IA et RGPD : les règles à respecter (ChatGPT, Claude, AI Act)

Ton commercial colle un devis client dans ChatGPT Plus pour le reformuler. Sans le savoir, il vient de confier le nom, les coordonnées et les conditions d'un client à un service qui n'a aucun contrat avec ton entreprise. La CNIL ne laisse pas de doute sur la suite : dans ses questions-réponses sur l'IA générative, elle écrit que, dans le cas général, c'est l'organisme utilisateur qui engagera sa responsabilité légale en cas de mauvaise utilisation de l'IA par son personnel.

Ce guide fait le point pour une petite entreprise comme pour une ETI : les règles qui s'appliquent, le forfait à prendre outil par outil, huit cas concrets, et ce que les textes ne tranchent pas encore. Il s'appuie sur les textes et les pages officielles au 15 octobre 2026. Ce n'est pas un conseil juridique : pour un cas précis, ton avocat ou ton DPO reste le bon interlocuteur.

Quelles règles s'appliquent quand on utilise l'IA ?

Trois corps de règles se superposent : le RGPD pour les données personnelles, l'AI Act pour l'IA elle-même, et le Code du travail dès que l'IA touche tes salariés ou tes candidats.

Le RGPD

Dès que tu mets une donnée personnelle dans un outil d'IA, un nom, un mail, un CV, une note sur un client, tu fais un traitement de données. Les fiches pratiques publiées par France Num, la CPME et la CNIL le disent sans détour : en utilisant un outil d'IA avec des données personnelles, ton entreprise devient « responsable de traitement ».

Tout dépend alors du forfait :

• Sur un forfait grand public (ChatGPT Plus, Claude Pro, Copilot gratuit), le fournisseur est responsable de ses propres traitements, et il n'existe aucun contrat de sous-traitance des données entre ton entreprise et lui. Les données de tes clients partent chez un tiers qui en fait ce que ses conditions prévoient, y compris entraîner ses modèles si le réglage n'est pas coupé.
• Sur un forfait professionnel (ChatGPT Business, Claude Team, Microsoft 365 Copilot), le fournisseur agit pour ton compte, comme sous-traitant, avec un contrat de sous-traitance, le DPA prévu par l'article 28 du RGPD.

Deux autres points comptent :

• Les transferts vers les États-Unis. Le cadre européen qui facilite les transferts vers les États-Unis, le Data Privacy Framework, est toujours valide. Mais ni Anthropic ni OpenAI n'y figurent. Leurs transferts reposent sur des clauses contractuelles types signées par leur filiale irlandaise, et ces clauses imposent une analyse d'impact des transferts, que tu dois pouvoir obtenir auprès du fournisseur.
• Qui contrôle qui. Pour ses propres usages, ton entreprise reste sous le contrôle de la CNIL. Le fournisseur, lui, relève de l'autorité irlandaise : c'est confirmé pour OpenAI, et c'est en principe le cas pour Anthropic, dont la filiale irlandaise est responsable des données européennes depuis mai 2024.

L'AI Act

L'AI Act, le règlement européen sur l'IA, distingue ceux qui développent un système d'IA, les fournisseurs, et ceux qui l'utilisent, les déployeurs. Une entreprise qui utilise ChatGPT ou Claude est un déployeur. Ses obligations sont légères, mais elles existent, et le calendrier a bougé : le règlement « Omnibus » (UE) 2026/1744, en vigueur depuis le 27 juillet 2026, a reporté une partie des échéances.

Les sanctions vont jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour une pratique interdite, et 15 millions ou 3 % pour un manquement aux obligations d'un déployeur. Pour une PME ou une start-up, c'est le plus bas des deux montants qui sert de plafond, et l'Omnibus a étendu cet allègement aux petites ETI. Pour vérifier ta situation, la Commission met à disposition un outil gratuit sur le service d'assistance de l'AI Act.

Le Code du travail

C'est la règle la plus oubliée, et celle qui a fait le plus de dégâts en 2026.

• Dans toutes les entreprises, dès le premier salarié, aucun dispositif qui collecte des informations sur un salarié ne peut être utilisé sans qu'il en ait été informé au préalable (article L1222-4). Même règle pour les candidats et les outils d'aide au recrutement (articles L1221-8 et L1221-9).
• À partir de 50 salariés, le CSE doit être consulté avant l'introduction d'une nouvelle technologie qui modifie les conditions de travail (article L2312-8), et avant tout outil qui permet de contrôler l'activité des salariés (article L2312-38).

Les tribunaux appliquent ces règles à l'IA sans hésiter. En mai 2026, la cour d'appel de Paris a confirmé la suspension de deux outils d'IA dans un groupe de presse, un assistant de rédaction interne et ChatGPT autorisé par une charte, tant que le CSE n'avait pas été consulté, sous astreinte de 1 000 euros par jour. Elle écarte les deux arguments qu'un employeur serait tenté d'avancer : les salariés s'en servaient déjà d'eux-mêmes, et l'outil était facultatif.

Le même mois, le tribunal de Nanterre a suspendu une plateforme interne d'accès à GPT, facultative et utilisée depuis deux ans. En septembre, celui de Créteil a suspendu, dans une entreprise de 127 salariés, une réorganisation qui remplaçait huit postes par un outil d'IA, sous astreinte de 8 000 euros par jour. Le gouvernement l'a confirmé en mars 2026, dans une réponse publiée au Journal officiel : la consultation du CSE avant l'introduction d'outils d'IA est obligatoire.

ChatGPT, Claude, Copilot : quel forfait respecte le RGPD ?

Aucun outil n'est « conforme RGPD » en soi. Ce qui compte, c'est le forfait, et ce que tu y mets. Voici les principaux, relevés sur les pages officielles en octobre 2026.

La règle qui en sort tient en une ligne : aucune donnée de client ni de salarié sur un forfait grand public. Pour un usage sans données personnelles, un brouillon d'article ou une idée de slogan, un forfait grand public avec l'entraînement coupé reste envisageable, c'est d'ailleurs la position de la CNIL.

Claude

• Free, Pro et Max : depuis octobre 2025, chaque utilisateur choisit si ses conversations servent à entraîner les modèles. S'il accepte, Anthropic les conserve jusqu'à cinq ans ; sinon, trente jours. Attention à deux pièges : les avis donnés avec le pouce sont conservés cinq ans et utilisés même quand l'entraînement est coupé, et une ancienne conversation que tu reprends passe sous le nouveau régime.
• Un forfait Pro payé par l'entreprise reste un forfait grand public. Les conditions commerciales d'Anthropic ne couvrent pas Claude Pro, même acheté par une société : pas de contrat de sous-traitance.
• Team et Enterprise : pas d'entraînement, contrat de sous-traitance, mais des données stockées aux États-Unis. Le détail des forfaits de Claude et de leurs prix est dans un guide à part. Anthropic ne propose pas d'hébergement européen en direct.
• Cowork : depuis le 6 octobre 2026, les tâches Pro et Max tournent dans le cloud d'Anthropic, ce qui veut dire que les fichiers traités y sont copiés.

ChatGPT

• Team s'appelle Business depuis août 2025. C'est le premier forfait avec contrat de sous-traitance et sans entraînement par défaut.
• L'hébergement en Europe est réservé à Enterprise et Edu, avec stockage depuis février 2025 et traitement en Europe depuis janvier 2026. Business n'y a pas droit.
• Plus n'a pas de contrat de sous-traitance, seulement un avenant pour l'usage professionnel, en droit californien, avec une garantie au profit d'OpenAI.
• Les connecteurs : sur Free, Plus et Pro, les informations lues dans les applications connectées peuvent servir à l'entraînement si le réglage « Améliorer le modèle pour tout le monde » est actif.

Copilot et Gemini

Chez Microsoft comme chez Google, c'est le compte qui change tout. Avec un compte professionnel Microsoft 365, Copilot Chat n'entraîne pas les modèles et bénéficie du contrat de Microsoft et de sa frontière de données européenne, à deux exceptions : les recherches web Bing, et les modèles de Claude proposés dans Copilot, désactivés par défaut en Europe. Le Copilot grand public, lui, entraîne par défaut. Même logique chez Google : Gemini dans Workspace est couvert par le contrat de Google Cloud, l'application Gemini sur un compte personnel ne l'est pas.

Mistral

Le Chat de Mistral, renommé Vibe en mai 2026, est l'alternative européenne : données hébergées en Europe par défaut, par une entreprise française. Mais sur les forfaits Free et Pro, l'entraînement est actif par défaut, comme chez les autres. Le contrat de sous-traitance, et la garantie qu'aucune donnée ne sert à l'entraînement, commencent au forfait Team.

Que peut-on faire avec l'IA ? 8 cas concrets

Le devis dans ChatGPT Plus. Le nom et les coordonnées du client sont des données personnelles, et ChatGPT Plus n'a pas de contrat de sous-traitance. Retire les données qui identifient le client avant de coller, ou utilise une conversation temporaire, qui ne sert pas à l'entraînement et disparaît sous trente jours. Si c'est un usage régulier, passe l'équipe sur ChatGPT Business.

Le tri de CV. C'est le cas le plus risqué de la liste. Le RGPD s'applique déjà : pas de rejet automatique sans vraie intervention humaine (article 22), candidats informés avant (article L1221-8), une analyse d'impact probable, et jamais sur un forfait grand public. À partir du 2 décembre 2027, le recrutement entre dans les systèmes à haut risque de l'AI Act. Et le recrutement fait partie des priorités de contrôle de la CNIL en 2026.

Le chatbot sur ton site. Depuis le 2 août 2026, il doit dire à l'utilisateur qu'il parle à une IA, au plus tard au premier échange. Si tu l'as construit toi-même sur une API, l'obligation pèse sur toi ; si c'est un logiciel que tu loues, vérifie que l'éditeur l'a prévu. Côté RGPD, mets à jour ta politique de confidentialité : ce que deviennent les conversations, combien de temps elles sont gardées, quels sous-traitants interviennent.

Claude branché sur ton CRM. Uniquement sur Team, Enterprise ou l'API, avec le contrat de sous-traitance. Les connecteurs de Claude le permettent sans code. Ouvre le minimum de champs nécessaires, garde la validation humaine avant toute écriture, et inscris ce traitement à ton registre. Les données partent aux États-Unis : ta politique de confidentialité doit le dire.

La transcription de réunions. Elle est possible, à condition d'informer les participants avant, dans l'invitation et à l'oral, et de leur permettre de refuser. Ne transcris pas les réunions RH, disciplinaires, juridiques ou médicales. Désactive toute option d'analyse d'émotion sur la voix ou la vidéo : au travail, elle est interdite.

Les visuels avec des personnes. Une image qui ressemble à une personne réelle et paraît authentique est un hypertrucage : l'article 50 impose de le signaler. Si tu pars de la photo d'un salarié ou d'un client, il te faut son accord.

ChatGPT gratuit sur le compte perso des salariés. C'est la situation la plus fréquente, et l'entreprise en porte la responsabilité. L'interdiction seule ne marche pas : une étude de KPMG et de l'université de Melbourne montre que les salariés versent plus d'informations sensibles dans des outils publics là où l'IA est interdite. La réponse, c'est un outil professionnel, une charte et une formation.

Copilot Chat avec ton compte Microsoft 365. C'est le cas le plus simple : connecté avec ton compte professionnel, Copilot Chat bénéficie de la protection des données d'entreprise de Microsoft. Vérifie seulement que tes salariés ne l'utilisent pas avec un compte personnel.

Quelles sont les zones de flou ?

Les textes ne tranchent pas tout. Voici ce qui reste ouvert au 15 octobre 2026, et la position prudente à adopter en attendant.

La formation obligatoire, sans sanction française

L'article 4 de l'AI Act demande depuis février 2025 à toute entreprise qui utilise l'IA de prendre des mesures pour développer la maîtrise de l'IA de ses salariés. L'Omnibus de juillet 2026 a assoupli la formule, qui exigeait d'en garantir un niveau suffisant, sans supprimer l'obligation. La Commission précise qu'aucun certificat n'est exigé : un registre interne des formations suffit. Mais en France, aucune loi n'a encore désigné l'autorité de contrôle ni prévu de sanction : le projet de loi qui doit le faire, adopté par le Sénat en février 2026, attend toujours à l'Assemblée, et il ne vise même pas l'article 4. Position prudente : forme ton équipe et garde une trace, parce que l'obligation existe et qu'elle pèsera en cas d'incident.

Le chatbot et les textes publiés

L'article 50 oblige à signaler un texte généré par IA publié pour informer le public sur un sujet d'intérêt public, sauf s'il a été relu et qu'une personne en assume la responsabilité éditoriale. Les lignes directrices de la Commission précisent qu'une simple correction d'orthographe ne suffit pas, que la vérification des faits est un minimum, et que le nom du responsable doit être facile à trouver, par exemple dans les mentions légales. Mais ces lignes directrices ne sont pas encore formellement adoptées, et la frontière de l'« intérêt public » reste floue pour un article de blog. Position prudente : relis tes contenus sur le fond, nomme un responsable éditorial, et dans le doute, indique que le texte a été généré avec l'aide de l'IA.

Les émotions

L'AI Act interdit de déduire les émotions d'une personne sur son lieu de travail, mais seulement à partir de données biométriques. Les lignes directrices de la Commission le précisent : analyser le sentiment d'un texte écrit n'est pas couvert, analyser la voix ou le visage l'est. Le cas d'une réunion transcrite puis analysée comme du texte n'est traité nulle part. Position prudente : aucune analyse d'émotion sur la voix ou la vidéo des salariés et des candidats, et aucune analyse de sentiment sur les transcriptions de réunions internes.

Le tri de CV et le risque de devenir « fournisseur »

L'article 25 de l'AI Act prévoit qu'une entreprise qui détourne un système d'IA vers un usage à haut risque devient fournisseur de ce système, avec toutes les obligations qui vont avec. Utiliser un assistant généraliste pour trier des CV pourrait donc te faire changer de statut à partir de décembre 2027. Le projet de lignes directrices de la Commission, publié en mai 2026, laisse pourtant une autre lecture ouverte : si l'éditeur n'a pas réellement exclu l'usage RH, c'est son propre outil qui serait à haut risque. La version finale est attendue fin 2026. Position prudente : ne laisse jamais l'IA classer ou écarter seule des candidats.

Les transferts vers les États-Unis

Le Data Privacy Framework a survécu à un premier recours en septembre 2025, mais un pourvoi est pendant devant la Cour de justice de l'Union européenne. En 2026, une décision de la Cour suprême américaine sur l'indépendance des autorités de contrôle a conduit le comité européen de la protection des données à demander à la Commission d'en évaluer l'effet. Si le cadre tombait, l'argument qui allège l'analyse d'impact des clauses contractuelles types tomberait aussi. Position prudente : demande à ton fournisseur son analyse d'impact des transferts, conserve-la, et limite les données personnelles que tu envoies.

Le compte personnel utilisé au travail

Aucun texte ne traite le cas d'un abonnement grand public payé par une entreprise. La CNIL ne l'interdit pas : elle l'admet pour des usages non confidentiels, avec une adresse professionnelle dédiée et la réutilisation des données désactivée. Mais elle demande de ne jamais y mettre de données personnelles. Position prudente : un compte grand public pour rédiger, un forfait professionnel dès qu'un client ou un salarié apparaît dans le texte.

Les connecteurs et les données de tiers

Brancher l'IA sur ta boîte mail, c'est lui faire lire les messages de personnes qui n'ont rien accepté. L'intérêt légitime peut justifier ce traitement, mais il suppose une mise en balance et une information, au moins publique, dans ta politique de confidentialité. Et l'exclusion de l'entraînement annoncée par les éditeurs pour les connecteurs ne couvre pas toujours tout : chez Anthropic comme chez OpenAI, ce que tu copies-colles depuis un mail, ou la réponse de l'IA qui le reprend, suit les règles du forfait. Position prudente : aucun connecteur mail, documents ou CRM sur un forfait grand public.

Les agents IA

En juillet 2026, la CNIL et le Conseil de l'IA et du Numérique ont publié une note exploratoire sur les agents IA. Elle rappelle qu'ils restent pleinement soumis au RGPD, et recommande de ne leur donner que les données strictement nécessaires, de cloisonner leur mémoire, de classer leurs actions par niveau de risque, de prévoir un bouton d'arrêt d'urgence, et elle prévient qu'une validation humaine purement formelle ne suffit pas. Ce n'est pas une règle contraignante, mais c'est la grille que la CNIL appliquera. Position prudente : accès minimal, validation réelle avant tout envoi ou paiement, et un moyen d'arrêter l'agent à tout moment. Ce sont les garde-fous du tuto pour créer son Jarvis IA.

La transcription de réunions

La CNIL n'a pas encore publié sa doctrine sur les outils de transcription, annoncée dans son programme 2026. Sa position historique sur l'enregistrement des appels au travail repose sur l'information et le droit d'opposition, pas sur le consentement, avec une conservation limitée. Mais le Code pénal punit l'enregistrement sans consentement de paroles prononcées à titre privé ou confidentiel, ce qu'une réunion RH ou stratégique peut être. Position prudente : bot visible, annonce avant la réunion, possibilité de refuser, et pas de transcription des réunions sensibles.

Les erreurs de l'IA sur une personne réelle

Une IA peut inventer des faits sur une personne. L'association noyb a déposé deux plaintes contre OpenAI, dont une pour un homme que ChatGPT présentait comme le meurtrier de ses enfants, et elles sont toujours en cours devant l'autorité irlandaise. Les éditeurs préviennent eux-mêmes qu'il ne faut pas se fier à l'exactitude de leurs réponses. Si ton entreprise publie un contenu généré, c'est elle qui en répond. Position prudente : vérifie toute affirmation sur une personne réelle avant de la publier.

L'amende italienne annulée

L'Italie avait infligé 15 millions d'euros d'amende à OpenAI en 2024. Le tribunal de Rome l'a annulée en mars 2026, mais pour une raison de compétence : OpenAI avait entre-temps établi sa filiale européenne en Irlande, et le dossier relevait de l'autorité irlandaise. Le fond, la base légale de l'entraînement ou la transparence, n'a jamais été jugé. Ne retiens pas qu'OpenAI était en règle.

Comment encadrer l'usage de l'IA dans son entreprise ?

Tes salariés utilisent déjà l'IA, que tu le saches ou non. D'après l'Ifop, 49 % de ceux qui utilisent l'IA générative au travail ne le disent pas à leur supérieur. D'après Microsoft et LinkedIn, 80 % des utilisateurs dans les PME apportent leurs propres outils. Et d'après KPMG, près d'un salarié sur deux a déjà versé des informations sensibles de son entreprise dans un outil public.

Voici la checklist pour reprendre la main :

1. Une charte d'usage, courte : les outils autorisés, ce qu'on peut y mettre et ce qu'on n'y met jamais.
2. Des outils autorisés sur forfait professionnel, avec contrat de sous-traitance et entraînement désactivé.
3. Les comptes personnels bloqués sur les postes de l'entreprise quand l'outil le permet.
4. Une formation, avec un registre des sessions : c'est l'article 4 de l'AI Act.
5. Le registre des traitements mis à jour, une ligne par usage d'IA qui touche des données personnelles.
6. L'information des salariés avant tout outil qui les concerne, et la consultation du CSE à partir de 50 salariés, même pour un test.
7. Une règle de publication : relecture sur le fond de tout contenu généré, et un responsable éditorial nommé.

Pour aller plus vite, télécharge le kit IA et RGPD : la charte à adapter en Word, le registre prêt à remplir en Excel, les mentions à copier et le plan sur 30 jours. Il arrive dans la seconde.

FAQ sur l'IA et le RGPD

L'AI Act s'applique-t-il aux petites entreprises et aux TPE ?

Oui, dès qu'elles utilisent l'IA. Une TPE qui donne ChatGPT à ses salariés doit prendre des mesures pour les former (article 4), ne pas utiliser de pratique interdite, et respecter les règles de transparence si elle publie un chatbot ou certains contenus. Les obligations lourdes visent les systèmes à haut risque et les éditeurs. Les plafonds d'amende sont abaissés pour les PME et les start-up.

Quelles sanctions en cas de manquement ?

Côté RGPD, jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial. Côté AI Act, jusqu'à 35 millions ou 7 % pour une pratique interdite, et 15 millions ou 3 % pour les obligations d'un déployeur, le plus bas des deux pour une PME. En pratique, le risque le plus concret en 2026 vient du CSE : une suspension en référé sous astreinte.

Faut-il une analyse d'impact (AIPD) pour utiliser ChatGPT ?

Pas pour un usage bureautique sans données personnelles. La CNIL la recommande « le cas échéant », et elle devient très probable pour le tri de candidatures, le suivi des salariés ou des données sensibles. Le comité européen de la protection des données a mis en consultation en avril 2026 un modèle européen d'analyse d'impact.

Qui contrôle l'usage de l'IA en France ?

La CNIL pour tout ce qui touche aux données personnelles. Pour l'AI Act, le schéma prévu confie la coordination à la DGCCRF, l'emploi et la biométrie à la CNIL, et certains contenus à l'Arcom, mais la loi qui doit l'acter n'est pas encore votée. Et pour le droit du travail, ce sont les tribunaux, saisis par les CSE, qui ont tranché les premiers.

Faut-il prévenir ses clients qu'on utilise l'IA ?

Pour un chatbot, oui, dès le premier échange. Pour un contenu publié sans relecture sur un sujet d'intérêt public, oui également. Pour un usage interne, comme rédiger un mail avec l'aide de l'IA, l'AI Act n'impose rien de spécifique. Mais si des données de tes clients passent par un outil d'IA, ta politique de confidentialité doit le mentionner, avec les sous-traitants et les transferts hors d'Europe.

Ce qu'il faut en retenir

L'IA n'est pas interdite par le RGPD, et l'AI Act pèse peu sur une entreprise qui se contente de l'utiliser. Ce qui crée le risque, ce sont trois réflexes : mettre des données de clients ou de salariés sur un forfait grand public, déployer un outil sans informer les salariés ni consulter le CSE, et publier sans relire.

La bonne nouvelle, c'est que la mise en conformité tient en peu de choses : un forfait professionnel avec contrat de sous-traitance, une charte, une formation, et l'information de ton équipe. C'est ce que je mets en place quand je branche Claude sur les outils d'une entreprise, dans un Cockpit IA : le bon forfait au nom de l'entreprise, les accès limités au nécessaire, et une équipe formée à s'en servir.