ChatGPT dans un cabinet de mandataire en sécurité ?

Juillet 2026 · formation-ia

Utiliser ChatGPT Business dans un cabinet de mandataire en sécurité

Ce guide s'adresse aux cabinets d'ingénierie spécialisés dans les missions de mandataire en sécurité, de responsable unique de sécurité (RUS) et de chargé de sécurité, qui utilisent ou envisagent d'utiliser ChatGPT Business pour rédiger leurs comptes rendus de commission de sécurité, leurs notices de sécurité, leurs rapports de diagnostic, leurs documents de vérification réglementaire, et toute la gestion documentaire qui va avec.

Ce que ces cabinets font avec cet outil, c'est de la production de documents professionnels à partir d'informations qui concernent leurs clients, leurs bâtiments, leurs équipements de sécurité et les personnes qui y travaillent. Et c'est là que le bât blesse : ces informations sont protégées par plusieurs textes de loi qu'il faut connaître pour les respecter sans y passer des heures.

Ce document commence par identifier les risques, avant d'examiner ce que le contrat ChatGPT Business et son Data Processing Addendum (DPA) apportent concrètement, puis de détailler les mesures que tout cabinet doit mettre en place.

Ce qui est en jeu

Un cabinet de mandataire en sécurité ne tombe pas sous le coup d'une seule règle, mais de plusieurs. Et chacune a son mot à dire.

La protection des données personnelles, d'abord. C'est le Règlement Général sur la Protection des Données, qu'on appelle RGPD en abrégé. Un texte européen qui s'applique à toutes les entreprises, sans exception. Quand le cabinet met le nom du responsable sécurité d'un client, le nombre de personnes présentes dans un établissement recevant du public, ou la liste des employés ayant accès à un local sensible dans un prompt, il est en train de traiter des données personnelles. Et cela a des conséquences juridiques.

La confidentialité du métier, ensuite. Un mandataire en sécurité manipule des informations extrêmement sensibles chez ses clients : les plans de leurs bâtiments avec l'emplacement précis des issues de secours, des colonnes sèches, des systèmes de désenfumage ; les schémas d'accès aux zones sensibles ; l'organisation humaine de la sécurité, avec les noms et les fonctions des personnes habilitées ; les agendas des commissions de sécurité avec les dates de passage et les observations des autorités. Ces informations sont protégées par le secret des affaires (une directive européenne). Si elles fuient chez OpenAI, la responsabilité du cabinet est engagée.

Prenons un exemple concret. Un mandataire en sécurité pour un immeuble de grande hauteur rédige, avec l'aide de ChatGPT, le dossier technique de travaux prévu par la réglementation. Ce dossier contient les plans du bâtiment, l'emplacement des équipements de sécurité incendie, les accès réservés aux pompiers. Si ces informations tombent entre de mauvaises mains, la sécurité même du bâtiment et de ses occupants est compromise.

La souveraineté des données, ensuite. Les informations envoyées à ChatGPT transitent par les serveurs d'OpenAI, qui sont situés aux États-Unis. Cela signifie qu'elles tombent sous le coup du Cloud Act américain, une loi qui permet aux autorités américaines d'accéder aux données stockées par les entreprises américaines, même si ces données appartiennent à des clients européens. La situation est compliquée depuis l'arrêt Schrems II de la Cour de Justice de l'Union Européenne, qui a invalidé le précédent accord de transfert de données entre l'Europe et les États-Unis.

Le nouveau règlement européen sur l'intelligence artificielle, qu'on appelle AI Act en abrégé (Artificial Intelligence Act, en anglais). Il entre en application progressive, et depuis le 2 août 2026, il oblige à étiqueter les contenus générés ou assistés par intelligence artificielle.

Enfin, la Direction Générale de la Sécurité Intérieure, qu'on appelle la DGSI, a publié fin 2025 un flash d'alerte numéro 117 qui recommande explicitement de privilégier les solutions d'intelligence artificielle françaises ou européennes quand on traite des données professionnelles sensibles. Ce n'est pas une loi, mais c'est une recommandation de l'autorité nationale de contre-ingérence. Si un incident arrive sans que cette recommandation ait été suivie, cela pèsera lourd dans la balance.

Point dur : OpenAI stocke et traite les données aux États-Unis. Aucun hébergement en Union Européenne n'est disponible, même pour ChatGPT Enterprise.

Analyse du contrat ChatGPT Business et de son DPA

Le contrat d'abonnement ChatGPT Business est signé avec OpenAI Ireland Limited pour les clients situés dans l'Espace Économique Européen ou en Suisse. Il est accompagné d'un Data Processing Addendum (DPA) qui en fait partie intégrante.

Le DPA est un document séparé, incorporé par référence

Le contrat de services (le « Services Agreement ») ne contient pas le texte du DPA dans ses pages. Il le mentionne dans son glossaire, sous l'entrée « DPA », en donnant l'URL où il se trouve. En droit des contrats, on dit qu'il est « incorporé par référence » : cela signifie qu'il fait partie intégrante de l'accord, même si son texte n'est pas imprimé dans les mêmes pages.

Concrètement, cela veut dire que lorsqu'un cabinet accepte le contrat ChatGPT Business, il accepte également les termes du DPA, sans avoir à le signer séparément.

Ce que le contrat règle

La propriété des contenus produits. L'article 4.1 du contrat de services dispose que tout ce qui est saisi dans l'outil (les informations sur les bâtiments des clients, les comptes rendus de commission, les schémas techniques décrits) reste la propriété du cabinet. Et tout ce que l'outil génère (les notices de sécurité, les pré-rapports de diagnostic, les projets de courriers aux autorités) appartient également au cabinet. OpenAI cède par avance tous les droits qu'elle pourrait avoir sur ces contenus générés. C'est un point important pour un cabinet qui produit des livrables réglementaires pour ses clients.

L'interdiction d'utiliser les données pour améliorer les modèles. L'article 4.2 du contrat de services est clair : OpenAI n'utilise pas les contenus des clients pour développer ou améliorer ses services, sauf si le client donne explicitement son accord. C'est la différence fondamentale entre la version Business et la version gratuite. Avec la version gratuite, les conversations peuvent servir à améliorer ChatGPT. Avec la version Business, c'est contractuellement interdit. Le cabinet n'a donc pas à désactiver manuellement une option d'entraînement : c'est déjà exclu par le contrat.

La confidentialité. L'article 7 du contrat de services définit les contenus du client comme des informations confidentielles. Le DPA renforce cette protection à son article 2.3 en précisant que toutes les personnes autorisées par OpenAI à traiter ces données doivent s'engager à la confidentialité, soit par contrat, soit par une obligation légale.

Le cadre de sous-traitance des données personnelles. Le DPA confirme qu'OpenAI agit en qualité de sous-traitant (Data Processor) pour le compte du cabinet, qui est le responsable de traitement (Data Controller). C'est la qualification juridique prévue par l'article 28 du Règlement Général sur la Protection des Données. Le DPA précise également la liste des sous-traitants ultérieurs (les « Sub-processors ») qu'OpenAI peut utiliser, et donne au cabinet le droit d'être informé en cas d'ajout et de s'y opposer.

L'entité contractante pour les clients européens. Pour un cabinet situé en France, l'interlocuteur contractuel est OpenAI Ireland Limited, une société de droit irlandais. En cas de litige, le droit applicable est le droit irlandais, et les tribunaux compétents sont ceux de Dublin.

Ce que le DPA apporte de plus

Le DPA contient plusieurs dispositions importantes qui ne figurent pas dans le contrat de services lui-même.

La notification en cas de demande des autorités. L'article 2.2 prévoit qu'OpenAI doit informer le cabinet si elle reçoit une demande légalement contraignante de divulgation de ses données de la part d'une autorité, comme une demande fondée sur le Cloud Act américain. C'est une protection importante, même si OpenAI peut être légalement empêchée d'informer dans certains cas.

La gestion des demandes des personnes concernées. L'article 2.4 prévoit que si une personne (un client, un employé) demande à exercer ses droits (accès, rectification, effacement) sur des données traitées via ChatGPT, OpenAI en informe le cabinet et l'assiste pour répondre à cette demande. Mais c'est le cabinet qui doit traiter la demande.

La notification des fuites de données. L'article 2.7 prévoit qu'OpenAI doit notifier sans retard injustifié en cas de violation de données personnelles.

Le droit d'audit. L'article 2.8 donne au cabinet le droit, une fois par an et à ses frais, de demander à OpenAI les informations nécessaires pour vérifier sa conformité, ou de faire réaliser un audit par un tiers.

Le transfert de données vers les États-Unis est explicitement prévu. L'article 4.1 du DPA indique qu'OpenAI Ireland Limited peut transférer les données à d'autres sociétés du groupe OpenAI ou à des tiers situés en dehors de l'Espace Économique Européen, y compris aux États-Unis, pour fournir le service. Ce transfert est encadré par les clauses contractuelles types de la Commission Européenne (les « SCC » en anglais). C'est la solution juridique standard depuis l'arrêt Schrems II. Ces clauses ont été contestées à plusieurs reprises et leur validité à long terme reste incertaine, mais la CNIL les accepte comme base légale de transfert, en recommandant de les compléter par une analyse d'impact.

Ce qui reste problématique malgré le contrat et le DPA

Le lieu de traitement des données. Le DPA confirme explicitement que les données peuvent être transférées hors de l'Union Européenne, notamment aux États-Unis. OpenAI utilise principalement des serveurs situés aux États-Unis, via son fournisseur de cloud Azure (Microsoft). Même en contractant avec la filiale irlandaise, les données traversent l'Atlantique. Une fois aux États-Unis, elles tombent sous le coup du Cloud Act américain. La seule protection est la clause de notification de l'article 2.2 du DPA, qui n'est pas absolue.

Les données sensibles ne sont pas prévues. Le DPA indique, dans son annexe (Schedule 1), que les données sensibles (données de santé, données biométriques, etc.) ne sont pas destinées à être transférées, sauf si l'utilisateur les inclut de manière inattendue dans des données non structurées. Cela signifie que si un cabinet traite des données de radioprotection (suivi médical des travailleurs) ou toute autre donnée sensible, il entre dans une zone non couverte par le contrat standard.

L'absence de garantie sur l'hébergement européen. Le DPA ne propose pas la possibilité de choisir un hébergement exclusivement européen des données, contrairement à ce que proposent certains concurrents européens.

La règle numéro un : ne pas utiliser la version gratuite

Le premier réflexe dans un cabinet, c'est souvent d'ouvrir chatgpt.com avec un compte personnel et de commencer à l'utiliser. C'est humain, mais c'est très risqué.

La version gratuite de ChatGPT et la version Plus (l'abonnement à 20 dollars par mois) sont conçues pour un usage personnel. Quand elles sont utilisées dans un cadre professionnel, aucune garantie contractuelle n'est offerte. Les données saisies peuvent être utilisées pour améliorer le modèle, c'est-à-dire pour réentraîner ChatGPT avec les informations confidentielles du cabinet. Et OpenAI peut les conserver, les analyser, les partager avec ses sous-traitants.

Imaginons qu'un collaborateur utilise son compte personnel ChatGPT gratuit pour rédiger un projet de notice de sécurité. Les plans du bâtiment qu'il décrit, les accès pompiers qu'il mentionne, les noms des responsables sécurité qu'il tape dans le prompt : tout cela part chez OpenAI sans aucune protection contractuelle. Et ces données peuvent théoriquement resservir à améliorer le modèle, ce qui signifie qu'elles pourraient être restituées, sous une forme ou une autre, à d'autres utilisateurs de ChatGPT.

Pour utiliser ChatGPT dans un cabinet de mandataire en sécurité, il faut absolument la version Team (environ 25 à 30 dollars par utilisateur et par mois) ou la version Enterprise (sur devis). Ce sont ces versions qui offrent le cadre contractuel décrit dans la section précédente, avec le DPA et l'interdiction d'utilisation des données pour l'entraînement.

Même avec ces versions professionnelles, le problème de la localisation des données aux États-Unis reste entier.

Ce que le cabinet doit mettre en place concrètement

Le cadre contractuel est déjà en place

Le DPA est incorporé par référence au contrat de services : en acceptant l'abonnement ChatGPT Business, le cabinet accepte les termes du DPA. Rien de plus n'est à signer.

Le DPA confirme qu'OpenAI agit en qualité de sous-traitant (Data Processor) pour le compte du cabinet, qui est le responsable de traitement (Data Controller). C'est la qualification juridique prévue par l'article 28 du RGPD. Le DPA prévoit également les clauses contractuelles types (les SCC) qui encadrent le transfert des données vers les États-Unis.

Réaliser une analyse d'impact sur la protection des données

C'est ce qu'on appelle une AIPD en abrégé (Analyse d'Impact relative à la Protection des Données). C'est un document qui décrit précisément comment l'outil va être utilisé, quelles données vont transiter, quels sont les risques pour les personnes concernées (les responsables sécurité des clients, les membres des commissions de sécurité, les employés présents dans les établissements), et ce qui est mis en place pour les protéger.

Prenons un exemple concret. Un cabinet réalise une mission de responsable unique de sécurité (RUS) pour un centre commercial. Il utilise ChatGPT pour rédiger le rapport de visite périodique de la commission de sécurité. Ce rapport contient les noms des membres de la commission, la description des anomalies constatées, la localisation précise des issues de secours et des moyens de secours. L'analyse d'impact permet d'identifier les risques liés à ce traitement et de décider des mesures à prendre : pseudonymisation des noms avant saisie, vérification humaine des informations avant livraison, limitation des données transmises à l'outil.

La CNIL considère que l'utilisation d'une intelligence artificielle générative pour traiter des données clients est un cas où cette analyse est nécessaire. Le contrat ne dispense pas de cette obligation.

Mettre à jour le registre des traitements

Le RGPD oblige tout cabinet à tenir un registre de tous les traitements de données qu'il effectue. Si ChatGPT est utilisé pour rédiger des documents pour les clients, une ligne doit être ajoutée dans ce registre. Elle indique quel outil est utilisé, pour quels types de documents (notices de sécurité, comptes rendus de commission, diagnostics, courriers réglementaires), quelles catégories de données sont concernées, sur quelle base légale le traitement s'appuie, et quelles sont les garanties contractuelles avec OpenAI.

Informer les clients

Si les données des clients sont traitées via ChatGPT, ceux-ci doivent en être informés. Le plus simple est d'ajouter une mention dans les contrats de mission ou les lettres d'engagement. Par exemple : « Le cabinet utilise un outil d'intelligence artificielle assisté par contrat professionnel pour la rédaction de certains livrables. Les informations confiées sont protégées par les garanties contractuelles prévues par le règlement européen sur la protection des données. »

Former les collaborateurs

Le plus grand risque, dans un cabinet qui utilise ChatGPT, ce n'est pas la technologie. Ce sont les collaborateurs qui, sans le savoir, copient-collent des informations confidentielles dans l'outil. Un extrait de plan de bâtiment avec l'emplacement des colonnes sèches, un tableau avec les noms et les fonctions des personnes habilitées à intervenir sur les systèmes de sécurité, un courrier à l'administration avec les dates de passage de la commission de sécurité.

Une formation courte mais concrète, d'une demi-journée, peut changer la donne. Elle doit expliquer ce qu'on a le droit de saisir et ce qu'on ne doit jamais saisir, comment pseudonymiser (remplacer les vrais noms par des codes, remplacer les adresses précises par des descriptions générales), et comment vérifier les réponses avant de les intégrer dans un livrable.

Un exemple simple à donner aux collaborateurs : si le besoin est de rédiger un projet de courrier à la commission de sécurité, on peut taper dans ChatGPT quelque chose comme « Rédige un courrier au maire pour signaler une anomalie sur le système de désenfumage dans un ERP de type L de 3e catégorie ». En revanche, on ne doit pas taper « Rédige un courrier pour le centre commercial X situé au 14 rue Y, dont le responsable sécurité est M. Dupont, concernant l'anomalie sur le système de désenfumage installé par la société Z ». La première version contient des informations génériques et sans risque. La seconde version contient des données identifiantes et confidentielles qui ne devraient pas être transmises à un serveur américain.

Rédiger une charte d'usage interne

C'est le document qui pose les règles du jeu dans le cabinet. Il n'a pas besoin d'être long. Quatre pages suffisent. Il doit répondre à six questions simples :

Quels outils d'intelligence artificielle sont autorisés dans le cabinet, et lesquels sont interdits ?

Quels types de données peut-on saisir ou pas dans ces outils ?

Qui est responsable de vérifier les réponses avant de les livrer au client ?

Comment doit-on mentionner l'utilisation de l'intelligence artificielle dans les documents ? Depuis le 2 août 2026, le AI Act impose un étiquetage explicite.

Comment garder la trace de ce qui a été fait avec l'outil ? Par exemple, conserver l'historique des prompts et des réponses dans un dossier dédié.

À qui s'adresser en cas de doute ?

Cette charte doit être signée par chaque collaborateur et conservée précieusement. En cas de contrôle de la CNIL, elle prouve que le cabinet a pris ses obligations au sérieux.

Cinq obligations incontournables (version synthétique)

1. Le DPA est applicable par incorporation

Le cabinet est responsable de traitement. OpenAI est sous-traitant au sens de l'article 28 du RGPD. Le DPA est incorporé par référence au contrat de services : il est accepté en signant l'abonnement ChatGPT Business. Le transfert de données vers les États-Unis est prévu à l'article 4.1 du DPA (via les clauses contractuelles types SCC), et la notification en cas de demande des autorités à l'article 2.2.

2. Réaliser l'analyse d'impact sur la protection des données (AIPD)

La CNIL l'exige dès que l'usage présente un risque élevé pour les droits des personnes. C'est le cas pour un cabinet de mandataire en sécurité parce qu'il traite des données identifiantes (noms des responsables sécurité, des membres des commissions) et des informations sensibles sur les bâtiments des clients (plans, accès, équipements de sécurité). L'AIPD doit documenter les usages prévus, les types de données, les bases légales, les mesures de sécurité et les risques résiduels.

3. Mettre à jour le registre des traitements (article 30 du RGPD)

Le registre doit mentionner la finalité (rédaction et gestion des documents de sécurité : notices, comptes rendus de commission, diagnostics, courriers réglementaires), le sous-traitant (OpenAI Ireland Limited), les catégories de données (identité, coordonnées des interlocuteurs, données techniques sur les bâtiments, informations sur les équipements de sécurité), la base légale (exécution contractuelle article 6.1.b et intérêt légitime article 6.1.f), et les garanties (clauses contractuelles types SCC et mesures techniques).

4. Informer les personnes concernées

Les clients doivent être informés dans la lettre de mission ou le contrat que leurs données peuvent être traitées via un outil d'intelligence artificielle générative pour la rédaction des livrables. Les collaborateurs doivent être informés via une charte d'usage et une note d'information. Une mention doit être ajoutée dans la politique de confidentialité du cabinet.

5. L'entraînement sur les données est déjà interdit contractuellement

Avec ChatGPT Business, l'interdiction est contractuelle (article 4.2 du contrat de services). Aucune manipulation manuelle n'est nécessaire. Il est conseillé de vérifier dans la console d'administration que les paramètres sont bien en accord avec le contrat.

Ce qui peut être mis dans ChatGPT et ce qui ne doit jamais y être mis

Avec ChatGPT Business, avec un DPA applicable et l'interdiction d'entraînement contractuelle, le cabinet peut travailler sur des documents internes, des projets de courriers, des brouillons de notices de sécurité, des comptes rendus pseudonymisés, des questions réglementaires générales.

Mais même dans ce cadre, certaines choses restent interdites. Ne doivent jamais être saisis : les plans précis des clients avec la localisation des équipements de sécurité, les noms et coordonnées des personnes sans pseudonymisation, les agendas des commissions de sécurité avec les dates précises et les observations nominatives, les accès détaillés aux zones sensibles, ou les schémas d'organisation de la sécurité avec les noms des personnes habilitées. Ces informations sont trop sensibles pour être confiées à un serveur situé aux États-Unis, quelles que soient les garanties contractuelles.

La règle simple à donner aux collaborateurs : si l'information peut être utilisée par une personne malveillante pour contourner la sécurité d'un bâtiment, ou si elle peut causer un préjudice au client en cas de fuite, elle ne va pas dans ChatGPT.

Classification détaillée par type de document

Ce qui change au 2 août 2026 avec le AI Act

À partir de cette date, le règlement européen sur l'intelligence artificielle (le AI Act) entre en application pour une partie importante de ses dispositions. Concrètement, tout cabinet doit dès maintenant :

Étiqueter ses documents comme ayant été rédigés avec l'assistance d'une intelligence artificielle. Concrètement, ajouter une mention en pied de page des notices de sécurité, des comptes rendus de commission ou des diagnostics : « Document rédigé avec l'assistance d'une intelligence artificielle. »

Informer les clients que l'intelligence artificielle est utilisée pour la production de certains livrables. Cela peut être fait dans le contrat de mission.

Conserver la trace des prompts (les instructions données à l'outil) et des métadonnées associées, pour pouvoir justifier de la conformité en cas de contrôle.

L'alternative pour les dossiers les plus sensibles

Malgré toutes ces précautions et malgré le contrat ChatGPT Business, un point reste problématique : les données les plus sensibles des clients transitent par les États-Unis et sont soumises au Cloud Act américain.

Pour un cabinet de mandataire en sécurité, les situations où cela peut poser problème sont nombreuses. Il travaille peut-être sur des Immeubles de Grande Hauteur qui abritent des administrations, des entreprises du secteur critique, ou des sites classés Seveso. Il réalise peut-être des missions de responsable unique de sécurité pour des centres commerciaux ou des établissements recevant du public de grande capacité, où les plans détaillés de sécurité sont des informations stratégiques. Il intervient peut-être sur des bâtiments d'autorités publiques ou d'Opérateurs d'Importance Vitale (les OIV, c'est-à-dire les infrastructures critiques comme l'énergie, les transports, la santé).

Pour ces dossiers, le recours à une solution européenne peut être nécessaire.

La société française Mistral AI propose un service appelé Le Chat Pro, qui est hébergé en Europe et conforme au RGPD de manière native, sans les complications liées au Cloud Act américain. Pour les besoins les plus pointus, un modèle d'intelligence artificielle peut être installé sur la propre infrastructure du cabinet, chez lui ou chez un hébergeur européen. Cela demande un investissement matériel, mais le contrôle sur les données est alors total.

La DGSI, dans son flash d'alerte numéro 117 de décembre 2025, recommande de privilégier ces solutions françaises ou européennes pour les données professionnelles sensibles.

Tableau comparatif des solutions

En résumé, par où commencer

Le contrat ChatGPT Business donne déjà deux garanties essentielles : la propriété des contenus et l'interdiction pour OpenAI d'utiliser les données pour améliorer ses modèles. C'est une base solide, mais ce n'est pas suffisant.

Dans le premier mois, le cabinet doit réaliser l'analyse d'impact sur la protection des données (l'AIPD), mettre à jour son registre des traitements, former ses collaborateurs, et rédiger sa charte d'usage interne.

De manière permanente, le cabinet doit pseudonymiser systématiquement les informations avant de les saisir (remplacer les noms par des codes, les adresses précises par des descriptions générales), vérifier les réponses de l'outil avant de les intégrer dans les livrables, étiqueter les documents assistés par intelligence artificielle (c'est la loi depuis août 2026), et évaluer s'il a besoin d'une solution européenne pour ses dossiers les plus sensibles (IGH sensibles, sites classés, clients publics).

Si ces règles ne sont pas respectées, les sanctions peuvent aller jusqu'à 20 millions d'euros ou 4 pour cent du chiffre d'affaires annuel mondial du cabinet, selon le montant le plus élevé. Et en cas de fuite de données confidentielles d'un client, la plainte de ce client viendrait s'ajouter à la sanction administrative. Ce n'est pas une raison pour renoncer à l'intelligence artificielle, qui peut apporter un vrai gain de productivité à un cabinet de mandataire en sécurité. Mais c'est une raison pour le faire dans les règles de l'art.

Sources

Textes et règlements européens

• Règlement Général sur la Protection des Données (RGPD) — Règlement (UE) 2016/679 https://eur-lex.europa.eu/FR/legal-content/summary/general-data-protection-regulation-gdpr.html

• Règlement sur l'Intelligence Artificielle (AI Act) — Règlement (UE) 2024/1689

  • https://digital-strategy.ec.europa.eu/en/policies/regulatory-framework-ai

• https://artificialintelligenceact.eu/high-level-summary/

• Directive sur le secret des affaires — Directive (UE) 2016/943 https://eur-lex.europa.eu/legal-content/FR/TXT/?uri=CELEX%3A32016L0943

• Directive NIS 2 — Directive (UE) 2022/2555 https://eur-lex.europa.eu/eli/dir/2022/2555

• Référentiel Cybersécurité France (ReCyF) version 2.5 https://messervices.cyber.gouv.fr

Documents contractuels OpenAI

• OpenAI Services Agreement (ChatGPT Business) Contrat de services version 010126

• OpenAI Data Processing Addendum (DPA) https://cdn.openai.com/pdf/openai-data-processing-addendum.pdf

Recommandations et guides des autorités

• DGSI Flash alerte numéro 117 — Risques liés à l'IA générative (décembre 2025) https://www.dgsi.interieur.gouv.fr

• CNIL — Recommandations sur l'IA générative et le RGPD (délibération n°2025-047, juin 2025) https://www.cnil.fr/fr/ia-et-rgpd-la-cnil-publie-ses-nouvelles-recommandations-pour-accompagner-une-innovation-responsable

• CNIL — Guide pratique : ChatGPT et RGPD, ce que dit la CNIL https://www.donneespersonnelles.fr/chatgpt-rgpd-cnil

• ANSSI — Recommandations de sécurité pour un système d'IA générative (avril 2024) https://www.ssi.gouv.fr

Jurisprudence

• Arrêt Schrems II (Cour de Justice de l'Union Européenne, 16 juillet 2020, affaire C-311/18) https://curia.europa.eu

Cloud Act américain

• Clarifying Lawful Overseas Use of Data Act (CLOUD Act), 2018 https://www.congress.gov/bill/115th-congress/house-bill/4943