Peut-on envoyer des données clients à ChatGPT ?
La réponse courte : pas en l’état. La réponse utile tient en trois points — la responsabilité que vous engagez, ce que « envoyer » veut dire techniquement, et le montage qui rend l’usage défendable.
Mis à jour le
Ce que vous engagez juridiquement
Transmettre des données à caractère personnel à un LLM hébergé hors de votre périmètre fait de vous le responsable de traitement au sens du RGPD. Cela suppose une base légale, une finalité définie, une durée de conservation, une information des personnes, et — si le fournisseur est hors UE — un mécanisme d’encadrement du transfert.
Le point que la plupart des équipes manquent : ce n’est pas parce qu’un outil est accessible qu’il est conforme. La responsabilité reste la vôtre, pas celle d’OpenAI, d’Anthropic ou de Google.
« Envoyer » ne veut pas dire une seule chose
- API grand public sans engagement : vos requêtes peuvent servir à l’amélioration du service. À proscrire pour toute donnée personnelle.
- Offres entreprise (ChatGPT Enterprise, API avec zéro rétention, Azure OpenAI) : pas d’entraînement sur vos données, souvent un hébergement UE et un DPA. Recevable, sous conditions contractuelles vérifiées.
- Modèle hébergé chez vous ou dans un cloud UE : la donnée ne quitte jamais votre périmètre. Le seul montage qui supprime la question du transfert.
Le montage qui rend l’usage défendable
L’approche que je déploie chez Karven.ai inverse le problème : les données sensibles sont anonymisées ou pseudonymisées on-premise, avant de quitter votre infrastructure. Le modèle ne voit jamais l’identifiant — il travaille sur un texte où les éléments identifiants ont été remplacés par des jetons, puis la réponse est ré-associée côté client.
C’est plus long à mettre en place qu’un simple appel d’API, et c’est la version la plus robuste devant un contrôle de la CNIL.
Questions fréquentes
ChatGPT Enterprise est-il conforme au RGPD ?
Il lève l’obstacle de l’entraînement sur vos données et propose un cadre contractuel (DPA), ce qui le rend utilisable pour bien des cas. Mais « utilisable » suppose une base légale, une finalité et une information des personnes de votre côté — la conformité ne s’achète pas avec une licence, elle se documente.
Et si j’anonymise avant d’envoyer ?
C’est la bonne direction, à condition que l’anonymisation soit réelle. Masquer un nom mais laisser un numéro de dossier, une adresse ou une date de naissance ne suffit pas : la ré-identification reste possible, et le RGPD s’applique toujours. L’anonymisation doit être conçue, testée et pratiquée en amont, on-premise.
Le RGPD ou l’AI Act : lequel s’applique ici ?
D’abord le RGPD, parce qu’il y a traitement de données personnelles. L’AI Act se superpose selon votre rôle et votre cas d’usage. Un usage peut être conforme à l’un et pas à l’autre.
Sources
EU AI Act : calendrier à jour au 10 juillet 2026, haut risque au 2 décembre 2027 sous réserve JOUE. Ce qui s’applique déjà, sanctions, par où commencer.
À lire aussi
- Mon système d’IA est-il à haut risque au sens de l’AI Act ? — Ce que l’annexe III de l’EU AI Act classe à haut risque, les cas les plus souvent mal qualifiés, et comment documenter la qualification. À jour 2026.
- EU AI Act, article 50 : que faire avant le 2 août 2026 ? — Les cinq obligations de transparence de l’article 50 de l’EU AI Act, applicables au 2 août 2026 : qui doit quoi, marquage des contenus IA, sanctions.