Puis-je coller les données de mes clients dans ChatGPT ?

Un salarié copie le nom d'un client, colle un extrait de contrat ou une fiche RH dans un outil d'IA pour gagner dix minutes. Le geste paraît anodin. Juridiquement, il ne l'est pas : cette donnée personnelle vient d'être transmise à un tiers, hébergé le plus souvent hors de l'Union européenne. Et ce n'est pas le salarié qui en répond. C'est l'entreprise.

Votre fournisseur d'IA est un sous-traitant, pas un simple logiciel

Un traitement de texte ne fait rien de vos données une fois le fichier fermé. Un outil d'IA, si : il reçoit ce que vous lui donnez, et selon l'offre choisie, peut le conserver ou s'en servir pour s'améliorer. Le RGPD a un mot pour ce rôle : sous-traitant. L'article 28 du règlement impose que cette relation soit encadrée par un contrat, avec des garanties précises sur ce que le sous-traitant a le droit de faire des données reçues.

Bonne nouvelle pratique : ce contrat existe presque toujours déjà, sous la forme des conditions d'utilisation de l'outil. Le travail du dirigeant n'est pas d'en rédiger un nouveau, mais de vérifier deux points avant d'autoriser un usage en entreprise : l'offre choisie exclut-elle l'utilisation des données pour l'entraînement (souvent réservé aux offres payantes ou « entreprise »), et où ces données sont-elles hébergées. La CNIL, dans sa quatrième recommandation sur l'IA publiée en juin 2025, rappelle que la qualification d'un acteur (responsable de traitement, sous-traitant, ou les deux) ne dépend jamais d'un choix contractuel arbitraire, mais d'une question de fait : qui décide de la finalité, et qui exécute.

Ce que ça change concrètement pour une TPE

Informer, pas interdire. Le RGPD n'interdit pas l'usage de l'IA avec des données personnelles. Il exige que les personnes concernées (vos clients, vos salariés) en soient informées, généralement via votre politique de confidentialité déjà existante, complétée d'une mention sur les outils utilisés.

Fixer une règle interne, pas laisser chacun décider. Puisque l'entreprise porte la responsabilité, un usage livré à l'appréciation individuelle de chaque salarié est le scénario le plus risqué. Une règle simple suffit dans la plupart des TPE : quelles données peuvent être collées dans quel outil, et lesquelles ne le doivent jamais (informations médicales, données bancaires, mineurs).

Vérifier le pays d'hébergement. La plupart des grands outils d'IA sont américains. Un transfert de données personnelles vers les États-Unis reste encadré par le RGPD (clauses contractuelles types, ou certification au cadre de protection des données UE-États-Unis) — un point à vérifier dans les conditions du fournisseur, pas à ignorer parce que l'outil est populaire.

L'AI Act : ce qui s'applique déjà, ce qui ne s'applique pas encore

Le règlement européen sur l'intelligence artificielle est entré en vigueur par étapes, et son calendrier a lui-même été révisé en juillet 2026 par un texte de simplification (le « Digital Omnibus » sur l'IA). Ce que ça donne, à la date de cet article :

• Depuis le 2 août 2026, l'article 50 du règlement impose qu'un système d'IA qui échange directement avec une personne (un chatbot, par exemple) l'informe qu'elle interagit avec une IA, sauf si c'est déjà évident. Cette obligation pèse d'abord sur le fournisseur du système. Une TPE qui utilise un assistant IA existant (ChatGPT, Copilot) n'a rien à faire de plus que ce que l'outil fait déjà. Une TPE qui construit son propre chatbot de service client au-dessus d'une API d'IA devient, elle, fournisseuse de ce système et porte directement cette obligation de disclosure.
• Jusqu'au 2 décembre 2026, une période de transition s'applique aux fournisseurs de systèmes déjà commercialisés avant août 2026, pour le marquage technique des contenus générés (une image ou un texte reconnaissable comme généré par IA par une machine).
• Les systèmes dits « à haut risque » (recrutement automatisé, notation de crédit, évaluation scolaire) relèvent d'un régime bien plus lourd, dont l'application a été repoussée à décembre 2027, voire août 2028 pour certains cas. Un simple outil de rédaction ou de service client n'en relève pas.

Ce que cette page ne prouve pas

Deux réserves. D'abord, ce texte vulgarise un cadre juridique en mouvement rapide : le calendrier de l'AI Act a déjà été révisé une fois en 2026, et pourrait l'être à nouveau. La date de péremption indiquée en tête de page (2 décembre 2026) correspond à la prochaine échéance connue, pas à une garantie de stabilité au-delà. Ensuite, cette page ne remplace pas une analyse individualisée : une entreprise qui traite des données sensibles (santé, données bancaires, mineurs) ou qui envisage de construire son propre outil d'IA a intérêt à consulter un professionnel du droit, pas seulement cette page.