IA et RGPD : ce que vos salariés peuvent copier dans ChatGPT

ChatGPT et RGPD : la règle de départ

Coller un texte dans un outil d'IA, c'est transmettre ce texte à un fournisseur. S'il contient le nom d'un client, l'adresse d'un salarié ou un numéro de dossier, l'entreprise traite des données personnelles. Le RGPD s'applique, que l'outil soit gratuit ou payant.

Le premier principe à retenir est celui de minimisation. L'article 5 du RGPD exige que les données soient « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées ». Appliqué à un prompt, cela donne une question simple : l'IA a-t-elle besoin de ce nom pour faire la tâche ? Pour reformuler un courrier, presque jamais.

La CNIL dit la même chose dans ses questions-réponses sur l'IA générative, publiées le 18 juillet 2024 : les utilisateurs « ne devraient soumettre que des informations qu'ils sont autorisés à partager ».

Ce qu'un salarié ne copie jamais

Les données sensibles au sens du RGPD

L'article 9 du RGPD interdit en principe de traiter les données qui révèlent l'origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques, l'appartenance syndicale, ainsi que les données génétiques, biométriques, de santé et celles qui concernent la vie sexuelle ou l'orientation sexuelle. Le texte prévoit des exceptions, mais aucune ne couvre un salarié qui veut gagner du temps sur un compte rendu.

Exemples concrets à bannir :

• un arrêt maladie ou un certificat médical à résumer ;
• un échange avec un représentant syndical ;
• les notes d'un entretien qui mentionnent une situation familiale ou une religion.

Les données personnelles dans un outil grand public

Sur un service grand public que l'entreprise n'a pas validé, la CNIL recommande de ne jamais saisir « des informations confidentielles telles que des données personnelles ». Cela vise un fichier clients exporté, une liste de salaires, un CV reçu, un tableau d'évaluations annuelles.

Les secrets de l'entreprise

Le RGPD ne protège que les personnes. Les autres informations confidentielles relèvent des contrats et de la politique interne : mots de passe, codes d'accès, contrats en négociation, chiffres non publiés, code source. La règle reste la même : rien de tout cela dans un outil non validé.

Ce qui passe avec un outil validé par l'entreprise

Une entreprise peut décider d'utiliser l'IA sur des données de clients ou de salariés. Elle doit alors encadrer cet usage. Plusieurs conditions sont à réunir avant d'autoriser les équipes :

• Un compte professionnel. La CNIL conseille d'éviter la création de comptes avec des adresses électroniques personnelles.
• La réutilisation des données désactivée. La CNIL recommande de désactiver la possibilité pour le fournisseur de réutiliser les données d'usage. Vérifiez ce point dans les conditions de l'offre choisie.
• Un contrat de sous-traitance. L'article 28 du RGPD impose de ne faire appel qu'à des sous-traitants qui présentent des garanties suffisantes. La CNIL prévoit un contrat avec l'hébergeur et, le cas échéant, avec le fournisseur du modèle.
• Un mode de déploiement adapté. Pour les données de clients ou de collaborateurs, la CNIL juge « généralement plus opportun et plus sécurisé » de privilégier des solutions déployées sur site.

Même avec un outil validé, la minimisation s'applique. Un commercial qui prépare une relance n'a pas besoin de coller tout l'historique du client. Le prénom et le sujet de la demande suffisent souvent.

Ce qui se copie sans risque

Une grande partie du travail quotidien ne contient aucune donnée personnelle. C'est là que l'IA rend service sans poser de question juridique :

• un texte déjà publié : page du site, communiqué, fiche produit ;
• un modèle vide : trame de courrier, plan de présentation, grille d'entretien sans réponses ;
• une question générale : « Comment structurer une note de synthèse ? » ;
• un tableau de chiffres agrégés, sans nom ni identifiant ;
• un brouillon rédigé par le salarié lui-même, sans mention de tiers.

Nous détaillons des exemples de prompts par service dans notre article sur les usages de ChatGPT en entreprise par métier.

Nettoyer un document avant de le coller

Beaucoup de documents utiles contiennent quelques données personnelles. Avant de les coller dans l'outil, le salarié peut suivre quatre étapes :

1. Supprimer les noms, prénoms, adresses, téléphones, e-mails et numéros de dossier.
2. Remplacer chaque personne par un rôle : « le client », « la candidate », « le fournisseur ».
3. Retirer les détails qui permettent de reconnaître quelqu'un sans son nom : un poste unique dans l'entreprise, une date précise, une ville avec un seul magasin.
4. Relire le texte en se demandant : un collègue saurait-il de qui il s'agit ?

Si la réponse à la dernière question est oui, le document n'est pas prêt. Dans ce cas, il passe par l'outil validé ou il reste hors de l'IA.

Ce que l'entreprise doit mettre en place

Un salarié ne peut pas trancher seul ces questions. Dans ses recommandations du 18 juillet 2024 sur le déploiement de l'IA générative, la CNIL liste ce qui revient à l'organisme :

• partir d'un besoin concret ;
• définir une liste d'utilisations autorisées et interdites ;
• choisir un système robuste et un mode de déploiement sécurisé ;
• former et sensibiliser les utilisateurs ;
• mettre en place une gouvernance qui associe le DPO et le responsable de la sécurité des systèmes d'information.

La CNIL recommande aussi de réaliser une analyse d'impact le cas échéant, et d'interroger le fournisseur sur la conformité de son système au RGPD.

La liste des usages autorisés et interdits prend la forme d'une charte. Notre guide pour rédiger une charte d'utilisation de l'IA donne la structure et un exemple de règles. La formation des équipes est aussi une obligation au titre du règlement européen sur l'IA : nous l'expliquons dans l'article sur l'article 4 de l'AI Act.

Si un salarié a déjà collé des données

L'erreur arrive. Ce qui compte est la réaction. Le salarié prévient son référent ou le DPO le jour même. Il note l'outil utilisé, la date et le type de données concernées. Il supprime la conversation si l'outil le permet.

L'entreprise évalue ensuite avec son DPO s'il s'agit d'une violation de données personnelles. Si c'est le cas, l'article 33 du RGPD impose de la notifier à la CNIL « dans les meilleurs délais et, si possible, 72 heures au plus tard » après en avoir pris connaissance. Les enjeux sont réels : l'article 83 prévoit pour certains manquements des amendes jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.

Un salarié qui sait qu'il peut signaler une erreur sans être mis en cause le fait plus vite. C'est un point à dire clairement pendant la formation.

ANA Studio a formé plus de 1 000 personnes au digital et à l'IA, dont une centaine de directeurs et dirigeants. Nos ateliers par métier font travailler chaque participant sur ses propres dossiers, avec ces règles. Le détail des formats est sur notre page formation IA à Paris. Le prix est fixé sur devis, après un échange de 30 minutes. Retrouvez nos autres guides dans les ressources.

Questions fréquentes