ChatGPT pour expert-comptable : RGPD et données clients, ce qu'il faut savoir
Vos confrères utilisent déjà ChatGPT pour rédiger des relances et des comptes-rendus. La vraie question n'est pas de savoir si vous le faites, mais comment vous le faites sans exposer les données de vos clients. Voici le cadre RGPD, clair et applicable dès demain.
Le RGPD ne raisonne pas en outils, mais en données
Le réflexe, quand on parle de ChatGPT dans un cabinet, est de se demander si l'outil est autorisé. C'est la mauvaise question. Aucun texte n'interdit à un expert-comptable d'utiliser une intelligence artificielle générative. Le RGPD ne raisonne pas en termes d'outils, mais en termes de données : quelles informations sont traitées, où elles vont, sur quelle base légale, et qui peut les lire.
La bonne question est donc précise : quand vous collez le texte d'un email client, le nom d'un dirigeant ou le détail d'un dossier dans une fenêtre ChatGPT, où part cette information et qui y a accès ? Tant que vous n'avez pas répondu à cela, vous travaillez à l'aveugle, quel que soit l'outil.
Et l'enjeu se double dans un cabinet. Vous êtes tenu au secret professionnel par l'article 226-13 du Code pénal, qui couvre tout ce que vos clients vous confient. Le RGPD ajoute une obligation distincte : les données personnelles que vos clients vous transmettent (salariés, dirigeants, fournisseurs) font de vous un responsable de traitement. Une IA mal cadrée fait sortir ces deux catégories d'informations de votre périmètre de contrôle, d'un seul geste.
Comptes grand public, Team et Entreprise : la différence qui change tout
Tous les accès à ChatGPT ne se valent pas, et c'est le point que la plupart des cabinets ignorent. Sur un compte gratuit ou Plus à usage personnel, OpenAI peut, par défaut, utiliser vos conversations pour entraîner ses modèles. Concrètement, ce que vous saisissez peut nourrir l'outil et, en théorie, réapparaître ailleurs. Pour traiter des dossiers clients, c'est rédhibitoire.
Les offres professionnelles changent la donne. Avec ChatGPT Team et ChatGPT Entreprise, OpenAI s'engage contractuellement à ne pas utiliser vos données pour entraîner ses modèles : vos échanges restent les vôtres. C'est la condition de base, non négociable, pour un usage en cabinet. Le même principe vaut ailleurs : Claude (Anthropic) en offre Team ou Entreprise, ou Gemini via Google Workspace, apportent les mêmes garanties de non-entraînement.
Le bon réflexe tient en deux gestes. D'abord, vérifier que vous êtes sur une offre business avec engagement de non-entraînement écrit. Ensuite, activer ce réglage dans les paramètres quand l'option existe, sans jamais le présumer acquis. Un compte personnel pour traiter des données clients, même par dépannage un soir de bouclage, c'est non.
Responsable de traitement, sous-traitant : où vous situer
Le RGPD distribue les rôles, et il faut savoir lequel vous tenez. Vos clients vous confient des données personnelles : vous en êtes le responsable de traitement, c'est vous qui décidez de la finalité et des moyens. Dès que vous utilisez ChatGPT ou un autre outil tiers pour traiter ces données, l'éditeur (OpenAI, Anthropic, Google) devient votre sous-traitant. Ce n'est pas une nuance théorique, cela déclenche des obligations concrètes.
Trois actions découlent de ce statut. D'abord, encadrer la relation par un accord de traitement des données (le DPA, ou Data Processing Agreement), que ces éditeurs proposent sur leurs offres professionnelles : sans lui, le transfert n'a pas de cadre juridique. Ensuite, inscrire l'outil dans votre registre des traitements, au même titre que votre logiciel de paie ou votre messagerie. Enfin, vérifier la localisation des serveurs et privilégier, quand l'option existe, un hébergement ou un traitement dans l'Union européenne pour limiter les transferts hors UE.
Ces obligations ne forment pas un mur, mais une liste à cocher. Un cabinet qui les traite une fois est en règle durablement. Le vrai problème surgit quand chaque collaborateur improvise sur son propre compte personnel : la liste devient impossible à tenir, et la conformité repose alors sur la chance plutôt que sur le cadrage.
Ce que vous pouvez saisir, ce que vous ne devez jamais coller
Même sur un compte sans entraînement et avec un DPA signé, le risque baisse mais ne disparaît pas. Le principe directeur du RGPD reste la minimisation : ne transmettre que ce qui est strictement nécessaire à la tâche. Inutile de coller un dossier entier pour faire reformuler un email de trois lignes.
Ce que vous pouvez raisonnablement confier à l'IA : la trame d'une relance de pièces, le canevas d'un compte-rendu de rendez-vous, la reformulation d'un email, la structure d'une synthèse ou d'un devis. C'est la couche rédactionnelle, celle qui consomme du temps sans jamais toucher au chiffre. Ce que vous ne devez pas coller à la légère : un numéro de sécurité sociale, un RIB, un bilan nominatif, la liste des salariés et leurs rémunérations, ou tout élément identifiant un client ou un tiers sans nécessité.
Et un interdit reste absolu : l'IA générative ne touche jamais au cœur réglementé de votre métier. La saisie, la révision, l'établissement des comptes et les déclarations restent dans vos outils métier, sous votre contrôle et votre signature. La règle est simple à retenir : Pennylane saisit vos factures, Newspark configure l'IA qui parle à vos clients. On configure l'IA qui rédige, jamais celle qui calcule.
L'anonymisation : le geste simple qui abaisse le risque
La technique la plus efficace pour utiliser l'IA sans exposer vos clients est aussi la plus simple : retirer ce qui identifie. Avant de coller un texte, remplacez le nom du client par « Société X », le nom du dirigeant par « le gérant », les montants sensibles par des valeurs neutres ou des champs vides. L'IA produit une trame tout aussi exploitable, sans avoir jamais vu une donnée réelle.
Prenons une relance de pièces. Plutôt que « rédige une relance pour la SARL Dupont qui n'a pas envoyé ses factures de mars », vous écrivez « rédige une relance ferme mais cordiale pour un client qui n'a pas transmis ses pièces du mois, en rappelant l'échéance fiscale ». Vous récupérez le texte, puis vous y replacez le nom et les détails dans votre messagerie, au moment de l'envoi. L'IA n'a rien su du dossier réel : aucune donnée personnelle n'a quitté votre cabinet.
Ce réflexe règle une grande part du sujet RGPD au quotidien. Il a une limite connue : il repose sur la discipline humaine, et un collaborateur pressé finira par oublier un soir de surcharge. C'est précisément là qu'une IA correctement configurée prend le relais, en inscrivant la règle dans son fonctionnement plutôt que dans la vigilance de chacun.
Une IA configurée applique ces règles à votre place
Tout ce qui précède repose sur la mémoire et la rigueur de chacun. C'est fragile. Un collaborateur qui ouvre ChatGPT à 18h pour boucler une relance ne relira pas le RGPD avant de coller son texte. C'est là que tout dérape, et c'est exactement le problème que Newspark résout, sans ajouter un logiciel de plus.
Plutôt que de compter sur la vigilance, on configure l'IA que votre cabinet utilise déjà. Concrètement, vos fichiers d'instructions (CLAUDE.md, AGENTS.md ou GEMINI.md selon votre outil) intègrent vos garde-fous : anonymiser par défaut, ne jamais réclamer de donnée nominative inutile, refuser de toucher au chiffre et aux déclarations, rappeler systématiquement que l'humain valide avant tout envoi. Les règles ne vivent plus dans la tête de chacun, elles sont dans l'outil et s'appliquent à chaque échange. Et ces fichiers restent chez vous : vous êtes propriétaire de vos garde-fous.
Le résultat est une IA qui connaît votre cabinet, votre ton et vos limites déontologiques, et qui respecte le RGPD par construction plutôt que par chance. Pour savoir précisément ce que votre cabinet peut confier à une IA sans franchir une seule ligne, et où se situent vos vrais gains de temps, le plus simple est de partir de votre réalité. Notre diagnostic gratuit cartographie vos tâches rédactionnelles, repère celles qui s'automatisent sans risque et vous montre à quoi ressembleraient vos garde-fous. Sans engagement, et sans qu'aucune donnée client ne sorte de chez vous.
Configurez l'IA de votre cabinet
Le diagnostic est gratuit et prend une minute. Vous repartez avec une architecture IA pensee pour un cabinet comptable : vos taches, votre ton, et des garde-fous de confidentialite.
Lancer mon diagnostic gratuit →Equipe Newspark
Studio IA francais, niche experts-comptables. Faire le diagnostic