Peut-on utiliser ChatGPT, Claude ou Copilot sur des données personnelles ?
En bref
Oui, cela peut être licite, mais seulement si vous avez une base légale, n'utilisez que les données nécessaires, avez signé un contrat de sous-traitance (DPA) avec le fournisseur d'IA et maîtrisez les transferts hors de l'UE. La voie la plus sûre : laisser l'IA travailler sans les vrais noms. Pseudonymisez les données avant de les envoyer et gardez la clé chez vous, dans l'UE. Les données pseudonymisées restent des données personnelles pour vous.
Que dit le RGPD ?
Le RGPD n'interdit pas l'IA. Mais les mêmes règles s'appliquent que pour tout autre usage de données personnelles :
- Il vous faut une base légale et une finalité claire.
- Vous ne pouvez utiliser que les informations nécessaires à la tâche (minimisation des données).
- Si le fournisseur d'IA traite des données pour votre compte, il vous faut un contrat de sous-traitance (DPA).
- Si les données partent dans un pays hors de l'UE, le transfert doit reposer sur une base particulière.
Le plus difficile, c'est la minimisation. Si vous demandez à l'IA de trier des demandes clients, elle a besoin de ce que le client écrit – pas de son nom, de son e-mail, de son téléphone ni de son numéro de compte.
Laissez l'IA travailler sans les vrais noms
La pseudonymisation consiste à remplacer les noms, e-mails, numéros d'identification et autres informations par des codes fixes, par exemple [PERSON_1], avant d'envoyer les données à l'IA. La clé reste chez vous. Quand la réponse revient, les vrais noms sont réinsérés – mais seulement chez vous.
Voici ce que cela donne dans GoalCube Data Vault. À gauche, vos données, qui restent dans l'UE. À droite, ce que voit l'IA.
| Client | Ville | Objet | |
|---|---|---|---|
| Camille Martin | camille.martin@exemple.fr | Lyon | Remboursement |
| Julien Lefebvre | julien.lefebvre@exemple.fr | Lille | Livraison |
| Nathalie Dubois | nathalie.dubois@exemple.fr | Nantes | Réclamation |
| Thierry Peeters | thierry.peeters@example.com | Liège | Livraison |
| Léa Moreau | lea.moreau@exemple.fr | Bordeaux | Remboursement |
Demande Bonjour, je m'appelle Camille Martin. J'ai renvoyé la commande 7012345678 il y a deux semaines, mais je n'ai toujours pas été remboursée. Merci de faire le virement sur FR76 3000 4012 3400 0101 2345 678. Cordialement, Camille
| Client | Ville | Objet | |
|---|---|---|---|
| [PERSON_1] | [EMAIL_1] | [STED] | Remboursement |
| [PERSON_2] | [EMAIL_2] | [STED] | Livraison |
| [PERSON_3] | [EMAIL_3] | [STED] | Réclamation |
| [PERSON_4] | [EMAIL_4] | [STED] | Livraison |
| [PERSON_5] | [EMAIL_5] | [STED] | Remboursement |
Demande Bonjour, je m'appelle [PERSON_1]. J'ai renvoyé la commande [ID_1] il y a deux semaines, mais je n'ai toujours pas été remboursée. Merci de faire le virement sur [IBAN_1]. Cordialement, [PERSON_1]
Camille Martin et Léa Moreau attendent un remboursement et doivent recevoir une réponse aujourd'hui. Thierry Peeters attend son colis depuis 10 jours. Proposition de réponse à Camille Martin : « Bonjour Camille Martin, merci pour votre patience. Votre remboursement est en cours et sera sur votre compte sous 5 jours ouvrés. »
[PERSON_1] et [PERSON_5] attendent un remboursement et doivent recevoir une réponse aujourd'hui. [PERSON_4] attend son colis depuis 10 jours. Proposition de réponse à [PERSON_1] : « Bonjour [PERSON_1], merci pour votre patience. Votre remboursement est en cours et sera sur votre compte sous 5 jours ouvrés. »
| Candidat | Né(e) le | N° d'identification | Employeur | Expérience |
|---|---|---|---|---|
| Sophie Laurent | 1985-03-12 | 2 85 03 69 123 456 78 | Bois du Rhône SAS | 12 |
| Nicolas Bernard | 1992-11-02 | 1 92 11 59 350 123 45 | Logistique Flandres SARL | 4 |
| Claire Janssens | 1988-06-21 | 88.06.21-284.37 | Métaux de Wallonie SA | 9 |
| Pierre Schmit | 1979-01-30 | 1979013012345 | Pharma Moselle SA | 18 |
CV Sophie Laurent a 12 ans d'expérience en budget et reporting mensuel chez Bois du Rhône SAS. Elle a déployé un nouvel ERP et encadre une équipe de trois personnes. Contact : sophie.laurent@exemple.fr.
| Candidat | Né(e) le | N° d'identification | Employeur | Expérience |
|---|---|---|---|---|
| [PERSON_1] | 40–49 ans | [ID_1] | [VIRKSOMHED_1] | 12 |
| [PERSON_2] | 30–39 ans | [ID_2] | [VIRKSOMHED_2] | 4 |
| [PERSON_3] | 30–39 ans | [ID_3] | [VIRKSOMHED_3] | 9 |
| [PERSON_4] | 40–49 ans | [ID_4] | [VIRKSOMHED_4] | 18 |
CV [PERSON_1] a 12 ans d'expérience en budget et reporting mensuel chez [VIRKSOMHED_1]. Elle a déployé un nouvel ERP et encadre une équipe de trois personnes. Contact : [EMAIL_1].
Sophie Laurent et Claire Janssens ont plus de 5 ans d'expérience et devraient être convoqués en entretien ; interrogez Claire Janssens sur son expérience des ERP. Nicolas Bernard a 4 ans d'expérience ; il en faut 5. C'est une personne qui décide.
[PERSON_1] et [PERSON_3] ont plus de 5 ans d'expérience et devraient être convoqués en entretien ; interrogez [PERSON_3] sur son expérience des ERP. [PERSON_2] a 4 ans d'expérience ; il en faut 5. C'est une personne qui décide.
| Fournisseur | Contact | Compte | Échéance |
|---|---|---|---|
| Composants Atlantique SAS | François Girard | FR76 1820 6000 4512 3456 7890 123 | 2027-01-31 |
| Hébergement Ardennes SA | Isabelle Wouters | BE71 0961 2345 6769 | 2026-12-31 |
| Précision Lorraine SARL | Antoine Roux | FR76 3000 3021 9800 0501 2345 618 | 2028-06-30 |
| Cartonnages Moselle Sàrl | Mathilde Weber | LU28 0019 4006 4475 0000 | 2027-03-31 |
Conditions Composants Atlantique fournit des composants spéciaux pour le Projet Azur. Le prix est révisé chaque année selon l'indice des prix à la consommation plus 3 %. La responsabilité est plafonnée à 10 % de la valeur annuelle du contrat. Contactez François Girard pour toute modification.
| Fournisseur | Contact | Compte | Échéance |
|---|---|---|---|
| [VIRKSOMHED_1] | [PERSON_1] | [IBAN_1] | 2027-01-31 |
| [VIRKSOMHED_2] | [PERSON_2] | [IBAN_2] | 2026-12-31 |
| [VIRKSOMHED_3] | [PERSON_3] | [IBAN_3] | 2028-06-30 |
| [VIRKSOMHED_4] | [PERSON_4] | [IBAN_4] | 2027-03-31 |
Conditions [VIRKSOMHED_1] fournit des composants spéciaux pour le [PROJEKT_1]. Le prix est révisé chaque année selon l'indice des prix à la consommation plus 3 %. La responsabilité est plafonnée à 10 % de la valeur annuelle du contrat. Contactez [PERSON_1] pour toute modification.
Composants Atlantique SAS est reconduit automatiquement s'il n'est pas résilié avant le 31 octobre. Il est important pour un projet interne : renégociez le prix plutôt que de résilier. Cartonnages Moselle Sàrl est aussi reconduit automatiquement ; la date limite est le 31 décembre.
[VIRKSOMHED_1] est reconduit automatiquement s'il n'est pas résilié avant le 31 octobre. Il est important pour un projet interne : renégociez le prix plutôt que de résilier. [VIRKSOMHED_4] est aussi reconduit automatiquement ; la date limite est le 31 décembre.
Données fictives. Survolez un nom ou un pseudonyme pour voir ce qui va ensemble.
Le genre, lui aussi, est rarement utile à la tâche et ne doit pas pouvoir influencer une évaluation. Pour les textes en anglais et dans les langues scandinaves, GoalCube remplace donc aussi « elle » et « il » par une forme neutre.
Essayez vous-même
Saisissez ou collez un texte. Ajoutez vos propres mots secrets – par exemple un nom de projet ou un client important – et voyez ce que l'IA recevrait.
Ce que la pseudonymisation ne règle pas
La pseudonymisation est un outil puissant, mais elle ne résout pas tout :
- Les données restent des données personnelles pour vous. Il vous faut toujours une base légale, des contrats et une politique de suppression.
- Un texte libre peut trahir une personne. « Notre seule ingénieure à Clermont-Ferrand » est reconnaissable sans nom. GoalCube affiche donc un risque de réidentification pour chaque fiche.
- L'IA peut toujours se tromper. Les décisions concernant des personnes doivent être prises par un humain – voir l'article sur la décision humaine selon l'article 22 du RGPD.
Comment faire
- Décrivez l'usage.En quoi l'IA doit-elle vous aider, et de quelles données a-t-elle besoin ? C'est le premier pas, pour le RGPD comme pour l'AI Act.
- Vérifiez la base légale et la finalité.Il vous faut une base légale pour traiter ces informations, et la nouvelle finalité doit être compatible avec celle de la collecte.
- Vérifiez le fournisseur d'IA.Avez-vous un contrat de sous-traitance (DPA) ? Le fournisseur utilise-t-il vos données pour entraîner ses modèles ? Où les données sont-elles traitées ?
- Retirez ce dont l'IA n'a pas besoin.Noms, e-mails, numéros d'identification, numéros de compte et adresses sont rarement nécessaires à la tâche. Remplacez-les par des pseudonymes avant l'envoi.
- Gardez la clé dans l'UE.N'affichez les vrais noms que chez vous, par exemple quand la réponse de l'IA revient.
- Envisagez une analyse d'impact.Si l'IA évalue de façon systématique des candidats ou des salariés, une analyse d'impact (AIPD) peut être obligatoire.
Ce que dit la loi
- Article 5 du RGPD – les principes
- Notamment la limitation des finalités et la minimisation des données : n'utilisez que les informations nécessaires à la finalité.
- Article 4, point 5), et considérant 26 du RGPD – pseudonymisation
- Des données qu'on ne peut plus rattacher à une personne sans une clé conservée séparément. Celui qui détient la clé traite toujours des données personnelles.
- Articles 25 et 32 du RGPD – protection des données dès la conception et sécurité
- La pseudonymisation y est citée expressément comme une mesure qui peut protéger les personnes concernées.
- Article 28 du RGPD – sous-traitants
- Si un fournisseur traite des données personnelles pour votre compte, un contrat de sous-traitance (DPA) est nécessaire.
- Article 35 du RGPD – analyse d'impact
- Obligatoire quand un traitement est susceptible d'engendrer un risque élevé, par exemple l'évaluation systématique de personnes.
- Article 44 du RGPD – transferts hors de l'UE
- Les données personnelles ne peuvent être envoyées hors de l'UE/EEE que sur une base particulière, par exemple une décision d'adéquation ou des clauses contractuelles types.
Questions et réponses
Les données pseudonymisées sont-elles anonymes ?
Non. Tant que quelqu'un – vous, par exemple – détient la clé pour retrouver les vrais noms, ce sont toujours des données personnelles au sens du RGPD. La pseudonymisation réduit le risque, mais ne vous dispense pas des règles.
Pouvons-nous coller un CV directement dans ChatGPT ?
Cela peut être licite avec une base légale et un contrat avec le fournisseur, mais un CV contient beaucoup d'informations inutiles pour l'IA : nom, adresse, âge et souvent le genre. Ce sont justement des informations qui peuvent influencer une évaluation. Retirez-les ou remplacez-les d'abord par des pseudonymes.
L'IA s'entraîne-t-elle sur nos données ?
Cela dépend du service et de votre contrat. Beaucoup d'offres professionnelles n'utilisent pas par défaut les données clients pour l'entraînement, mais vérifiez votre propre contrat et vos paramètres.
Et si le fournisseur est situé hors de l'UE ?
Le transfert doit alors reposer sur une base particulière. Avec la pseudonymisation dans l'UE, les vrais noms ne quittent jamais l'UE – l'IA ne reçoit que des pseudonymes.
Cela vaut-il aussi pour les données confidentielles de l'entreprise ?
Le RGPD ne concerne que les données personnelles, mais la même méthode protège aussi les noms de clients, les contrats, les prix et les noms de projets internes. Dans GoalCube, vous pouvez saisir vos propres mots secrets, toujours masqués.
Sources
- Règlement (UE) 2016/679 (RGPD) sur EUR-Lex
- CNIL : guides et recommandations sur la protection des données
Rédigé par La rédaction GoalCube. Dernière mise à jour 11 octobre 2026. GoalCube vous aide à respecter l’AI Act et le RGPD. Ce n’est pas un conseil juridique.
Soyez parmi les premiers.
Le lancement est prévu en novembre 2026. Inscrivez-vous : nous vous contacterons dès que vous pourrez commencer.