ChatGPT et données confidentielles en entreprise : les options

Peut-on utiliser ChatGPT avec des données confidentielles ? La réponse dépend du service, du contrat, des réglages et des informations concernées. Il faut séparer cinq questions : l'entraînement des modèles, la conservation, les personnes ou services ayant accès aux données, le lieu du traitement et les connecteurs.

Un service professionnel peut répondre à certains besoins. Si votre entreprise exige une inférence en France, une application reliée à une API française est une autre option. Pour une exigence d'exécution sur votre propre matériel, il faut étudier un modèle local. Ce guide aide à choisir un environnement à partir de vos tâches et de vos contraintes.

Par Jérôme Iavarone, formateur et consultant en IA générative · Sources vérifiées le 18 octobre 2026.

Cinq questions différentes derrière « mes données sont-elles confidentielles ? »

1. Les contenus servent-ils à entraîner les modèles ?: Cherchez une règle explicite pour l’offre et le compte utilisés, y compris les éventuels programmes de partage volontaire. Ne déduisez pas la politique d’un service de celle d’un autre service du même éditeur.
2. Combien de temps les données sont-elles conservées ?: Distinguez conversations, fichiers, journaux techniques, cache, état d’un agent et sauvegardes. Une absence d’entraînement ne signifie pas une absence de stockage. Examinez aussi les exceptions et la suppression.
3. Qui peut accéder aux contenus ?: Examinez les utilisateurs, administrateurs, comptes de service, équipes d’assistance et sous-traitants autorisés. Vérifiez les partages de dossiers et les droits des connexions, au-delà de la seule clé du modèle.
4. Où ont lieu le calcul et le stockage ?: Le pays de l’éditeur, l’origine du modèle, le lieu de calcul et la localisation des historiques sont des informations distinctes. Une région de stockage annoncée ne garantit pas à elle seule une inférence dans cette région.
5. Quels autres services reçoivent des données ?: Un connecteur de messagerie, un OCR, une recherche web, un service d’embeddings ou une sauvegarde peut créer un autre flux. Chaque composant doit être couvert par le périmètre choisi.

Ce que les engagements professionnels de ChatGPT changent

OpenAI documente l'absence d'entraînement par défaut sur les données des espaces Business, Enterprise et Edu. Pour ChatGPT Work, la conservation et la résidence dépendent de l'offre, des fonctionnalités et de la configuration ; les services connectés gardent leurs propres règles. Un accès à des fichiers locaux peut transmettre du contexte au cloud. Voir la documentation officielle sur la sécurité de ChatGPT Work.

L'API OpenAI est un service distinct : pas d'entraînement sur les données sauf participation volontaire ; des journaux antiabus peuvent être conservés jusqu'à 30 jours par défaut, avec exceptions. Certaines fonctions conservent aussi un état applicatif. Les contrôles de rétention et de résidence ont des conditions d'éligibilité et un périmètre défini. Voir les contrôles de données de l'API.

La question utile : votre offre actuelle, correctement configurée, satisfait-elle les exigences de votre entreprise ? Demandez les conditions correspondant à votre compte et à chaque fonctionnalité utilisée. Conserver votre fournisseur peut être une décision pertinente lorsque les garanties et le périmètre conviennent.

Quatre approches pour vos documents professionnels

Service professionnel avec contrat

Le service fournit l’application et les modèles, dans le périmètre de son offre.

Intérêt : Une expérience intégrée et une administration d’équipe.

À vérifier : Conditions de données, accès, région, historique et connecteurs de l’offre souscrite.

Application avec une API régionale choisie

Le poste ou l’application appelle un modèle distant auprès du fournisseur retenu.

Intérêt : Le choix du fournisseur et du lieu d’inférence, sans héberger soi-même les GPU.

À vérifier : Région effective, exceptions de rétention, stockage de l’application et services annexes.

Environnement auto-hébergé

Votre équipe maîtrise l’hébergement de l’application et, selon le projet, celui du modèle.

Intérêt : La maîtrise de composants et de leurs règles d’accès.

À vérifier : Une application auto-hébergée peut encore appeler une API externe. Prévoir exploitation, correctifs et sauvegardes.

Modèle réellement local

Le calcul du modèle est exécuté sur votre PC ou sur un serveur de votre entreprise.

Intérêt : La possibilité de garder l’inférence sur votre matériel.

À vérifier : Matériel, qualité sur vos tâches, maintenance et éventuels outils réseau. Un mode hors ligne doit être vérifié séparément.

Le choix doit partir de la sensibilité des données et du travail à réaliser. La CNIL invite à évaluer les risques, à encadrer les fournisseurs et à former les utilisateurs. Pour des données sensibles ou stratégiques, elle souligne l'intérêt d'un déploiement sur site. Une API française n'est donc pas une réponse universelle. Voir les questions-réponses de la CNIL sur l'IA générative.

Un exemple sous Windows : OpenWork et une API hébergée en France

OpenWork fournit une interface graphique fondée sur OpenCode et disponible pour Windows. Elle permet de choisir le fournisseur du modèle. GLM-5.3, modèle de Z.ai, figure par exemple dans le catalogue Generative APIs de Scaleway. La compatibilité et la qualité sur les tâches de votre entreprise doivent être essayées avant le déploiement.

Le parcours de données à vérifier, composant par composant

Poste et fichiers
Dossiers autorisés, historiques, fichiers produits et sauvegardes de l'application.
Inférence distante
Consignes et contexte nécessaire envoyés à l'API. Le modèle produit sa réponse chez le fournisseur.
Outils connectés
Messagerie, OCR ou recherche : autres destinataires et règles de conservation à examiner.

Au 18 octobre 2026, Scaleway annonce ses modèles serverless à Paris. Une extension en Europe reste prévue comme possibilité, avec notification. Pour fixer le traitement dans une région, sa documentation recommande un déploiement dédié : FAQ de localisation Scaleway.

Sa politique exclut l'entraînement et prévoit une rétention nulle par défaut des contenus, avec exceptions d'investigation jusqu'à deux semaines et cache éphémère : politique Generative APIs. Choisir cette inférence ne couvre pas automatiquement les autres flux.

Exemple concret de flux supplémentaire : les intégrations Google Workspace d'OpenWork, y compris depuis le bureau, passent par Cloud Connect. Voir la politique OpenWork. Les fonctions cloud et les connecteurs doivent être examinés avant leur activation.

Pour approfondir le choix d'architecture : IA souveraine, IA privée et IA locale en entreprise.

La méthode avant de transmettre vos données réelles

Définissez une tâche : par exemple, synthétiser un dossier ou comparer deux procédures. Indiquez ce qui constituerait un résultat acceptable.
Classez les informations : documents publics, données internes et données dont l'usage impose une validation spécifique. Réduisez le contenu transmis au nécessaire.
Décrivez les flux : fichiers, contexte envoyé, fournisseur du modèle, historiques, outils et sauvegardes. Associez à chacun sa localisation, ses accès et sa conservation.
Validez l'environnement : faites examiner les conditions, les droits et le périmètre par les personnes responsables de votre informatique et de vos données.
Essayez sur des documents fictifs : contrôlez les erreurs, les fichiers produits, les actions proposées et le coût avant d'autoriser des données réelles.
Formez l'équipe : précisez les usages autorisés, les informations à exclure et les points de validation humaine.

Un hébergement en France ne rend pas automatiquement un usage conforme au RGPD. La conformité concerne aussi les finalités, les données traitées, les responsabilités et les mesures de protection. La CNIL détaille ces questions de gouvernance.

Pour rendre vos équipes autonomes : la formation IA confidentielle avec un traitement hébergé en France travaille les consignes, les fichiers et la vérification des résultats.

Pour préparer les outils : découvrez la prestation d'installation et de déploiement d'agents IA en France. L'installation et la formation sont cadrées distinctement.

Questions fréquentes : ChatGPT et confidentialité des données

Est-ce que les conversations avec ChatGPT sont confidentielles ?

Il faut examiner l’offre utilisée, son contrat et ses paramètres. L’absence d’utilisation pour l’entraînement ne répond pas à elle seule aux questions de conservation, d’accès ou de localisation. Un compte personnel, un espace professionnel et une API doivent être évalués séparément.

Quelles informations ne pas donner à un assistant IA ?

Ne transmettez que les informations autorisées par votre entreprise pour l’environnement retenu. Les mots de passe, clés d’accès et documents couverts par une obligation de confidentialité nécessitent des règles explicites. Commencez avec des documents fictifs ou des données dont le partage a été validé.

Qui peut voir mes conversations et mes documents ?

La réponse dépend des droits du compte, du partage dans l’espace de travail, des accès du fournisseur et des services connectés. Vérifiez aussi les historiques locaux, les dossiers partagés et les sauvegardes. Un fournisseur de modèle et un connecteur peuvent avoir des politiques différentes.

Peut-on utiliser une IA hébergée en France sous Windows ?

Oui, une application Windows peut appeler un modèle hébergé en France. OpenWork avec un fournisseur d’inférence français est un exemple d’architecture à configurer et vérifier. Les consignes et extraits utiles quittent alors le poste pour être traités à distance ; cela diffère d’un modèle réellement local.

Qui conserve les historiques et les fichiers joints ?

Cartographiez chaque copie : application, fournisseur du modèle, espace documentaire, connecteurs et sauvegardes. Vérifiez la durée et les modalités de suppression pour chacune. Supprimer une conversation ne permet pas de conclure que toutes les copies d’un fichier ont disparu.

Faut-il un ordinateur puissant pour garder un traitement en France ?

Pas nécessairement si le modèle est exécuté sur une API distante : le calcul principal est effectué chez le fournisseur. Le poste doit être compatible avec l’application. Pour exécuter le modèle sur votre propre ordinateur ou serveur, le matériel et les performances doivent être étudiés.

Sources officielles et date de vérification

Documentation consultée le 18 octobre 2026. Les offres et conditions évoluent : le périmètre retenu est revérifié au cadrage.

Choisissez un parcours adapté à vos exigences de données

Partons de vos documents, de vos usages et des garanties attendues pour cadrer l’environnement et la formation.

Échanger sur mes besoins Voir le programme de formation