Vous tapez une question dans ChatGPT. Vous pensez que ça reste entre vous et la machine. Faux. Ce que vous écrivez peut finir sur la table d'un tribunal, projeté devant un jury, cité dans un contentieux prud'homal ou une affaire de concurrence déloyale.
Ce n'est pas un scénario hypothétique. C'est déjà arrivé. En France comme aux États-Unis, des prompts d'IA sont entrés au rang de pièces recevables. Et la plupart des dirigeants n'ont posé aucune règle là-dessus.
Cet article vous explique dans quels cas concrets vos prompts peuvent se retourner contre vous, et vous donne une politique interne simple à appliquer dès aujourd'hui.
Le glissement est acté : les prompts sont des preuves
Julie Jacob, avocate et fondatrice du cabinet Jacob Avocats, l'affirme sans détour : dans un contentieux, les prompts d'IA peuvent apporter des éléments utiles pour établir des faits. Elle raconte un litige sur une clause de non-concurrence où elle a fait constater les prompts utilisés dans un outil d'IA. Résultat : ça a contribué à établir les faits et à obtenir gain de cause.
Le cadre légal existe déjà. L'article 145 du Code de procédure civile permet, s'il existe un motif légitime, d'ordonner des mesures d'instruction pour conserver ou établir avant tout procès la preuve de faits dont pourrait dépendre la solution du litige. Autrement dit : votre adversaire peut demander à un juge de faire constater vos prompts avant même que le procès démarre.
La méthode est carrée. On fait intervenir un commissaire de justice pour le cadre juridique du constat. Et quand c'est techniquement complexe, un expert informatique pour identifier, extraire et préserver les données. Ce n'est pas du bricolage. C'est une procédure organisée.
Aux États-Unis, c'est déjà une routine judiciaire
Regardez ce qui se passe outre-Atlantique, parce que ça arrive chez nous. Vos conversations avec ChatGPT ne bénéficient d'aucune confidentialité légale. Rien à voir avec le secret médical ou le secret avocat-client. Ces échanges peuvent être obtenus par une perquisition de téléphone, une assignation, une procédure de discovery, ou même via un rapport de l'entreprise d'IA elle-même.
Le Washington Post a recensé des conversations de chatbot citées dans 12 affaires judiciaires publiques sur deux ans. Chiffre sous-estimé : une bonne partie des preuves collectées ne sort jamais au grand jour.
Trois cas parlent directement à un dirigeant.
Le cas RH qui pue la dissimulation
Litige d'emploi au Michigan. Un ancien employeur accuse un vendeur d'avoir détourné des clients en rejoignant un concurrent. Problème : le vendeur avait demandé à ChatGPT si des emails Yahoo supprimés pouvaient être récupérés, y compris par assignation judiciaire. L'employeur y a vu une tentative de dissimulation de preuves. Le juge a ordonné au vendeur de payer des frais d'avocat, et laissé le procès se poursuivre.
La leçon est brutale : demander à une IA comment effacer des traces, c'est créer une nouvelle trace qui vous accable.
Le cas de l'expert grillé par ses propres prompts
Explosion mortelle à Houston, affaire Watson Grinding contre 3M. Un expert engagé par 3M demande à ChatGPT de montrer que l'entreprise était "0% responsable". Ses prompts, environ 350 pages, ont été produits en discovery et rendus publics. L'avocat des plaignants s'en est servi pour l'interroger devant le jury, en démontrant que l'expert s'était appuyé exclusivement sur ChatGPT pour former ses opinions et rédiger son rapport.
Un expert crédible réduit à un copier-coller d'IA. Devant un jury. La démonstration se retourne intégralement.
Le cas propriété intellectuelle
Mai 2025, affaire Concord Music Group contre Anthropic. Anthropic a demandé la production de tous les prompts envoyés à Claude par les plaignants dans leur enquête préalable. Les plaignants ont produit 5 000 paires prompts/réponses. Et dans l'affaire In re OpenAI Copyright Infringement Litigation, OpenAI a plaidé que la vie privée des utilisateurs devait primer. Le juge a dit non.
Retenez ceci : il n'existe aucun "privilège IA". Si vos prompts sont pertinents pour un litige, ils sont saisissables. Point.
Le double risque : contentieux ET RGPD
Le problème n'est pas seulement qu'on lise vos prompts. C'est aussi ce que vous mettez dedans.
La CNIL a publié sa quatrième recommandation IA-RGPD le 5 juin 2025 (délibération n°2025-047). Le message est clair : les systèmes d'IA relèvent pleinement de la protection des données personnelles. Coller un nom de client, un dossier salarié ou un contrat dans un prompt, c'est transférer ces données au fournisseur du modèle, souvent hébergé hors UE. Et vous restez responsable du traitement.
Concrètement, ça veut dire deux choses.
- La version gratuite de ChatGPT ne propose aucun DPA conforme à l'article 28 du RGPD. OpenAI se réserve le droit d'utiliser vos prompts pour l'entraînement et conserve les contenus 30 jours par défaut pour la détection d'abus.
- Le principe de minimisation (article 5.1.c du RGPD) impose de ne transmettre au modèle que les données strictement nécessaires. Coller un dossier RH complet pour demander un simple résumé est, par construction, non conforme.
Même logique avec Claude : utiliser l'outil avec des données personnelles place l'entreprise dans le champ du RGPD. Aucun outil n'échappe à la règle.
Pour les usages RH, la relation client automatisée et les traitements massifs de données personnelles, la CNIL recommande une Analyse d'Impact sur la Protection des Données (AIPD) avant tout déploiement. Ce n'est pas optionnel. C'est une obligation légale dans ces contextes. Si vous voulez creuser ce volet conformité, on l'a détaillé ici : IA et conformité : ce que tout entrepreneur doit cadrer avant d'automatiser en Europe.
La politique interne à poser cette semaine
Vous n'avez pas besoin d'un cabinet à 20 000 euros. Vous avez besoin de règles claires que votre équipe applique. Voici la base.
1. Ce qu'on n'écrit jamais dans un prompt
- Aucune donnée personnelle nominative : nom de client, email, dossier salarié, fiche RH, numéro de sécu.
- Aucune question sur la façon d'effacer, détruire ou dissimuler des données ou des documents. Jamais. C'est le piège du cas Michigan.
- Aucune formulation qui oriente un résultat vers une conclusion déjà décidée ("montre-moi que nous sommes 0% responsables"). Le cas 3M vous dit pourquoi.
- Aucun secret d'affaires, aucun élément couvert par un accord de confidentialité sur un outil grand public.
2. Ce qu'on écrit, et comment
- Anonymisez avant de coller. "Client A", "salarié B", chiffres arrondis. L'IA fait le travail, sans exposer vos données.
- Reformulez comme si c'était lu à voix haute au tribunal. Si une phrase vous gênerait devant un juge, ne l'écrivez pas.
- Sur les sujets sensibles (contentieux en cours, RH, litige contractuel), l'analyse juridique passe par votre avocat, pas par un chatbot. Le secret professionnel de l'avocat existe. Celui de ChatGPT n'existe pas.
3. Outils et comptes
- Interdisez les comptes gratuits ou personnels pour tout usage pro impliquant des données. Passez sur des offres entreprise avec DPA et désactivation de l'entraînement.
- Centralisez : un ou deux outils validés, pas dix comptes perso dispersés. Ça limite votre surface de risque et facilite l'archivage.
4. Archivage ou purge : décidez, ne subissez pas
Deux logiques opposées, à trancher selon le contexte.
- Archiver quand les prompts servent votre défense ou tracent un process légitime (dosier de conformité, historique d'une décision documentée). Dans ce cas, conservez proprement, daté, dans un espace maîtrisé.
- Purger régulièrement les historiques qui n'ont aucune valeur de preuve et qui ne font qu'accumuler du risque. Attention : ne purgez jamais dans l'urgence quand un litige est déjà en vue ou en cours. Détruire des éléments pertinents pendant un contentieux, c'est exactement ce qui vous fait condamner.
La règle d'or : une purge, ça se planifie à froid, en dehors de tout conflit. Pas à chaud, sous la pression.
Ce que vous décidez maintenant
Bloquez 30 minutes. Rédigez une note d'une page : ce qu'on n'écrit jamais, ce qu'on anonymise, quels outils sont autorisés, quelle politique d'archivage. Envoyez-la à toute l'équipe. Faites-la signer.
Ensuite, si vous manipulez des données personnelles en RH ou en relation client, lancez votre AIPD. C'est le seul document qui vous couvre vraiment le jour où la CNIL ou un adversaire vient poser des questions.
Le vrai risque, ce n'est pas d'utiliser l'IA. C'est de l'utiliser comme si personne ne pouvait jamais lire ce que vous tapez. Partez du principe inverse. Chaque prompt est potentiellement public. Écrivez en conséquence, et vous transformez un angle mort juridique en simple discipline de travail.
