Ce qu'il faut retenir
- Le sujet n'est pas d'autoriser ChatGPT, il est déjà utilisé : dans la quasi-totalité des entreprises que nous auditons, des collaborateurs utilisent une IA générative grand public — le plus souvent avec un compte personnel, hors de tout cadre.
- Toutes les versions ne se valent pas : avec un compte gratuit ou Plus, vos conversations peuvent servir à entraîner les modèles (sauf réglage explicite). Les offres Team, Enterprise et l'API excluent l'entraînement par défaut.
- Le RGPD s'applique dès qu'un prompt contient une donnée personnelle : un fichier client collé dans ChatGPT est un traitement de données, avec transfert vers un prestataire américain — il engage votre responsabilité, pas celle d'OpenAI.
- Les précédents existent : blocage temporaire en Italie dès 2023, amende de 15 millions d'euros infligée à OpenAI fin 2024, interdictions internes chez de grands industriels après des fuites de code source.
- Interdire ne fonctionne pas : la réponse efficace tient en trois volets — encadrer (charte + bonne version), former les équipes, et basculer les usages sensibles vers une IA maîtrisée.
Vos équipes utilisent déjà ChatGPT — la vraie question est : avec quelles données ?
C'est le constat le plus régulier de nos diagnostics : la direction s'interroge sur l'opportunité d'« introduire l'IA », pendant que les équipes l'utilisent depuis dix-huit mois. Rédaction de courriels, reformulation d'offres, relecture de contrats, débogage de code — le plus souvent depuis un compte personnel gratuit, sur un téléphone si le poste de travail bloque le site.
Ce shadow AI n'est pas un problème de discipline, c'est un signal : vos collaborateurs ont trouvé un gain de productivité réel. Le risque n'est pas l'outil — c'est ce qui y entre. Et ce qui y entre, personne ne le sait tant que personne n'a posé de cadre.
Où vont les données que vos salariés collent dans ChatGPT ?
La réponse dépend entièrement de la version
| Version | Entraînement sur vos données | Cadre contractuel entreprise |
|---|---|---|
| ChatGPT gratuit / Plus (compte perso) | Oui par défaut — désactivable dans les réglages | Aucun |
| ChatGPT Team | Non, par défaut | DPA disponible |
| ChatGPT Enterprise | Non, par défaut | DPA, SSO, journaux d'audit |
| API OpenAI | Non — rétention limitée à 30 jours pour la sécurité | DPA disponible |
Deux lectures de ce tableau. La rassurante : OpenAI propose des offres professionnelles contractuellement propres — pas d'entraînement sur vos données, engagements de confidentialité documentés. L'inquiétante : ce n'est presque jamais par ces offres que ChatGPT entre dans l'entreprise. Il entre par le compte gratuit d'un commercial pressé — précisément la version où les conversations peuvent nourrir l'entraînement des modèles.
Ce qui reste vrai dans tous les cas
Même en version Enterprise, trois réalités demeurent : les données transitent par un prestataire américain (avec les questions de transferts hors UE que cela pose — les mêmes que pour Copilot), le modèle est une boîte noire propriétaire que vous ne pouvez ni auditer ni spécialiser en profondeur, et votre capacité de négociation contractuelle face à OpenAI est, disons, limitée.
Les précédents qui doivent alerter un dirigeant
Le dossier n'est pas théorique ; il a une jurisprudence naissante :
- Italie, mars 2023 : le Garante (l'équivalent italien de la CNIL) bloque temporairement ChatGPT sur son territoire — première mesure du genre au monde, motivée par l'absence de base légale pour l'entraînement et le manque d'information des utilisateurs.
- Italie, décembre 2024 : au terme de son enquête, le même Garante inflige à OpenAI une amende de 15 millions d'euros, notamment pour les manquements de la période 2023.
- Corée du Sud, mai 2023 : Samsung interdit les IA génératives publiques à ses équipes après la fuite de code source interne collé dans ChatGPT par des ingénieurs — l'exemple canonique du risque réel : pas un piratage, un copier-coller.
- France : la CNIL a fait de l'IA générative un axe prioritaire et publie depuis 2024 ses recommandations ; ses fiches pratiques constituent aujourd'hui la référence pour cadrer un déploiement conforme.
Ce que dit le RGPD, concrètement
Pas besoin d'être juriste pour retenir l'essentiel. Dès qu'un prompt contient une donnée permettant d'identifier une personne — un nom de client, un CV, un historique de commandes — il y a traitement de données personnelles au sens du RGPD, et c'est votre entreprise qui en est responsable.
Trois obligations en découlent :
- Base légale et finalité : pourquoi cette donnée passe-t-elle par un outil d'IA, et ce traitement figure-t-il dans votre registre ?
- Encadrement des transferts : les données partent vers les États-Unis ; le cadre actuel (Data Privacy Framework) l'autorise, mais son histoire — deux prédécesseurs invalidés par la justice européenne — impose des clauses de repli.
- Minimisation : la question la plus simple est la meilleure : cette donnée avait-elle besoin d'être dans le prompt ? Dans notre expérience, 90 % des usages fonctionnent aussi bien avec des données anonymisées.
S'y ajoute depuis le 2 août 2026 l'obligation de transparence de l'AI Act (article 50) : les contenus générés par IA et les chatbots doivent être identifiés comme tels — nous avons détaillé ce que cela change dans notre article dédié à l'AI Act.
Les trois niveaux de réponse — sans interdire
1. Encadrer : une charte et la bonne version
Une charte IA d'entreprise d'une page vaut mieux qu'une politique de 40 pages que personne ne lit : ce qui est autorisé, avec quelles données, sur quel outil. En parallèle, basculez les utilisateurs réguliers vers une offre Team ou Enterprise — le coût est marginal comparé au risque du compte gratuit.
2. Former : le réflexe donnée sensible
La fuite Samsung n'est pas une faille technique, c'est un déficit de réflexe. Une demi-journée de formation suffit pour installer les automatismes : reconnaître une donnée sensible, anonymiser un prompt, choisir le bon outil selon le contexte. C'est le meilleur ratio coût/risque de tout le dossier.
3. Souverainiser les usages qui le méritent
Pour les usages qui traitent structurellement des données sensibles — juridique, RH, R&D, données clients —, la logique change : ce n'est plus l'utilisateur qui doit faire attention, c'est l'infrastructure qui doit garantir. Modèles open-weight, inférence hébergée en France chez un opérateur français, données jamais réutilisées : c'est l'architecture que nous décrivons sur notre page IA souveraine, et celle que nous déployons pour nos clients.
Conclusion : le cadre est un accélérateur, pas un frein
Les entreprises qui encadrent l'IA générative ne l'utilisent pas moins que les autres — elles l'utilisent mieux, et sur des cas d'usage plus ambitieux, parce que la question « a-t-on le droit ? » a une réponse écrite. Le cadre n'est pas ce qui ralentit l'adoption : c'est ce qui permet d'y mettre enfin les données qui créent de la valeur, dans les conditions qui protègent l'entreprise.
Commencer est simple : savoir qui utilise quoi, avec quelles données. C'est exactement par là que débute notre audit IA.
Lire aussi : Microsoft Copilot ou IA souveraine : que choisir pour vos données d'entreprise ?
Sources
- OpenAI — Enterprise privacy : engagements sur les données des offres professionnelles (documentation officielle, consultée en août 2026)
- Garante per la protezione dei dati personali — mesure de limitation provisoire visant ChatGPT (31 mars 2023)
- Reuters — L'Italie inflige 15 millions d'euros d'amende à OpenAI (20 décembre 2024)
- Bloomberg — Samsung interdit les IA génératives après une fuite via ChatGPT (2 mai 2023)
- CNIL — fiches pratiques sur l'intelligence artificielle (2024)
- EUR-Lex — Règlement général sur la protection des données (UE) 2016/679 (27 avril 2016)
Vos équipes utilisent ChatGPT sans cadre défini ? Vous voulez encadrer sans freiner l'adoption ? Parlons-en — nous vous aidons à définir votre stratégie IA, à former vos équipes et à garder la maîtrise de vos données.
