RGPD et intelligence artificielle : ce qu'une TPE a le droit de mettre dans ChatGPT

C'est la question qui revient à chaque premier rendez-vous, et souvent en fin de conversation, à voix un peu plus basse : « au fait, on a le droit de mettre quoi là-dedans ? ». Derrière, il y a une vraie inquiétude — celle du dirigeant qui a entendu parler d'amendes à six chiffres et qui ne sait pas si son devis collé dans ChatGPT la semaine dernière l'expose à quelque chose.

La réponse honnête tient en deux parties. Non, vous n'allez pas être sanctionné pour avoir fait relire un mail. Oui, il existe des choses qu'il ne faut jamais coller dans un outil d'IA grand public. Voici où passe la ligne, et comment la faire tenir dans votre entreprise sans embaucher un juriste.

1. Le principe, en une phrase

Le RGPD ne parle pas d'intelligence artificielle. Il parle de données personnelles : toute information qui permet d'identifier quelqu'un, directement ou indirectement. Un nom, une adresse mail, un numéro de téléphone, une plaque d'immatriculation, une adresse de chantier.

Quand vous collez un texte dans un outil d'IA, vous transmettez ces données à un prestataire extérieur. Ce n'est pas illégal en soi — vous le faites déjà avec votre logiciel de compta ou votre boîte mail. Ce qui compte, c'est que ce transfert soit justifié, encadré et proportionné. Autrement dit : ne transmettez que ce qui est nécessaire au résultat que vous voulez obtenir.

Cette règle, qu'on appelle la minimisation, règle à elle seule l'immense majorité des cas. Et la bonne nouvelle, c'est qu'elle ne vous coûte rien : pour faire rédiger une relance, l'IA n'a pas besoin de savoir que votre client s'appelle Martin Dubois.

2. Les trois catégories à connaître

Ce que vous pouvez confier sans y penser

• Vos textes à vous : descriptifs de prestations, présentation de l'entreprise, conditions générales, contenus de site.
• Des demandes anonymisées : « rédige une relance polie pour un devis de terrasse envoyé il y a trois semaines et resté sans réponse ».
• Des documents publics : un texte réglementaire, un extrait de PLU, une norme, un appel d'offres public.
• Vos propres chiffres agrégés : un total de chiffre d'affaires par mois, sans nom de client en face.

Ce qui demande de la prudence et un outil professionnel

• Un devis ou une facture nominative, un mail reçu d'un client, une liste de contacts.
• Un compte-rendu de réunion citant des salariés.
• Des documents commerciaux confidentiels : tarifs négociés, marges, contrats signés.

Ces contenus ne sont pas interdits, mais ils justifient de passer sur une offre professionnelle, où l'éditeur s'engage contractuellement à ne pas réutiliser vos données pour entraîner ses modèles — et de remplacer les noms par des marqueurs quand ils ne servent à rien.

Ce qu'il ne faut jamais coller, point final

• Des données de santé : arrêt de travail, certificat médical, motif d'absence d'un salarié.
• Des coordonnées bancaires : RIB, numéro de carte, relevé de compte.
• Des pièces d'identité : carte d'identité, passeport, titre de séjour, permis.
• Des données sensibles au sens du RGPD : origine, opinions politiques ou syndicales, convictions religieuses, orientation sexuelle, condamnations.

Pour ces catégories, la question n'est pas « est-ce risqué ? » mais « pourquoi le ferais-je ? ». Aucun gain de temps ne justifie d'exposer ces informations.

Le réflexe avant de coller un texte

1. 1Y a-t-il un nom, un mail, une adresse ?
2. 2Ce détail sert-il vraiment au résultat ?
3. 3Si non : je le remplace par [Client]
4. 4Si oui : j'utilise la version professionnelle

3. La charte d'une page, votre meilleure protection

Le vrai risque, dans une entreprise de dix personnes, n'est pas le dirigeant prudent. C'est le salarié qui, avec les meilleures intentions du monde, colle un dossier complet dans un outil gratuit pour aller plus vite un vendredi soir. Personne ne lui a jamais dit quoi faire.

D'où l'outil le plus efficace et le moins cher : une page affichée, écrite en français simple, que tout le monde a lue. Elle tient en cinq points.

1. Les outils autorisés dans l'entreprise, nommés, et l'interdiction d'en utiliser d'autres pour le travail.
2. Les quatre catégories interdites listées plus haut, en toutes lettres.
3. Le réflexe d'anonymisation : on remplace les noms par [Client], [Salarié], [Fournisseur].
4. La règle de relecture : rien de ce que produit l'IA ne part à un client sans qu'un humain l'ait lu.
5. À qui demander en cas de doute, avec un nom et un numéro.

Cette page vous protège deux fois. Elle évite l'incident, et elle prouve que l'entreprise a pris des mesures — ce qui compte beaucoup si un problème survient malgré tout.

4. Le registre des traitements, en pratique

Si vous utilisez l'IA de façon régulière sur des données de clients ou de salariés — un assistant qui trie les demandes entrantes, par exemple, ou un outil qui rédige des comptes-rendus nominatifs — cet usage doit figurer dans votre registre des traitements, au même titre que votre fichier clients.

Concrètement, une ligne suffit : la finalité du traitement, les catégories de données concernées, l'outil utilisé, le lieu d'hébergement, la durée de conservation. Si vous n'avez pas encore de registre, c'est l'occasion d'en ouvrir un — c'est une obligation qui existait bien avant l'IA.

Pensez aussi à mentionner l'usage d'outils d'IA dans votre politique de confidentialité si des données de clients y transitent. Deux phrases suffisent, et leur absence est le manquement le plus facile à constater de l'extérieur.

5. Le cas particulier de l'assistant sur votre site

Un assistant conversationnel qui répond à vos visiteurs change de catégorie : il collecte lui-même des données, souvent des coordonnées, et il s'adresse directement au public. Trois exigences s'ajoutent.

• Dire que c'est une machine. Le visiteur doit le savoir dès le premier message, sans avoir à le deviner.
• Ne collecter que l'utile : un nom, un mail, la nature du besoin. Pas de date de naissance, pas d'adresse complète tant qu'il n'y a pas de devis.
• Laisser une porte de sortie humaine : un numéro visible, et un « je préfère parler à quelqu'un » qui fonctionne vraiment.

Cette dernière exigence n'est pas qu'une obligation : c'est aussi ce qui fait la différence entre un outil qui rassure et un outil qui agace.

6. Et le règlement européen sur l'IA ?

Il existe, il s'applique progressivement, et il inquiète beaucoup de dirigeants pour rien. Ce texte classe les systèmes par niveau de risque et concentre ses obligations lourdes sur les usages sensibles : recrutement, crédit, éducation, biométrie, sécurité.

Faire rédiger un brouillon de mail, trier des demandes entrantes ou générer un compte-rendu ne relève pas de ces catégories. Les deux points qui vous concernent réellement sont l'obligation de transparence — dire quand un contenu est généré par une machine ou quand un interlocuteur est une IA — et un devoir général de compétence des personnes qui utilisent ces outils. Autrement dit : former vos équipes n'est pas seulement utile, c'est la direction que prend la réglementation.

7. Ce que je vérifie chez un client en trente minutes

1. Quels outils sont réellement utilisés, y compris ceux que le dirigeant ignore.
2. S'il s'agit de versions gratuites ou professionnelles.
3. Ce qui y a été collé au cours du dernier mois.
4. S'il existe une règle écrite, et si quelqu'un l'a lue.
5. Ce que dit la politique de confidentialité du site.

Dans la plupart des entreprises, les trois premiers points révèlent un usage bien plus large que ce que la direction imaginait — et c'est précisément pour ça que la charte est le premier chantier, avant toute automatisation. Notre article sur les erreurs à éviter avec l'IA en entreprise revient sur les autres pièges classiques.

Pour aller plus loin avec Kaolia :