« Alexandre, qu’est-ce qu’on a le droit de mettre dans ChatGPT avec le RGPD ? »

Mis à jour le 22 octobre 2026

« Je peux coller ce mail client dans ChatGPT pour qu’il m’aide à répondre ? » « Et ce tableau de prospects, pour le trier ? » « Et ce CV, pour en faire une synthèse ? » Ces questions, je les entends dans presque toutes les entreprises qui commencent à utiliser l’IA.

La réponse courte est souvent « oui, mais pas comme ça ». Le RGPD n’interdit pas d’utiliser l’IA. Il impose de savoir ce qu’on fait des données personnelles, avec quel prestataire, dans quel but et avec quelles garanties.

Cette page fait partie de mon dossier sur l’IA dans le marketing digital. Elle répond de façon pratique à la question que se posent les équipes : qu’a-t-on le droit de mettre dans ChatGPT et les autres assistants, et comment s’organiser pour rester conforme.

Par Alexandre Montenon, consultant marketing digital et GEO à Lyon

Pourquoi le RGPD s’applique à l’usage de l’IA

Le RGPD s’applique dès qu’une organisation traite des données personnelles, c’est-à-dire toute information qui permet d’identifier une personne, directement ou indirectement : nom, email, téléphone, adresse, mais aussi un numéro client, une photo, une voix, ou un ensemble d’informations qui, combinées, désignent quelqu’un.

Copier un email client dans un assistant d’IA, c’est transmettre ces données à un prestataire, qui va les traiter sur ses serveurs. Vous restez responsable de ce traitement. Il faut donc pouvoir répondre à quelques questions simples :

➭ pourquoi traitez-vous ces données (la finalité) ?

➭ sur quelle base légale (contrat, intérêt légitime, consentement…) ?

➭ les personnes concernées sont-elles informées ?

➭ le prestataire offre-t-il des garanties suffisantes (contrat, sécurité, localisation des données) ?

➭ les données sont-elles limitées au strict nécessaire ?

Ce que deviennent vos conversations

C’est le point qui surprend le plus. Dans les versions grand public, vos échanges peuvent servir à améliorer les modèles. OpenAI l’indique clairement : pour les comptes individuels (gratuit, Plus, Pro), les contenus peuvent être utilisés par défaut pour entraîner les modèles, sauf si l’utilisateur désactive l’option correspondante, alors que les offres ChatGPT Business, Enterprise et l’API ne sont pas utilisées pour l’entraînement par défaut.

Les autres éditeurs fonctionnent selon des logiques comparables, avec des réglages et des conditions qui leur sont propres. La distinction est donc fondamentale :

Même avec l’entraînement désactivé, les conversations sont en général conservées un certain temps par l’éditeur, notamment pour des raisons de sécurité. Et un salarié qui utilise son compte personnel échappe totalement au contrôle de l’entreprise.

Ce qu’on peut mettre dans ChatGPT, et ce qu’il faut éviter

Voici la grille que je propose aux équipes. Elle est volontairement simple, pour être appliquée au quotidien.

Anonymiser avant de coller

Dans beaucoup de cas, l’IA n’a pas besoin de savoir qui est la personne. Pour reformuler une réponse à une réclamation, remplacez le nom par « le client », supprimez l’email, l’adresse et le numéro de commande. Le résultat sera aussi bon, et vous n’aurez transmis aucune donnée personnelle.

Attention aux informations indirectes

Retirer le nom ne suffit pas toujours. « La directrice financière de notre client X à Annecy, qui vient d’avoir des jumeaux » identifie quelqu’un sans le nommer. L’anonymisation consiste à rendre l’identification impossible, pas seulement à masquer le nom.

Les régulateurs européens surveillent le sujet

Les autorités de protection des données ont fait de l’IA une priorité. Le Comité européen de la protection des données a adopté en décembre 2024 un avis de référence. Il y explique que l’intérêt légitime peut servir de base légale pour développer ou déployer un modèle d’IA, à condition de passer un test en trois étapes, et que l’anonymat d’un modèle s’apprécie au cas par cas.

Les contrôles ont aussi visé les grands éditeurs. En Italie, l’autorité de protection des données avait infligé en décembre 2024 une amende de 15 millions d’euros à OpenAI, notamment pour avoir entraîné ChatGPT sur des données personnelles sans base juridique appropriée identifiée au préalable. Selon le site de l’autorité italienne, cette décision a été retirée après qu’un jugement du tribunal de Rome, publié en mars 2026, a fait droit au recours d’OpenAI. L’épisode montre que le cadre juridique de l’IA se construit en ce moment, décision après décision.

Pour une PME utilisatrice, le message est simple : les éditeurs sont en première ligne sur l’entraînement des modèles, mais vous restez responsable de ce que vous leur confiez.

Les usages marketing à surveiller

Personnaliser des emails avec l’IA

Générer des emails personnalisés à partir d’une base de contacts implique de transmettre ces contacts à l’outil. Utilisez l’IA intégrée à votre plateforme d’emailing (qui traite déjà ces données sous contrat) plutôt que de copier votre fichier dans un assistant grand public.

Analyser des avis ou des verbatims clients

Synthétiser des avis publics ne pose pas de difficulté particulière. Analyser des réponses à un questionnaire ou des échanges de service client demande d’anonymiser ou de passer par un outil encadré.

Qualifier des leads

Laisser une IA classer et scorer des prospects relève du profilage. Si la décision a un effet important pour la personne, le RGPD encadre strictement les décisions entièrement automatisées. Gardez un humain dans la boucle.

Trier des candidatures

C’est l’usage le plus sensible. Le tri de CV par IA est classé à haut risque par le règlement européen sur l’IA, et implique des données personnelles détaillées. À ne jamais faire dans un outil grand public.

Mettre en place un cadre conforme

1. Choisir des outils professionnels

Une offre entreprise avec un accord de traitement des données (le contrat de sous-traitance prévu par le RGPD), des garanties sur la non-utilisation pour l’entraînement, des outils d’administration et, si possible, un hébergement ou des garanties adaptées pour les transferts hors de l’Union européenne.

2. Rédiger une charte d’usage

Une ou deux pages : outils autorisés, comptes à utiliser, grille de ce qu’on peut y mettre, relecture obligatoire des contenus produits, personne à contacter en cas de doute. C’est aussi un support idéal pour la formation exigée par l’AI Act.

Exemple de règles pour une charte d’usage

Pour vous aider à démarrer, voici le type de règles que l’on retrouve dans une charte efficace, à adapter à votre organisation :

➭ « Nous utilisons uniquement les outils d’IA fournis par l’entreprise, avec nos comptes professionnels. »

➭ « Nous ne saisissons jamais de données de santé, de mots de passe, de coordonnées bancaires ni de secrets d’affaires. »

➭ « Avant de coller un email ou un document client, nous supprimons les noms, coordonnées et numéros de dossier. »

➭ « Tout contenu produit avec l’IA et destiné à l’extérieur est relu et validé par une personne. »

➭ « En cas de doute, nous demandons à la personne référente avant d’utiliser l’outil. »

3. Mettre à jour le registre des traitements

Les usages de l’IA qui impliquent des données personnelles doivent figurer dans votre registre des traitements, avec leur finalité, les données concernées et les prestataires.

4. Informer les personnes

Si vous utilisez l’IA pour traiter des données de clients ou de prospects, votre politique de confidentialité doit le mentionner de façon compréhensible.

5. Évaluer les traitements à risque

Pour les usages sensibles (profilage, recrutement, données de santé), une analyse d’impact peut être nécessaire. C’est le moment de faire appel à votre délégué à la protection des données ou à un conseil spécialisé.

Et dans l’autre sens : vos données sur le web

Le RGPD concerne aussi les informations sur vous ou vos salariés que les IA ont pu apprendre sur le web. Une personne peut exercer ses droits (accès, rectification, opposition, effacement) auprès des éditeurs, qui proposent des formulaires dédiés. Pour une entreprise, la meilleure protection reste de publier des informations exactes et à jour, et de corriger les erreurs à la source quand une IA diffuse des informations fausses.

Questions fréquentes sur l’IA et le RGPD