RGPD et IA générative : 8 règles pour utiliser ChatGPT, Copilot ou Claude sans exposer vos données

Un assistant d’IA est un service en ligne : ce que vous y saisissez quitte votre ordinateur. Pour les données personnelles (clients, salariés, candidats, patients) et les informations confidentielles, le RGPD et le secret des affaires s’appliquent exactement comme pour n’importe quel prestataire. La CNIL a publié des questions-réponses dédiées à l’IA générative, des fiches pratiques et, plus récemment, des recommandations sur l’IA et le RGPD. Voici les huit règles que nous enseignons dans chaque formation.

Les 8 règles

1. Pas de données personnelles dans un outil grand public. La CNIL recommande de ne pas saisir de données personnelles dans un service d’IA générative accessible au public sans cadre contractuel adapté, et rappelle que l’organisme utilisateur est responsable de ses usages.
2. Anonymiser avant de demander. Remplacez noms, adresses, numéros et montants identifiants par des libellés génériques : « le client », « la salariée », « montant X ». Le résultat est tout aussi bon.
3. Préférer les versions professionnelles. Copilot avec protection des données d’entreprise, ChatGPT Business, Claude Team ou Enterprise, Gemini pour Workspace et les offres Mistral s’engagent par défaut à ne pas entraîner leurs modèles sur vos contenus et fournissent un contrat de traitement des données. Lisez-le : les fonctions de recherche web ou de connecteurs peuvent avoir des conditions différentes.
4. Régler l’outil. Désactivez l’amélioration des modèles à partir de vos conversations quand l’option existe, limitez l’historique, activez la double authentification et interdisez le partage public de conversations.
5. Encadrer les transferts hors Union européenne. Beaucoup d’éditeurs traitent les données aux États-Unis ; vérifiez les garanties (clauses contractuelles types, cadre de protection des données UE-États-Unis, hébergement européen quand il est proposé) et mentionnez ces sous-traitants dans votre registre des traitements.
6. Informer les personnes. Si l’IA intervient dans un traitement qui concerne des clients ou des salariés (tri de demandes, préparation d’entretiens), mettez à jour vos mentions d’information et, pour les usages à risque, réalisez une analyse d’impact.
7. Vérifier et relire. Un modèle peut inventer une référence, un chiffre ou un article de loi avec aplomb. Rien ne part sans relecture humaine, et les faits sont contrôlés à la source.
8. Garder une trace et former. Un registre des outils, une charte d’usage signée et des attestations de formation montrent que l’entreprise a pris les mesures attendues, par le RGPD comme par le règlement européen sur l’IA.

Ce que garantissent vraiment les versions entreprise

Microsoft documente pour Copilot une « protection des données d’entreprise » : les requêtes et réponses ne servent pas à entraîner les modèles et restent soumises aux engagements du contrat Microsoft 365 ; certaines fonctions comme la recherche web ou l’appel à des modèles tiers peuvent toutefois sortir du périmètre de résidence des données. OpenAI, Anthropic et Mistral décrivent des engagements comparables pour leurs offres professionnelles, avec des options de non-conservation. Dans tous les cas, l’engagement « pas d’entraînement » ne vous dispense pas de minimiser les données saisies.

Trois cas fréquents et la bonne réponse