ChatGPT et confidentialité : que deviennent vos données ?

Un texte saisi dans ChatGPT quitte le poste de travail pour les serveurs d’OpenAI, société américaine.
Selon le compte utilisé et ses réglages, trois choses peuvent ensuite se produire :

• La conversation est conservée dans l’historique du compte, jusqu’à sa suppression.
• Elle peut servir à entraîner les modèles : c’est le cas par défaut sur les comptes gratuits et Plus, sauf si l’utilisateur désactive l’option d’amélioration du modèle.
• Elle peut être examinée à des fins de sécurité et de prévention des abus.

Un contrat, une liste de prix ou un fichier clients collé depuis un compte personnel sort donc du périmètre de l’entreprise, sans qu’elle en garde la moindre trace.

Les offres professionnelles changent donc beaucoup la donne.
Une limite demeure : quel que soit le lieu de stockage, OpenAI reste une société américaine, soumise au Cloud Act.
Pour vos données les plus sensibles, seule une IA souveraine, opérée par un acteur européen, écarte ce risque.

Dès qu’un salarié colle des données personnelles dans ChatGPT (nom d’un client, CV d’un candidat, coordonnées), l’entreprise réalise un traitement au sens du RGPD.
Elle en porte la responsabilité, même si l’outil a été adopté sans son accord.
Trois points méritent attention :

• Un cadre contractuel : les offres professionnelles proposent un accord de traitement des données ; les comptes personnels, non.
• La minimisation : ne transmettre que ce qui est nécessaire, et anonymiser dès que possible.
• Le transfert hors de l’Union européenne : il doit être encadré et mentionné dans votre registre des traitements.

Les autorités y veillent : fin 2024, l’autorité italienne de protection des données a sanctionné OpenAI d’une amende de 15 millions d’euros, notamment pour un défaut d’information des utilisateurs.

Utiliser un compte professionnel

géré par l’entreprise, plutôt qu’un compte personnel.

Ne jamais coller de données personnelles

de clients, de candidats ou de salariés.

Anonymiser

Remplacer noms, montants et références par des repères neutres avant de soumettre un texte.

Exclure les documents sensibles

contrats, grilles de prix, offres en cours, données financières.

Désactiver l’amélioration du modèle

et utiliser le chat temporaire sur les comptes individuels qui subsistent.

Relire et vérifier

toute réponse avant de l’utiliser ou de l’envoyer.

Déclarer ses usages

à un référent, pour que l’entreprise sache quels outils sont utilisés et pour quoi.

Ces règles tiennent sur une page.
Elles constituent le socle de la gouvernance de l’IA à l’échelle d’une PME.

Prenons une agence de communication de 30 personnes.
Un échange avec les équipes révèle que 18 salariés utilisent ChatGPT chaque semaine, tous avec des comptes personnels gratuits.
Parmi les usages déclarés : résumer des briefs clients, reformuler des propositions commerciales, rédiger des courriers, et parfois relire des devis contenant les tarifs de l’agence.

Ce que fait la direction

• Semaine 1 : une charte d’une page, présentée en réunion d’équipe, reprenant les sept règles ci-dessus.
• Semaine 2 : 18 licences ChatGPT Business, pour un budget de l’ordre de 25 à 30 € par utilisateur et par mois, soit environ 6 000 à 6 500 € par an. Les comptes personnels sont abandonnés pour l’usage professionnel.
• Semaines 3 et 4 : les usages qui touchent aux tarifs, aux propositions et aux dossiers clients sont réorientés vers un assistant IA interne hébergé en France, branché sur les seuls documents de l’entreprise.

Le résultat

Les équipes conservent un outil qu’elles apprécient, l’entreprise sait désormais où vont ses données, et les informations les plus sensibles ne quittent plus le territoire européen.
Le tout sans interdiction, donc sans contournement.

ChatGPT est-il conforme au RGPD ?

L’outil peut être utilisé dans le respect du RGPD, à condition de passer par une offre professionnelle avec accord de traitement des données, d’informer les personnes concernées et de limiter les données personnelles transmises. Un compte personnel gratuit ne permet pas à l’entreprise de remplir ces obligations.

Peut-on empêcher ChatGPT d’utiliser nos conversations pour s’entraîner ?

Oui. Les offres Business, Enterprise et l’API n’utilisent pas vos données pour l’entraînement par défaut. Sur un compte gratuit ou Plus, il faut désactiver l’option d’amélioration du modèle dans les paramètres.

Le chat temporaire suffit-il à protéger nos données ?

Il évite l’enregistrement dans l’historique et l’utilisation pour l’entraînement, mais une copie peut être conservée jusqu’à 30 jours. C’est une bonne habitude, insuffisante pour des données sensibles.

Nos salariés utilisent ChatGPT avec leur compte personnel : que faire ?

Ouvrir le sujet sans le sanctionner : recenser les usages, poser quelques règles, fournir un compte professionnel et réserver un outil hébergé en France aux documents sensibles. L’interdiction pure déplace généralement l’usage vers des outils encore moins visibles.