ChatGPT, Claude et RGPD : ce que tu peux y mettre, ou pas

Tu as un e-mail de client à traiter, un CV à résumer, un compte rendu à mettre au propre. ChatGPT ou Claude le ferait en 30 secondes. Mais tu hésites : est-ce que j'ai le droit de coller ça ?

en brefAvec un compte personnel, ne colle pas de données personnelles de tes clients ni d'informations confidentielles, comme le recommande la CNIL. Anonymise d'abord : remplace les noms, retire les coordonnées. Désactive l'entraînement dans les réglages. Et si ton travail exige de traiter des données personnelles, passe à une offre professionnelle avec un accord de traitement des données. Ce guide ne remplace pas un conseil juridique.

Pourquoi ChatGPT et Claude sont un sujet RGPD

Le RGPD protège les données personnelles : toute information qui permet d'identifier une personne, directement ou non. Un nom, un e-mail, un numéro de téléphone, mais aussi un ensemble de détails qui, réunis, désignent quelqu'un.

Quand tu colles l'e-mail d'un client dans ChatGPT ou Claude, tu transmets ces données à un fournisseur qui les traite en grande partie hors d'Europe. C'est ton entreprise, ou toi si tu es indépendant, qui reste responsable de ces données vis-à-vis du client.

La CNIL recommande donc d'encadrer l'usage de l'IA générative, de ne jamais partager d'informations confidentielles ni de données personnelles dans un service grand public, et de former les utilisateurs.

Ce que tu peux mettre dans ChatGPT ou Claude, ou pas

Vert, vas-y : un texte sans nom ni donnée personnelle, une information publique, tes idées, un brouillon de post, une question générale sur ton métier.

Orange, anonymise d'abord : tout ce qui parle d'une personne précise. L'e-mail d'un client, un CV, le compte rendu d'une réunion, un devis nominatif.

Rouge, jamais avec un compte personnel, et jamais sans l'avis d'un juriste : les données de santé, les coordonnées bancaires, les mots de passe, les numéros d'identité ou de sécurité sociale, les données sur des condamnations, et les documents couverts par un secret (secret des affaires, accord de confidentialité, secret professionnel d'un avocat, d'un médecin ou d'un expert-comptable : vérifie aussi les règles de ta profession, même avec une offre pro).

Le RGPD interdit par principe de traiter les données sensibles (santé, origine, opinions politiques, convictions religieuses, appartenance syndicale, données génétiques ou biométriques, vie sexuelle), sauf exceptions précises. Ce n'est pas une offre pro qui les rend possibles : demande l'avis d'un juriste ou de ton délégué à la protection des données.

Anonymiser un texte avant de le coller : la méthode en 30 secondes

Avant de coller, fais le ménage toi-même, dans ton texte, pas dans l'IA (sinon les données sont déjà parties) :

• remplace les noms par des étiquettes : [Client A], [Collègue B], [Entreprise X] ;
• supprime les e-mails, téléphones, adresses et numéros de dossier ;
• arrondis ce qui identifie : « une PME de Lyon » plutôt que le nom de l'entreprise, « mi-mars » plutôt qu'une date précise si elle ne sert à rien ;
• relis une dernière fois : est-ce qu'une personne qui connaît le dossier reconnaîtrait quelqu'un ?

Pour aller plus vite, garde un modèle de demande déjà pensé pour des textes anonymisés :

une demande anonymiséeVoici un e-mail reçu d'un client. J'ai remplacé les noms par [Client A] et [Entreprise X], et retiré les coordonnées. Rédige une réponse courte et professionnelle, au vouvoiement, en gardant les mêmes étiquettes. Je remettrai les vrais noms moi-même avant d'envoyer. Si le texte contient encore une information qui permet de reconnaître quelqu'un (nom, téléphone, adresse, numéro de dossier), signale-la-moi avant de répondre : [colle l'e-mail anonymisé]

Pense à remettre les vrais noms dans la réponse avant de l'envoyer, et relis-la.

Attention : remplacer les noms ne rend pas toujours un texte anonyme au sens du RGPD. On parle alors de pseudonymisation. Si on peut encore reconnaître la personne grâce au contexte, ce sont toujours des données personnelles. D'où la dernière vérification de la liste.

Les réglages de confidentialité à faire

Avec un compte personnel, désactive l'utilisation de tes conversations pour l'entraînement : dans ChatGPT, Paramètres, Contrôles des données, « Améliorer le modèle pour tous » ; dans Claude, tes paramètres de confidentialité. Le pas à pas est dans nos guides Utiliser ChatGPT au travail et Utiliser Claude au travail.

La discussion temporaire de ChatGPT et le chat incognito de Claude évitent l'historique et l'entraînement, mais tes messages partent quand même chez le fournisseur, qui les garde environ 30 jours. Ils ne remplacent pas l'anonymisation. Et si tu connectes Gmail ou Drive, les mêmes règles s'appliquent à ce que l'IA lit : vois nos règles de sécurité.

Compte personnel ou offre professionnelle : ce qui change

Si ton activité exige de traiter des données personnelles avec l'IA (un cabinet RH, un service client, un comptable), le compte personnel n'est pas fait pour ça. Les offres professionnelles changent trois choses :

Chez Anthropic, pour Claude Team et Enterprise, l'entreprise cliente est responsable du traitement et Anthropic sous-traitant, et l'accord de traitement des données est inclus dans les conditions commerciales. OpenAI propose aussi un accord de traitement des données pour ses offres professionnelles. Les deux prévoient des clauses contractuelles types, l'un des outils prévus par le RGPD pour encadrer les transferts hors de l'Union européenne. OpenAI propose aussi un stockage des données en Europe pour ChatGPT Enterprise, ChatGPT Edu et son API. Sa politique de confidentialité européenne précise que les données sont traitées sur des serveurs situés hors de l'Espace économique européen.

Avec une offre pro, deux réflexes en plus : inscris cet usage dans ton registre des traitements, et mentionne le fournisseur d'IA comme sous-traitant dans ta politique de confidentialité, pour que tes clients soient informés. Pour lancer une offre d'équipe proprement, avec une charte et le bon cadre, lis notre guide IA pour TPE et PME.

La checklist avant de coller un texte

1. Est-ce que ce texte parle d'une personne précise ? Si oui, anonymise.
2. Contient-il une donnée de santé, bancaire, un mot de passe ou un numéro d'identité ? Si oui, ne le colle pas.
3. Est-il couvert par un secret ou un accord de confidentialité ? Si oui, ne le colle pas.
4. L'entraînement est-il désactivé dans tes réglages ?
5. Ton entreprise a-t-elle une charte, et l'outil est-il autorisé ?
6. Vais-je relire la réponse, et remettre les vrais noms moi-même ?
7. S'agit-il de décider à propos d'une personne (recruter, noter, écarter) ? Si oui, l'IA aide à préparer, jamais à décider seule.

Aller plus loin : une IA bien réglée dès le départ

Les bons réflexes s'installent mieux quand l'outil est bien réglé dès le premier jour : entraînement désactivé, projets séparés par client, modèles de demandes anonymisées prêts à l'emploi.

C'est ce qu'on met en place avec Booster IA : en 2 heures, en visio et sur ton écran, on règle ton IA avec toi, que tu utilises ChatGPT ou Claude, sur un compte personnel ou d'équipe.

Questions fréquentes

ChatGPT est-il conforme au RGPD ?

Aucune autorité ne délivre de label « conforme au RGPD » à un outil. OpenAI et Anthropic proposent des garanties pour leurs offres pro : accord de traitement des données, pas d'entraînement par défaut, clauses pour les transferts hors d'Europe. La conformité dépend ensuite de ton usage : avec un compte personnel, ne saisis pas de données personnelles de tes clients, comme le recommande la CNIL pour les services grand public. Si tu dois en traiter, passe à une offre pro avec un accord de traitement, et informe tes clients.

Peut-on mettre un CV dans ChatGPT ou Claude ?

Avec un compte personnel, pas tel quel. Retire le nom, les coordonnées, la photo, la date de naissance, et généralise le reste (« une grande école de commerce », « 5 ans dans la grande distribution ») pour qu'on ne puisse pas reconnaître la personne. Et ne laisse jamais l'IA trier, noter ou écarter seule un candidat : le RGPD encadre les décisions entièrement automatisées, et le règlement européen sur l'IA classe les systèmes de recrutement parmi les usages à haut risque.

La discussion temporaire ou le chat incognito suffit-il ?

Non. Ils évitent l'historique et l'entraînement, mais tes messages sont quand même envoyés au fournisseur, qui les conserve environ 30 jours. Ils ne remplacent pas l'anonymisation.

Mes données sont-elles stockées en Europe ?

Pas forcément. La politique de confidentialité européenne d'OpenAI indique que les données sont traitées sur des serveurs situés hors de l'Espace économique européen. OpenAI propose un stockage en Europe pour ChatGPT Enterprise, ChatGPT Edu et son API. Les accords de traitement d'OpenAI et d'Anthropic pour les offres pro prévoient des clauses contractuelles types, l'un des outils prévus par le RGPD pour encadrer les transferts de données hors de l'Union européenne.

J'ai déjà collé des données de clients, que faire ?

Supprime la conversation : elle sera effacée des serveurs dans le délai annoncé par le fournisseur. Vérifie que l'entraînement est désactivé, puis évalue ce qui est parti. S'il s'agit de données personnelles, c'est peut-être une violation de données : l'entreprise doit la noter dans son registre, et la déclarer à la CNIL sous 72 heures s'il y a un risque pour les personnes, par exemple avec des données de santé ou bancaires. Si tu es salarié, préviens tout de suite ton responsable ou le délégué à la protection des données.