Formateur certifié en intelligence artificielle, j'accompagne les TPE et PME de Bordeaux et de Nouvelle-Aquitaine dans un usage de l'IA à la fois efficace et conforme au RGPD depuis 2021.
Un devis à traduire en anglais, un email client un peu délicat à reformuler, un compte rendu de réunion à résumer : en quelques secondes, un salarié copie le contenu dans ChatGPT et gagne un temps précieux. Le réflexe est devenu banal dans les TPE et PME. Le problème, c'est que ce contenu contient souvent un nom de client, un montant, parfois une donnée de santé ou un RIB. Et là, sans le savoir, l'entreprise vient peut-être de sortir du cadre du RGPD.
La bonne nouvelle : il ne s'agit pas d'interdire ChatGPT, mais d'apprendre à l'utiliser proprement. Ce guide s'adresse au dirigeant et au collaborateur de terrain, pas au juriste. Vous y trouverez ce qu'il ne faut jamais coller dans l'IA, une checklist de conformité concrète, la différence réelle entre les offres, et pourquoi former vos équipes est désormais une obligation.
Le vrai risque RGPD des TPE n'est pas ChatGPT, mais le geste quotidien de coller une donnée client sans y penser.
ChatGPT est-il conforme au RGPD ?
ChatGPT n'est ni conforme ni non conforme au RGPD en soi : tout se joue sur l'offre que vous utilisez et sur les données que vous y saisissez. Coller des informations personnelles dans un compte grand public revient à confier ces données à un sous-traitant situé hors de l'Union européenne, sans contrat de traitement et avec un risque qu'elles servent à entraîner le modèle. À l'inverse, une offre professionnelle encadrée par un contrat de traitement (DPA), assortie de règles internes et d'équipes formées, permet un usage parfaitement conforme. Le RGPD ne parle jamais d'un outil, il parle d'un traitement de données à caractère personnel. La CNIL l'a confirmé : les systèmes d'IA relèvent pleinement du règlement. Autrement dit, la question utile n'est pas « ChatGPT est-il légal ? » mais « quelles données puis-je y mettre, avec quelle offre, et avec quelles précautions ? ».
Les données à ne jamais coller dans un ChatGPT grand public
La règle tient en une image : si vous ne l'écririez pas sur une carte postale, ne le collez pas dans une IA non sécurisée. Concrètement, plusieurs familles de données doivent rester en dehors d'un compte ChatGPT gratuit ou Plus. Les données personnelles identifiantes d'abord : nom, email, téléphone, adresse, numéro de contrat d'un client, d'un prospect ou d'un salarié. Les données sensibles au sens de l'article 9 du RGPD ensuite, dont la santé, les opinions ou l'appartenance syndicale, sont quasiment interdites. Viennent aussi les données financières, RIB, salaires, coordonnées bancaires, et enfin les secrets de l'entreprise, mots de passe, clés d'accès, code source, contrats confidentiels. Deux réflexes réduisent fortement le risque : minimiser, en n'envoyant que le strict nécessaire, et anonymiser, en remplaçant les identifiants réels par des variables neutres comme « Client A », sans oublier que l'anonymisation n'est jamais une garantie absolue.
À ne JAMAIS coller dans un ChatGPT non sécurisé
0/6 complétés
Qui est responsable, et combien coûte une erreur
Beaucoup de dirigeants pensent qu'un dérapage engage seulement le salarié qui a collé la donnée. C'est faux. Au sens du RGPD, c'est l'entreprise qui reste responsable de traitement, même quand l'initiative vient d'un collaborateur plein de bonne volonté. Le salarié peut être sanctionné sur le plan disciplinaire, mais le risque réglementaire pèse sur l'employeur. Et ce risque est loin d'être théorique : une non-conformité au RGPD peut être sanctionnée par la CNIL jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. À ce risque financier s'ajoute le plus redouté dans une TPE : la perte de confiance d'un client dont les données ont fuité. C'est pourquoi une interdiction affichée mais jamais expliquée ne protège personne. Ce qui protège, c'est une charte d'usage simple, connue de tous, et une équipe qui comprend pourquoi ces règles existent.
D'un compte grand public à une offre professionnelle avec DPA et résidence des données en Europe : la conformité se joue sur le choix de l'offre.
Free, Plus, Business, Enterprise : ce qui change vraiment pour vos données
Toutes les offres ChatGPT ne se valent pas au regard du RGPD, et la différence n'est pas qu'une question de prix. Le point décisif tient au contrat de traitement des données (DPA), à l'usage de vos échanges pour l'entraînement, et au lieu d'hébergement. Sur les comptes gratuit et Plus, aucun contrat de traitement n'est prévu et vos conversations peuvent servir à améliorer les modèles par défaut : à réserver aux contenus non confidentiels. L'offre Business change la donne en fournissant un DPA et en n'utilisant pas vos données pour l'entraînement. L'offre Enterprise va plus loin, avec une option de résidence des données en Europe, des contrôles de rétention avancés et l'authentification unique. Pour manipuler la moindre donnée personnelle, visez au minimum l'offre Business, idéalement Enterprise si vos usages touchent des clients ou des dossiers RH.
Offres ChatGPT et conformité RGPD
Critère
Free / Plus
Business
Enterprise
Contrat de traitement (DPA)
Non
Oui
Oui
Données utilisées pour l'entraînement
Oui par défaut (opt-out à activer)
Non
Non
Résidence des données en Europe
Non
Non garantie
Option disponible
Contrôles admin (SSO, rétention)
Non
Limités
Avancés
Usage conseillé
Contenus non confidentiels
Données pro courantes
Données clients et RH
Dès que des données personnelles entrent en jeu, une offre gratuite ou Plus ne suffit plus : passez à Business, ou Enterprise pour la résidence des données en Europe.
Le shadow IA, l'angle mort des TPE
Dans nos audits d'usage menés en Gironde, un constat revient dans la quasi-totalité des entreprises : des salariés utilisent déjà ChatGPT sur des données professionnelles, avec leur compte personnel gratuit, sans que la direction en ait la moindre idée. C'est ce que l'on appelle le shadow IA, l'usage non encadré d'outils d'intelligence artificielle. Il n'est presque jamais malveillant : le collaborateur veut simplement aller plus vite. Mais c'est précisément ce qui le rend dangereux, car personne ne surveille ce qui est collé, ni où partent les données. Interdire l'IA ne fait que pousser cet usage un peu plus dans l'ombre. La bonne réponse consiste à sortir le sujet du tabou : reconnaître que l'IA est déjà là, fournir une offre professionnelle validée, et expliquer clairement les règles. Le shadow IA disparaît quand l'entreprise propose un cadre plus pratique que le contournement.
Le risque RGPD numéro un d'une TPE n'est pas ChatGPT lui-même, mais le compte personnel gratuit qu'un salarié utilise déjà sur des données clients, sans validation ni traçabilité. On ne sécurise que ce que l'on regarde en face.
Votre checklist de conformité en 6 réflexes
Rendre l'usage de ChatGPT conforme au RGPD ne demande pas un projet informatique de six mois. Pour une TPE ou une PME, six réflexes couvrent l'essentiel du risque et se mettent en place en quelques jours. L'idée n'est pas de tout verrouiller, mais de poser des garde-fous simples que chacun peut appliquer sans être expert. Ces étapes reprennent les recommandations de la CNIL sur l'IA générative, adaptées à la réalité d'une petite structure : choisir la bonne offre, encadrer l'usage par écrit, protéger les données à la source, et former les personnes. C'est ce dernier point, souvent négligé, qui fait la vraie différence sur le terrain. Suivez ces réflexes dans l'ordre, du plus structurant au plus opérationnel, pour transformer un usage subi en usage maîtrisé.
6 réflexes pour un ChatGPT conforme au RGPD
Passez à ChatGPT Business ou Enterprise dès que des données personnelles sont en jeu. Enterprise ajoute la résidence des données en Europe, un atout fort pour la conformité.
0/6 étapes complétées
Former vos équipes n'est plus une option
C'est le point que la plupart des articles oublient de relier au RGPD : depuis février 2025, l'article 4 de l'AI Act, le règlement européen sur l'intelligence artificielle, impose aux organisations qui déploient l'IA d'assurer un niveau suffisant de maîtrise de l'IA à leurs utilisateurs. Cette obligation de littératie s'applique quelle que soit la taille de l'entreprise, sans seuil de chiffre d'affaires. Former ses salariés à l'usage responsable de l'IA n'est donc plus une simple bonne pratique, c'est une exigence réglementaire, qui rejoint parfaitement les recommandations de la CNIL et de l'ANSSI. La bonne nouvelle pour une TPE, c'est qu'une demi-journée de sensibilisation suffit souvent à couvrir l'essentiel : reconnaître les données à protéger, comprendre les garde-fous, adopter les bons réflexes. C'est exactement l'objet de notre formation IA sur les risques, la confidentialité et les opportunités, pensée pour toutes les fonctions, sans prérequis technique.
Vous voulez aller plus loin sur l'usage professionnel de l'IA générative ? Notre guide complet de ChatGPT en entreprise détaille les plans, les cas d'usage et la méthode de démarrage pour une TPE ou une PME à Bordeaux et en Gironde. Pour un usage plus avancé, consultez aussi notre article sur la gouvernance et la sécurité des agents IA.
