Peut-on mettre des données clients dans ChatGPT ?
Dans la plupart des cas, non — pas telles quelles. Coller des données clients dans ChatGPT, c'est les transférer sur les serveurs d'un prestataire, souvent hors Union européenne : le RGPD encadre strictement ce transfert, et le secret professionnel l'exclut le plus souvent. Il existe trois façons propres de faire — détaillées plus bas.
C'est probablement la question qu'on me pose le plus souvent, et elle mérite une réponse précise plutôt qu'un slogan. Cet article fait partie du guide de l'IA locale ; il n'est pas un avis juridique, mais le raisonnement concret d'un praticien qui a organisé son propre cabinet pour ne jamais avoir à se poser la question.
Que deviennent les données collées dans ChatGPT ?
Quand vous collez un texte dans ChatGPT — ou dans n'importe quel assistant IA cloud — il part sur les serveurs du fournisseur, y est traité, et y est conservé un certain temps. Selon l'offre et vos réglages, il peut aussi servir à l'entraînement des futurs modèles, et des équipes humaines peuvent y accéder dans certains cas prévus par les conditions d'utilisation. Les offres professionnelles offrent de meilleures garanties contractuelles — pas d'entraînement, durées de conservation réduites — mais la mécanique de fond ne change pas : vos données quittent vos murs et vivent chez un tiers, sous son droit applicable.
Sur l'échelle de souveraineté, vous êtes à l'échelon 1. Rien de scandaleux — pour de la matière non confidentielle, c'est un excellent outil. Le problème est ailleurs : dans ce que contiennent réellement vos documents de travail.
Que dit le RGPD, concrètement ?
Dès qu'un document contient des données permettant d'identifier une personne — un nom, un e-mail, une situation, un montant relié à quelqu'un — l'envoyer à un service d'IA constitue un traitement confié à un sous-traitant. Cela suppose, en principe : un contrat de sous-traitance conforme, un encadrement spécifique si les serveurs sont hors Union européenne, une information des personnes concernées, et parfois une analyse d'impact préalable pour les données sensibles.
La réalité que j'observe : la quasi-totalité des petites structures qui utilisent ChatGPT avec des données clients n'ont rien fait de tout cela — pas par malveillance, mais parce que personne ne leur a posé la question. Le risque immédiat n'est pas l'amende, rare pour une TPE. C'est d'être indéfendable le jour où la question se pose : un client qui demande où sont passées ses données, un contentieux qui s'envenime, une clause de confidentialité qu'on relit attentivement.
Et le secret professionnel ?
Pour les professions réglementées — avocats et juristes, experts-comptables, professions de santé — et pour quiconque manie des données de candidats ou de salariés, la barre est plus haute que le RGPD : le secret n'est pas une question de conformité documentaire, c'est une obligation dont on ne se décharge pas en acceptant des conditions générales. Transmettre un dossier couvert par le secret à un service cloud, même « sécurisé », reste très difficile à justifier devant un ordre professionnel.
Mon test pratique, sans aucun article de loi : seriez-vous à l'aise de dire à votre client, en face, que son dossier est passé par les serveurs d'un prestataire américain ? Si la réponse vous gêne, vous avez votre réponse.
Les trois façons propres d'utiliser l'IA quand même
La bonne nouvelle : renoncer à ChatGPT pour les données clients ne veut pas dire renoncer à l'IA. Trois approches tiennent la route, par ordre croissant de protection.
| Approche | Protection | Limite principale |
|---|---|---|
| 1 — Anonymiser avant d'envoyer | Correcte si l'anonymisation est réelle | Discipline permanente ; le contexte réidentifie souvent (montants, dates, situations) |
| 2 — Offre professionnelle avec garanties (contrat de sous-traitance, hébergement UE) | Meilleure — échelon 2 de l'échelle | Vos données sortent toujours de vos murs ; insuffisant face au secret professionnel strict |
| 3 — IA locale : les modèles tournent sur une machine que vous possédez | Complète par construction — rien ne sort | Investissement initial et cadrage nécessaires (voir le guide) |
Le bon choix dépend de la sensibilité réelle de vos données et de vos volumes. Une activité sans secret professionnel peut vivre très bien avec l'approche 2 et une vraie discipline. Dès que le secret entre en jeu, ou que l'IA doit travailler sur le fonds documentaire complet, l'approche 3 devient la seule qui ne repose ni sur une promesse ni sur une vigilance de chaque instant.
Ce que je fais dans mon propre cabinet
Par cohérence — et parce que mes propres clients me confient leurs processus internes — les données de mes clients ne passent par aucun service d'IA cloud. Mon cabinet tourne sur des outils que j'ai construits et que j'héberge sur un serveur que je suis seul à administrer, et je migre progressivement vers une installation 100 % locale, documentée sur ce site. Le cloud, je le réserve à ce qui n'est pas confidentiel : la veille, les brouillons génériques, ce que je pourrais publier tel quel.
Ce n'est ni de la paranoïa ni un argument commercial : c'est la même règle que je recommande — chaque donnée a un échelon autorisé, et on le décide une fois, calmement, plutôt que vingt fois par jour dans l'urgence.
Vos données, vos usages : qu'est-ce qui a le droit d'aller où ?
Répondre demande une heure de cartographie honnête, pas un dogme. C'est l'un des livrables d'un audit.
En parler avec GregQuestions fréquentes
Est-ce que ChatGPT s'entraîne sur mes conversations ?
Cela dépend de l'offre et de vos réglages. Sur les offres grand public, vos conversations peuvent servir à l'entraînement des modèles, sauf si vous l'avez explicitement désactivé. Les offres professionnelles et l'accès par API s'engagent contractuellement à ne pas le faire. Dans tous les cas, vos données transitent et sont conservées un temps sur les serveurs du fournisseur — l'entraînement n'est qu'une partie de la question.
L'anonymisation suffit-elle pour envoyer un dossier client à ChatGPT ?
En théorie oui : des données réellement anonymisées ne sont plus des données personnelles au sens du RGPD. En pratique, c'est exigeant : retirer les noms ne suffit pas, le contexte (montants, dates, lieux, situation) permet souvent de réidentifier. Et il faut le faire à chaque fois, sans exception. C'est une solution correcte pour des usages ponctuels, fragile comme méthode de travail quotidienne.
Quels risques concrets pour une petite structure ?
Le risque le plus probable n'est pas l'amende : c'est la confiance. Un client qui découvre que son dossier est passé par un service cloud américain, une clause de confidentialité violée, un ordre professionnel saisi, une plainte CNIL sur un contentieux qui s'envenime. Pour une petite structure, la réputation est l'actif principal — c'est lui qui est exposé.
Quelle est l'alternative la plus simple à ChatGPT pour des données sensibles ?
Il n'y a pas de réponse universelle : offre professionnelle avec garanties contractuelles et discipline d'anonymisation pour les données peu sensibles ; IA locale — les modèles tournent sur une machine que vous possédez, rien ne sort de vos murs — dès que le secret professionnel entre en jeu. Le bon choix dépend de vos données, de vos volumes et de votre budget : c'est précisément ce qu'un audit détermine.