ChatGPT, Copilot, Mistral Le Chat : conformes au RGPD ?

En savoir plus sur l'implémentation de l'IA au Luxembourg, et pour la grille RGPD qui s'applique à tout fournisseur d'IA, voir notre guide de l'IA conforme au RGPD pour les PME luxembourgeoises.

Dans la plupart des entreprises luxembourgeoises où je passe, le personnel utilise déjà un assistant d'IA tous les jours. La question est lequel, et avec quel compte. En général, c'est un mélange : Microsoft 365 Copilot pour certains, un compte ChatGPT personnel pour d'autres, Le Chat de Mistral pour les francophones, Claude pour celui qui l'a découvert en premier. La question de protection des données n'est donc pas « cet outil est-il autorisé ? », mais « cette offre, avec ce contrat et ces réglages, est-elle autorisée ? ».

Chez 20 More, je mets en place et je paramètre ces assistants pour des PME luxembourgeoises. Ce guide porte uniquement sur les assistants conversationnels utilisés par les salariés, pas sur les API pour développeurs, et sur ce qu'un administrateur doit vérifier. Pour choisir un modèle selon la qualité et la localisation des données, notre comparatif ChatGPT, Claude et Mistral traite la question.

Quelles offres sont professionnelles, et entraînent-elles leurs modèles sur vos données ?

La ligne de partage n'est pas la marque mais les conditions contractuelles. Les offres grand public sont des contrats avec le salarié. Les offres professionnelles sont des contrats avec votre entreprise, et c'est ce qui rend possible un accord au titre de l'article 28. Selon la documentation de chaque éditeur au 9 octobre 2026 :

Deux remarques. Mistral a renommé Le Chat en Vibe en 2026 ; comptes, conversations et abonnements ont été conservés (Mistral Help). Et chez plusieurs éditeurs, le retour utilisateur fait exception au « pas d'entraînement » : le DPA de Mistral l'autorise à utiliser un pouce levé ou baissé avec l'entrée et la sortie associées (DPA Mistral), et Anthropic dit la même chose des retours explicites (Anthropic Privacy Center). Demandez au personnel de ne pas noter les conversations contenant des données personnelles.

Où les données sont-elles stockées et traitées ?

C'est ici que les offres professionnelles diffèrent le plus, et le réglage par défaut n'est pas toujours l'UE. Selon la documentation de chaque éditeur au 9 octobre 2026 :

Un traitement hors de l'UE n'est pas illégal en soi. Les transferts vers les États-Unis peuvent reposer sur le cadre de protection des données UE–États-Unis (Data Privacy Framework), adopté le 10 juillet 2023 (Commission européenne) et confirmé par le Tribunal de l'UE le 3 septembre 2025 dans l'affaire Latombe (T-553/23, CJUE), ou sur des clauses contractuelles types au titre du chapitre V du RGPD (RGPD). Un pourvoi est pendant : gardez les clauses dans le contrat comme solution de repli. Ce que vous ne pouvez pas faire, c'est ignorer la question : le transfert doit être documenté.

Mistral et le RGPD : l'option européenne est-elle conforme d'office ?

Mistral est la question qu'on me pose le plus, et la réponse est « le meilleur point de départ, pas la ligne d'arrivée ». Mistral AI est une entreprise française, et les données de Le Chat sont hébergées dans l'UE par défaut (Mistral Help). Cela supprime l'essentiel de l'analyse des transferts. Pas le reste :

• L'offre. Free et Pro entraînent les modèles sur les entrées et sorties sauf opposition de l'utilisateur (Mistral Help). Les données de l'entreprise relèvent de Team ou Enterprise.
• Le réglage d'entraînement. Sur Team, l'administrateur peut désactiver l'entraînement pour toute l'organisation dans le panneau d'administration ; Enterprise est exclu par défaut (Mistral Help). Vérifiez-le au lieu de le supposer.
• Le DPA. Le DPA de Mistral s'applique lorsqu'elle traite des données personnelles pour votre compte dans le cadre de ses conditions commerciales (Conditions commerciales Mistral). Téléchargez-le et classez-le avec votre registre.
• La conservation. Les conversations sont supprimées après suppression manuelle ou suppression du compte, sous réserve d'un court délai de grâce et des obligations légales (Mistral Help) ; la conservation zéro n'est pas disponible pour le chat (Mistral Help). Décidez combien de temps le personnel garde ses conversations, et dites-le-lui.
• Les connecteurs. Relier Le Chat à la messagerie, à Drive ou à SharePoint élargit ce qu'il voit ; Mistral explique comment contrôler et supprimer les données issues d'outils tiers (Mistral Help).

La CNPD a dit la même chose dans sa note sur DeepSeek : privilégier des outils d'IA conformes au cadre européen (RGPD, AI Act), ne pas saisir de données personnelles ou confidentielles dans des outils sans garanties adéquates, et sensibiliser les collaborateurs aux risques (CNPD). Mistral répond à la première recommandation. Les deux autres restent votre affaire.

La liste de contrôle en 8 points

Voici la liste que je parcours avant la mise en service d'un assistant. Elle vaut pour les quatre.

Sur le point 7 : si la direction compte relire les prompts des salariés pour contrôler leur travail, c'est une autre finalité que le fonctionnement de l'outil, et l'article L.261-1 du Code du travail sur la surveillance au travail s'applique. Notre guide sur les outils de prise de notes par IA et la surveillance au travail détaille la procédure.

Sur le point 8 : l'article 4 de l'AI Act s'applique depuis le 2 février 2025 à tout déployeur dont le personnel utilise l'IA (AI Act Service Desk). L'Omnibus numérique en a modifié la formulation en 2026 sans supprimer l'obligation ; notre guide de l'article 4 explique ce qui est attendu aujourd'hui.

Que mettre dans une politique d'utilisation de l'IA d'une page ?

Les politiques longues ne sont pas lues. La version qui fonctionne dans les PME que j'accompagne tient sur une page et répond à six questions :

1. Quels outils sont autorisés ? Nommez-les avec l'offre : « Microsoft 365 Copilot et Mistral Team, avec votre identifiant d'entreprise ». Tout le reste, y compris les comptes personnels des mêmes outils, n'est pas autorisé pour les données de l'entreprise.
2. Que peut-on coller ? Trois niveaux :

3. Qui vérifie le résultat ? La personne qui l'utilise. Une réponse d'IA est un brouillon ; tout ce qui part chez un client ou sert à une décision concernant une personne est relu par un humain.
4. Et l'IA de l'ombre ? Extensions de navigateur, robots de réunion et « essais gratuits » connectés à un compte professionnel sont interdits sans accord de l'informatique. Expliquez pourquoi : ils traitent des données de l'entreprise selon des conditions que personne n'a signées.
5. Que faire en cas d'erreur ? Quelqu'un a collé un dossier client dans un compte personnel : il le signale au DPO ou à son responsable le jour même. Une violation de données personnelles peut devoir être notifiée à la CNPD dans les 72 heures (RGPD art. 33, RGPD) : la rapidité compte plus que la recherche d'un coupable.
6. Qui est responsable de la politique ? Une personne nommée, une date de révision et un lien vers la courte formation.

Cette page sert aussi de base à l'information du personnel et de preuve de vos mesures de maîtrise de l'IA.

Questions fréquentes

ChatGPT est-il conforme au RGPD en entreprise ?

ChatGPT Business et Enterprise peuvent être utilisés conformément au RGPD : OpenAI n'entraîne pas ses modèles sur les données professionnelles par défaut, propose un DPA et laisse les administrateurs régler la conservation. La résidence des données dans l'UE est disponible pour ChatGPT Enterprise et Edu ; pour ChatGPT Business, elle est en cours de déploiement et ne couvre que le stockage. Les offres Free et Plus relèvent de conditions grand public et ne doivent pas servir pour des données de l'entreprise ou des clients.

Mistral Le Chat est-il conforme au RGPD ?

Le Chat de Mistral (désormais appelé Vibe) est hébergé dans l'UE par défaut, ce qui en fait l'un des assistants les plus simples à documenter au titre du RGPD. Utilisez l'offre Team ou Enterprise, vérifiez que l'entraînement est désactivé pour l'organisation et classez le DPA de Mistral. Les offres Free et Pro entraînent les modèles sur les conversations sauf opposition de l'utilisateur.

Microsoft 365 Copilot est-il conforme au RGPD ?

Microsoft 365 Copilot est couvert par le Data Protection Addendum de Microsoft et par l'EU Data Boundary, et les prompts ne servent pas à entraîner les modèles de fondation. Vérifiez deux réglages : le flex routing, qui peut déplacer l'inférence hors de l'UE en période de pointe et qui est activé par défaut pour les tenants éligibles créés après le 25 mars 2026, et les modèles Anthropic, exclus de l'EU Data Boundary. Les requêtes de recherche web générées par Copilot ne sont pas couvertes par le DPA.

Claude convient-il à une entreprise européenne ?

Claude Team et Enterprise relèvent des conditions commerciales d'Anthropic : pas d'entraînement sur vos données par défaut et un DPA avec clauses contractuelles types. Les applications d'Anthropic n'offrent pas de résidence des données dans l'UE : les données sont stockées aux États-Unis et les transferts reposent sur ces clauses. Pour utiliser Claude dans une région UE, il faut passer par Amazon Bedrock ou Google Cloud Vertex AI, pas par l'application Claude.

Mistral ou Claude : lequel choisir pour une entreprise européenne ?

Sur la localisation des données, Mistral est plus simple : hébergement dans l'UE par défaut et fournisseur européen. Sur la qualité, Claude est notre premier choix pour la rédaction soignée et l'analyse de documents, mais l'écart sur vos propres documents compte plus que n'importe quel classement : testez les deux sur du travail réel. Une répartition raisonnable consiste à utiliser Mistral pour le travail impliquant des données personnelles de clients et Claude pour la rédaction interne, la politique d'utilisation décidant quelles données vont où.

Si vous voulez un second regard sur l'offre et les réglages de l'assistant que votre équipe utilise déjà, dites-nous lequel et comment il est paramétré. Le paramétrage et la politique sont souvent éligibles aux aides luxembourgeoises : le test d'éligibilité prend deux minutes.