Que souhaitez-vous améliorer ?
Que souhaitez-vous améliorer ?
Que peut-on réellement transmettre à ChatGPT ou à une autre IA générative ? Voici une méthode simple pour encadrer les usages, protéger les données et former les équipes.
Oui, une entreprise peut utiliser une IA générative, mais elle doit encadrer les données envoyées dans les prompts. La CNIL recommande notamment de définir les usages autorisés, de vérifier les conditions du fournisseur, de ne transmettre que les informations que l’utilisateur est autorisé à partager et de former les équipes. Pour les données personnelles, le RGPD continue de s’appliquer.
Copier un fichier client, un contrat, un compte-rendu RH ou une base de prospects dans un outil d’IA peut sembler anodin. Pourtant, le risque ne dépend pas seulement du contenu généré : il dépend aussi des données fournies au système, des conditions de réutilisation du fournisseur, des transferts éventuels et de la façon dont l’entreprise organise les usages. L’objectif n’est donc pas d’interdire l’IA, mais de savoir quelles données utiliser, avec quel outil et dans quel cadre.
Il n’existe pas une réponse unique pour tous les outils et toutes les données. La CNIL recommande d’encadrer l’usage des IA génératives par une politique interne précisant les usages autorisés et interdits. Elle souligne également que, dans un service grand public, les utilisateurs ne devraient soumettre que des informations qu’ils sont autorisés à partager et éviter les informations confidentielles, notamment les données personnelles ou les informations protégées par le secret des affaires.
Avant d’envoyer une donnée, posez trois questions : est-elle nécessaire ? suis-je autorisé à la partager ? que prévoit le fournisseur concernant son traitement et sa réutilisation ?
Par prudence, évitez de copier directement des données clients nominatives, fichiers RH, informations médicales, mots de passe, secrets commerciaux, documents contractuels confidentiels ou données permettant d’identifier inutilement une personne. Lorsqu’un cas d’usage peut fonctionner avec des données fictives, agrégées ou anonymisées, privilégiez cette solution.
Le principe RGPD de minimisation consiste à limiter les données personnelles à ce qui est nécessaire pour l’objectif poursuivi. Cette logique est particulièrement utile pour concevoir des usages IA simples et sûrs.
Selon le traitement et les risques, d’autres obligations peuvent s’ajouter. La CNIL recommande notamment d’évaluer la nécessité d’une analyse d’impact sur la protection des données (AIPD) dans les situations à risque élevé.
Pour une TPE ou PME, une charte de 40 pages n’est pas nécessaire pour commencer. Un document court peut déjà préciser les outils autorisés, les données à ne pas transmettre, les cas nécessitant une validation, l’obligation de relire les sorties et la personne à contacter en cas de doute.
La CNIL recommande explicitement d’encadrer l’utilisation des systèmes d’IA générative par des politiques ou chartes internes et de former les utilisateurs. Cette gouvernance devient d’autant plus importante lorsque plusieurs collaborateurs utilisent différents outils sans règles communes.
Le règlement européen sur l’intelligence artificielle s’applique progressivement. Les dispositions relatives à la culture et aux compétences en matière d’IA (« AI literacy ») s’appliquent depuis le 2 février 2025. Depuis le 2 août 2026, d’autres dispositions et mécanismes d’application sont entrés en vigueur. Pour les entreprises, cela renforce l’intérêt de documenter les usages et de donner aux collaborateurs un niveau de compréhension adapté aux outils qu’ils utilisent.
Vous souhaitez demander à une IA de reformuler un email de réclamation client. Au lieu de copier l’email complet avec nom, adresse, téléphone, numéro de commande et historique, vous pouvez supprimer les identifiants et ne conserver que les éléments nécessaires à la rédaction. Vous obtenez ainsi l’aide rédactionnelle recherchée tout en réduisant les données transmises.
Cette logique — objectif précis, minimum de données, outil adapté, contrôle humain — constitue une bonne base pour la majorité des usages quotidiens.
Le RGPD interdit-il ChatGPT en entreprise ?
Non. Le RGPD n’interdit pas l’IA générative. Il impose en revanche des règles lorsque des données personnelles sont traitées.
Peut-on mettre un fichier clients dans une IA ?
Il faut d’abord déterminer si ce traitement est nécessaire, licite et compatible avec les garanties du fournisseur. Pour un outil grand public, transmettre directement un fichier nominatif sans analyse préalable est à éviter.
Anonymiser suffit-il toujours ?
Non. Retirer un nom ne rend pas automatiquement une donnée anonyme : d’autres informations peuvent permettre de réidentifier une personne. La réduction et la pseudonymisation des données restent néanmoins utiles pour limiter les risques.
Qui est responsable lorsqu’un salarié utilise une IA ?
La CNIL rappelle que l’organisme utilisateur peut engager sa responsabilité en cas de mauvaise utilisation par son personnel. D’où l’intérêt de règles internes et de formation.
Contenu vérifié le 19 septembre 2026 à partir des recommandations officielles disponibles. Pour un cas juridique spécifique, rapprochez-vous de votre DPO ou d’un professionnel compétent.
Découvrez les formations MOJO ACADÉMIE pour apprendre à utiliser ChatGPT et intégrer l’IA dans un cadre professionnel.
Formation ChatGPT en entreprise Formation IA en entreprise →