ChatGPT et données personnelles : ce que deviennent vos informations

« Est-ce que ChatGPT garde ce que je lui écris ? » La question revient dans toutes les entreprises qui découvrent l’IA générative. La réponse dépend moins de l’outil que de la façon dont on l’utilise : avec un compte personnel gratuit, un abonnement individuel ou une offre professionnelle gérée par l’entreprise, les règles ne sont pas les mêmes. Cet article reprend ce qu’OpenAI publie sur ses propres pages, offre par offre, puis ce qui reste à la charge de l’entreprise.

Ce qui se passe quand vous envoyez un message

ChatGPT est un service en ligne. Le texte saisi, les fichiers joints et les réponses sont traités sur les serveurs d’OpenAI, puis enregistrés dans l’historique du compte. Rien de surprenant : c’est le fonctionnement de tout service hébergé. Ce qui compte, c’est la suite : combien de temps ces contenus sont conservés, qui peut y accéder et s’ils peuvent servir à améliorer les modèles.

Le schéma ci-dessous montre le trajet d’un message qui contient un nom, un IBAN et une information de santé. Sans contrôle préalable, ces données partent telles quelles. Avec un contrôle local, elles peuvent être remplacées par des balises avant de quitter le poste.

Compte personnel : entraînement et réglages

Pour les services destinés aux particuliers (ChatGPT gratuit et les abonnements individuels), OpenAI indique pouvoir utiliser le contenu soumis pour améliorer les performances de ses modèles.¹ La même page invite d’ailleurs à ne pas saisir d’informations sensibles que l’on ne voudrait pas voir examinées ou utilisées.¹

L’utilisateur garde la main sur ce point. Lorsque le réglage « Améliorer le modèle pour tous » est désactivé, les nouvelles conversations ne servent pas à entraîner les modèles d’OpenAI.² Les « conversations temporaires » ne sont pas non plus utilisées pour l’amélioration des modèles, mais peuvent être conservées jusqu’à 30 jours pour des raisons de sécurité.² Une précision souvent ignorée : lorsqu’on donne un avis sur une réponse (pouce levé ou baissé), la conversation entière associée peut servir à l’entraînement.²

Cette logique n’est pas propre à OpenAI. Google indique que des réviseurs humains examinent une partie des conversations de l’application Gemini et demande de ne pas y saisir d’informations confidentielles.¹⁰ Anthropic a, de son côté, demandé aux utilisateurs des offres Claude grand public de choisir s’ils acceptent que leurs données servent à l’entraînement, avec une conservation portée à cinq ans en cas d’accord.¹¹

ChatGPT Business et Enterprise : ce que prévoit OpenAI

Les offres professionnelles reposent sur un cadre différent. Pour ChatGPT Business (l’ancienne offre Team, renommée le 29 août 2025⁶), ChatGPT Enterprise, ChatGPT Edu et la plateforme API, OpenAI indique ne pas entraîner ses modèles sur les données des clients par défaut.³ L’éditeur y précise aussi que le client est propriétaire de ses entrées et sorties, dans les limites prévues par la loi, que les données sont chiffrées au repos (AES-256) et en transit (TLS 1.2 ou supérieur), et qu’un audit SOC 2 a été mené.³

Pour le RGPD, un point est décisif : OpenAI peut signer un avenant de traitement des données (DPA) avec ses clients pour ChatGPT Business, ChatGPT Enterprise et l’API.³ Certains clients éligibles d’Enterprise, d’Edu et de l’API peuvent en outre choisir de stocker leurs contenus au repos en Europe.⁷

Combien de temps les conversations sont-elles conservées ?

Une conversation supprimée n’est pas effacée instantanément. Selon OpenAI, elle est programmée pour une suppression définitive de ses systèmes dans un délai de 30 jours, sauf si elle a déjà été dissociée du compte ou si une obligation de sécurité ou une obligation légale impose de la garder plus longtemps.⁴ La même règle des 30 jours figure dans les engagements d’Enterprise.³

L’« obligation légale » n’est pas théorique. Dans le cadre du procès engagé par le New York Times, OpenAI a dû conserver pendant plusieurs mois les contenus des comptes grand public et de l’API. L’éditeur indique que cette obligation a pris fin le 26 septembre 2025, qu’il conserve de façon sécurisée un ensemble limité de données d’avril à septembre 2025, et que ChatGPT Enterprise et Edu n’étaient pas concernés.⁵

Données confidentielles et sensibles : où est le vrai sujet

Pour une entreprise, le risque principal n’est pas l’outil lui-même, mais ce qu’on y colle. Un salarié pressé copie un e-mail client pour le reformuler, un tableau de paie pour le résumer, un contrat pour en extraire les clauses. Chacun de ces gestes transmet des données personnelles à un tiers.

Le RGPD impose que les données traitées soient « adéquates, pertinentes et limitées à ce qui est nécessaire » (principe de minimisation, article 5).⁹ Certaines catégories, comme les données de santé, bénéficient d’une protection renforcée (article 9).⁹ Et c’est l’entreprise, responsable de traitement, qui doit pouvoir démontrer qu’elle respecte ces principes (article 24).⁹ La CNIL le rappelle pour l’IA générative : c’est l’organisme utilisateur qui engage sa responsabilité en cas de mauvaise utilisation de l’IA par son personnel.⁸

Bien souvent, la donnée personnelle n’est pas utile à la tâche. Reformuler un message n’exige pas le vrai nom du client ni son IBAN : une balise suffit, et la réponse reste exploitable.

Les bons réflexes en entreprise

La CNIL recommande d’encadrer l’usage de l’IA générative par une politique ou une charte interne qui distingue clairement les usages autorisés et interdits.⁸ Concrètement :

1. Privilégier un compte professionnel. Une offre gérée par l’entreprise, avec un DPA, apporte un cadre contractuel qu’un compte personnel ne peut pas offrir. Pour des usages non confidentiels, la CNIL envisage aussi un service grand public utilisé avec des adresses professionnelles dédiées, en désactivant si possible la réutilisation des données.⁸
2. Vérifier les réglages. Sur un compte individuel, désactiver « Améliorer le modèle pour tous » et utiliser les conversations temporaires pour les sujets ponctuels.²
3. Minimiser avant d’envoyer. Retirer ou remplacer noms, coordonnées, identifiants bancaires, données de santé et secrets d’affaires.
4. Former les équipes. Expliquer pourquoi, pas seulement interdire : c’est ce qui rend une règle durable.
5. Outiller la minimisation. Un contrôle sur le poste peut repérer les données sensibles au moment de l’envoi et proposer de les anonymiser. C’est le rôle de Tacite-IA, présenté plus bas, parmi d’autres mesures possibles.

Questions fréquentes

Sources

1. How OpenAI handles data in consumer services. OpenAI Help Center. Consulté le 5 octobre 2026.
2. Data controls in ChatGPT. OpenAI Help Center. Consulté le 5 octobre 2026.
3. Enterprise privacy at OpenAI. OpenAI, page mise à jour le 8 janvier 2026. Consulté le 5 octobre 2026.
4. Chat and file retention in ChatGPT. OpenAI Help Center. Consulté le 5 octobre 2026.
5. How we’re responding to The New York Times’ data demands in order to protect user privacy. OpenAI, mise à jour du 22 octobre 2025. Consulté le 5 octobre 2026.
6. ChatGPT Business - Overview. OpenAI Help Center. Consulté le 5 octobre 2026.
7. Business data privacy, security, and compliance. OpenAI. Consulté le 5 octobre 2026.
8. Les questions-réponses de la CNIL sur l’utilisation d’un système d’IA générative. CNIL, 18 juillet 2024. Consulté le 5 octobre 2026.
9. Règlement (UE) 2016/679 relatif à la protection des données (RGPD). EUR-Lex. Consulté le 5 octobre 2026.
10. Gemini Apps Privacy Hub. Google. Consulté le 5 octobre 2026.
11. Updates to Consumer Terms and Privacy Policy. Anthropic, 28 août 2025. Consulté le 5 octobre 2026.

ChatGPT est une marque d’OpenAI, Copilot de Microsoft, Claude d’Anthropic, Gemini de Google. Tacite-IA n’est affilié à aucun de ces éditeurs. Article informatif, qui ne constitue pas un conseil juridique.