Utiliser ChatGPT sans casser le RGPD : guide opérationnel pour PME wallonne

TL;DR

• ChatGPT gratuit et Plus ne sont pas compatibles avec un usage professionnel sur données personnelles. Pas de DPA, pas d'engagement contractuel de non-utilisation des prompts pour l'entraînement, pas de SOC 2.
• ChatGPT Business à 25 $/utilisateur/mois (annuel) règle le premier verrou : DPA RGPD signable, données exclues de l'entraînement par défaut, certifications SOC 2 Type II. C'est le minimum pour un usage PME légitime.
• Le deuxième verrou est interne : une charte IA signée par chaque collaborateur, qui liste les outils autorisés, les données interdites, et la règle de supervision humaine. Sans elle, l'AI Act vous expose dès le 2 août 2026.
• Les données qu'on ne colle JAMAIS : tout ce qui relève de l'article 9 du RGPD (santé, religion, opinion politique, vie sexuelle, syndicale, génétique, biométrique, origine ethnique), plus toute identité nominative de client/prospect sans base légale claire.
• L'alternative française Mistral Le Chat Pro à 14,99 €/mois est structurellement plus simple à défendre côté RGPD pour les PME qui traitent des données sensibles (santé, juridique, secret professionnel).

Pourquoi cet article maintenant

Vous utilisez ChatGPT depuis 2023 ou 2024. Vous avez vu qu'il fait gagner du temps sur les courriers, les résumés, les premiers brouillons. Vous avez peut-être pris un Plus pour avoir les bonnes versions. Mais à mesure que l'usage entre dans le quotidien, deux questions remontent.

La première : "est-ce que je suis vraiment en règle avec le RGPD quand je colle un email client ou un résumé de réunion ?" Réponse honnête : en ChatGPT gratuit ou Plus, non. Pas parce que c'est mal en soi, mais parce que le cadre contractuel et technique de ces offres n'est pas pensé pour traiter des données personnelles d'autrui.

La deuxième : "qu'est-ce qui change avec l'AI Act qui passe en application le 2 août 2026 ?" Selon le règlement européen 2024/1689 publié sur EUR-Lex, toute entreprise qui utilise un système IA général comme ChatGPT pour un usage professionnel devient "déployeur" et hérite d'obligations concrètes de formation, supervision, gestion des risques et documentation. La date butoir tombe juste après l'été.

Cet article est le guide concret qu'on aurait aimé donner à nos clients PME wallonnes il y a 18 mois. Il liste, étape par étape, ce qu'il faut activer côté outil, ce qu'il faut signer côté interne, et ce qu'il ne faut jamais coller. Avec les liens vers les sources légales et éditeurs officiels.

Étape 1 : passer en compte pro avec DPA signé

C'est le premier réflexe à avoir. Tant que vous êtes en gratuit ou Plus, le RGPD vous pèse plus qu'il ne vous protège.

Pourquoi la version gratuite ne suffit pas

OpenAI distingue très clairement ses offres grand public (Free, Plus, Pro à 200 $/mois en individuel) des offres entreprise (Business, Enterprise). La différence n'est pas seulement fonctionnelle, elle est contractuelle.

Sur les offres grand public, les prompts envoyés peuvent être utilisés pour améliorer les modèles (sauf opt-out explicite). Aucun DPA (Data Processing Addendum) signable n'est proposé. Aucune certification SOC 2 mise à disposition de l'utilisateur final. Aucun engagement sur la rétention des données.

Pour usage individuel à titre personnel (rédiger un mail à un ami, brainstormer une idée), c'est sans conséquence. Pour usage professionnel sur données personnelles, c'est une zone juridique grise au mieux.

Ce que ChatGPT Business apporte

Selon la page de pricing officielle OpenAI, ChatGPT Business (anciennement Team) démarre à 25 $/utilisateur/mois en facturation annuelle, 30 $ en mensuel. Pour ce prix, vous obtenez :

• DPA RGPD signable sous l'article 28 du règlement européen, avec OpenAI comme sous-traitant.
• Exclusion par défaut des prompts du training : ce que vous tapez ne sert pas à entraîner les modèles futurs.
• Certification SOC 2 Type II documentée et opposable.
• Workspace administré avec gestion centralisée des comptes, audit logs, SSO selon le palier.
• Engagement DPF (Data Privacy Framework) : OpenAI est inscrit au registre du Data Privacy Framework EU-US, ce qui constitue la base légale principale pour le transfert de données vers les États-Unis.

Et ChatGPT Enterprise ?

Selon la page Enterprise Privacy d'OpenAI, l'offre Enterprise démarre vers 60 $/utilisateur/mois avec un minimum de 150 sièges et un contrat annuel. Pour une PME 5-30 collaborateurs, ce n'est pas accessible. C'est dimensionné pour les ETI/grandes entreprises (banques, assurances, secteur public).

Enterprise ajoute des certifications supplémentaires (ISO 27017, 27018, 27701), un audit log avancé, une rétention configurable, et une option zéro-rétention disponible via API. Pour une PME standard, Business suffit.

Le piège du compte personnel "utilisé pour le pro"

C'est l'angle mort le plus fréquent. Un collaborateur a son ChatGPT Plus personnel à 20 $/mois, il l'utilise au bureau "parce que c'est pratique". Aucun DPA signé entre OpenAI et votre entreprise, aucune trace de qui a tapé quoi, et la conformité RGPD de votre boîte saute.

La règle simple : si votre entreprise a un usage professionnel régulier de ChatGPT, vous prenez une licence pro au nom de l'entreprise. Et vous interdisez formellement (par charte, voir Étape 2) tout usage de compte personnel à des fins professionnelles.

Étape 2 : la charte IA interne (le verrou que personne ne signe)

Une fois le compte pro activé, le travail RGPD n'est pas terminé. Il commence vraiment.

Pourquoi une charte est obligatoire en pratique

Trois textes la rendent indispensable, même si aucun ne la nomme explicitement :

1. Le RGPD vous oblige à documenter vos traitements de données personnelles. Si vos collaborateurs collent des données dans ChatGPT sans cadre, vous n'avez pas la cartographie nécessaire en cas de contrôle APD.
2. L'AI Act (règlement européen 2024/1689) impose à tout déployeur de système IA général une obligation de formation du personnel et de documentation des usages, à partir du 2 août 2026.
3. La directive NIS2 sur la cybersécurité, dans son champ d'application, requiert une politique d'usage des outils tiers pour les opérateurs essentiels et importants.

L'Autorité de Protection des Données belge (APD) communique régulièrement sur ces obligations. La transparence vis-à-vis des utilisateurs (clients, prospects, salariés) est répétée comme un fil rouge : si l'IA a produit un contenu, il faut le dire.

Ce que doit contenir la charte minimale

Pour une PME 5-30 collaborateurs, la charte tient en 3 à 5 pages. Pas plus. Une charte de 30 pages ne se lit pas et ne se signe pas vraiment. Voici les sections qui ont besoin d'y figurer :

1. Champ d'application : qui est concerné (tous les collaborateurs, sous-traitants, intérimaires), sur quels périmètres (au bureau, en télétravail, sur appareils perso).
2. Outils autorisés : la liste fermée des outils IA validés par l'entreprise (par défaut, ChatGPT Business sous compte entreprise + un éventuel deuxième outil).
3. Outils interdits par défaut : tout outil non listé, y compris ChatGPT gratuit et Plus en comptes personnels.
4. Données autorisées : ce qu'on peut coller (textes publics, brouillons internes, contenu déjà anonymisé).
5. Données interdites : la liste précise (voir Étape 3 ci-dessous).
6. Supervision humaine obligatoire : toute sortie IA est relue avant utilisation, jamais d'envoi automatique au client sans contrôle.
7. Mention de transparence : quand un contenu produit par IA est envoyé à un tiers, le mentionner si l'enjeu le justifie (devis, rapport, courrier d'information).
8. Traçabilité : un registre minimal de qui utilise quel outil, pour quel type de tâche. Indispensable pour la documentation AI Act.
9. Sanctions internes en cas de manquement (rappel à l'ordre, retrait d'accès, procédure disciplinaire).
10. Procédure de mise à jour : qui revoit la charte, à quelle fréquence (annuelle minimum).

Délai et coût réalistes

D'expérience terrain, une charte se rédige, se valide et se déploie en 4 à 6 semaines pour une PME 5-30 personnes. Le coût est négligeable financièrement, le coût en temps est essentiellement 1 à 2 réunions de l'équipe dirigeante plus 1 session de présentation aux équipes.

C'est le meilleur ratio investissement/protection juridique qu'on connaisse sur le sujet IA. À ce stade, le piège est de remettre à plus tard parce que "personne ne nous contrôle". Quand l'APD ou un client important demandera, vous aurez la réponse ou vous ne l'aurez pas.

Étape 3 : les données qu'on ne colle JAMAIS

La règle d'or : si vous ne colleriez pas l'information dans un email envoyé à un destinataire externe non identifié, vous ne la collez pas dans ChatGPT. Mais c'est trop vague pour servir de règle de travail. Voici les catégories précises.

Catégorie A : données sensibles RGPD article 9

L'article 9 du règlement européen 2016/679 interdit par défaut le traitement de neuf catégories particulières de données personnelles :

• Origine raciale ou ethnique
• Opinions politiques
• Convictions religieuses ou philosophiques
• Appartenance syndicale
• Données génétiques
• Données biométriques aux fins d'identification
• Données concernant la santé (médicale, mais aussi handicap, arrêt maladie, vaccination, suivi psy)
• Données concernant la vie sexuelle ou l'orientation sexuelle
• Données relatives à des condamnations pénales (article 10, à associer)

Le principe est l'interdiction. Les 10 exceptions de l'article 9.2 (consentement explicite, droit du travail, intérêt vital, etc.) sont étroites et nécessitent une base légale solide. Pour 99 % des cas PME, vous ne collez jamais ce type de données dans ChatGPT, point.

Catégorie B : identité nominative tiers sans base légale

Coller un nom + prénom + email + téléphone + adresse d'un prospect ou client dans ChatGPT pour "rédiger une relance" est techniquement un traitement de données personnelles. Sans DPA OpenAI signé (offre pro) et sans base légale claire (consentement, intérêt légitime, contrat), c'est une violation RGPD documentée.

La parade simple : anonymiser avant de coller. "Le client X, secteur Y, dossier en cours sur Z" remplace "Pierre Dupont, gérant de Dupont Construction SPRL, dossier devis du 15 mars". L'IA fait le même travail rédactionnel, votre conformité est intacte.

Catégorie C : informations couvertes par secret professionnel

Pour les cabinets juridiques, médicaux, comptables, financiers et notariaux, toute information client peut tomber sous le secret professionnel. En droit belge, l'article 458 du Code pénal sanctionne pénalement le manquement.

Coller un extrait de dossier client dans un outil tiers non encadré contractuellement peut être assimilé à une divulgation. Le cadre minimal : compte pro avec DPA signé, anonymisation systématique des éléments identifiants, et de préférence usage d'un outil EU-native si la sensibilité est élevée.

Notre stack IA pour cabinet expert-comptable détaille ce point pour les cabinets ITAA.

Catégorie D : données salariées et RH

Coller dans ChatGPT le brouillon d'un courrier de licenciement, d'un entretien d'évaluation, d'une demande de congé maladie, c'est mélanger données personnelles classiques (article 6) et souvent données sensibles (article 9 si santé). C'est le cas typique où une simple anonymisation ne suffit pas, parce que le contenu lui-même est traçant.

La règle qu'on installe en mission : pour les sujets RH avec dimension personnelle, l'IA n'intervient qu'en interne, en compte pro entreprise, et la version finale est rédigée par un humain, jamais envoyée automatiquement.

Catégorie E : code source propriétaire et secret d'affaires

Pas RGPD, mais lié. Coller un extrait de votre code source unique, votre liste de prix négociés, votre stratégie commerciale dans un outil dont vous ne maîtrisez pas la chaîne de traitement est un risque économique. ChatGPT Business exclut vos prompts du training, mais la donnée transite par les serveurs OpenAI. Pour les éléments les plus sensibles, on reste sur outil interne ou outil EU-native.

Étape 4 : transferts de données et Data Privacy Framework

C'est l'étage le plus juridique de la pile, et celui qui change le plus vite.

Pourquoi le transfert vers les USA pose question

ChatGPT est édité par OpenAI, société américaine basée en Californie. Toute donnée que vous tapez transite par des serveurs majoritairement US. Le RGPD (chapitre V, articles 44 à 50) encadre strictement les transferts de données personnelles hors de l'EEE.

Pour qu'un transfert vers les USA soit légal, il faut une base parmi :

• Une décision d'adéquation de la Commission européenne (auparavant Privacy Shield, désormais Data Privacy Framework).
• Des garanties appropriées (Clauses Contractuelles Types post-Schrems II, règles d'entreprise contraignantes).
• Une dérogation ponctuelle (consentement explicite, exécution d'un contrat, etc.).

L'état du DPF en 2026

Selon le document officiel publié par la Commission européenne sur le DPF, la décision d'adéquation EU-US Data Privacy Framework a été adoptée le 10 juillet 2023. Elle remplace le Privacy Shield, lui-même invalidé en juillet 2020 par l'arrêt Schrems II de la Cour de justice de l'Union européenne (affaire C-311/18). Les détails pratiques pour les entreprises sont publiés dans la FAQ EDPB sur le DPF.

OpenAI est inscrit au registre du DPF côté américain (Program Overview du Data Privacy Framework). Ce qui signifie qu'en utilisant ChatGPT Business ou Enterprise avec DPA signé, le transfert de vos prompts vers les serveurs OpenAI US est juridiquement encadré.

Attention : le DPF est attaqué en justice européenne depuis 2024. Un éventuel arrêt "Schrems III" pourrait invalider le cadre comme l'a fait Schrems II avec le Privacy Shield. Le risque résiduel existe, mais en juin 2026 le DPF reste opérant.

Recommandation pratique

Pour la majorité des PME wallonnes, le combo "ChatGPT Business + DPA OpenAI + DPF" est défendable juridiquement en 2026. Pour les secteurs très sensibles (santé, finances réglementées, juridique, secret professionnel), il faut un cran de plus.

Étape 5 : les cas où l'alternative française pèse plus lourd

ChatGPT n'est pas la seule option. Selon votre profil de risque, deux acteurs européens sortent du lot pour 2026.

Mistral Le Chat Pro et Mistral Enterprise

Mistral AI est une société française fondée à Paris en 2023. Le positionnement officiel : modèle de langue européen souverain, infrastructure et siège en Europe, alternative structurelle à OpenAI.

Côté offre commerciale :

• Le Chat Pro à 14,99 €/mois selon la page pricing Mistral, équivalent ChatGPT Plus en individuel.
• Mistral Enterprise : données traitées sur serveurs européens, DPA RGPD article 28, hors CLOUD Act américain.
• Le Chat Team / Enterprise : permet usage collectif avec gestion des comptes.

Pour une PME qui traite des données sensibles (cabinet juridique, médecin, comptable, notaire, RH avec éléments article 9), Mistral simplifie radicalement la conversation RGPD. Pas de transfert hors EEE par défaut, pas de DPF instable, juridiction française et européenne.

Le compromis : à juin 2026, la qualité conversationnelle et la profondeur des fonctionnalités de l'écosystème Mistral restent en dessous de ChatGPT pour les usages génériques. Pour les usages métier ciblés (rédaction professionnelle, résumé, brouillon, traduction), c'est devenu un excellent choix.

Quand recommander quoi

En audit, voici la grille qu'on applique :

Étape 6 : la sanction réelle si rien n'est fait

Le RGPD prévoit des amendes administratives jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial annuel. L'AI Act monte plus haut : jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial pour les manquements graves selon le règlement 2024/1689.

Pour une PME wallonne 5-30 personnes, le risque n'est pas le plafond théorique. C'est l'effet domino concret :

• Sanction administrative APD : généralement entre 5 000 et 50 000 € pour une PME, mais publique et durable.
• Perte d'un client important si une fuite ou un non-respect de transparence est documenté.
• Coût de mise en conformité forcée sous délai court (10 fois plus cher que la prévention).
• Refus d'assurance cyber ou augmentation de prime si la politique IA est inexistante.

À comparer avec le coût d'une bascule en ChatGPT Business : 25 $/utilisateur/mois plus 4 à 6 semaines pour la charte interne. L'arithmétique penche dans un sens évident.

FAQ

Q: Peut-on utiliser ChatGPT Plus pour un usage strictement personnel et basculer sur Business pour le pro ?

Oui, c'est même la séquence recommandée. Le compte Business est au nom de l'entreprise, payé par l'entreprise, et utilisé exclusivement pour les tâches professionnelles. Le compte Plus reste au nom du collaborateur pour son usage perso. La charte interne interdit explicitement le mélange des deux usages.

Q: La version "Enterprise" est-elle obligatoire pour une PME 5-15 personnes ?

Non. Enterprise impose un minimum de 150 sièges et un contrat annuel coûteux. Business suffit pour la grande majorité des PME wallonnes et fournit les engagements DPA/SOC 2 nécessaires. Enterprise devient pertinent à partir de plusieurs centaines de collaborateurs ou pour des secteurs hyper-réglementés.

Q: Que faire si un collaborateur a déjà collé des données sensibles dans ChatGPT gratuit ?

Trois étapes immédiates. D'abord identifier le périmètre (quelles données, quand, sur quel compte). Ensuite alerter le DPO ou le référent RGPD interne pour évaluer s'il faut documenter une violation au sens de l'article 33 RGPD. Enfin formaliser la procédure interne pour éviter la récidive et basculer immédiatement sur le compte pro.

Q: La charte IA est-elle suffisante face à un contrôle APD ?

C'est une pièce maîtresse, pas la seule. L'APD attendra aussi le registre des traitements à jour, la mention dans la politique de confidentialité côté clients, la preuve de formation des équipes, et la documentation des outils utilisés. La charte est le squelette autour duquel ces pièces s'organisent.

Q: Quel est l'horizon temporel pour se mettre en règle ?

L'AI Act passe en application complète le 2 août 2026. C'est la date butoir effective. À six semaines de mise en place de la charte, vous avez encore le temps si vous démarrez maintenant, vous êtes en retard si vous démarrez après septembre 2026. Notre guide complet RGPD pour PME détaille ce calendrier.

Pour conclure

Mettre une PME en conformité sur l'usage de l'IA générative n'est ni compliqué ni cher. C'est une succession d'étapes simples : choisir un compte professionnel adéquat, signer une charte interne en 3 à 5 pages, former les équipes sur les données interdites, documenter les usages, et choisir l'outil le plus aligné avec votre niveau de sensibilité.

Le piège n'est pas la complexité technique, c'est la procrastination. Tant que tout marche, on se dit qu'on a le temps. Le jour où un client demande la politique IA de votre entreprise, ou où l'APD ouvre un dossier, le temps a disparu.

Le calendrier est connu : août 2026 pour l'application pleine de l'AI Act. Le travail à faire est précis et borné. La question n'est pas "si" il faut s'y mettre, c'est "quand". Pour les PME wallonnes qui veulent un plan d'action chiffré sur leur cas concret (effectif, secteur, outils déjà en place, niveau de sensibilité des données), on regarde la situation en 30 minutes et on remet une feuille de route claire. Réservez un audit Quick Wins gratuit et vous repartirez avec un plan que vous pouvez exécuter avant la rentrée, sans engagement.