ChatGPT et confidentialité : vos données d’entreprise sont-elles en danger ?

La question est posée dans à peu près tous les comités de direction depuis deux ans, et elle reçoit deux mauvaises réponses. La première : « c’est dangereux, on interdit », qui produit du shadow IA et rien d’autre. La seconde : « c’est réglé, on a pris des licences », qui ignore que le risque principal n’est pas technique.

Cet article distingue les formules, cite deux incidents réellement documentés plutôt que des craintes générales, donne les réglages à faire, et finit par la réponse qui relève d’un dirigeant plutôt que d’un utilisateur.

Qu’est-ce qui part réellement chez l’éditeur, selon votre formule ?

Retenez la ligne 2. Un abonnement individuel payant ne change pas le régime des données : c’est un abonnement grand public. La bascule se fait au passage sur une offre professionnelle, pas au moment où l’on sort la carte bancaire.

Tarifs relevés le 26 août 2026 sur les pages officielles des éditeurs. Ils changent souvent : vérifiez avant de signer, et méfiez-vous d’un comparatif qui ne date pas ses chiffres.

Y a-t-il eu des incidents réellement documentés ?

Un article sur la confidentialité qui ne cite aucun fait vérifiable reste une opinion. En voici deux, sourcés, plutôt qu’une liste de craintes générales.

Mars 2023 : des titres de conversation visibles par d’autres utilisateurs

Un défaut dans une bibliothèque tierce utilisée par le service a rendu visibles, pendant quelques heures, les titres de conversation d’autres utilisateurs, et pour une petite partie des abonnés certaines informations de facturation. Le service a été coupé le temps du correctif et l’éditeur a publié une explication technique. Ce qui compte pour vous, ce n’est pas l’ampleur, elle a été limitée : c’est que la fuite n’est pas venue du modèle. Elle est venue d’un composant logiciel ordinaire, comme dans n’importe quel service en ligne.

Décembre 2024 : 15 millions d’euros d’amende en Italie

L’autorité italienne de protection des données a clos l’enquête ouverte en mars 2023 par une sanction de 15 millions d’euros contre OpenAI, pour trois motifs : traitement de données personnelles à des fins d’entraînement sans base légale adéquate, absence de notification de la violation de mars 2023, et absence de dispositif de vérification de l’âge. L’autorité a également ordonné une campagne d’information de six mois. La même autorité avait suspendu le service en Italie pendant environ un mois au printemps 2023.

Ce que ces deux faits vous disent, en pratique. Que le sujet est traité par les régulateurs européens, ce qui est plutôt rassurant. Et que le risque documenté porte sur le régime d’entraînement et sur la sécurité applicative ordinaire, pas sur l’idée qu’un modèle « retiendrait » votre contrat pour le recracher à un concurrent. Cette crainte-là, très répandue en comité de direction, n’est étayée par aucun incident documenté à ce jour.

Quel est le vrai risque pour une entreprise ?

Il n’est pas là où on le cherche. Voici les quatre risques réels, classés par probabilité décroissante d’après ce que nous voyons en audit.

1. Le compte personnel du salarié

Le risque numéro un, et de loin. Quelqu’un colle un contrat client, une grille tarifaire ou un dossier de candidature dans son compte gratuit, sur son téléphone, le soir. Aucun réglage d’entreprise n’attrape ça, parce que ça se passe hors de votre périmètre. C’est ce qu’on appelle le shadow IA, et c’est un sujet d’organisation.

2. L’absence de contrat de sous-traitance

Vous êtes responsable de traitement. L’éditeur est sous-traitant. Un accord de traitement des données doit être signé et le traitement inscrit à votre registre. Beaucoup d’entreprises utilisent ces outils depuis deux ans sans avoir fait ni l’un ni l’autre, et c’est un manquement qui se constate en une minute lors d’un contrôle.

3. La donnée qu’on ne pensait pas donner

Un fichier joint contient plus que ce qu’on croit : les commentaires d’un tableur, les métadonnées d’un document, l’historique de révision d’un contrat. Le réflexe de nettoyer un fichier avant de le transmettre existe pour les envois aux clients ; il n’existe pas encore pour les outils d’IA.

4. La réponse fausse reprise telle quelle

Ce n’est pas un risque de confidentialité, mais c’est celui qui se matérialise le plus souvent : un chiffre, un délai ou une référence réglementaire inventés et repris dans un document qui sort de l’entreprise. Il se traite par la relecture, pas par le paramétrage.

Quels réglages faire tout de suite ?

Neuf points, dans l’ordre. Les quatre premiers prennent une heure et couvrent l’essentiel.

• 1. Ouvrir des comptes professionnels pour les pôles concernés. C’est le seul geste qui change le régime des données, et c’est celui qu’on repousse le plus.
• 2. Désactiver l’usage des échanges pour l’amélioration des modèles partout où le réglage existe, y compris sur les comptes individuels qui subsisteraient.
• 3. Signer l’accord de traitement des données avec l’éditeur et inscrire le traitement à votre registre. Dix minutes, et c’est ce qui manque le plus souvent.
• 4. Écrire la charte d’usage, deux pages : ce qu’on met, ce qu’on ne met pas. Une liste, pas un discours.
• 5. Brancher l’authentification sur votre annuaire d’entreprise, pour qu’un départ ferme l’accès le jour même.
• 6. Fixer la durée de conservation des conversations et l’écrire. Le réglage par défaut n’est pas une décision.
• 7. Limiter le nombre d’administrateurs et vérifier la liste. Elle contient souvent quelqu’un qui a quitté l’entreprise.
• 8. Traiter le cas des fichiers joints dans la charte : quels types de documents peuvent être téléversés, et lesquels ne le peuvent pas.
• 9. Prévoir le point de sortie : comment on exporte, comment on supprime, ce qui reste. À demander avant de signer, jamais après.

Aucun de ces neuf points ne demande de compétence technique particulière. Sept sur neuf relèvent de la direction, pas de l’informatique.

Existe-t-il des alternatives plus sobres en données ?

Oui, et la question mérite mieux qu’un réflexe. Trois options, avec ce qu’elles coûtent réellement en confort.

Notre position, et elle nous coûte du chiffre d’affaires : dans la grande majorité des PME, la bonne réponse est la première ligne. Passer aux comptes professionnels, signer le contrat de sous-traitance et écrire la charte règle 90 % du sujet pour le prix de quelques abonnements. L’auto-hébergement est une réponse à un problème précis, pas une posture. Le comparatif complet est dans notre article sur le choix du modèle.

Quelle est la vraie réponse pour un dirigeant ?

Toutes les pages sur ce sujet finissent par une liste de réglages à faire soi-même. C’est la réponse d’un utilisateur. La réponse d’un dirigeant est différente et tient en trois décisions.

Décision 1 · ouvrir des comptes professionnels avant d’interdire

Interdire sans fournir d’alternative ne fait pas disparaître l’usage : il le déplace sur les téléphones personnels, où vous n’avez plus aucune visibilité. L’ordre correct est : on ouvre, puis on encadre.

Décision 2 · écrire la charte, et la faire signer

Deux pages, une liste de ce qui peut entrer dans l’outil et de ce qui ne peut pas. Signée, pas diffusée. C’est ce document, et non un réglage, qui vous protège en cas de difficulté, parce qu’il établit que la règle était connue.

Décision 3 · nommer quelqu’un

Une personne qui répond aux questions, qui tient la liste des outils utilisés et qui remonte les cas limites. Une demi-journée par mois. Sans elle, la charte est un fichier dans un dossier réseau.

Ces trois décisions coûtent moins cher qu’un audit de sécurité et règlent davantage. Elles ne sont pas techniques, et c’est précisément pour ça qu’elles sont repoussées : elles n’ont pas de propriétaire naturel dans l’organigramme.

Le récapitulatif en un tableau

Questions fréquentes sur ChatGPT et la confidentialité