Vos collaborateurs utilisent ChatGPT. Que dit la loi, et que faire ?

Ce que disent les textes

Le secret professionnel

L'expert-comptable est tenu au secret professionnel par l'article 21 de l'ordonnance du 19 septembre 1945. L'article 226-13 du Code pénal punit la révélation d'une information à caractère secret d'un an d'emprisonnement et de 15 000 € d'amende.

Coller le dossier d'un client dans un service en ligne grand public, c'est confier cette information à une entreprise tierce, sans contrat qui l'engage. La question mérite d'être posée avant que quelqu'un la pose à votre place.

Le RGPD

Un nom, un IBAN, un salaire ou une adresse sont des données personnelles. Le cabinet en est responsable. Un outil externe qui les traite pour lui est un sous-traitant, et l'article 28 du RGPD impose un contrat écrit avec lui. Si les données sortent de l'Union européenne, les règles de transfert s'ajoutent.

La CNIL

Dans ses questions-réponses sur l'IA générative du 18 juillet 2024, la CNIL recommande notamment d'interdire aux salariés de saisir des données personnelles ou confidentielles dans des services grand public, de désactiver la réutilisation des données par le fournisseur quand c'est possible, d'écrire une charte des usages autorisés et interdits, de former les utilisateurs, et de toujours porter un regard critique sur ce que l'outil produit.

Le règlement européen sur l'IA

Son article 4 demande aux organisations qui utilisent un système d'IA de prendre des mesures pour développer la maîtrise de l'IA de leur personnel. Le règlement (UE) 2026/1744, entré en vigueur le 27 juillet 2026, a assoupli la formule : il ne s'agit plus de garantir un niveau, mais de prendre des mesures. Former l'équipe reste donc attendu.

Version gratuite ou version entreprise

C'est la différence qui compte le plus, et elle se règle dans les paramètres. Selon l'aide en ligne d'OpenAI, les conversations des comptes individuels servent par défaut à entraîner ses modèles, sauf si l'utilisateur désactive l'option dans ses réglages. Les offres destinées aux entreprises ne sont pas utilisées pour l'entraînement par défaut.

Désactiver l'entraînement ne suffit pas. Reste à savoir où les données sont traitées, et à signer l'accord de sous-traitance. Un compte personnel payé avec la carte d'un collaborateur ne coche aucune de ces cases.

Ce qu'un cabinet peut décider cette semaine

1. Faire l'inventaire. Demander à l'équipe quels outils d'IA elle utilise déjà, sans chercher de coupable. Sinon, la réponse sera « aucun », et elle sera fausse.
2. Écrire une charte d'une page. Ce qui est permis (reformuler un courrier sans nom), ce qui est interdit (un nom de client, un chiffre de dossier, une pièce).
3. Choisir un outil sous contrat. Offre entreprise, entraînement désactivé, lieu de traitement connu, accord de sous-traitance signé.
4. Former l'équipe. Une heure suffit pour commencer : ce que l'outil sait faire, ce qu'il invente, ce qu'on ne lui confie pas.
5. Relire tout ce qui sort. Un article du Code général des impôts cité avec aplomb reste à vérifier.

Et KiroHQ dans tout ça ?

Nous vendons un logiciel qui utilise de l'IA. Cette page ne nous arrange donc qu'à moitié. Notre prestation « Faire le point sur l'IA au cabinet » fait cet inventaire avec vous et rédige la charte. Elle se commande seule, sans acheter le logiciel, et si un autre outil vous convient mieux, le rapport le dit.

Sources

• Ordonnance n° 45-2138 du 19 septembre 1945, article 21 (Légifrance)
• Code pénal, article 226-13 (Légifrance)
• Règlement général sur la protection des données, article 28 (EUR-Lex)
• Les questions-réponses de la CNIL sur l'utilisation d'un système d'IA générative, 18 juillet 2024
• Règlement (UE) 2026/1744, modifiant le règlement européen sur l'IA (EUR-Lex)
• How your data is used to improve model performance (aide OpenAI, en anglais)