Vos équipes utilisent déjà ChatGPT. C'est une certitude, même sans politique officielle : pour rédiger un e-mail, résumer un document, préparer une présentation. La vraie question n'est donc pas « faut-il l'autoriser ? », mais « que deviennent les données qu'elles y saisissent ? ».
Contrats collés pour reformulation, données clients pour une analyse, code source pour du débogage : ces informations quittent votre entreprise. Voyons ce qui se passe réellement, quels sont les risques RGPD, et comment utiliser l'IA sans exposer vos données sensibles. Les conditions des éditeurs citées plus bas ont été vérifiées le 12 octobre 2026 sur leurs pages officielles.
ChatGPT est-il conforme au RGPD ?
Cela dépend de l'offre et de vos réglages, pas de l'outil en lui-même. Le RGPD regarde ce que vous faites des données : un compte personnel gratuit utilisé avec des données clients pose problème, une offre professionnelle encadrée par un contrat beaucoup moins. C'est à vous, l'entreprise, de choisir l'offre et de fixer les règles d'usage.
Où vont vos données quand vous utilisez ChatGPT ?
Quand un salarié saisit un texte dans un outil d'IA grand public, trois choses se produisent :
Les données sont transmises et traitées sur les serveurs de l'éditeur. Chez OpenAI, le stockage en Europe n'est pas le réglage par défaut : c'est une option de « résidence des données » à demander pour l'API, réservée aux clients éligibles, avec une majoration de 10 % sur les modèles sortis depuis le 5 mars 2026 (documentation OpenAI).
Elles peuvent être conservées un certain temps, selon les conditions du service. Pour l'API d'OpenAI, les journaux de contrôle des abus gardent les échanges jusqu'à 30 jours par défaut ; la « rétention zéro » existe, mais seulement après accord d'OpenAI (même source).
Elles peuvent être réutilisées pour entraîner les modèles : c'est le point le plus sensible, et il dépend fortement de l'offre utilisée (grand public ou entreprise) et des réglages du compte.
Le distinguo est essentiel : les offres entreprise des principaux éditeurs excluent par défaut l'entraînement sur vos données et offrent des garanties contractuelles. Les versions grand public, elles, sont bien plus permissives par défaut.
Ce que les éditeurs s'engagent à faire de vos données
Offre | Entraînement sur vos données | Ce qu'il faut savoir |
|---|---|---|
API d'OpenAI | Non, depuis le 1er mars 2023, sauf si vous l'acceptez | Journaux conservés jusqu'à 30 jours, rétention zéro sur accord |
ChatGPT Business, Enterprise, Edu | Non par défaut, selon la page d'OpenAI sur les données des entreprises | Contrat de traitement des données disponible sur le portail de confiance d'OpenAI |
Claude pour les entreprises (Team, Enterprise, API) | Non par défaut | Sauf si un utilisateur envoie un avis (pouce haut ou bas) : la conversation peut alors être gardée jusqu'à 5 ans |
Claude Free, Pro, Max | Oui, tant que vous ne le refusez pas dans les réglages | Ce sont des offres individuelles, pas des offres d'entreprise |
Source : documentation API d'OpenAI, page d'OpenAI sur les données des entreprises, portail de confiance d'OpenAI, centre de confidentialité d'Anthropic et grille des offres Claude, vérifié le 12 octobre 2026.
Côté sécurité, OpenAI publie sur son portail de confiance des certifications ISO 27001 et ISO 27701 (protection de la vie privée) et un rapport SOC 2 Type 2 pour ChatGPT Enterprise, Edu et l'API. Ce sont des garanties sur l'organisation de l'éditeur. Elles ne vous dispensent pas de vos propres obligations.
Les risques RGPD concrets
Le RGPD s'applique dès qu'une donnée personnelle est traitée. Or vos échanges IA en contiennent souvent sans qu'on y pense : un nom de client, un e-mail, une donnée RH. Les risques concrets :
Transfert hors UE non encadré de données personnelles.
Perte de maîtrise : vous ne savez plus où sont vos données ni combien de temps elles sont conservées.
Fuite de secrets d'affaires : au-delà du RGPD, un contrat ou une stratégie collés dans un outil tiers, c'est un risque concurrentiel.
Absence de base légale et d'information des personnes concernées.
Pas de contrat de sous-traitance : l'article 28 du RGPD impose un contrat avec tout prestataire qui traite des données personnelles pour vous. Un compte personnel gratuit n'en a pas ; les offres professionnelles en proposent un.
Qui surveille ChatGPT ?
Les autorités de protection des données, dont la CNIL en France. Le risque n'est pas théorique :
Le Comité européen de la protection des données a créé un groupe de travail dédié à ChatGPT, qui a publié un premier rapport le 24 mai 2024 (EDPB).
L'autorité italienne a infligé à OpenAI une sanction de 15 millions d'euros, notamment pour avoir entraîné ChatGPT sur des données personnelles sans base légale. Le Tribunal de Rome a depuis fait droit au recours d'OpenAI, par un jugement publié le 18 mars 2026 (Garante privacy).
Retenez la leçon plutôt que l'issue : les autorités examinent ces outils. Si un contrôle porte sur votre entreprise, c'est votre usage qui sera regardé.
Quelles données ne jamais saisir dans ChatGPT ?
Les données sensibles, sauf offre et cadre prévus pour. Ce sont les catégories de l'article 9 du RGPD : santé, opinions politiques ou syndicales, convictions religieuses, origine, orientation sexuelle, données biométriques. Ajoutez-y vos secrets d'affaires et, sur un outil grand public, toute donnée client ou salarié.
Retirer le nom ne suffit pas toujours. Une donnée est anonymisée quand on ne peut plus retrouver la personne, même en croisant les informations. Un poste, une ville et une date suffisent souvent à l'identifier : on parle alors de données pseudonymisées, toujours soumises au RGPD.
Les bonnes pratiques pour rester conforme
Bonne nouvelle : on peut utiliser l'IA sérieusement sans renoncer à la conformité. Les leviers, du plus simple au plus robuste :
Cadrer les usages : une charte claire sur ce qu'on peut et ne peut pas saisir (jamais de données clients ou RH dans un outil grand public). La CNIL recommande ces chartes, avec la liste des usages autorisés et interdits (questions-réponses de la CNIL). Voir aussi notre article sur la charte d'usage de l'IA.
Utiliser les offres entreprise qui excluent par défaut la réutilisation des données pour l'entraînement.
À défaut, des comptes avec adresses professionnelles : pour des usages non confidentiels, la CNIL admet un service grand public ouvert avec des adresses professionnelles dédiées, jamais des adresses personnelles, en désactivant la réutilisation des données par le fournisseur (même source).
Choisir des modèles plus respectueux des données : certaines alternatives à ChatGPT sont mieux positionnées sur la confidentialité et la souveraineté (voir notre comparatif des alternatives à ChatGPT).
Auto-héberger pour les données les plus sensibles : avec des modèles open-source déployés sur votre infrastructure, les données ne sortent jamais. C'est la solution la plus sûre, que nous mettons en œuvre via des outils comme n8n.
Tenir le registre : inscrivez l'usage de l'IA au registre des traitements quand des données personnelles sont en jeu, et informez les personnes concernées.
Former les équipes : le maillon faible reste l'usage quotidien. Une équipe sensibilisée fait les bons réflexes. L'AI Act européen demande d'ailleurs aux entreprises qui utilisent l'IA d'assurer un niveau suffisant de maîtrise de l'IA à leur personnel (article 4).
ChatGPT n'est pas le seul choix
Il faut le rappeler : la confidentialité est un critère de choix, pas une fatalité. Anthropic, l'éditeur de Claude, n'entraîne pas ses modèles sur les données de ses offres entreprise par défaut, mais le fait sur ses offres individuelles tant que l'utilisateur ne le refuse pas (voir le tableau plus haut). Les modèles français ou open-source vont plus loin sur la souveraineté. Le bon outil dépend de votre niveau de sensibilité, et ce choix, ça se cadre.
En résumé
Utiliser ChatGPT en entreprise sans y réfléchir, c'est prendre un risque RGPD et concurrentiel réel. Mais l'IA générative reste un formidable levier de productivité : la clé est de cadrer les usages, choisir les bons outils et former les équipes. La confidentialité n'est pas un frein à l'IA, c'est un critère de conception.
Vous voulez déployer l'IA dans votre entreprise en gardant la maîtrise de vos données ? C'est le cœur de notre approche : diagnostic IA & data, formation ChatGPT & Claude et solutions auto-hébergées. Réservez un échange de 30 minutes pour sécuriser vos usages IA.
