Si ChatGPT prête à votre directrice générale une fonction qu’elle n’a jamais occupée, la direction générale vous demandera si le RGPD donne un moyen de le faire corriger. Oui, pour elle. Depuis le 24 août 2026, la politique de confidentialité européenne d’OpenAI prévoit une demande de correction ou de retrait, examinée « au regard du droit applicable et des capacités techniques » de ses modèles, sans engagement de résultat. L’organisation n’a pas ces droits. La demande appartient à la personne visée, et la direction de la communication prépare son dossier.
En bref (TLDR)
- Le RGPD (articles 5, 15, 16 et 17) s’applique aux réponses de ChatGPT qui visent une personne physique, selon la CNIL. Une organisation n’en bénéficie pas.
- Depuis le 24 août 2026, OpenAI prévoit une demande de correction ou de retrait via privacy.openai.com ou dsar@openai.com, sans engagement de résultat. La demande d’accès vient en premier.
- Réponse dans le mois de la réception, prolongeable de 2 mois. Ce délai ne dit rien du résultat : un refus ou un blocage y restent possibles.
- CNIL et association autrichienne divergent sur la valeur d’un simple blocage, sans décision d’autorité pour les départager au 31 octobre 2026.
- La décision de demander appartient à la personne visée. Relever tout le comité de direction sans mandat écrit expose à observer des données personnelles sans base.
Xavier Degraux ► Consultant & formateur LinkedIn™, IA et GEO · Prise de parole et réputation numériques des organisations et de leurs dirigeant.es · Employee advocacy ► +500 organisations accompagnées depuis 2013 ► 10 ans journaliste éco (L’Echo, Trends)
J’ai rédigé cet article et créé ses graphiques avec l’aide de l’IA. Ses chiffres viennent du Guide pratique du GEO pour les directions de la communication, que j’ai écrit avec l’aide de Céline Naveau. Chacun renvoie à sa source.
Le RGPD s’applique-t-il aux réponses de ChatGPT ?
Oui, quand la réponse vise une personne physique. Le règlement général sur la protection des données impose que les données personnelles soient exactes et tenues à jour (article 5, paragraphe 1, point d). Ses articles 15, 16 et 17 ouvrent l’accès, la rectification et l’effacement.
Un modèle de langage contient-il des données personnelles ?
La CNIL considère que ces droits s’appliquent aux grands modèles de langage, qui ne sont en général pas anonymes (fiche du 7 février 2025, antérieure à septembre 2025 et toujours en ligne).
Un dirigeant, une porte-parole ou un expert interne mal décrit dans une réponse générée dispose donc d’une voie que l’organisation n’a pas.
Qui est titulaire du droit ?
Le guide distingue 2 titulaires, et les confondre envoie la demande au mauvais guichet. La personne physique dispose du RGPD. La personne morale, entreprise, institution ou association, n’en dispose pas.
Une même réponse fausse touche parfois les 2 : une fonction prêtée à tort, une date de nomination, une condamnation attribuée à un dirigeant au titre de ses fonctions.
Je ne suis pas juriste. Cet article ne remplace pas l’avis de votre délégué·e à la protection des données. Il décrit les voies existantes et leur efficacité connue au 31 octobre 2026.
Cet article complète l’article sur la correction d’une erreur de ChatGPT, consacré aux erreurs sur l’organisation.
Pour la direction de la communication, le premier tri vise donc la cible de l’erreur : une personne, l’organisation, ou les 2. Le reste du dossier en découle.
Comment repérer une erreur sur un dirigeant ?
Par le même relevé que pour l’organisation, tenu dans le même registre des constats. Le guide lit chaque réponse en 7 points, dans un ordre fixe, pour que 2 captures restent comparables (la méthode de l’audit GEO).
- l’affirmation, recopiée mot pour mot
- l’exactitude : exact, périmé ou faux
- la date implicite, l’état du monde auquel la réponse correspond
- l’origine affichée : le site de chaque lien, la date de la page, sa nature
- les affirmations sans source, qu’aucun lien n’appuie
- les autres personnes ou organisations nommées
- le cadrage, la catégorie où la réponse range la personne
Qu’est-ce qui change pour une personne ?
Selon le guide, 2 différences distinguent les réponses qui portent sur les dirigeants. Une erreur sur une personne relève d’un régime juridique différent. Et les sources qui alimentent la réponse sont plus dispersées que pour une organisation :
- les profils de réseaux sociaux
- les interviews
- les annuaires professionnels
- les registres d’entreprises
- les actes publiés
2 points s’ajoutent alors au relevé. Le rattachement d’abord : l’organisation à laquelle la réponse associe la personne, avec la fonction qu’elle lui prête.
La date ensuite, puisque les fonctions antérieures survivent longtemps dans les réponses. Une ancienne présidente toujours présentée comme en poste relève de ce cas.
Faut-il relever tout le comité de direction ?
Pas sans mandat écrit. Le guide prévient : relever tout le comité de direction sans mandat écrit « expose à observer des données personnelles sans base pour le faire ».
Le périmètre des personnes suivies se décide en amont, avec les jeux de questions de l’audit, et s’écrit.
Quel niveau de gravité donner à l’erreur ?
La grille du guide en compte 3, à écrire avant le premier incident. Une erreur qui impute une faute à une personne identifiable relève du niveau 1, le plus élevé.
Une erreur sur un fait d’identité, comme le nom d’un dirigeant, relève du niveau 2. Une réponse seulement défavorable ou datée, sans erreur de fait, relève du niveau 3.
La question exacte posée au moteur sert ensuite de pièce. Selon la CNIL, un fournisseur de modèle est fondé à demander à la personne les questions qui font apparaître l’information en cause.
Pour la direction de la communication, un relevé bâclé affaiblit donc la demande avant même son envoi.
Comment demander la correction à OpenAI ?
La politique de confidentialité européenne d’OpenAI, mise à jour le 24 août 2026 (sections 6 et 12), prévoit qu’une personne qui constate une information inexacte la concernant dans une réponse de ChatGPT en demande la correction ou le retrait, via privacy.openai.com ou à l’adresse dsar@openai.com.
OpenAI précise qu’elle examinera la demande au regard du droit applicable et des capacités techniques de ses modèles. La formulation n’engage l’éditeur à aucun résultat.
Par quoi commencer ?
Par la demande d’accès, au titre de l’article 15. Selon le guide, elle vient en premier parce qu’elle documente les données que l’éditeur traite, avant toute demande de rectification. Sa réponse fixe aussi un point de départ daté pour la suite.
Que doit contenir la demande ?
Une demande complète réunit 6 éléments, quelle que soit la voie :
- l’identité du demandeur et sa qualité
- la question exacte posée au moteur
- la date et le mode de la réponse, avec sa capture
- chaque affirmation contestée, prise une à une
- la pièce qui établit le fait exact pour chacune
- l’objet de la demande : rectification, retrait ou cessation
La demande se rédige pour qu’un tiers, autorité ou juge, la comprenne sans autre pièce.
Une erreur sur un dirigeant : 6 étapes, 2 décideurs
Qui signe la demande ?
La personne visée, ou un mandataire qu’elle désigne par écrit. Ce dossier est le travail utile de la direction de la communication : elle le prépare, la personne concernée décide et signe.
Une demande envoyée au nom d’un dirigeant sans mandat écrit part au mauvais guichet.
Avant l’envoi, le guide fait corriger les pages de l’organisation qui servent de source : une page « équipe » ancienne, un communiqué toujours en ligne, une fiche d’annuaire oubliée. Cette voie demande du temps et parfois un arbitrage interne. Son effet ne s’use pas.
Combien de temps OpenAI a-t-elle pour répondre ?
Un mois à compter de la réception. Pour une demande fondée sur le RGPD, le responsable du traitement informe la personne des mesures prises dans ce délai.
Ce délai est prolongeable de 2 mois selon la difficulté et le nombre de demandes, à condition que la personne en soit informée dans le premier mois (article 12). L’accusé de réception prouve le point de départ.
Après une demande fondée sur le RGPD : 3 calendriers, un seul fixé par le droit
Une réponse dans le délai vaut-elle correction ?
Non. Le délai d’un mois encadre la réponse de l’éditeur, sans rien garantir du résultat. Une réponse reçue dans le délai reste compatible avec un refus, ou avec un blocage de la donnée sur certaines questions.
Pour ce qui vient de l’entraînement, tout dépend des mises à jour du modèle. La CNIL admet un réentraînement périodique dans la limite des délais du RGPD, et des filtres en attendant.
Le guide n’a lu aucune politique d’éditeur qui associe un calendrier à ces mises à jour.
Pour la direction de la communication, la date à annoncer à la personne concernée est celle des contrôles, à 30, 60 et 90 jours, avec un contrôle à 7 jours pour une erreur de niveau 1. La date de disparition de l’erreur reste inconnue.
Un blocage par OpenAI vaut-il correction ?
Les lectures divergent, et les autorités ne les ont pas départagées à la date d’arrêt du guide. Le dossier de départ est autrichien.
En avril 2024, une association autrichienne de défense de la vie privée a saisi l’autorité de son pays pour une personnalité publique à qui ChatGPT attribuait une date de naissance erronée.
Selon l’association, OpenAI a répondu que la correction était impossible et a proposé de bloquer la donnée sur certaines questions. Une seconde plainte a suivi en Norvège en mars 2025 (récit de noyb, source antérieure à septembre 2025, retenue pour ses faits de procédure). Les faits sont ceux que rapporte le plaignant.
| Question | CNIL | Association autrichienne |
|---|---|---|
| Ce que les droits obligent l’éditeur à faire | Réentraîner le modèle et, à titre subsidiaire, filtrer les sorties, si les filtres sont robustes | Retirer la donnée erronée du système, puisque l’exactitude l’exige |
| Ce que vaut un blocage | Un filtre remédie à certains effets du modèle sans en retirer les données | Un blocage qui cache la donnée sans la retirer ne satisfait pas l’obligation d’exactitude |
| Source | Fiche du 7 février 2025, antérieure à septembre 2025, toujours en ligne | noyb, 20 mars 2025, antérieure à septembre 2025, retenue pour ses faits de procédure |
| Décision d’autorité qui départage | Aucune trouvée par le guide en Belgique, au Luxembourg ou en France au 31 octobre 2026 | |
Source : Guide pratique du GEO pour les directions de la communication, sections 4.1 et 4.7. Les 2 lectures sont exposées sans être départagées.
Que montre l’affaire norvégienne ?
Dans cette affaire, ChatGPT présentait un citoyen comme le meurtrier de 2 de ses enfants. L’association plaignante rapporte que l’affirmation a cessé après l’ajout de la recherche en ligne au service. Le guide n’a trouvé de décision publiée sur aucune des 2 plaintes.
Ce fait établit qu’une réponse de ce type n’est pas figée. Il ne prouve pas qu’une démarche du plaignant a produit le changement.
Que fait un blocage, concrètement ?
Le blocage retire une phrase de l’affichage. Rien ne garantit qu’une autre formulation de la question ne la ramène pas. La correction de la page source, quand il y en a une, reste la voie dont l’effet ne s’use pas (pourquoi ChatGPT se trompe sur une entreprise).
Pour la direction de la communication, l’ordre de travail en découle : la source d’abord quand elle existe, la demande ensuite, puis la vérification à chaque contrôle avec plusieurs formulations de la question.
Une entreprise a-t-elle droit au RGPD ?
Non. Le RGPD ne protège que les personnes physiques. Une erreur sur le chiffre d’affaires, le siège ou l’offre d’une organisation relève d’autres voies : la correction de la source, le signalement juridique d’un contenu tenu pour illicite (diffamation, atteinte à une marque), ou les règles de chaque plateforme.
Google range les Aperçus IA et le Mode IA parmi les produits couverts par ses demandes de retrait pour motif juridique. Un signalement au titre de ses propres règles ne vaut pas notification juridique : les 2 se déposent séparément, produit par produit.
Que disent les tribunaux allemands ?
La question décisive, selon le guide, est ailleurs : la synthèse est-elle un contenu propre du moteur, ou une présentation de contenus tiers ? 2 tribunaux allemands y ont répondu à 4 jours d’intervalle, sur 2 fondements différents.
| Point | Munich, 28 mai 2026 | Berlin, 1er juin 2026 |
|---|---|---|
| Fondement | Atteinte à la réputation d’une entreprise, droit allemand de la personnalité | Droit des marques et de la concurrence |
| Lecture de la synthèse | Un contenu propre du moteur, qui en répond directement. Le privilège des hébergeurs du DSA ne s’applique pas | Un résumé de pages tierces, sans usage des marques par le moteur, faute de communication commerciale propre |
| Issue | Interdiction en référé, amende plafonnée à 250.000 € par infraction | Demande rejetée |
Source : Guide pratique du GEO pour les directions de la communication, encadré « Deux sources, deux décisions » de la section 4.7. 2 décisions de référé, en première instance, non définitives.
Sur quel fondement Munich a-t-il statué ?
Munich a rappelé que le RGPD ne s’appliquait pas aux 2 maisons d’édition plaignantes, avant de fonder son injonction sur le droit allemand de la personnalité, que ce droit reconnaît aux entreprises.
Le tribunal a rejeté un point, faute de pièce établissant la fausseté. Pour le reste, une déclaration sous serment attestait l’absence de lien avec les entreprises citées.
Les commentateurs allemands se partagent entre ceux qui lisent une contradiction et ceux qui voient 2 lignes compatibles. Google a annoncé en juin 2026 son intention de faire appel à Munich, sans confirmation publique d’un appel pendant à la date d’arrêt du guide (Casoon Insights, 9 juillet 2026).
Le guide n’a trouvé de décision comparable ni en Belgique, ni au Luxembourg, ni en France. Leur transposition relève du juriste. Une erreur sur l’organisation se traite donc hors RGPD, par la procédure décrite pour les organisations, avec le juridique dès qu’un droit est invoqué.
La désignation de ChatGPT au titre du DSA ouvre-t-elle un droit ?
Pas de droit de rectification. Le 31 août 2026, la Commission européenne a désigné ChatGPT « très grand moteur de recherche en ligne » au titre du règlement sur les services numériques, le DSA.
La décision s’appuie sur un chiffre déclaré par OpenAI elle-même pour sa fonction de recherche.
ChatGPT et le seuil du DSA : destinataires actifs mensuels moyens dans l’Union, en millions
Cette désignation soumet le service à une évaluation des risques systémiques, droits fondamentaux compris, puis à des audits indépendants, d’ici janvier 2027 selon la Commission.
Le chiffre concerne la seule fonction de recherche. La Commission ne l’a pas mesuré, et il ne renseigne pas sur le nombre de questions posées sur une personne donnée.
Les données d’OpenAI pour la Belgique figurent dans l’article sur l’usage de ChatGPT en Belgique.
À quoi sert le DSA, alors ?
Aux sources. Pour une page hébergée par une plateforme, un forum ou un site d’avis, l’article 16 du DSA impose à l’hébergeur un mécanisme de notification ouvert à tout particulier et à toute entité.
La notification porte une explication étayée, l’adresse exacte du contenu et une déclaration de bonne foi.
Une notification précise et étayée vaut connaissance du contenu pour l’hébergeur, ce qui compte pour sa responsabilité. Ce mécanisme vise les sources, sans atteindre la synthèse elle-même.
Le pouce baissé dans l’interface, lui, n’ouvre pas de dossier : Google indique que ces retours servent à évaluer le Mode IA.
À quelle autorité s’adresser, en Belgique, au Luxembourg et en France ?
| Pays | Protection des données | Services numériques (DSA) |
|---|---|---|
| Belgique | Autorité de protection des données (APD) | IBPT, coordinateur national, aux côtés du CSA, du VRM et du Medienrat. Une plainte vise le comportement de la plateforme et suppose un signalement préalable à celle-ci. |
| Luxembourg | Commission nationale pour la protection des données (CNPD) | Autorité de la concurrence, coordinatrice depuis le 17 février 2024, qui reçoit les plaintes des particuliers et des professionnels. |
| France | CNIL, dont les fiches sur l’IA traitent de l’exercice des droits face aux modèles | Arcom |
| ChatGPT, dans les 3 pays | La politique d’OpenAI désigne la Commission irlandaise de protection des données comme autorité chef de file. Elle mentionne l’autorité locale de la personne comme alternative. | |
Source : Guide pratique du GEO pour les directions de la communication, encadré « Trois pays » de la section 4.7, données arrêtées au 31 octobre 2026.
Pour une demande qui vise ChatGPT, la personne a donc le choix entre l’autorité irlandaise et celle de son pays, l’Autorité de protection des données en Belgique.
Pour le règlement européen sur l’IA, l’autorité belge restait en cours de désignation au 31 octobre 2026 (l’article sur l’AI Act et les textes écrits avec l’IA).
Qui, chez vous, est concerné ?
La personne visée décide. Le guide propose de l’écrire dans le mandat de correction, ce document qui dit qui, dans l’organisation, a le droit de signaler qu’une réponse est fausse.
Pour chaque personne exposée, il sépare le travail de l’organisation de la décision, qui revient à la personne.
| Famille de sujets | Titulaire | Suppléant | Décide seul | Soumet à validation |
|---|---|---|---|---|
| Identité de l’organisation, dont les dirigeants en fonction | Direction de la communication | Secrétariat général | Correction des pages du site et des fiches tierces | Toute mise au point publique |
| Dirigeant·es et porte-parole, à titre personnel | La personne concernée | Délégué·e à la protection des données | Demande d’accès ou de rectification au titre du RGPD | Mise au point publique, action en justice |
Exemple construit par le guide (section 4.3) pour une entreprise B2B belge de taille moyenne, non cotée. Extrait de 2 lignes sur 6. Les titulaires dépendent de chaque organigramme.
Le même fait, un dirigeant en fonction, apparaît sur 2 lignes. Sur la page du site, il relève de la communication. Dans la réponse qui décrit la personne, il relève de la personne.
La procédure RGPD de l’organisation traite les demandes qu’elle reçoit, le mandat celles qu’elle adresse aux autres.
Qui fait quoi ?
- La personne exposée (dirigeant·e, porte-parole, expert·e interne) décide de demander, signe la demande ou donne un mandat écrit.
- Le ou la délégué·e à la protection des données qualifie la demande et suit le délai d’un mois.
- La direction de la communication relève la réponse, réunit les preuves, corrige les pages de l’organisation qui servent de source et tient le registre des constats.
- Le juridique intervient quand l’erreur touche aussi l’organisation et qu’un droit est invoqué : diffamation, marque, droit de la personnalité dans un autre pays.
- La direction générale signe le mandat, fixe le périmètre des personnes suivies et arbitre quand les 2 dossiers se croisent.
Et dans une institution publique ?
Les mandataires et les agents exposés ont les mêmes droits que tout particulier. L’erreur qui touche les usagers, un délai de recours, une condition d’éligibilité ou l’adresse d’un guichet, ne relève pas du RGPD.
Le guide la classe pourtant au niveau 1, quelle que soit sa visibilité, parce qu’elle touche aux droits et à la sécurité des personnes.
Pour la direction de la communication, le document à produire est donc la ligne « dirigeants et porte-parole » du mandat, avec le périmètre des personnes suivies, signée par la direction générale.
Que dire à votre comité de direction ?
- « Le RGPD permet à une personne physique mal décrite par ChatGPT de demander l’accès, la rectification ou l’effacement de ses données, et la politique d’OpenAI prévoit depuis le 24 août 2026 une demande de correction ou de retrait, sans engagement de résultat. »
- « Une organisation ne bénéficie pas du RGPD : le tribunal régional de Munich l’a rappelé le 28 mai 2026 avant de statuer sur le droit allemand de la personnalité, et le guide ne connaît pas de décision comparable en Belgique, au Luxembourg ou en France. »
- « Pour un dirigeant, la décision de demander une correction appartient au dirigeant, et relever les réponses sur tout le comité de direction sans mandat écrit expose à traiter des données personnelles sans base, selon le Guide pratique du GEO (octobre 2026). »
Quelles questions poser en interne ?
- L’erreur vise-t-elle une personne physique, l’organisation, ou les 2 ?
- Le mandat distingue-t-il, pour chaque dirigeant et porte-parole, ce que l’organisation fait pour la personne et ce que la personne décide elle-même ?
- Le périmètre des personnes dont les réponses sont relevées est-il écrit et validé ?
- La question exacte, la date, le moteur et la capture de la réponse sont-ils conservés dans le registre des constats ?
- Les pages de l’organisation qui servent de source sont-elles corrigées avant toute demande à OpenAI ?
- Une demande d’accès a-t-elle précédé la demande de rectification ?
- Le ou la délégué·e à la protection des données est-il associé, et l’échéance d’un mois est-elle notée ?
Questions fréquentes
Comment faire corriger une information personnelle par ChatGPT ?
Par une demande de la personne concernée à OpenAI. Depuis le 24 août 2026, la politique de confidentialité européenne d’OpenAI prévoit une demande de correction ou de retrait via privacy.openai.com ou dsar@openai.com. OpenAI l’examine au regard du droit applicable et des capacités techniques de ses modèles, sans engagement de résultat.
Combien de temps OpenAI a-t-elle pour répondre à une demande RGPD ?
Un mois à compter de la réception, prolongeable de 2 mois selon la difficulté et le nombre de demandes, si la personne en est informée dans le premier mois (RGPD, article 12). Une réponse dans le délai reste compatible avec un refus ou un blocage.
La direction de la communication fait-elle la demande à la place du dirigeant ?
Non. La décision de demander appartient à la personne visée, qui signe ou mandate par écrit. La direction de la communication prépare le dossier : la question posée, la réponse datée avec sa capture, chaque affirmation contestée, la pièce qui établit le fait exact et l’objet de la demande.
Un blocage de la réponse par OpenAI suffit-il ?
Les lectures divergent. La CNIL retient le réentraînement et, à titre subsidiaire, des filtres robustes. L’association autrichienne à l’origine de la plainte d’avril 2024 soutient qu’un blocage sans retrait ne satisfait pas l’obligation d’exactitude. Le guide n’a trouvé aucune décision d’autorité qui les départage au 31 octobre 2026.
Une entreprise a-t-elle des droits RGPD face à ChatGPT ?
Non, le RGPD ne protège que les personnes physiques. Une erreur sur l’organisation passe par la correction de la source ou par un signalement juridique. En Allemagne, le tribunal régional de Munich a statué le 28 mai 2026 sur le droit de la personnalité, reconnu aux entreprises, et le tribunal régional de Berlin a rejeté le 1er juin 2026 une demande fondée sur le droit des marques.
À quelle autorité s’adresser en Belgique pour une erreur de ChatGPT ?
À l’Autorité de protection des données pour les données personnelles. La politique d’OpenAI désigne la Commission irlandaise de protection des données comme autorité chef de file et mentionne l’autorité locale comme alternative. Pour le DSA, l’IBPT est coordinateur national, après un signalement préalable à la plateforme.
>>> Le Guide pratique du GEO pour les directions de la communication détaille les voies de droit et les autorités des 3 pays (section 4.7), le mandat de correction (4.3), les délais (4.5) et le relevé des réponses sur les personnes (2.3). Il se télécharge librement. Les termes du sujet sont définis dans le glossaire du GEO.
Dans votre organisation, le mandat de correction sépare-t-il déjà les droits des personnes exposées de ceux de l’organisation ?
Xavier Degraux ► Consultant & formateur LinkedIn™, IA et GEO · Prise de parole et réputation numériques des organisations et de leurs dirigeant.es · Employee advocacy ► +500 organisations accompagnées depuis 2013 ► 10 ans journaliste éco (L’Echo, Trends Tendances)
Abonnez-vous à ma newsletter mensuelle gratuite !
En vous abonnant, vous acceptez que votre adresse serve uniquement à l’envoi de cette lettre d’information. Désinscription en un clic dans chaque envoi. Politique de confidentialité et de cookies · Mentions légales · Conditions générales
