ChatGPT et RGPD : une entreprise peut-elle utiliser ChatGPT sur des données personnelles ?

ChatGPT, Copilot et autres services d’IADernière mise à jour 11 octobre 20263 min de lecture

En bref

Une entreprise peut utiliser ChatGPT dans le respect du RGPD, mais pas avec les offres gratuites ou personnelles dès que des données personnelles sont en jeu. Utilisez ChatGPT Business ou Enterprise : OpenAI ne s'y entraîne pas sur vos données par défaut, et le contrat de sous-traitance (DPA) est inclus. Les données sont en principe traitées aux États-Unis ; seule l'offre Enterprise permet de les stocker et de les traiter dans l'UE. La voie la plus sûre : que ChatGPT ne voie jamais les vrais noms. Pseudonymisez les données dans l'UE avant de les envoyer.

Essayez vous-même : que voit ChatGPT ?

Saisissez un texte avec des noms, des numéros de téléphone et des e-mails. Voyez ce que l'IA recevrait avec GoalCube. Le texte ne quitte pas votre navigateur.

Essayez vous-mêmeGoalCube Data Vault

Les cinq questions auxquelles vous devez savoir répondre

Quelle offre utilisons-nous, et avons-nous un contrat de sous-traitance (DPA) ?
OpenAI s'entraîne-t-il sur nos données ?
Où les données sont-elles traitées, et sur quelle base repose le transfert ?
Quelles données personnelles envoyons-nous – et sont-elles nécessaires ?
L'usage figure-t-il dans notre registre des usages de l'IA, et les salariés ont-ils suivi une formation ?

ChatGPT face aux autres

Consultez le comparatif des services d'IA pour Claude, Copilot, Mistral et Gemini.

Comment faire

Choisissez une offre professionnelle.Business ou Enterprise – pas Free ni Plus pour des données de travail.
Vérifiez le contrat de sous-traitance (DPA).Pour les clients de l'UE, il est conclu avec OpenAI Ireland.
Vérifiez l'entraînement.Les offres professionnelles n'utilisent pas vos données pour l'entraînement par défaut.
Vérifiez où les données sont traitées.En général aux États-Unis. Le transfert doit reposer sur une base légale.
N'envoyez pas de noms quand vous pouvez l'éviter.Avec GoalCube, ChatGPT ne voit que [PERSON_1].
Enregistrez l'usage.Dans votre registre des usages de l'IA, avec la finalité et le risque.

Ce que dit la loi

Article 28 du RGPD – sous-traitants: Obligation de conclure un contrat de sous-traitance.
Articles 44 à 46 du RGPD – transferts: Un transfert vers les États-Unis exige une base, par exemple le Data Privacy Framework ou des clauses contractuelles types.
Article 5, paragraphe 1, point c), du RGPD – minimisation des données: Uniquement les données nécessaires à la tâche.

Questions et réponses

ChatGPT est-il approuvé RGPD ?

Il n'existe pas d'approbation RGPD des outils. C'est votre usage qui doit respecter les règles : offre, contrat, finalité et minimisation des données.

OpenAI s'entraîne-t-il sur nos données ?

Pas par défaut dans Business et Enterprise. Dans les offres gratuites et personnelles, les conversations peuvent servir à l'entraînement, sauf si vous le désactivez.

Les données peuvent-elles rester dans l'UE ?

Seule l'offre Enterprise permet aux nouveaux espaces de travail de stocker et traiter les données dans l'UE. Avec GoalCube, les vrais noms ne quittent jamais l'UE – quelle que soit l'offre.

Sources

Rédigé par La rédaction GoalCube. Dernière mise à jour 11 octobre 2026. GoalCube vous aide à respecter l’AI Act et le RGPD. Ce n’est pas un conseil juridique.

Soyez parmi les premiers.

Le lancement est prévu en novembre 2026. Inscrivez-vous : nous vous contacterons dès que vous pourrez commencer.