Claude ou ChatGPT en cabinet comptable : rester conforme au RGPD

Le RGPD interdit-il d’utiliser ChatGPT ou Claude dans un cabinet comptable ?

Non. Le RGPD ne vise pas un outil. Il vise ce que vous faites des données personnelles de vos clients, de leurs salariés et de vos collaborateurs.

La CNIL a publié ses premières réponses sur le déploiement de l’IA générative le 18 juillet 2024. Elle n’y interdit rien. Elle demande de partir d’un besoin concret, d’écrire la liste des usages autorisés et interdits, de choisir un mode de déploiement sécurisé et de former les utilisateurs.

Dans un cabinet, la question pratique porte donc sur les données qui entrent dans l’outil et sur le contrat qui les couvre. Elle porte aussi sur la relecture de ce qui en sort. Je reprends ces points un par un. Pour la vue d’ensemble de ce que l’IA change dans la mission, voyez l’IA pour expert-comptable et DAF.

Compte personnel ou offre professionnelle : qu’est-ce qui change ?

Tout se joue ici. Le même modèle peut être utilisé sous des conditions très différentes selon l’offre souscrite.

La CNIL admet un service grand public seulement pour des usages non confidentiels. Elle pose des conditions : des adresses électroniques professionnelles dédiées et, si possible, la réutilisation des données par le fournisseur désactivée (CNIL, questions-réponses du 18 juillet 2024). Un dossier client n’entre pas dans cette case.

Voici ce que disent les éditeurs dans leur documentation, consultée le 27 octobre 2026.

Un point mérite votre attention. Selon Anthropic, les utilisateurs existants des offres Free, Pro et Max devaient faire leur choix sur l’entraînement avant le 8 octobre 2025. Ce réglage s’applique aussi à Claude Code utilisé depuis ces comptes. Si un collaborateur a ouvert un compte Pro avec sa carte personnelle, c’est ce régime qui s’applique, pas celui d’une offre entreprise.

Quelles données pouvez-vous mettre dans une invite ?

Le principe est la minimisation : ne transmettre que ce dont la tâche a besoin. La CNIL recommande d’éviter autant que possible la saisie de données personnelles quand le système est utilisé via une API, car sa maîtrise est alors presque entièrement chez le fournisseur.

Pour un cabinet, je classe les données par niveau de prudence :

• Données sans personne identifiable : un plan comptable, une trame de reporting, un modèle de commentaire. Elles peuvent aller dans une offre professionnelle sans difficulté particulière.
• Données de l’entreprise cliente : un grand livre, un budget, une balance. Les montants d’une société ne sont en général pas des données personnelles, mais les libellés contiennent souvent des noms de fournisseurs individuels, de salariés ou de dirigeants. Ils relèvent aussi du secret professionnel.
• Données de salariés : fiches de paye, registres du personnel, arrêts maladie. C’est la catégorie la plus sensible. La CNIL estime que pour des données de clients ou de collaborateurs, une solution sur site est généralement plus sûre, et qu’à défaut un contrat de sous-traitance doit préciser les responsabilités et les accès.

Prenons un exemple. Un cabinet veut catégoriser le grand livre d’un nouveau client. Il remplace d’abord les noms de personnes physiques par des codes dans les libellés, garde la table de correspondance chez lui, puis envoie le fichier dans une offre professionnelle. La méthode détaillée est dans catégoriser un grand livre avec l’IA.

Attention au vocabulaire. Remplacer un nom par un code est une pseudonymisation, pas une anonymisation. Les données restent personnelles au sens du RGPD. Le risque en cas de fuite baisse, mais les obligations du RGPD s’appliquent toujours.

Quelles étapes suivre pour un usage conforme ?

Voici l’ordre que je recommande. Il suit les recommandations de la CNIL.

1. Lister les usages. Écrivez les tâches concernées (catégorisation, brouillon de commentaire d’écarts, compte rendu de réunion) et les usages interdits (envoyer une pièce non traitée, laisser l’outil décider seul).
2. Choisir une offre professionnelle. Un seul espace pour le cabinet, des comptes nominatifs avec des adresses professionnelles, aucun compte personnel pour les dossiers.
3. Lire le contrat de sous-traitance. Vérifiez le rôle de chacun, la durée de conservation, la liste des sous-traitants ultérieurs et l’encadrement des transferts hors de l’Union européenne.
4. Fixer les règles de minimisation. Indiquez quelles données sont retirées ou codées avant envoi, et par qui.
5. Associer votre DPO et évaluer le besoin d’AIPD. La CNIL recommande une analyse d’impact le cas échéant. Posez-vous la question dès que des fiches de paye passent dans l’outil.
6. Former l’équipe et imposer une relecture. Le Conseil national de l’Ordre rappelle que les réponses générées doivent être vérifiées et validées avant d’être partagées en interne ou avec les clients.

La relecture n’est pas une formalité. La CNIL rappelle que ces systèmes peuvent produire des résultats inexacts qui paraissent pourtant plausibles. Un commentaire d’écarts faux mais bien rédigé passe plus facilement une relecture rapide qu’un tableau vide.

Et quand l’IA devient un agent qui lit vos fichiers ?

Les usages évoluent. Un agent comme Claude Code ne se contente pas de répondre à une question : il lit des dossiers, exécute des tâches et écrit des fichiers.

Dans la méthode que j’utilise, l’agent s’appuie sur un cerveau d’entreprise : la mémoire du cabinet (clients, méthodes, décisions) rangée dans des fichiers simples. Chaque tâche récurrente est écrite une fois sous forme de skill. Un humain valide avant que quoi que ce soit parte chez le client.

Ce fonctionnement a un avantage pour la conformité : vous voyez exactement quels fichiers existent et ce qu’ils contiennent. Il a aussi une limite. Ce que l’agent lit est transmis au modèle. Le cerveau d’entreprise doit donc suivre les mêmes règles de minimisation que vos invites, et l’agent ne doit avoir accès qu’aux dossiers utiles à la tâche.

La CNIL a publié en juillet 2026 une note sur l’IA agentique. Elle y relève notamment que la mémoire persistante d’un agent peut conserver des données relatives à l’utilisateur d’une tâche à l’autre. C’est un point à traiter dans votre liste d’usages, au même titre que les invites.

Le RGPD suffit-il pour un expert-comptable ?

Non. Le RGPD protège les personnes physiques. Le secret professionnel couvre aussi les informations sur l’entreprise cliente, y compris ses chiffres.

Une invite peut donc être conforme au RGPD et poser un problème de secret, par exemple si elle contient la marge détaillée d’un client identifiable dans un outil sans contrat adapté. Les deux analyses se font ensemble. Je détaille le cadre déontologique dans secret professionnel et IA dans un cabinet.

Reste la question du coût et de l’adoption. Une offre professionnelle a un coût. Les règles ne tiennent que si toute l’équipe les applique. Un seul compte personnel utilisé « pour aller plus vite » suffit à sortir du cadre. C’est pour cela que la formation et la liste des usages comptent autant que le choix de l’outil.

Pour la vue d'ensemble, lisez le guide complet : IA pour expert-comptable et DAF : ce qui change dans la mission.