Où vont les données de votre entreprise quand vous utilisez ChatGPT ?

Le cas : un fichier clients dans ChatGPT

Le cas de départ, vu dans une PME de services : pour préparer une relance commerciale, un dirigeant colle dans ChatGPT un extrait de son CRM. Noms, entreprises, mails, montants des derniers devis. L'outil produit un tableau impeccable en dix secondes. Du point de vue de la productivité, l'opération est brillante. Du point de vue de la confidentialité des données, elle vient d'envoyer des données personnelles de clients et des informations commerciales sensibles sur les serveurs d'un tiers, sans base légale, sans en informer personne.

Où vont ces données, exactement

Le trajet dépend du compte utilisé. Avec un compte grand public (gratuit ou Plus), les conversations sont collectées par OpenAI, l'éditeur des modèles GPT, et peuvent être utilisées pour l'entraînement des futurs modèles, sauf si l'utilisateur désactive cette option dans les paramètres de confidentialité ; l'historique des conversations reste par ailleurs stocké sur les serveurs de l'éditeur, et une partie peut être examinée au titre de la surveillance des abus. Avec les offres professionnelles (Team, Enterprise) et l'API OpenAI, les données ne servent pas à l'entraînement des modèles par défaut : c'est précisément ce que ces offres vendent. La politique de confidentialité de chaque éditeur détaille ces régimes, et ils évoluent régulièrement : ce qui était vrai l'an dernier ne l'est plus forcément.

Dans notre cas, le dirigeant utilisait un compte gratuit, paramètres par défaut. Ses données clients sont donc parties dans la collecte standard, historique et entraînement potentiellement compris.

Le risque réel, ni fantasmé ni nul

Soyons précis : le risque principal n'est pas qu'un concurrent retrouve votre fichier clients en interrogeant le modèle. Le risque est triple, et plus prosaïque. Un, la conformité : transmettre des données personnelles à un sous-traitant hors cadre est une violation du RGPD, et la CNIL rappelle que l'usage d'un système d'IA reste un traitement de données comme un autre. Deux, la sécurité des données : chaque copie de vos informations stockée chez un tiers élargit la surface d'exposition en cas d'incident. Trois, la confiance : la sécurité des données fait partie de ce que vos clients achètent, et ils ne vous ont pas confié leurs informations pour qu'elles transitent par des outils qu'ils ne connaissent pas. Aucun de ces trois risques ne justifie la panique ; les trois justifient des règles.

Comment se protéger en 4 gestes

1. Désactivez l'entraînement sur tous les comptes grand public utilisés dans l'entreprise : chaque utilisateur peut le faire dans les paramètres, rubrique contrôle des données, et y purger son historique. Deux minutes par compte.
2. Passez aux offres professionnelles pour les usages réguliers : les garanties contractuelles sur les données changent de catégorie.
3. Interdisez les données sensibles en clair : données personnelles de clients et de salariés, contrats, prix, stratégie. Anonymiser avant de coller devient un réflexe d'équipe.
4. Écrivez la règle : ces trois gestes tiennent dans la charte d'usage d'une page décrite dans notre guide pour encadrer l'IA en entreprise.

Les questions à poser avant d'adopter un outil

Pour tout outil d'intelligence artificielle que l'entreprise envisage, quatre questions règlent 90 % du sujet : où les données sont-elles hébergées ? Servent-elles à l'entraînement des modèles ? Combien de temps sont-elles conservées ? Qui peut y accéder chez l'éditeur ? Un fournisseur sérieux répond en une page. C'est ce standard qu'on s'est appliqué pour l'application Moogi : hébergement en France, zéro rétention côté IA, parce qu'un assistant qui connaît votre entreprise par cœur n'a le droit d'exister qu'à cette condition.

Questions fréquentes

ChatGPT utilise-t-il mes conversations pour s'entraîner ?

Avec un compte grand public, oui par défaut : les conversations peuvent servir à l'entraînement des futurs modèles, sauf si vous désactivez l'option dans les paramètres de contrôle des données. Avec les offres professionnelles (Team, Enterprise) et l'API, les données ne servent pas à l'entraînement par défaut. Ces politiques évoluent : vérifiez-les régulièrement chez l'éditeur.

Puis-je mettre des données clients dans ChatGPT ?

Pas en clair dans un compte grand public : transmettre des données personnelles à un outil tiers hors cadre contractuel pose un problème de conformité RGPD, en plus du risque commercial. Les options correctes : anonymiser avant de coller, ou utiliser une offre professionnelle avec les garanties contractuelles adaptées, dans le cadre d'une charte d'usage interne.

Comment savoir si un outil d'IA est sûr pour mon entreprise ?

Posez quatre questions au fournisseur : où les données sont-elles hébergées, servent-elles à entraîner des modèles, combien de temps sont-elles conservées, qui peut y accéder. Ajoutez un critère de bon sens : un éditeur qui répond clairement et par écrit à ces questions prend le sujet au sérieux ; un éditeur qui noie la réponse dans 40 pages de conditions, moins.

Sources

1. CNIL, IA : comment être en conformité avec le RGPD (consulté en octobre 2026)