Peut-on utiliser ChatGPT au travail ? Ce que disent le RGPD, la CNIL et l’AI Act

Vos collègues utilisent déjà ChatGPT pour rédiger un e-mail, résumer un document ou préparer une réunion. Mais peut-on vraiment utiliser ChatGPT au travail ? Et surtout, que risque-t-on quand on y colle un fichier client ou un tableau RH ? Voici ce qu’il faut savoir, que vous soyez salarié ou employeur, pour utiliser l’IA générative au travail sans prendre de risques inutiles.

Est-il interdit d’utiliser ChatGPT au travail ?

Aucune loi n’interdit d’utiliser ChatGPT ou un autre assistant d’IA dans un cadre professionnel. En revanche, l’employeur peut encadrer, limiter ou interdire son usage, par exemple dans une charte informatique, le règlement intérieur ou des consignes écrites. Un salarié qui ne respecte pas ces règles, ou qui divulgue des informations confidentielles via un outil d’IA, s’expose à des sanctions disciplinaires.

Avant de vous lancer, la première question à poser est donc simple : existe-t-il des règles dans mon entreprise ? S’il n’y en a pas, c’est le moment d’en parler.

Le vrai risque : les informations que l’on saisit

Le danger ne vient pas de l’outil lui-même, mais de ce que l’on y met. Tout ce que vous tapez ou collez dans un assistant d’IA est transmis à un service extérieur, souvent hébergé hors de l’Union européenne. Selon l’offre et les réglages, vos échanges peuvent être conservés et, pour certaines versions grand public, servir à améliorer les modèles.

Sont particulièrement sensibles :

• les données personnelles de clients, de candidats ou de salariés (noms, coordonnées, évaluations, données de santé) ;
• les informations stratégiques : contrats, tarifs, chiffres financiers, projets non publics ;
• les codes d’accès, identifiants et informations techniques internes.

Ce que recommande la CNIL

Dans ses questions-réponses sur l’IA générative, la CNIL invite les organismes à définir les usages autorisés avant de déployer ces outils, à choisir un mode de déploiement adapté aux risques, et déconseille d’introduire des données personnelles ou confidentielles dans des services grand public. Elle distingue clairement l’usage d’un service grand public et un déploiement professionnel encadré.

RGPD : les points à vérifier

Dès que des données personnelles sont traitées avec un outil d’IA, le RGPD s’applique. Concrètement, une entreprise doit notamment :

• définir la finalité : pour quoi faire utilise-t-on l’outil, et sur quelles données ;
• minimiser : ne transmettre que ce qui est nécessaire, anonymiser dès que possible ;
• encadrer le fournisseur : privilégier une offre professionnelle avec un contrat de sous-traitance conforme au RGPD et des garanties sur la conservation et l’usage des données ;
• vérifier les transferts hors Union européenne et les garanties associées ;
• informer les personnes concernées lorsque leurs données sont traitées.

Et l’AI Act dans tout ça ?

Le règlement européen sur l’intelligence artificielle, l’AI Act, contient un article 4 consacré à la « maîtrise de l’IA », applicable depuis le 2 février 2025. Il a été assoupli à l’été 2026 : les entreprises qui utilisent des systèmes d’IA doivent désormais prendre des mesures pour favoriser la maîtrise de l’IA de leur personnel, sans obligation de garantir un niveau précis. Aucun certificat n’est exigé, mais il est utile de documenter ce qui est fait : formations, consignes, outils autorisés.

7 bonnes pratiques pour les salariés

1. Renseignez-vous sur les règles de votre entreprise avant d’utiliser un outil d’IA.
2. Utilisez de préférence l’outil fourni ou validé par votre employeur.
3. Ne collez jamais de données personnelles ou confidentielles dans un outil grand public.
4. Anonymisez : remplacez noms, montants et références par des exemples fictifs.
5. Désactivez, quand c’est possible, l’utilisation de vos conversations pour l’entraînement des modèles.
6. Vérifiez chaque réponse : faits, chiffres, sources, calculs.
7. Restez responsable du résultat : un texte produit avec l’IA reste votre travail.

Pour l’employeur : une charte d’usage en 5 rubriques

• Outils autorisés et versions à utiliser (grand public ou professionnelle).
• Usages autorisés et interdits, avec des exemples concrets par métier.
• Données interdites de saisie et règles d’anonymisation.
• Vérification et responsabilité : qui relit, qui valide avant diffusion.
• Formation des équipes et personne référente pour les questions.

Une charte n’a d’effet que si les équipes savent l’appliquer. C’est là que la formation fait la différence.

Se former pour utiliser l’IA en toute sécurité

Notre formation RGPD et IA aide les équipes à adopter les bons réflexes et à construire des règles d’usage adaptées. Pour apprendre à utiliser ces outils efficacement, découvrez la formation ChatGPT et IA générative au quotidien et notre article Comment faire un bon prompt.

Cet article donne des repères généraux et ne constitue pas un conseil juridique. Pour une situation précise, rapprochez-vous de votre délégué à la protection des données ou d’un juriste.