Accueil › Blog › L'employeur, ChatGPT et tes données

L'employeur a-t-il le droit d'utiliser ChatGPT avec tes données ?

Publié le 16 septembre 2026 · par Amine, AI business analyst en CAC 40, certifié DPO · 7 min de lecture

Ton employeur a branché ChatGPT, Copilot ou un outil maison sur les données de l'entreprise. Tes e-mails, ta fiche de poste, ton évaluation annuelle, parfois ton nom et ton parcours sont passés dedans. La question que personne ne pose à voix haute, c'est celle-ci : a-t-il le droit ?

Pourquoi brancher ChatGPT sur les données de l'entreprise est un acte juridique, pas un choix d'outil

Il y a une confusion répandue, et elle arrange bien des directions : on présente l'arrivée d'un outil d'IA générative comme une décision informatique. On change de logiciel, comme on est passé d'Excel à un autre tableur. Ce n'est pas la même chose, et la différence tient en un mot : traitement de données personnelles.

Quand un employeur ouvre un accès ChatGPT à ses équipes, ou pire, quand il connecte l'outil à la base de données de l'entreprise, il ne déploie pas un logiciel. Il met en œuvre un traitement au sens du RGPD (règlement UE 2016/679). Et ce règlement ne s'intéresse pas à savoir si l'outil est « sécurisé » ou « en interne ». Il s'intéresse à ce qui arrive aux données des personnes — y compris les tiennes, salarié.

Le point décisif, c'est que la responsabilité repose sur l'employeur, pas sur OpenAI, Microsoft ou Google. Dans le langage du RGPD, l'employeur est le responsable du traitement : c'est lui qui décide de la finalité et des moyens. Le fournisseur de l'outil n'est qu'un sous-traitant. Si quelque chose se passe mal, c'est l'employeur qu'on regarde, pas l'éditeur.

Que dit le RGPD quand un outil d'IA traite tes données ?

Le RGPD pose des principes qu'on résume toujours trop vite, alors qu'ils font l'essentiel du sujet. Le premier, c'est la finalité (article 5) : un traitement doit avoir un but précis, explicite et légitime, défini avant. « Utiliser l'IA pour être moderne » n'est pas une finalité. « Résumer les comptes rendus de réunion » en est une, et elle change tout ce qui suit.

Le deuxième, c'est la minimisation : on ne traite que les données strictement nécessaires au but annoncé. Si l'objectif est de reformuler des notes de réunion, le nom des participants, leur ancienneté ou leur salaire n'ont rien à faire dans le lot. Le troisième, c'est la limitation de conservation : on ne garde pas les données plus longtemps que nécessaire. Et le quatrième, la sécurité : on protège les données contre l'accès non autorisé et la fuite.

La CNIL a traduit ces principes pour l'IA dans ses recommandations sur le développement des systèmes d'intelligence artificielle, adoptées en 2024. Elle y insiste sur un point que beaucoup d'entreprises découvrent après coup : l'adoption d'un outil d'IA ne dispense d'aucune des obligations classiques du RGPD. Au contraire, elle les rend plus difficiles à tenir, parce que l'outil brasse plus de données, plus vite, et qu'on voit moins bien où elles vont.

Pourquoi ton consentement ne suffit pas

C'est ici que se joue le malentendu le plus fréquent. Beaucoup d'employeurs pensent être couverts dès lors qu'ils ont fait signer un formulaire. « Tu acceptes que tes données soient traitées par nos outils d'IA. » Cette phrase a l'apparence du consentement, et elle n'en est pas un.

Le RGPD exige qu'un consentement soit libre. Or, entre un employeur et un salarié, il y a un lien de subordination : refuser, c'est risquer de se faire remarquer, et le salarié le sait. Les autorités européennes l'écrivent noir sur blanc depuis longtemps : dans une relation d'emploi, le consentement est rarement « donné librement », donc rarement valable comme base légale. Le G29, l'ancêtre du Comité européen de la protection des données, le rappelait déjà dans ses lignes directrices sur le consentement.

Ce que ça change, concrètement : l'employeur ne peut pas se réfugier derrière « ils ont dit oui ». Il doit appuyer son traitement sur une autre base, le plus souvent son intérêt légitime — c'est-à-dire démontrer que l'intérêt de l'entreprise est réel, que le traitement est nécessaire pour l'atteindre, et qu'il ne l'emporte pas abusivement sur tes droits. C'est une démonstration à faire, pas une case à cocher.

Quelles données ton employeur peut-il confier à l'outil, et lesquelles sont interdites ?

Il y a une ligne rouge absolue, et elle porte sur les données sensibles au sens du RGPD (article 9) : l'origine, les opinions politiques ou religieuses, l'appartenance syndicale, la santé, l'orientation sexuelle. Les traiter exige une base légale spécifique, presque impossible à réunir pour un usage courant d'IA générative. Autrement dit, si des dossiers de santé ou des listes d'adhérents syndicaux passent dans l'outil, c'est illégal dans l'immense majorité des cas, et il n'y a pas de débat.

En dehors de cette zone rouge, la règle est celle de la minimisation. Une fiche de poste anonymisée pour étudier une réorganisation, à la limite. Un CV complet avec nom, coordonnées et parcours collé dans une fenêtre ChatGPT pour « avoir un avis », non — il n'y a aucune finalité légitime qui le justifie sans information préalable.

Et il y a le cas que tout le monde minimise : le transfert hors Union européenne. Quand l'outil est hébergé par un fournisseur américain, les données peuvent sortir de l'UE. Le RGPD exige alors des garanties précises, typiquement des clauses contractuelles types. Si ton employeur n'a signé aucun contrat de sous-traitance avec le fournisseur, il traite tes données sans filet juridique. La CNIL le rappelle dans ses questions-réponses sur l'utilisation d'un système d'IA générative : entreprise utilisatrice, tu dois identifier ta base légale, informer les personnes, fixer une durée de conservation et sécuriser les transmissions.

Ce que ton employeur doit te dire, et comment vérifier qu'il le fait

Le RGPD impose une obligation d'information (articles 13 et 14). Tu as le droit de savoir que tes données sont traitées par un outil d'IA, pour quelle finalité, sur quelle base légale, pendant combien de temps, et vers qui elles partent. Ce n'est pas une faveur, c'est un droit.

Concrètement, cherche deux choses. D'abord, l'information : un mail, une note, une charte, une mise à jour du registre des traitements, ou la politique de confidentialité interne. Ensuite, le registre des traitements : toute entreprise qui traite des données de salariés doit tenir ce registre, et l'usage d'un outil d'IA doit y figurer avec sa finalité et sa base légale. Si rien n'existe, ou si on te répond « c'est un outil interne, ça ne te concerne pas », c'est un signal.

Tu peux aussi exercer tes droits : accès (quelles données me concernent sont traitées ?), rectification, opposition dans certains cas. L'exercice de ces droits ne coûte rien et ne peut pas te porter préjudice. Un employeur qui traite tes données dans une IA sans t'avoir informé ni prévu l'exercice de tes droits est déjà en infraction, indépendamment de ce que fait l'outil lui-même.

Ce qui est clairement interdit, et ce que tu peux faire si tu as un doute

Résumons ce qui tombe sous le coup de l'interdiction, ou presque. Traiter des données sensibles sans base légale. Coller des données de salariés dans un outil sans finalité précise ni information préalable. S'appuyer sur un consentement qui n'en est pas un. Transférer des données hors UE sans contrat ni garanties. Utiliser en secret un outil qui note, trie ou évalue les personnes sans qu'elles le sachent.

Si tu as un doute, commence par demander des comptes, par écrit, à ton employeur ou au délégué à la protection des données s'il y en a un. Si la réponse ne vient pas ou ne te convainc pas, tu peux saisir la CNIL, qui peut contrôler l'entreprise et prononcer des sanctions. Ce n'est pas un geste anodin, mais c'est un droit, et il existe précisément pour les situations où l'employeur avance plus vite que la règle.

Une dernière chose, sur laquelle je veux être net : je ne suis pas avocat, et ce texte n'est pas un conseil juridique. C'est une lecture de cadre, faite par quelqu'un qui a passé des années à faire respecter ces règles du côté de l'entreprise. La règle est la même des deux côtés de la table : quand une IA touche à des données de personnes, quelqu'un doit pouvoir expliquer ce qu'il en fait, pourquoi, et jusqu'où. Ton employeur y est tenu. Tu as le droit de le lui demander.

Questions fréquentes

Écrit par Amine Lounnas

AI business analyst depuis cinq ans dans des grands groupes du CAC 40 — banque, assurance, énergie. Certifié DPO et CIPP/E. Mon métier consiste à identifier quelles tâches une entreprise peut automatiser ; ce site retourne cette méthode vers les salariés.

Qui écrit ici, et comment →