ChatGPT est-il conforme au RGPD ? Ce qu’il faut savoir avant d’y coller vos textes

C’est devenu un réflexe : un texte à corriger, on le colle dans ChatGPT. Pratique — mais si ce texte contient des données personnelles, un contrat, ou des informations sensibles, une question se pose : est-ce conforme au RGPD ? La réponse courte : cela dépend, et pour beaucoup d’usages professionnels, c’est risqué.

Où partent vos données quand vous utilisez ChatGPT

Quand vous saisissez un texte dans ChatGPT, il est transmis aux serveurs d’OpenAI, une société américaine. Deux points appellent la vigilance :

• La localisation. Le traitement a lieu en grande partie en dehors de l’Union européenne. Un transfert de données personnelles hors UE n’est pas interdit, mais il est strictement encadré par le RGPD (chapitre V) et suppose des garanties appropriées.
• La conservation et l’entraînement. Selon le produit et les réglages, vos saisies peuvent être conservées et, dans certains cas, utilisées pour améliorer les modèles. Pour des données personnelles ou confidentielles, c’est précisément ce qu’il faut éviter.

Ce que le RGPD exige, concrètement

Le RGPD ne dit pas « interdit d’utiliser l’IA ». Il impose une responsabilité : si vous traitez des données personnelles (celles de clients, de patients, de salariés…), vous devez notamment vous assurer :

1. d’une base légale au traitement ;
2. de la minimisation des données (ne traiter que le nécessaire) ;
3. d’un encadrement des transferts hors UE ;
4. d’un contrat de sous-traitance (DPA) avec le prestataire.

Coller un dossier client dans un outil grand public, sans DPA ni maîtrise de la localisation, vous expose : en cas de contrôle de la CNIL ou de fuite, c’est vous, responsable du traitement, qui répondez du manquement — pas l’éditeur de l’outil.

Les cas où c’est vraiment problématique

• Professions réglementées (avocats, médecins, experts-comptables) tenues au secret.
• Documents RH : contrats, évaluations, dossiers de salariés.
• Données clients identifiables dans un e-mail, un compte rendu, un devis.
• Secteur public et données sensibles.

Pour un brouillon de blog anonyme, le risque est faible. Pour les cas ci-dessus, il ne l’est pas.

Utiliser l’IA sans renoncer à la conformité

La bonne nouvelle : on n’a pas à choisir entre la puissance de l’IA et le respect du RGPD. Les critères d’un usage serein :

• un outil qui traite vos données dans l’UE ;
• qui ne conserve pas vos textes par défaut (traitement éphémère) ;
• qui n’entraîne jamais ses modèles sur vos contenus ;
• qui propose un DPA clair.

C’est l’approche de Relu : un éditeur de texte français propulsé par Mistral AI, hébergé en Europe. Vos textes ne quittent jamais l’UE, ne sont pas conservés par défaut, et ne servent jamais à l’entraînement. Vous gardez la maîtrise, le RGPD avec.

Concrètement, pour corriger un document sensible, voyez notre guide « Corriger un Word avec l’IA sans envoyer vos données hors d’Europe », ou ouvrez directement l’éditeur.

En résumé

ChatGPT peut être utilisé de façon conforme dans certains cas, mais pour tout document contenant des données personnelles ou confidentielles, la prudence s’impose : localisation incertaine, conservation possible, et c’est vous qui portez la responsabilité. Pour ces usages, un outil européen, sans conservation ni entraînement, est tout simplement plus sûr.