Oui, c'est possible, à condition d'encadrer l'usage : choisir une offre professionnelle (API, Claude Team/Enterprise, ChatGPT Business/Enterprise) dont les données ne servent pas à l'entraînement par défaut, signer l'accord de traitement des données, encadrer les transferts hors UE, limiter les données personnelles envoyées, adopter une charte interne et, si nécessaire, réaliser une analyse d'impact.
Le principe : le RGPD s'applique, l'IA ne change pas les règles.
Dès qu'un salarié colle dans un assistant IA un mail client, un CV ou un tableau contenant des noms, l'entreprise réalise un traitement de données personnelles. Le RGPD s'applique donc comme pour n'importe quel logiciel : finalité définie, données minimisées, information des personnes, sécurité, encadrement des sous-traitants et des transferts. La CNIL a publié en 2024 des questions-réponses spécifiques à l'utilisation de l'IA générative ; c'est la référence à suivre.
Étape 1 : choisir la bonne offre.
C'est le point le plus important, et le plus méconnu. Les conditions diffèrent fortement entre offres grand public et offres professionnelles :
| Offres grand public (comptes personnels) | Offres professionnelles et API | |
|---|---|---|
| Entraînement des modèles | Dépend des réglages du compte : à vérifier pour chaque utilisateur | Anthropic indique ne pas utiliser par défaut les entrées et sorties de ses produits commerciaux ; OpenAI indique ne pas entraîner ses modèles sur les données business par défaut |
| Contrat de traitement (DPA) | Non adapté | Proposé par les fournisseurs (OpenAI l'indique explicitement) |
| Administration | Aucune visibilité de l'entreprise | Gestion centralisée des comptes, durée de conservation paramétrable selon les offres |
La CNIL précise qu'un service grand public peut être envisagé pour un usage non confidentiel avec des garanties, mais qu'en présence de données personnelles ou sensibles, il faut un cadre contractuel solide, voire un déploiement sur site.
Étape 2 : la checklist CNIL appliquée à une PME.
- Clarifier les rôles : en général, vous êtes responsable de traitement et le fournisseur d'IA est sous-traitant. La CNIL souligne qu'un déployeur qui connecte une base de connaissances contenant des données personnelles devient responsable de ce traitement.
- Signer un contrat de sous-traitance avec l'hébergeur et le fournisseur, précisant responsabilités et accès aux données.
- Encadrer les transferts hors UE si les données peuvent sortir de l'Union européenne (mécanismes de transfert prévus par le RGPD).
- Minimiser : via l'API, la CNIL recommande d'éviter autant que possible les données personnelles. Pseudonymiser quand c'est faisable.
- Associer le DPO et réaliser une analyse d'impact (AIPD) si le traitement présente un risque élevé.
- Adopter une charte interne listant usages autorisés et interdits (voir comment la rédiger).
- Former les utilisateurs aux limites de l'outil et à ce qu'ils peuvent saisir.
- Contrôler les sorties : exactitude, absence d'effets discriminatoires, pas de reprise telle quelle.
- Mettre à jour le registre des traitements et l'information des personnes concernées si nécessaire.
Claude ou ChatGPT : l'un est-il « plus RGPD » ?
Les deux fournisseurs proposent des offres professionnelles avec des engagements de non-entraînement par défaut et des contrats de traitement. La différence se joue plutôt sur les options (durée de conservation, localisation, outils d'administration) et sur votre configuration : quels connecteurs sont activés, quelles données sont envoyées, qui a accès à quoi. Je compare les deux plus en détail dans Claude vs ChatGPT pour l'entreprise.
Et l'AI Act ?
Le règlement européen sur l'IA s'ajoute au RGPD, il ne le remplace pas. Pour la plupart des usages en PME (rédaction, synthèse, support), ses obligations principales portent sur la maîtrise de l'IA par le personnel et la transparence. Détails dans ce que change l'AI Act pour une PME.
Ce que je fais concrètement pour vous.
Je conçois les agents selon le principe de minimisation : l'agent ne reçoit que les données nécessaires à sa tâche, avec des droits limités, sur des comptes professionnels ouverts à votre nom. Je vous remets une description du traitement (données concernées, fournisseurs, durées, validations humaines) utile à votre registre et à votre DPO. Je ne suis pas juriste : pour les traitements à risque, je travaille avec votre conseil.
Voir aussi la section « Données, RGPD et sécurité » de la FAQ, et la page Agent IA pour PME à Lyon.
Sources
- CNIL : Questions-réponses sur l'utilisation d'un système d'IA générative (18 juillet 2024)consulté le 13 octobre 2026
- CNIL : IA : comment se mettre en conformité ?consulté le 13 octobre 2026
- CNIL : Analyse d'impact relative à la protection des données (AIPD)consulté le 13 octobre 2026
- CNIL : Transférer des données hors de l'UEconsulté le 13 octobre 2026
- Anthropic : Is my data used for model training? (produits commerciaux)consulté le 13 octobre 2026
- OpenAI : Enterprise privacyconsulté le 13 octobre 2026
Dernière vérification des informations : 13 octobre 2026. Cette page est une information générale, pas un avis juridique : pour un traitement à risque, faites valider par votre DPO ou un conseil.