IA et RGPD au travail : protéger les données

En bref

Utiliser l’IA au travail est compatible avec le RGPD, à condition de savoir ce que vous saisissez et où cela part. La règle de base, rappelée par la CNIL : ne soumettez à un assistant que des informations que vous êtes autorisé à partager, et pas de données personnelles ou confidentielles dans un outil dont l’éditeur peut réutiliser les contenus. L’entreprise, elle, choisit un outil adapté, écrit les règles et forme ses équipes.

Ce que recommande la CNIL

La CNIL a publié le 18 juillet 2024 ses réponses sur l’utilisation des systèmes d’IA générative. Elle n’interdit pas ces outils. Elle demande de :

écrire les règles : une charte interne qui dit les usages autorisés et les usages interdits ;
choisir un outil adapté : vérifier ce que le fournisseur fait des données saisies, et désactiver leur réutilisation quand c’est possible ;
former les utilisateurs : au fonctionnement de l’outil, à ses limites, aux règles ;
associer le délégué à la protection des données (DPO) et, selon les cas, réaliser une analyse d’impact.

Elle rappelle que c’est l’organisation qui engage sa responsabilité si son personnel utilise mal l’IA.

Ce que le RGPD impose dès qu’il y a des données personnelles

Une donnée personnelle est toute information qui se rapporte à une personne identifiée ou identifiable : un nom, une adresse email, un CV, un bulletin de paie. La coller dans un assistant, c’est la traiter au sens du RGPD. Les règles habituelles s’appliquent :

Une finalité et une base légale (articles 5 et 6) : savoir pourquoi vous traitez ces données, et à quel titre.
La minimisation (article 5) : ne fournir que les données nécessaires. Souvent, la tâche se fait aussi bien sans les noms.
La sécurité et la confidentialité (articles 5 et 32).
Un contrat avec le fournisseur quand il traite des données pour votre compte (article 28), et un encadrement des transferts hors de l’Union européenne.
Pas de décision entièrement automatisée sur une personne quand elle l’affecte de manière significative (article 22).
Une protection renforcée des données sensibles (santé, opinions politiques, appartenance syndicale…), dont le traitement est interdit sauf exceptions (article 9).

Les bons réflexes, pour chaque salarié

Utilisez l’outil et le compte que votre entreprise autorise, pas un compte personnel.
Avant de coller un texte, retirez les noms, les coordonnées et les montants qui ne servent pas à la tâche.
Ne saisissez ni données de santé, ni dossier disciplinaire, ni mot de passe, ni document confidentiel dans un outil grand public.
Réglez la confidentialité de votre compte (tableau ci-dessous).
Relisez et vérifiez. La CNIL conseille de ne jamais reprendre une réponse telle quelle.
Ne laissez pas l’IA décider seule pour une personne : un recrutement, une sanction, une évaluation.

Ce que les assistants font de vos données

Outil	Vos conversations, avec un compte personnel	Avec une offre d’entreprise
ChatGPT	Elles peuvent servir à l’entraînement, sauf si vous désactivez « Améliorer le modèle pour tous ».	Business, Enterprise, Edu : pas d’entraînement sur vos contenus par défaut.
Claude	Elles ne servent à l’entraînement que si vous l’acceptez.	Team, Enterprise : pas d’entraînement sur vos contenus par défaut.
Microsoft Copilot	Gardées 18 mois par défaut ; elles peuvent servir à l’entraînement, sauf refus dans les réglages.	Compte professionnel : ni vos demandes, ni les réponses, ni vos données de travail ne servent à entraîner l’IA.
Gemini	Gardées 18 mois par défaut, avec relecture possible par des personnes, sauf si vous désactivez « Conserver l’activité ».	Google Workspace : contenus non relus par des personnes et non utilisés pour l’entraînement sans autorisation.

D’après les pages officielles des éditeurs, relues début octobre 2026. Ne pas servir à l’entraînement ne suffit pas à être en règle : le contrat, le lieu de traitement et les droits d’accès comptent aussi.

Pour l’entreprise : six points à régler

Recensez les usages réels de l’IA, y compris ceux qui passent par des comptes personnels.
Choisissez une offre d’entreprise et lisez le contrat : rôle du fournisseur, lieu de traitement, réutilisation des données.
Écrivez la charte : outils autorisés, données interdites, cas où une validation humaine est exigée.
Associez votre DPO, et réalisez une analyse d’impact quand le traitement présente un risque élevé pour les personnes (article 35).
Mettez à jour votre registre des traitements, si vous en tenez un (article 30).
Formez les équipes, et recommencez quand les outils changent.

Pour les violations les plus graves, le RGPD prévoit des amendes pouvant aller jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial (article 83). Cette page explique les règles, sans valeur de conseil juridique : pour une situation précise, voyez votre délégué à la protection des données ou un juriste.

Ce que Nova apporte

Nova est un logiciel par abonnement qui forme vos équipes à l’IA, métier par métier. Les usages guidés rappellent les précautions : quel compte utiliser, quelles données retirer, quoi vérifier. Chaque fiche d’outil dit ce que l’éditeur fait de vos données, avec sa source et sa date de vérification. Côté entreprise, vous tenez un catalogue d’outils autorisés. Voyez les usages d’un DPO ou d’un responsable RH, parmi les 140 métiers de Formation IA par métier.

Dans Nova, l’entreprise ne voit jamais l’activité ni les questions d’une personne. Nova ne donne pas de conseil juridique. À partir de 19 € par mois : voir les tarifs ou voir une démonstration.

Questions fréquentes

Peut-on mettre des données personnelles dans ChatGPT ?

Pas dans un compte personnel grand public. La CNIL recommande de ne soumettre que des informations que vous êtes autorisé à partager. Avec une offre d’entreprise, c’est à votre organisation d’en décider au cas par cas, avec son délégué à la protection des données.

Le RGPD interdit-il d’utiliser l’IA au travail ?

Non. Il encadre ce que vous faites des données personnelles, avec l’IA comme avec tout autre outil. Reformuler un texte général ne met aucune donnée personnelle en jeu ; les règles de confidentialité de votre entreprise restent valables.

Faut-il une charte d’utilisation de l’IA ?

La CNIL le recommande : une politique ou une charte interne qui définit clairement les usages autorisés et les usages interdits, avec une formation des utilisateurs.

Faut-il une analyse d’impact (AIPD) ?

Elle est obligatoire quand un traitement est susceptible d’engendrer un risque élevé pour les personnes (article 35 du RGPD). Pour l’IA générative, la CNIL recommande d’associer le DPO et, le cas échéant, d’en réaliser une.

Qui est responsable si un salarié utilise mal l’IA ?

L’organisation. La CNIL rappelle que c’est elle qui engage sa responsabilité en cas de mauvaise utilisation de l’IA par son personnel.

IA et RGPD au travail les bons réflexes, selon la CNIL