Un salarié a collé des données personnelles dans ChatGPT. Que faire ?
En bref
Gardez votre calme et agissez vite. Identifiez les données envoyées, le service et l’offre utilisés. Supprimez la conversation et désactivez l’entraînement. Évaluez s’il s’agit d’une violation de données à caractère personnel : si elle présente probablement un risque pour les personnes, notifiez l’autorité de contrôle (CNIL, APD ou CNPD) dans les 72 heures. Si le risque est élevé, prévenez aussi les personnes concernées. Documentez toujours l’incident – même sans notification – et tirez-en les leçons.
Qu’est-ce qui compte dans l’évaluation ?
| Augmente le risque | Réduit le risque |
|---|---|
| Données sensibles, numéros de sécurité sociale, numéros de compte | Uniquement des noms et des e-mails professionnels |
| Beaucoup de personnes | Peu de personnes |
| Offre gratuite avec entraînement | Offre entreprise sans entraînement et avec contrat |
| Données impossibles à supprimer | Conversation supprimée |
Mieux vaut prévenir
Avec GoalCube, vos équipes peuvent utiliser l’IA sur de vraies données, car l’IA ne voit que des codes. Et si un nom se glisse malgré tout dans la réponse de l’IA, le contrôle de fuite de GoalCube le détecte.
Comment faire
- Stoppez le partage.Demandez au salarié d’arrêter et de faire une capture d’écran.
- Mesurez l’ampleur.Quelles données, combien de personnes, quel service et quelle offre.
- Limitez les dégâts.Supprimez la conversation, désactivez l’entraînement et contactez le fournisseur si possible.
- Évaluez le risque.Données sensibles, numéros d’identification ou nombreuses personnes augmentent le risque.
- Notifiez s’il y a un risque.À l’autorité de contrôle, dans les 72 heures après avoir pris connaissance de la violation.
- Documentez et apprenez.Toute violation doit être documentée en interne. Mettez à jour votre charte IA et votre formation.
Ce que dit la loi
- Article 33 du RGPD – notification à l’autorité de contrôle
- Dans les 72 heures, sauf si la violation n’est pas susceptible d’engendrer un risque.
- Article 34 du RGPD – communication aux personnes concernées
- En cas de risque élevé pour les droits des personnes.
Questions et réponses
Est-ce toujours une violation ?
Pas toujours. Si les données sont allées vers une offre entreprise avec contrat de sous-traitance, il s’agit peut-être plutôt d’un usage hors finalité que d’une violation. Évaluez au cas par cas.
Comment éviter que cela se reproduise ?
Une bonne alternative : un outil approuvé où l’IA ne voit que des pseudonymes, pour que l’usage de vraies données par un salarié ne pose plus problème.
Sources
Rédigé par La rédaction GoalCube. Dernière mise à jour 11 octobre 2026. GoalCube vous aide à respecter l’AI Act et le RGPD. Ce n’est pas un conseil juridique.
Soyez parmi les premiers.
Le lancement est prévu en novembre 2026. Inscrivez-vous : nous vous contacterons dès que vous pourrez commencer.