Puis-je utiliser ChatGPT, Claude & Cie. avec des données clients ?
ChatGPT, Claude, Gemini et Copilot sont des services cloud américains. Dès que des données personnelles entrent dans une requête, un transfert vers les États-Unis commence – avec toutes les obligations RGPD que les entreprises sous-estiment souvent. Travailler sans accord de sous-traitance ou utiliser la version gratuite enfreint le RGPD dès la première requête.
Avec des comptes standard et sans mesures supplémentaires, l'usage n'est pas conforme au RGPD.
- Pas d'accord de sous-traitance sur Free/Plus/Pro
- Transfert de données vers les États-Unis
- Le secret professionnel peut être pénalement violé
ChatGPT, Claude & Cie. – voici les outils
Les quatre assistants IA leaders sont des services cloud de fournisseurs américains. Chaque texte saisi quitte ainsi votre entreprise et l'Europe.
Leader du marché par OpenAI. Les saisies sont traitées aux États-Unis. Les comptes Free et Plus n'ont pas d'accord de sous-traitance et peuvent utiliser les saisies pour entraîner les modèles.
Modèle de langage d'Anthropic. Hébergé sur AWS US. Les comptes standard ne sont pas conçus pour traiter des données personnelles dans les entreprises européennes.
Le modèle de langage de Google. Les saisies entrent dans l'écosystème Google. L'imbrication avec d'autres services américains amplifie la problématique du transfert.
L'assistant IA de Microsoft (basé sur les modèles OpenAI). Même avec un tenant M365 dans l'UE, le fournisseur reste soumis au CLOUD Act américain.
Six questions RGPD auxquelles les LLM cloud répondent rarement proprement
Quiconque saisit des données clients dans ChatGPT, Claude ou Gemini trébuche en général sur plusieurs de ces points à la fois.
Pas d'accord de sous-traitance
Les comptes Free, Plus et Pro ne proposent pas d'accord de sous-traitance. Sans cet accord, la transmission de données personnelles au prestataire est déjà illicite.
Transfert vers un pays tiers (États-Unis)
Les données atterrissent sur des serveurs américains. Le EU-US Data Privacy Framework de 2023 est un pont politique dont la sécurité juridique est de nouveau contestée par les CNIL et les tribunaux. Le CLOUD Act reste intact.
Pas de base légale solide
Un véritable consentement de vos clients pour le traitement par OpenAI ou Anthropic n'est pratiquement jamais obtenu. L'intérêt légitime pèse rarement plus lourd que les risques d'un transfert hors UE.
Obligations d'information non remplies
Les clients devraient être informés de manière transparente que leurs données sont partagées avec des LLM américains – y compris destinataires, transfert et base légale. En pratique, aucune politique de confidentialité ne le mentionne.
Secret professionnel violé
Médecins, avocats, conseillers fiscaux, pharmaciens, assureurs, banques : saisir des données de clients ou patients dans des LLM cloud peut constituer une infraction au § 203 StGB – passible d'amende ou de prison.
Secrets d'affaires exposés
Dès que projets de contrat, prix, code source ou stratégies arrivent dans des LLM cloud, ils ne sont généralement plus considérés comme suffisamment protégés au sens de la loi sur les secrets d'affaires.
Quelles données clients sont particulièrement critiques
Est personnel tout ce qui rend une personne identifiable – noms, adresses e-mail, numéros clients, numéros de téléphone, adresses IP. Un seul de ces champs dans une requête déclenche les obligations RGPD.
Les données particulièrement sensibles au sens de l'art. 9 RGPD – santé, religion, origine ethnique, orientation sexuelle – ne devraient pratiquement jamais entrer dans des LLM cloud. Le risque y est maximal.
À ne jamais saisir dans des LLM cloud
- Noms, adresses, dates de naissance de clients
- Données de santé ou de soins (Art. 9)
- Candidatures, CV
- Données contractuelles, tarifs et conditions
- Code source avec logique interne ou identifiants
- Échanges e-mail 1:1 avec des clients
- Données de clients, patients ou mandants
Que peut-il se passer en cas de manquement ?
Amende RGPD
Ou 4 % du chiffre d'affaires mondial du groupe. Le montant le plus élevé s'applique (art. 83 RGPD).
Dommages-intérêts
Chaque personne concernée peut demander des dommages-intérêts immatériels – même sans preuve concrète du préjudice.
Responsabilité pénale
Pour les professionnels tenus au secret, des amendes ou peines de prison personnelles s'ajoutent aux sanctions de l'entreprise.
Réputation
Les amendes publiées et incidents de confidentialité restent visibles dans les moteurs de recherche et la presse spécialisée pendant des années.
Comment utiliser l'IA en entreprise en toute sécurité ?
Trois voies – classées par niveau de protection. La plus robuste est celle où vos données ne quittent jamais vos locaux.
IA on-premise – les données restent en interne
Une IA qui fonctionne sur votre propre matériel. Pas de transfert hors UE, pas d'accord de sous-traitance nécessaire, accès complet aux sources internes sans risque de conformité.
- Aucune donnée ne quitte votre réseau
- RGPD hors champ (pas de sous-traitant externe)
- Adapté aux professions soumises au secret
Fournisseur IA hébergé en UE avec accord de sous-traitance
Fournisseurs européens spécialisés avec hébergement dans l'UE, accord de sous-traitance et politique d'entraînement transparente. Risque réduit, mais contrôle régulier nécessaire.
- Vérifier l'accord de sous-traitance et l'hébergement UE
- Exclusion d'entraînement sur vos saisies
- Vérifier la société mère et l'exposition au CLOUD Act
Anonymisation systématique
Si les LLM cloud sont incontournables : supprimer toute référence personnelle avant la requête. Remplacer les vrais noms par des espaces réservés, omettre les adresses, pas de texte brut de contrats.
- Politique d'usage claire dans l'entreprise
- Former les collaborateurs
- Risque résiduel – la ré-identification reste possible
FAQ – les questions les plus courantes
ChatGPT Enterprise propose un accord de sous-traitance, l'absence d'entraînement sur vos saisies et un traitement des données dans l'UE en option. C'est bien meilleur que la variante Plus. Le problème de fond demeure : OpenAI est une société américaine, et le CLOUD Act permet aux autorités américaines d'accéder aux données. Une analyse d'impact RGPD est obligatoire, et pour les données sensibles ou les professions du § 203, Enterprise est souvent insuffisant.
Sources & pour aller plus loin
Cette page s'appuie sur les sources publiques et officielles suivantes :
- DSK – Orientierungshilfe zu Künstlicher Intelligenz und Datenschutz (Mai 2024, PDF)
- DSK – Technische & organisatorische Maßnahmen für KI-Systeme (Juni 2025, PDF)
- EuGH – Urteil C-311/18 „Schrems II" (16. Juli 2020)
- EU-Kommission – EU-US Data Privacy Framework (Angemessenheitsbeschluss Juli 2023)
- EDPB – Empfehlungen zu ergänzenden Maßnahmen bei Drittlandstransfers
- BfDI – Informationen zu Künstlicher Intelligenz und Datenschutz
- EUR-Lex – Verordnung (EU) 2016/679 (DSGVO) im Volltext
Souverain plutôt que risqué
KOSMO fonctionne sur votre propre matériel ou dans des centres de données souverains européens. Pas de cloud américain, pas de transfert hors UE, contrôle total.
Cette page fournit une vue d'ensemble générale et ne remplace pas un conseil juridique. Pour des cas concrets – en particulier pour des données sensibles ou un secret professionnel – consultez votre délégué à la protection des données ou un cabinet spécialisé.
