# Peut-on mettre des données clients dans ChatGPT ? Ce que le RGPD autorise et ce que coûtent les offres pro > Ce que le RGPD autorise reellement quand on met des donnees clients dans une IA, les offres pro a comparer et leurs prix. Source : /article.php?a=peut-on-mettre-des-donnees-clients-dans-chatgpt-ce-que-le-rgpd-autorise-et-ce-que-coutent-les-offres-pro Rubrique : Outils IA · Publié le 08.08.2026 · Mis à jour le 08.08.2026 --- En bref. Oui, vous pouvez traiter des données clients avec une IA générative, à condition d’utiliser une offre professionnelle qui n’entraîne pas ses modèles sur vos contenus, de signer l’accord de sous-traitance proposé par l’éditeur et d’inscrire ce traitement dans votre registre. Comptez 25 à 30 € par utilisateur et par mois pour une offre équipe conforme. Les comptes gratuits et les abonnements personnels, eux, ne sont pas adaptés à des données clients identifiables. ## Ce que le RGPD dit vraiment, et ce qu’il ne dit pas Aucun texte n’interdit d’utiliser une intelligence artificielle pour traiter des données personnelles. Le RGPD ne connaît pas la notion d’« outil IA » : il encadre des traitements. Quand vous collez le nom, l’e-mail et l’historique d’achat d’un client dans un assistant conversationnel, vous effectuez un traitement de données personnelles, et vous devenez responsable de ce traitement. L’éditeur de l’outil, lui, est votre sous-traitant. De cette qualification découlent quatre obligations concrètes, et elles sont toutes réalisables en une demi-journée : - Une base légale. Pour un usage interne d’aide à la rédaction ou à l’analyse, l’intérêt légitime suffit généralement. Il faut simplement pouvoir en justifier. - Un accord de sous-traitance (DPA). Les éditeurs sérieux le proposent en libre acceptation depuis leur interface d’administration. Sans DPA signé, le traitement est irrégulier, quel que soit le sérieux de l’outil. - Une inscription au registre des traitements. Une ligne : finalité, catégories de données, outil utilisé, durée de conservation, destinataires. - Une information des personnes concernées. Une mention dans votre politique de confidentialité indiquant que des outils d’IA peuvent intervenir dans le traitement de leurs données. Deux points sont souvent mal compris. D’abord, l’hébergement aux États-Unis n’est pas un obstacle en soi : les transferts sont couverts par des clauses contractuelles types ou par le cadre d’adéquation entre l’Union européenne et les États-Unis, selon les éditeurs. Ensuite, une analyse d’impact (AIPD) n’est obligatoire que pour les traitements à risque élevé — profilage à grande échelle, données sensibles, décisions automatisées ayant un effet juridique. Résumer des e-mails clients n’entre pas dans cette catégorie. ## La vraie ligne de partage : entraînement sur vos données ou non La différence déterminante entre les offres ne porte pas sur le modèle, qui est souvent le même, mais sur ce que l’éditeur fait de vos saisies. Trois niveaux existent, et un seul convient à des données clients. NiveauEntraînement sur vos contenusDPA disponibleAdapté aux données clients Compte gratuitSouvent activé par défaut, désactivable dans les réglagesNonNon Abonnement individuel payantSouvent activé par défaut, désactivableRarementNon, sauf données anonymisées Offre équipe ou entrepriseDésactivé contractuellementOui, en libre acceptationOui Accès par APIDésactivé par défaut chez les principaux fournisseursOuiOui Le point important : sur un abonnement personnel, désactiver l’entraînement dans les réglages améliore la situation mais ne remplace pas un contrat. En cas de contrôle, un réglage cochable à tout moment ne constitue pas une garantie opposable. C’est le DPA qui fait foi. ## Les offres et leurs prix Voici les ordres de grandeur constatés à la mi-2026 pour les offres professionnelles des principaux acteurs. Les tarifs s’entendent hors taxes, par utilisateur et par mois, avec engagement annuel pour les prix les plus bas. OffrePrix indicatif par utilisateur et par moisMinimum de siègesPoints notables ChatGPT Business25 à 30 €1 à 2 selon la formuleDPA en libre acceptation, console d’administration, connecteurs vers les outils métier Claude Team25 à 30 €5DPA disponible, gestion centralisée, limites d’usage élevées Microsoft 365 Copilot28 à 32 €1Données traitées dans le périmètre de votre abonnement Microsoft 365 existant Gemini pour Google WorkspaceInclus dans les formules Business et Enterprise1Pas de surcoût si vous êtes déjà sur Workspace Offres entreprise sur devisÀ partir de 55 à 60 €70 à 150 selon l’éditeurAuthentification unique, journalisation, contrôles de conformité avancés Pour une équipe de cinq personnes, le budget conforme se situe donc autour de 125 à 150 € par mois, soit 1 500 à 1 800 € par an. Si vous êtes déjà équipé de Google Workspace ou de Microsoft 365, vérifiez d’abord ce que votre formule actuelle inclut : beaucoup de structures paient deux fois sans le savoir. Avant de souscrire, demandez une seule chose à l’éditeur : le lien direct vers son accord de sous-traitance et la liste de ses sous-traitants ultérieurs. Un fournisseur qui ne peut pas fournir ces deux documents en moins de 48 heures n’est pas prêt pour un usage professionnel. ## Ce que vous pouvez saisir, ce que vous ne devez pas Même avec une offre conforme, le principe de minimisation s’applique : ne transmettez que ce qui est nécessaire à la tâche. En pratique, cela donne une règle simple à afficher dans votre équipe. Acceptable avec une offre professionnelle : e-mails clients à résumer ou à traduire, comptes rendus de rendez-vous, fichiers de ventes avec noms de sociétés, cahiers des charges, retours d’enquête de satisfaction, historiques de commandes. À éviter systématiquement : données de santé, informations bancaires complètes, numéros de sécurité sociale ou de pièce d’identité, données relatives à des mineurs, éléments de procédure judiciaire, secrets industriels de vos propres clients lorsque votre contrat avec eux ne le permet pas. Pour ces catégories, la question n’est pas celle de l’outil mais celle du risque en cas d’incident. ## La pseudonymisation, méthode qui règle la plupart des cas Une grande partie des usages courants ne nécessite aucune donnée identifiante. Si vous demandez à une IA d’analyser 400 réponses à une enquête ou de repérer les motifs de résiliation dans vos e-mails de support, les noms n’apportent rien au résultat. La méthode tient en trois gestes, cinq minutes par fichier : - Dans votre export, remplacez la colonne des noms par un identifiant simple (Client_001, Client_002). Une formule de tableur suffit. - Supprimez les colonnes e-mail, téléphone et adresse, sauf si l’analyse porte spécifiquement dessus, auquel cas ne gardez que le département ou le code postal. - Conservez la table de correspondance dans un fichier distinct, sur votre poste, jamais transmis à l’outil. Vous obtenez la même qualité d’analyse avec une exposition très réduite. Et pour les tâches de rédaction personnalisée, où le nom compte réellement, faites l’inverse : demandez à l’IA un modèle avec des variables, puis remplacez les variables localement dans votre outil d’e-mailing. ## La checklist de mise en conformité Pour une petite structure, la mise en conformité complète représente une demi-journée de travail, une fois pour toutes : - Choisir une offre professionnelle et accepter le DPA depuis la console d’administration. - Vérifier dans les réglages que l’amélioration des modèles à partir de vos contenus est désactivée, et faire une capture d’écran datée. - Ajouter une ligne au registre des traitements avec la finalité et la durée de conservation. - Ajouter deux phrases à la politique de confidentialité du site. - Rédiger une note interne d’une page : ce qui peut être saisi, ce qui ne le peut pas, qui contacter en cas de doute. - Fixer une revue annuelle : les conditions des éditeurs changent, la vôtre doit suivre. Un point de vigilance sur les outils tiers : beaucoup de logiciels que vous utilisez déjà — messagerie, CRM, outil de prise de notes, plateforme d’e-mailing — ont ajouté des fonctions d’IA au cours des derniers mois, parfois activées par défaut. Ces fonctions font transiter vos données vers un fournisseur de modèle, souvent différent de celui indiqué dans le contrat initial. Ouvrez les réglages de vos trois outils principaux et vérifiez deux choses : quelles fonctions d’IA sont actives, et si l’éditeur a mis à jour la liste de ses sous-traitants ultérieurs. C’est le trou le plus fréquent dans les dossiers de conformité des petites structures, bien avant l’usage direct d’un assistant conversationnel. Le principal risque, pour une TPE ou un indépendant, n’est pas la sanction administrative — les contrôles ciblent d’abord les traitements à grande échelle. C’est la question d’un client grand compte lors d’un appel d’offres : « utilisez-vous l’IA sur nos données, et sous quel contrat ? » Avoir une réponse écrite en trois lignes fait la différence entre un dossier qui avance et un dossier qui s’arrête. ## Questions fréquentes ### Puis-je utiliser un compte gratuit pour des données clients ? Non, pas pour des données identifiantes. Un compte gratuit ne s’accompagne d’aucun accord de sous-traitance, ce qui rend le traitement irrégulier même si vous désactivez l’entraînement dans les réglages. En revanche, il reste utilisable pour des tâches sans données personnelles : rédaction générique, résumé de documents publics, recherche d’idées. ### Faut-il demander le consentement de mes clients ? Dans la plupart des usages internes, non. L’intérêt légitime constitue une base légale suffisante pour des tâches d’assistance à la rédaction ou d’analyse, à condition d’informer les personnes dans votre politique de confidentialité. Le consentement redevient nécessaire si le traitement produit des décisions automatisées ayant un effet significatif sur la personne. ### Une IA hébergée en Europe est-elle obligatoire ? Non, ce n’est pas une obligation légale. Les transferts hors Union européenne sont encadrés par des clauses contractuelles types ou par un cadre d’adéquation. Un hébergement européen simplifie néanmoins le discours commercial vis-à-vis de clients publics ou de secteurs réglementés, et plusieurs éditeurs proposent aujourd’hui une option de résidence des données en Europe. ### Que se passe-t-il si un salarié colle un fichier sensible par erreur ? Documentez l’incident en interne, supprimez la conversation concernée depuis la console d’administration et vérifiez la politique de conservation de l’éditeur, généralement de 30 jours pour les contenus supprimés. Une notification à l’autorité de contrôle n’est requise que si l’incident présente un risque pour les droits des personnes, ce qui est rare pour une saisie unique dans un outil sous contrat.