RGPD et intelligence artificielle : les conditions d'un usage conforme en cabinet
Le règlement général sur la protection des données ne fait pas obstacle à l'usage de l'intelligence artificielle : il en fixe les conditions. Celles-ci tiennent en un nombre limité de vérifications, à la portée d'un cabinet.
Le RGPD ne comporte aucune disposition interdisant l'intelligence artificielle ; il n'en emploie pas le terme. Son objet est le traitement des données personnelles, quel que soit l'outil qui les manipule. Une IA relève, à cet égard, du même régime qu'un logiciel métier ou qu'un tableur. Elle a toutefois considérablement facilité la transmission de données sensibles vers l'extérieur.
Ce qu'est une interdiction fondée sur le RGPD
L'exemple italien permet de mesurer la nature réelle d'une interdiction. En mars 2023, l'autorité italienne de protection des données, le Garante, a suspendu l'accès à ChatGPT sur l'ensemble du territoire. La décision reposait sur des motifs précis : absence de base légale pour la collecte des données d'entraînement, information insuffisante des utilisateurs et défaut de contrôle de l'âge. Après mise en conformité — information des utilisateurs, faculté de refuser l'entraînement, dispositif de vérification de l'âge —, l'accès a été rétabli fin avril, soit un mois plus tard.
Le RGPD n'est pas dépourvu de portée contraignante : le même régulateur a prononcé, en décembre 2024, une amende de 15 millions d'euros à l'encontre d'OpenAI. La sanction visait des manquements déterminés, et non le principe même de l'outil.
Les quatre questions à examiner
Avant tout usage professionnel d'une IA, quatre points doivent être vérifiés :
- la localisation du traitement des données : au sein de l'Union européenne ou en dehors ;
- leur éventuelle réutilisation à des fins d'entraînement du modèle ;
- la possibilité d'en obtenir l'effacement à la demande d'une personne concernée ;
- l'existence d'un accord de sous-traitance engageant le fournisseur sur les points précédents.
À chacune de ces questions correspond une réponse satisfaisante dès lors que l'offre retenue est adaptée.
La différence entre offre gratuite et offre professionnelle
Un même outil ne relève pas du même régime contractuel selon sa version. Les offres entreprise — ChatGPT dans sa formule Team, ou Mistral, dont les serveurs sont hébergés en France — prévoient l'absence de réutilisation des données, un hébergement européen et la signature de l'accord de sous-traitance exigé par le RGPD. L'interface est identique ; les engagements sous-jacents diffèrent sensiblement. Le choix entre ces différentes solutions est détaillé dans le comparatif ChatGPT, Claude ou Mistral.
La mise en conformité repose ainsi sur un ensemble de mesures limitées : souscription d'un abonnement professionnel, désactivation de l'entraînement, anonymisation des dossiers lorsque l'identification n'est pas nécessaire et conservation de l'accord signé. L'ordre de grandeur est celui d'une demi-journée de travail.
L'accompagnement et la question du DPO
C'est précisément le service que Greg AI propose aux cabinets et aux entreprises : sélection de la version qui protège les données, paramétrage des outils sur les postes, hébergement des données sur des serveurs européens et archivage de l'accord de sous-traitance. La conformité est ainsi prise en charge de bout en bout, au lieu de reposer sur la vigilance permanente d'un praticien surchargé, laquelle se révèle, en pratique, difficile à maintenir.
La désignation d'un délégué à la protection des données (DPO) n'est, dans la majorité des cas, pas requise pour ces usages. Elle n'est obligatoire que dans des situations déterminées : traitement à grande échelle, traitement de données sensibles à grande échelle ou organisme public. Un cabinet de dix personnes utilisant deux outils correctement paramétrés n'y est généralement pas tenu.
Documenter les usages
Au-delà du choix de l'outil, le RGPD suppose une capacité à rendre compte des traitements effectués. Pour un cabinet, cela se traduit par la tenue d'un inventaire simple des outils d'IA utilisés, des catégories de données concernées et des garanties associées à chaque fournisseur. Ce registre, exigé dans son principe par le règlement, n'a pas à être complexe : un tableau tenu à jour suffit dans la plupart des structures. Il constitue la première pièce demandée en cas de contrôle et facilite l'exercice des droits des personnes, notamment les demandes d'effacement.
L'articulation avec le règlement européen sur l'IA
Le RGPD n'est pas le seul cadre applicable. Le règlement européen sur l'intelligence artificielle (AI Act), entré en vigueur en août 2024, s'applique de manière progressive au cours des années suivantes. Il classe les systèmes selon leur niveau de risque et impose des obligations proportionnées. La plupart des usages professionnels courants — rédaction, synthèse, assistance — relèvent des catégories les moins contraignantes. Les deux textes se cumulent sans se confondre : le RGPD encadre les données personnelles, le règlement sur l'IA encadre les systèmes eux-mêmes. Les professions soumises à des obligations spécifiques, tels les avocats tenus au secret professionnel, doivent en outre respecter leur cadre déontologique propre.
En synthèse
Le principal risque, en matière de RGPD, ne réside pas dans un outil configuré avec soin, mais dans les usages non déclarés : comptes gratuits ouverts par des collaborateurs, sans paramétrage ni encadrement. Le règlement ne sanctionne pas le recours à l'intelligence artificielle ; il sanctionne l'absence de maîtrise des traitements effectués.
Questions fréquentes
Le RGPD interdit-il d'utiliser ChatGPT au cabinet ?
Non. Le RGPD n'interdit aucun outil ; il encadre le traitement des données personnelles. L'usage d'une IA est licite dès lors que la localisation des données est connue, qu'elles ne servent pas à entraîner le modèle à l'insu du cabinet et qu'un accord de sous-traitance a été conclu avec le fournisseur.
Faut-il un DPO pour utiliser l'IA dans un petit cabinet ?
Dans la majorité des cas, non. La désignation d'un délégué à la protection des données n'est obligatoire que dans des situations déterminées (traitement à grande échelle, données sensibles à grande échelle, organisme public). Un cabinet de quelques personnes utilisant des outils correctement paramétrés n'y est généralement pas tenu.
La version gratuite de ChatGPT est-elle conforme au RGPD ?
Pour des données confidentielles, non, en l'état. Par défaut, les saisies peuvent être conservées et servir à l'entraînement, sans accord de sous-traitance. Les offres professionnelles telles que Team ou Enterprise modifient ce régime : absence de réutilisation des données, hébergement européen possible, accord signé.
Qu'est-ce que l'accord de sous-traitance et pourquoi compte-t-il ?
Il s'agit du document (souvent désigné par le sigle DPA) par lequel le fournisseur s'engage juridiquement sur le traitement des données : absence de réutilisation, localisation de l'hébergement, effacement sur demande. Le RGPD l'exige dès qu'un tiers traite des données personnelles pour le compte du cabinet. En son absence, la responsabilité du cabinet est engagée, quand bien même l'outil serait techniquement sûr.
Cet article a une vocation informative et pédagogique ; il ne constitue pas un conseil juridique. La réglementation et son interprétation évoluent : pour un cas précis, il convient de se rapprocher de son délégué à la protection des données ou d'un conseil.