Mis à jour : février 2026 · Temps de lecture : ~14 min
Un consultant copie-colle un contrat client dans ChatGPT pour en extraire un résumé. Un juriste d’entreprise y soumet une clause de non-concurrence pour la reformuler. Un développeur y injecte un cahier des charges confidentiel pour générer du code. Ces gestes prennent quelques secondes. Leurs conséquences juridiques peuvent durer des années.
La pratique du Shadow AI — l’utilisation non encadrée d’outils d’IA générative par les salariés — explose. Selon une enquête de 2023 relayée par le cabinet EMO Avocats, près de 70 % des salariés utiliseraient ChatGPT dans le dos de leur employeur. Le problème : chaque prompt contenant des informations couvertes par un accord de non-divulgation (Non Disclosure Agreement, NDA) ou une clause de confidentialité du contrat de travail constitue potentiellement une violation contractuelle, une atteinte au secret des affaires et une infraction au RGPD — le tout simultanément.
Cet article décortique les risques juridiques concrets pour le salarié et pour l’entreprise, textes de loi à l’appui.
Où partent réellement vos données quand vous appuyez sur Entrée
Pour comprendre le risque, il faut comprendre le mécanisme. Quand un utilisateur soumet du texte à ChatGPT (version gratuite ou Plus), ces données sont transmises aux serveurs d’OpenAI, majoritairement hébergés aux États-Unis. Selon la politique de confidentialité d’OpenAI, le contenu des conversations peut être utilisé pour entraîner et améliorer les modèles — sauf si l’utilisateur a explicitement désactivé cette option dans ses paramètres.
Concrètement, le contenu d’un contrat client soumis à ChatGPT est stocké sur les serveurs d’OpenAI (au minimum 30 jours, même après suppression manuelle), peut être réutilisé comme données d’entraînement pour les futures versions du modèle, peut théoriquement être consulté par des employés d’OpenAI à des fins de surveillance des abus, et transite vers des serveurs américains soumis au droit américain (Cloud Act, etc.).
Le cas Samsung : l’incident qui a tout changé
L’incident le plus emblématique reste celui de Samsung en avril 2023. Des ingénieurs de la division semi-conducteurs ont soumis du code source confidentiel et des notes de réunion internes à ChatGPT en l’espace de 20 jours. Samsung a d’abord limité les requêtes à 1 024 octets, puis interdit totalement l’outil sur son réseau interne.
Le contrat de travail ne fait pas de pause pour l’IA
La plupart des contrats de travail en France contiennent une clause de confidentialité qui interdit au salarié de divulguer les informations sensibles de l’entreprise à des tiers. Cette obligation survit généralement au contrat lui-même, parfois pendant plusieurs années.
Le point crucial : soumettre des informations confidentielles à ChatGPT constitue bien une divulgation à un tiers — OpenAI étant une entreprise commerciale américaine qui collecte et stocke les données transmises. Comme le souligne le cabinet Germain-Phion & Jacquemet, un usage non autorisé de ChatGPT « peut être considéré comme une faute grave en cas de fuite d’informations sensibles ».
Le NDA face à l’IA : un terrain que personne n’avait anticipé
Un NDA (Non Disclosure Agreement), ou accord de confidentialité, est un contrat spécifique qui lie les parties à la non-divulgation d’informations définies comme confidentielles. Son non-respect entraîne des sanctions civiles (dommages et intérêts) et, dans certains cas, des sanctions pénales.
Le problème avec l’IA générative est radical : toute interaction avec un outil comme ChatGPT constitue une transmission d’information à un tiers. Si cette information est couverte par un NDA, la violation est caractérisée — que l’intention soit malveillante ou non.
Les NDA de dernière génération intègrent désormais des clauses IA spécifiques. Selon SavoirIA, un bon NDA en 2025 contient typiquement :
- l’interdiction de partager les informations confidentielles avec une IA, publique ou privée, sans accord écrit ;
- la qualification de chaque interaction avec une IA générative comme une violation potentielle ;
- des droits d’audit et de traçabilité sur le comportement numérique de l’autre partie ;
- une durée de 5 ans en moyenne après la fin du contrat.
> pour qu'elle soit plus claire :
> [contenu du NDA collé ici]
Secret des affaires : la protection renforcée que beaucoup ignorent
Au-delà du NDA et de la clause de confidentialité, la loi n° 2018-670 du 30 juillet 2018 relative à la protection du secret des affaires offre une couche de protection supplémentaire. Transposition de la directive européenne 2016/943, elle a créé les articles L.151-1 et suivants du Code de commerce.
Trois critères cumulatifs
Pour qu’une information soit protégée comme secret des affaires au sens de l’article L.151-1 du Code de commerce, elle doit remplir trois critères cumulatifs :
L’article L.151-5 du Code de commerce qualifie de divulgation illicite toute divulgation réalisée sans le consentement du détenteur légitime. Soumettre un contrat client contenant des secrets d’affaires à ChatGPT constitue objectivement un tel acte.
L’arsenal juridique complet
Les mesures judiciaires incluent l’interdiction de poursuivre la divulgation, la destruction des fichiers concernés et la publication de la décision aux frais de l’auteur de l’atteinte. La prescription est de cinq ans à compter des faits.
Trois infractions RGPD en un seul copier-coller
Si le contrat client contient des données personnelles (nom du signataire, coordonnées, informations sur des personnes physiques), la dimension RGPD s’ajoute aux autres risques. Et les violations sont multiples.
Soumettre des données personnelles à ChatGPT sans cadre contractuel constitue potentiellement :
Le Comité européen de la protection des données (CEPD) a publié en mai 2024 un rapport scrutant la conformité d’OpenAI au RGPD, pointant notamment les lacunes en matière de transparence et de droits des personnes concernées.
Jusqu’où peut aller la sanction disciplinaire ?
La qualification de la faute dépend de plusieurs facteurs que le juge appréciera au cas par cas. Il n’existe pas encore de jurisprudence spécifique aux fuites via IA générative en France, mais les principes du droit du travail s’appliquent pleinement.
Ce qui aggrave la qualification
Les facteurs aggravants sont les suivants : l’existence d’une charte informatique ou d’une politique IA interdisant l’usage d’outils non approuvés ; la nature hautement confidentielle des données (secrets industriels, données de santé, stratégie M&A) ; la récidive après un premier avertissement ; le niveau hiérarchique du salarié (un cadre dirigeant est tenu à un devoir de discrétion renforcé).
ChatGPT gratuit vs Enterprise : deux mondes
Toutes les versions de ChatGPT ne présentent pas le même niveau de risque. Les offres Business et Enterprise offrent des garanties structurellement différentes de la version gratuite.
Pourquoi la charte IA est le meilleur investissement juridique de 2026
Selon l’article L.1321-5 du Code du travail, la charte informatique possède la même nature que le règlement intérieur et doit suivre la même procédure d’entrée en vigueur (avis du CSE, dépôt au greffe du Conseil de prud’hommes, communication à l’inspection du travail).
La CNIL et l’ANSSI recommandent toutes deux la mise en place d’une telle charte. L’ANSSI, la CNIL et la norme ISO 27001 rappellent la nécessité d’une charte « opposable et efficace ».
Les cinq piliers d’une charte IA efficace
Peut-on utiliser l’IA sans risque juridique ?
Interdire purement et simplement l’IA n’est ni réaliste, ni souhaitable. L’enjeu est de permettre l’usage tout en sécurisant les données.
La règle d’or avant de coller quoi que ce soit dans une IA : « Serais-je à l’aise si cette information était lue par un inconnu chez OpenAI ? » Si la réponse est non, il faut soit anonymiser, soit utiliser un outil sécurisé, soit s’abstenir.
Les 8 réflexes à adopter dès demain
Que vous soyez salarié, freelance, dirigeant ou consultant, voici les recommandations concrètes à appliquer immédiatement.