Ce qu'un salarié colle dans ChatGPT ne suit pas les mêmes règles selon le compte utilisé. Sur une offre individuelle (Free, Plus, Pro), les conversations peuvent servir à entraîner les modèles d'OpenAI tant que l'option n'est pas désactivée, et l'entreprise n'a aucun contrat avec l'éditeur. Sur ChatGPT Business, Enterprise ou l'API, les données ne servent pas à l'entraînement par défaut et un accord de sous-traitance (DPA) est disponible. Dans tous les cas, certaines informations ne devraient jamais être collées.

Les faits ci-dessous viennent du centre d'aide et des pages officielles d'OpenAI, consultés le 23 octobre 2026. Ces pages changent souvent : vérifiez-les avant de rédiger votre propre règle.

Ce que devient un texte collé dans ChatGPT, selon l'offre

Point Free, Plus, Pro Business Enterprise API
Entraînement des modèles Oui par défaut, désactivable Non par défaut Non par défaut Non par défaut (depuis le 1er mars 2023)
Conservation Jusqu'à suppression ; effacement sous 30 jours après suppression Effacement sous 30 jours après suppression Durée fixée par les administrateurs Journaux de surveillance des abus conservés jusqu'à 30 jours
Liens de partage Visibles par toute personne qui a le lien Réservés aux membres de l'espace Réservés aux membres, désactivables par l'administrateur Sans objet
Cadre RGPD OpenAI traite les données selon sa propre politique de confidentialité DPA disponible DPA disponible, résidence des données en Europe possible DPA disponible, conservation zéro possible sur accord d'OpenAI

L'entraînement des modèles

Sur les offres individuelles, OpenAI indique pouvoir utiliser vos contenus pour entraîner ses modèles. Pour l'éviter, désactivez Improve the model for everyone dans Settings > Data controls (les libellés sont traduits dans l'interface française), ou faites la demande sur le portail de confidentialité d'OpenAI. Seules les nouvelles conversations sont concernées.

Un détail échappe à beaucoup d'utilisateurs : même après ce réglage, un pouce levé ou baissé sur une réponse autorise OpenAI à utiliser toute la conversation concernée pour l'entraînement. Sur Business, Enterprise et Edu, ce retour ne permet pas l'entraînement (OpenAI, utilisation des données pour l'entraînement).

La conservation

Une conversation supprimée disparaît tout de suite de votre historique, puis OpenAI programme son effacement sous 30 jours, sauf si elle a déjà été dissociée de votre compte ou si une obligation légale ou de sécurité impose de la garder (OpenAI, conservation des conversations). Cette réserve n'est pas théorique : dans le procès intenté par le New York Times, un tribunal américain a obligé OpenAI à conserver des conversations, y compris supprimées, jusqu'au 26 septembre 2025.

La conversation temporaire n'apparaît pas dans l'historique, ne crée pas de mémoire et ne sert pas à l'entraînement. OpenAI peut toutefois en garder une copie jusqu'à 30 jours pour des raisons de sécurité.

Sur Enterprise, ce sont les administrateurs qui fixent la durée de conservation de l'espace de travail (OpenAI, Enterprise privacy).

La mémoire

Quand la mémoire est activée, ChatGPT peut réutiliser des informations tirées des conversations passées, des souvenirs enregistrés, des fichiers et des applications connectées, comme une messagerie. Deux points comptent pour une entreprise. Supprimer une conversation ne supprime pas forcément le souvenir qui en a été tiré : il faut aussi l'effacer dans les réglages de mémoire (Settings > Personalization > Memory). Et un client cité dans une conversation peut ressurgir dans une réponse sans rapport, des semaines plus tard. Dans les espaces Business et Enterprise, la mémoire peut aussi être encadrée par des réglages de l'organisation.

Les liens de partage

Un lien créé depuis un compte personnel est lisible par toute personne qui le possède. Il n'a pas de date d'expiration et peut être transféré. OpenAI précise que ces pages ne sont pas destinées à être indexées par les moteurs de recherche, mais que cela ne rend pas le lien privé (OpenAI, liens de partage). Sur Business et Enterprise, un lien ne s'ouvre que pour les membres du même espace. Seul Enterprise permet à l'administrateur d'interdire le partage pour toute l'organisation.

Qui peut lire vos conversations

Sur les offres individuelles, un nombre limité de salariés d'OpenAI et de prestataires peut accéder aux contenus pour enquêter sur un abus, répondre à une demande d'assistance, traiter une question juridique ou améliorer les modèles (sauf si vous l'avez refusé). Les contenus sont stockés aux États-Unis et dans d'autres pays. OpenAI demande d'ailleurs de ne pas saisir d'informations sensibles que vous ne voudriez pas voir relues ou utilisées.

Ce qu'il ne faut jamais coller dans ChatGPT

Sur un compte personnel, rien de ce qui suit. Sur une offre professionnelle, seulement si votre charte le prévoit et si un DPA est en place :

  • les données personnelles des clients, prospects ou salariés : coordonnées, CV, fiches de paie, arrêts de travail, entretiens annuels ;
  • les données de santé et les autres données sensibles au sens du RGPD (opinions politiques, appartenance syndicale, origine raciale ou ethnique) ;
  • les identifiants, mots de passe, clés d'API et accès bancaires ;
  • les contrats, devis et documents couverts par un accord de confidentialité ;
  • les chiffres financiers non publiés, les projets de rachat, les prix négociés ;
  • le code source propriétaire et les secrets de fabrication ;
  • les échanges couverts par le secret professionnel (avocat, expert-comptable, médecin).

Pour beaucoup de tâches, il suffit d'anonymiser : « le client A », « un salarié de l'atelier », « un montant de X euros ». La reformulation d'un courriel ou la structure d'un contrat n'exigent pas les vrais noms.

Une charte d'usage en 8 règles pour une TPE

La CNIL recommande d'encadrer l'IA générative par une charte qui liste les usages autorisés et interdits, et d'interdire d'y fournir certaines données confidentielles ou personnelles (CNIL, questions-réponses sur l'IA générative). Pour une petite équipe, une page suffit :

  1. Un compte professionnel pour tout contenu de l'entreprise. Pas de compte personnel pour les données internes, même avec l'entraînement désactivé : l'entreprise n'a alors aucun contrat avec l'éditeur.
  2. Une liste rouge affichée. Les catégories de la section précédente, adaptées à votre métier.
  3. Anonymiser par défaut. Remplacer noms, adresses et montants par des repères neutres avant de coller.
  4. La conversation temporaire pour les demandes ponctuelles. Elle ne laisse rien dans l'historique ni dans la mémoire.
  5. Pas de lien de partage vers l'extérieur. Copier le texte utile plutôt que la conversation, et supprimer les liens qui ne servent plus.
  6. Une mémoire relue chaque trimestre. Chacun efface ce qui concerne des clients ou des collègues.
  7. Des connecteurs validés. Messagerie, agenda ou stockage de fichiers ne sont connectés qu'avec l'accord du référent.
  8. Un référent identifié. Il garde le DPA, inscrit l'outil au registre des traitements et reçoit les signalements. Si quelqu'un colle une donnée par erreur : supprimer la conversation, désactiver le lien s'il existe, prévenir le référent.

RGPD : qui est responsable de quoi

Responsable de traitement et sous-traitant

Quand un salarié traite dans ChatGPT des données sur vos clients ou vos collègues, c'est votre entreprise qui décide de ce traitement : elle en est responsable au sens du RGPD. La question est alors de savoir quel rôle joue OpenAI.

  • Offre individuelle : pour les utilisateurs de l'Espace économique européen, OpenAI Ireland Limited est responsable de traitement des données décrites dans sa politique de confidentialité européenne, contenus des conversations compris. Votre entreprise n'a aucun contrat qui encadre ce qu'OpenAI en fait.
  • Business, Enterprise, API : OpenAI agit comme sous-traitant pour le compte du client. Ce rôle est formalisé par un DPA.

Le DPA

OpenAI signe un accord de sous-traitance pour ChatGPT Business, ChatGPT Enterprise et l'API, via un formulaire en ligne. Ce document fixe les instructions, la confidentialité, la liste des sous-traitants ultérieurs et la restitution ou suppression des données en fin de contrat. L'article 28 du RGPD impose ce contrat dès qu'un sous-traitant traite des données personnelles pour votre compte. Conservez-le avec votre registre des traitements.

Les transferts hors de l'Union européenne

OpenAI traite des données hors de l'Espace économique européen, notamment aux États-Unis. Ces transferts reposent sur les décisions d'adéquation de la Commission européenne ou sur les clauses contractuelles types. Pour aller plus loin, la résidence des données en Europe, qui garde les contenus stockés dans l'EEE et en Suisse, est réservée aux nouveaux clients Enterprise et Edu et aux clients éligibles de l'API. Même avec cette option, certaines données, comme les métadonnées ou les intégrations externes, peuvent être traitées ailleurs.

Reste une question que le contrat ne règle pas : OpenAI est une entreprise américaine, soumise au droit américain. Pour la plupart des usages, ce n'est pas bloquant. Cela le devient si vos clients exigent par contrat des prestataires européens.

Les alternatives

Passer à une offre professionnelle d'OpenAI. C'est la réponse la plus simple si votre équipe utilise déjà ChatGPT : ChatGPT Business suffit pour une petite structure, avec l'absence d'entraînement par défaut, des liens limités à l'espace et un DPA. Enterprise ajoute la résidence des données en Europe et la possibilité d'interdire les liens de partage.

Choisir un éditeur européen. Mistral, entreprise française, propose son propre assistant avec une offre équipe. Nous avons comparé les deux dans Mistral ou ChatGPT pour une TPE, prix et réglages de confidentialité compris.

Utiliser un espace de travail qui laisse choisir les modèles. Dans Omeon, l'assistant IA s'appuie sur les documents de l'entreprise et donne accès à des modèles d'Anthropic, de Google, de Mistral, d'OpenAI et de xAI. Les administrateurs choisissent les fournisseurs autorisés pour l'organisation et peuvent se limiter aux modèles européens de Mistral. L'outil est hébergé en Europe, avec une base de données en France. Selon notre politique de confidentialité, nos contrats avec les fournisseurs d'IA leur interdisent d'utiliser vos données pour entraîner leurs modèles. Une charte d'usage reste utile, quel que soit l'outil.

Questions fréquentes

ChatGPT est-il conforme au RGPD ?

Aucun outil n'est conforme à la place de l'entreprise qui l'utilise. OpenAI fournit un DPA et des garanties de transfert pour ses offres professionnelles. Sur une offre individuelle, il n'y a pas de contrat entre votre entreprise et OpenAI : à éviter pour toute donnée personnelle de clients ou de salariés.

Désactiver l'entraînement suffit-il à protéger les données ?

Non. Désactiver l'entraînement empêche l'usage des nouvelles conversations pour les modèles, mais les conversations restent stockées jusqu'à leur suppression, puis jusqu'à 30 jours. Un pouce levé ou baissé autorise encore l'entraînement sur la conversation concernée.

ChatGPT Business suffit-il pour une petite entreprise ?

Pour la plupart des TPE, oui : pas d'entraînement par défaut, liens de partage limités à l'espace, DPA disponible. La résidence des données en Europe et l'interdiction des liens de partage pour toute l'organisation restent réservées à Enterprise.

Que faire si un salarié a collé des données clients dans son compte personnel ?

Supprimer la conversation et les éventuels liens de partage, effacer les souvenirs associés, puis noter l'incident. Si les données sont sensibles ou nombreuses, voyez avec votre délégué à la protection des données, ou à défaut avec un conseil, s'il s'agit d'une violation de données à notifier à la CNIL.