Envoi d'une base clients vers ChatGPT: ce qui est légal

Considérez ce texte comme les notes d'un praticien partagées librement: nous montrons comment les choses se passent habituellement, pas comment elles doivent obligatoirement se dérouler chez vous. Vous travaillez dans un bureau de 50 personnes. Un commercial lève les yeux de son ordinateur portable et vous confie que depuis un mois, il colle des extraits de la base clients dans ChatGPT pour rédiger ses devis plus rapidement. Cela fonctionne et lui fait gagner 2 heures par jour. Une question se pose: est-ce légal ? Pour une entreprise responsable du traitement des données, la réponse dépend d'un seul point: le type de compte de ce commercial et l'existence d'un accord de sous-traitance signé avec le fournisseur. La plupart des PME utilisent des comptes personnels gratuits, ce qui représente le pire scénario possible.

AIImage générée par IA.

La différence n'est pas anecdotique. Avec les offres Free et Plus, OpenAI agit en tant que responsable du traitement: aucun accord de sous-traitance n'est conclu et les contenus peuvent servir à l'entraînement des modèles. Avec les offres Team, Enterprise et API, OpenAI agit en sous-traitant, signe un Data Processing Addendum et permet de désactiver l'entraînement sur les données du client. C'est l'arbitrage initial qui conditionne tout le reste. La base juridique repose généralement sur l'article 6, paragraphe 1, point b ou f du RGPD, et sur l'article 9 pour les données sensibles. À la suite de la décision de la Commission du 10 juillet 2023, le transfert vers les États-Unis s'appuie sur le Data Privacy Framework, sous réserve de certification du prestataire.

Ce qui peut être fait cette semaine

Étape 1: vérifiez les types de comptes utilisés. Durée: 30 minutes, pris en charge par la direction ou l'IT. Interrogez les équipes vente et marketing pour identifier qui utilise ChatGPT, Claude ou Gemini, et si la connexion s'effectue avec un e-mail professionnel ou personnel. Étape 2: passez à un compte entreprise. Durée: 1 jour, pris en charge par l'administrateur. Pour 50 personnes, le coût s'élève à environ 15 000–30 000 PLN par an avec l'offre Team (25–30 USD par utilisateur et par mois). Les offres Team et Enterprise permettent de signer un DPA et de désactiver l'entraînement dans les paramètres. Étape 3: complétez le registre des activités de traitement. Durée: 2 heures, pris en charge par le responsable RGPD. La fiche doit mentionner: le nom du traitement (ex. « Préparation de propositions commerciales via ChatGPT Team »), la finalité, la base juridique, les catégories de personnes et de données, le destinataire (OpenAI Ireland Ltd en qualité de sous-traitant), le transfert vers les États-Unis fondé sur l'article 45 du RGPD combiné au DPF, la durée de conservation (jusqu'à 30 jours pour l'API, durée du contrat pour Enterprise) ainsi que les mesures de sécurité. Étape 4: mettez à jour la politique de confidentialité et informez les collaborateurs. Durée: 2 heures, pris en charge par le marketing ou le service juridique. Ajoutez simplement un paragraphe désignant le nouveau sous-traitant et rappelez par e-mail de ne soumettre au modèle que les données strictement nécessaires au traitement.

Ce qu'il ne faut pas faire immédiatement

N'achetez pas d'emblée l'offre Enterprise: pour 50 personnes, elle s'avère souvent disproportionnée, l'offre Team suffit et le tarif peut doubler. Ne déployez pas un modèle open source local dans le seul but d'éviter le cloud: ce chantier prendrait des mois, alors qu'un compte entreprise règle le problème en une semaine. Ne réécrivez pas votre politique de confidentialité de zéro: un avenant à la version existante suffit généralement. Ne bloquez pas totalement l'accès des collaborateurs à l'IA, car ils basculeraient sur des comptes personnels, vous privant de tout contrôle. Enfin, ne signez aucun DPA sans vérifier au préalable la présence effective du fournisseur dans le moteur de recherche du Data Privacy Framework: un document contractuel ne suffit pas en l'absence de certification valide.

AIImage générée par IA.

Comment vérifier l'efficacité au bout de deux semaines

Un seul indicateur : le pourcentage de collaborateurs utilisant l'IA sur un compte professionnel avec l'entraînement désactivé. La lecture est simple : vérifiez dans le panneau d'administration OpenAI combien de personnes se connectent avec leur e-mail professionnel et combien utilisent encore des comptes privés. Si après deux semaines plus de 20% des utilisateurs travaillent encore sur des comptes gratuits, la formation n'a pas suffi : relancez l'échange ou bloquez techniquement l'accès aux versions gratuites. En dessous de 20%, la situation est acceptable pour démarrer ; vous ajusterez le reste le mois suivant.

Les coûts de cette semaine concernent surtout le temps passé : environ 6 heures de travail au total, réparties sur quatre personnes. Les licences d'entreprise représentent 15 000–30 000 PLN par an, mais comparez ce montant au risque : l'amende pour absence de base légale ou d'accord de sous-traitance atteint 20 millions d'EUR ou 4% du chiffre d'affaires annuel. En pratique, les PME écopent rarement de la sanction maximale, mais la procédure d'instruction de la CNIL locale peut durer des mois. Si vous préférez déléguer, HEXART déploie ces configurations chez ses clients : choix de l'offre, signature du DPA, inscription au registre et formation des équipes. Sans révolutionner vos méthodes, en une semaine.