RGPD et ChatGPT en entreprise — comment être conforme en 2026

Utiliser ChatGPT en entreprise en 2026 sans casser le RGPD est faisable. Pas trivial, mais faisable. Ce qui est difficile, c’est de le faire vraiment, pas juste sur le papier. Voici la checklist concrète à dérouler quand le DPO ou le service juridique pose la question, et les vraies questions à poser à OpenAI avant de signer.

Le cadre RGPD appliqué à ChatGPT en 5 secondes

Rappel pour cadrer : RGPD impose 6 grands principes pour traiter des données personnelles.

1. Licéité : base légale claire (consentement, exécution contrat, intérêt légitime, etc.)
2. Minimisation : ne pas collecter plus que nécessaire
3. Limitation des finalités : ne pas réutiliser les données pour autre chose
4. Exactitude : garantir que les données restent justes
5. Limitation de conservation : ne pas garder indéfiniment
6. Sécurité : protéger contre fuite, perte, accès non autorisé

Pour ChatGPT en entreprise, 3 principes posent problème en pratique : la limitation des finalités (entraînement des modèles), la limitation de conservation (rétention des conversations), et la sécurité (transferts hors UE, accès des sous-traitants).

La différence concrète entre les 3 plans

Critère	Question à poser à OpenAI pour chaque plan (Plus, Team, Enterprise)
Conversations utilisées pour entraînement	Les conversations servent-elles à entraîner les modèles, et comment s’y opposer ?
DPA disponible	Un DPA est-il proposé pour ce plan, sous quelle forme ?
Région de traitement	Une région EU est-elle disponible, pour quel plan, et contractuellement ?
Sous-traitants	Où trouver la liste des sous-traitants ultérieurs ?
Certifications (SOC 2, ISO 27001)	Quels rapports sont communicables, et à quelles conditions ?
Journaux d’audit	Existent-ils et sont-ils exportables ?
Durée de conservation	Quelle durée par défaut, est-elle configurable ?
SSO et SCIM	Disponibles pour quel plan ?

En clair : ces points se vérifient plan par plan dans le DPA et les politiques d’OpenAI (openai.com/policies) ; les engagements d’OpenAI n’ont pas pu être lus sur openai.com au 24/10/2026. L’offre individuelle Plus relève de conditions grand public, pas d’un contrat entreprise.

Le vrai problème — le shadow IT

Le risque RGPD le plus sous-estimé avec ChatGPT n’est pas le plan choisi, c’est le shadow IT : vos salariés utilisent ChatGPT Plus sur leur compte perso, sans que vous le sachiez, en y collant :

• des CV de candidats RH
• des contrats clients
• des e-mails clients pour reformuler
• des données financières pour calculer
• des bouts de code propriétaire

Sur un compte personnel, ces données peuvent être utilisées pour l’entraînement selon les paramètres du compte (à vérifier dans les politiques d’OpenAI, openai.com/policies). C’est une source majeure de non-conformité.

Solution : passer en ChatGPT Team minimum, communiquer en interne que l’usage perso est interdit pour le pro, faire signer une politique d’usage IA. C’est le point de départ.

Voir ChatGPT entreprise tarifs et souscription 2026 pour le détail des plans.

Le DPA OpenAI — ce qu’il y a vraiment dedans

Le Data Processing Addendum d’OpenAI est à lire en entier avant signature (openai.com/policies) ; son contenu n’a pas pu être lu sur openai.com au 24/10/2026 (accès refusé). Points à y vérifier :

• Sous-traitance : engagement de ne pas utiliser les données pour entraîner les modèles, et pour quels plans
• Localisation : lieu de traitement par défaut, et région EU disponible ou non selon le plan
• Sécurité : certifications (SOC 2, ISO 27001) et conditions de communication des rapports
• Sous-sous-traitants : liste, et procédure d’information en cas de changement
• Suppression à la demande : possibilité et délai documenté
• Notification de violation : le RGPD impose au sous-traitant d’informer le responsable de traitement sans retard indu, et au responsable de notifier l’autorité si possible sous 72 h (art. 33, gdpr-info.eu)

Ce que le DPA peut laisser ouvert, à vérifier aussi :

• Garantie d’absence de transfert vers les États-Unis
• Détail des jeux de données utilisés en entraînement
• Sort des données traitées AVANT la signature du DPA (par exemple depuis un compte personnel)

Le piège des transferts hors UE

Schrems II + Data Privacy Framework (validé 2023, en re-questionnement 2025) : les transferts vers les US sont possibles mais conditionnels.

À vérifier dans le DPA d’OpenAI : s’appuie-t-il sur les clauses contractuelles types (SCC), sur le DPF, ou sur les deux ? Dans tous les cas :

• Si vous traitez des données particulièrement sensibles (santé, biométrique, judiciaire), un DPO prudent refusera quand même.
• Si vous avez un client réglementé (banque, gov, défense, OIV), il refusera souvent sans garanties contractuelles de localisation vérifiées dans le DPA.

Pour de nombreuses PME sans données HDS (B2B services, e-commerce, industrie), un plan Team avec DPA est un point de départ défendable, sous réserve de l’analyse de votre DPO.

La checklist conformité avant adoption

Voici la checklist à dérouler avant d’adopter ChatGPT proprement.

Étape 1 — Cartographier les données traitées

• Lister les types de données qui passeraient potentiellement dans ChatGPT (RH, clients, financier, code, juridique, marketing)
• Pour chaque type, classifier : public / interne / confidentiel / secret
• Identifier ce qui est interdit absolument (données HDS, secret pro avocat, secret défense)

Étape 2 — Choisir le plan adapté

• Si shadow IT existe → Team minimum, immédiat
• Si traitement de données confidentielles régulier → plan Enterprise, après vérification de la région de traitement dans le DPA
• Si données HDS / secret pro → ne pas utiliser ChatGPT, voir alternatives (Mistral on-prem, Claude API + UI custom)

Étape 3 — Signer DPA + clauses contractuelles

• Télécharger le DPA OpenAI (Team ou Enterprise)
• Le faire valider par DPO ou avocat externe
• Pour Enterprise : négocier la clause région EU explicite si pas par défaut
• Annexer DPA au registre des sous-traitants (Article 30 RGPD)

Étape 4 — Mettre en place les contrôles techniques

• Configurer le workspace Team / Enterprise (rétention réglée selon vos besoins)
• Désactiver l’option “améliorer le modèle pour tous” si dispo
• Activer l’audit log si votre plan le propose
• Brancher SSO / SCIM si votre plan le propose
• Limiter les connecteurs autorisés (SharePoint, Drive, etc.) à ce qui est nécessaire

Étape 5 — Communiquer la politique en interne

• Rédiger une politique d’usage IA (1-2 pages, pas 30)
• La faire signer ou acquitter par tous les utilisateurs
• Communiquer les interdits (carte d’identité, RIB, données médicales, etc.)
• Mettre à disposition une boîte mail / canal Slack pour les questions

Étape 6 — Documenter dans le registre des traitements

• Ajouter le traitement “Usage ChatGPT par les salariés” au registre Article 30
• Documenter base légale (intérêt légitime, généralement)
• Documenter la durée de conservation (telle que documentée par OpenAI pour votre plan)
• Joindre AIPD (Analyse d’Impact) si traitement à risque

Étape 7 — Revue à 6 mois

• Audit interne d’usage : qui utilise quoi, sur quels types de données
• Vérifier l’absence de comportement à risque (recopie de données client en clair, etc.)
• Mettre à jour la politique si besoin
• Re-former les équipes si nouveaux risques identifiés

L’AI Act en surcouche du RGPD

Depuis 2026, l’AI Act ajoute des obligations spécifiques en plus du RGPD pour l’usage des LLM en entreprise.

Pour ChatGPT en usage standard PME (rédaction, recherche, brainstorming), vous tombez généralement sur :

• Système d’IA à usage général (GPAI) : OpenAI doit fournir une documentation modèle, vous devez l’archiver
• Pas de classification “haut risque” sauf si vous l’utilisez pour : décision RH (recrutement, licenciement, évaluation), évaluation crédit clients, scoring assurance, contrôle qualité produits régulés

Si vous l’utilisez pour les cas “haut risque” listés, il faut :

• AIPD (art. 35 RGPD) lorsque le traitement présente un risque élevé pour les personnes
• Tests de robustesse documentés
• Monitoring continu en production
• Information explicite aux personnes concernées
• Possibilité de recours humain

Voir ce qui change avec l’AI Act 2026 pour le détail.

Les alternatives quand ChatGPT ne passe pas

Quand un audit RGPD ou une exigence client tombe sur “non, pas ChatGPT”, voici les options qu’on benchmark.

Claude API directe + UI custom

Anthropic API + Claude 4.6 Sonnet. Côté données : l’API directe n’a aucune région UE (inférence « global » ou « us », stockage « us » seulement ; documentation Anthropic, lue le 24/10/2026) ; un traitement en UE passe par AWS Bedrock ou Google Cloud avec un point de terminaison européen. Les entrées et sorties sont supprimées sous 30 jours en standard (privacy.claude.com, lu le 24/10/2026), la zero data retention est un accord à demander à l’équipe commerciale d’Anthropic, et les données conservées ne servent jamais à l’entraînement sans autorisation expresse (documentation, lue le 24/10/2026). Le DPA se lit dans les conditions commerciales d’Anthropic. Pour le côté UI, soit vous codez, soit vous prenez un wrapper open source (LibreChat, Open WebUI), soit Claude.ai Team/Enterprise (équivalent ChatGPT Team chez Anthropic).

À vérifier côté RGPD : conditions d’accès au DPA et clauses couvertes selon le plan.

Voir OpenAI direct vs Azure vs Anthropic.

Mistral Le Chat Pro / Enterprise

L’alternative française et européenne. Données hébergées dans l’UE par défaut, avec un endpoint US en option et certains transferts hors UE possibles selon les fonctionnalités (centre d’aide Mistral, lu le 24/10/2026) ; les conditions commerciales excluent l’entraînement sur vos données sauf exceptions listées et renvoient à un DPA. La conformité AI Act est à vérifier auprès de Mistral AI. Souvent envisagée pour : santé (hébergement HDS à vérifier), banque, administrations.

Voir Mistral AI en entreprise française.

Azure OpenAI

Microsoft Azure OpenAI = GPT-5 hébergé sur Azure, avec le DPA des produits et services Microsoft. Selon Microsoft Learn (lu le 24/10/2026), les prompts et complétions ne sont pas disponibles pour OpenAI ni utilisés pour entraîner les modèles sans votre accord, et le traitement reste dans la géographie choisie, sauf déploiements de type Global ou DataZone ; un déploiement DataZone dans l’UE peut traiter les données dans n’importe quel État membre de l’UE. Souvent retenu par des entreprises réglementées déjà clientes de Microsoft.

Self-hosted LLM (Mistral Small, Llama 3, etc.)

Solution radicale : vous hébergez vous-même un modèle open weights. Aucune donnée ne sort de votre périmètre. Coût : matériel et compétences IA à prévoir. Choisi par certains cabinets d’avocats, hôpitaux, OIV.

Ce qu’on refuse de faire

• Aider un client à signer du Plus avec un usage pro pour “économiser sur la facture”. Le risque RGPD coûte plus cher que l’écart de prix.
• Promettre que le DPA OpenAI passe partout. Sur santé HDS strict ou secret défense, il ne passe pas.
• Cocher la case “AI Act conforme” sans vérifier l’usage. Si l’usage tombe en haut risque, le DPA OpenAI ne suffit pas, il faut le boulot AIPD complet.

”Si je désactive l’historique sur ChatGPT, c’est conforme”

Faux. Désactiver l’historique sur Plus ne change pas le statut RGPD du compte (compte personnel, pas de DPA, pas de relation contractuelle entreprise-OpenAI). Vous restez en violation. Il faut Team minimum.

”Le RGPD interdit ChatGPT en entreprise”

Faux. Le RGPD encadre, n’interdit pas. ChatGPT Team avec DPA, rétention maîtrisée et politique d’usage interne est un cadre défendable, sous réserve de l’analyse de votre DPO.

”Avec Enterprise région EU, on est 100 % couvert”

Pas tout à fait. Une région EU, si elle est proposée contractuellement, couvre la localisation et le DPA. Reste votre responsabilité : ne pas y mettre des données HDS sans validation HDS, faire l’AIPD si usage haut risque, former les utilisateurs, documenter en registre. Le plan technique ne dispense pas de la conformité organisationnelle.

Le minimum vital opérationnel pour 2026

Si vous ne deviez retenir qu’une checklist en 6 lignes :

1. ChatGPT Team ou Enterprise (jamais Plus pour usage pro)
2. DPA signé et archivé
3. Politique d’usage interne signée par les utilisateurs
4. Registre Article 30 mis à jour
5. Liste des données interdites communiquée (HDS, RIB, secret pro)
6. Revue annuelle obligatoire

C’est le tronc commun. Le reste dépend de votre secteur et de vos clients.

Pour cadrer la conformité dans votre cas

Si votre DPO, votre service juridique ou un client vous demande “comment vous faites avec ChatGPT”, la checklist ci-dessus se déroule sur votre cas réel en croisant les types de données traitées, le plan choisi et les clauses du DPA.

Pour aller plus loin

• RGPD + IA en 2026 — ce qui change concrètement pour une PME française — AI Act, DPA, zéro rétention, région EU
• AI Act 2026 — ce qui change concrètement pour une PME qui déploie de l… — Entrée en application progressive du règlement IA européen en 2026
• ChatGPT Team vs Claude Team vs Mistral Le Chat Pro — quelle souscripti… — Comparatif des 3 souscriptions IA équipe leaders en 2026
• Claude Desktop vs Cursor vs ChatGPT Pro — outils dev IA en 2026 — Comparaison des 3 outils IA pour développeurs en 2026