entreprise : [ton métier], [nombre] personnes, outils utilisés : [tes outils]. Fais une page, en quatre parties : outils autorisés, données interdites, usages autorisés, vérification des réponses. Appuie-toi sur les recommandations de la CNIL pour l'IA générative, sans inventer d'obligation légale. Pose-moi d'abord les questions qui te manquent.

Relis le résultat toi-même : un assistant peut se tromper sur le droit, comme sur le reste.

DPO et analyse d’impact

En attendant d’autres recommandations, la CNIL conseille d’associer le délégué à la protection des données (DPO) et, le cas échéant, de réaliser une analyse d’impact (AIPD). Une AIPD, c’est l’étude écrite des risques d’un traitement pour les personnes concernées.

La CNIL rappelle aussi que la plupart des IA génératives ont été configurées avec des données personnelles. C’est à toi, utilisateur, d’interroger le fournisseur sur la conformité de son système au RGPD.

Ce guide n’est pas un conseil juridique. Pour ton cas précis, la référence reste le site de la CNIL.

Et le règlement européen sur l’IA ?

Le règlement européen sur l’IA, aussi appelé AI Act, est entré en vigueur le 1er août 2024. Il ne remplace pas le RGPD. Selon la CNIL, il prévoit notamment de la transparence : les systèmes conçus pour échanger directement avec des personnes doivent être faits pour qu’elles sachent qu’elles parlent à une IA, et les utilisateurs doivent indiquer au public que leurs deepfakes ou les textes qu’ils publient ont été générés ainsi.

Si tu envisages un assistant pour répondre à tes clients sur ton site, vérifie avec ton fournisseur comment il les informe qu’ils parlent à une IA. Pour la question voisine de l’entraînement des IA sur ton site, lis Bloquer l’entraînement des IA sur son site.

Passe à l’action

Questions fréquentes

Est-ce que j’ai le droit d’utiliser ChatGPT dans mon entreprise ?

La CNIL n’interdit pas les services grand public : pour des usages non confidentiels, elle indique qu’ils peuvent être envisagés avec des garanties appropriées, comme des adresses professionnelles et, le cas échéant, la réutilisation des données coupée. Ce qu’elle déconseille, c’est d’y mettre des données personnelles ou confidentielles.

Puis-je mettre le nom de mes clients dans Claude ou ChatGPT ?

Dans un service grand public, la CNIL recommande de ne jamais partager de données personnelles. Remplace les noms par des lettres ou des rôles : le résultat est souvent aussi utile.

Les offres professionnelles règlent-elles la question ?

Elles aident : chez Anthropic, les offres commerciales ne servent pas à l’entraînement par défaut. Mais pour un outil hébergé à distance, la CNIL juge nécessaire un contrat de sous-traitance, demande d’encadrer les transferts hors Union européenne et recommande des règles internes.

Qui est responsable si un salarié colle un fichier client dans une IA ?

Selon la CNIL, dans le cas général, c’est l’entreprise qui engage sa responsabilité. D’où l’intérêt d’une charte écrite et d’une courte formation.

Sources

La formation ouvre bientôt.