Vos conversations avec une IA sont-elles utilisées pour entraîner les modèles ? Ce que dit la loi (et les entreprises)
📌 En bref : Les conversations que vous avez avec une IA ne sont pas toutes traitées de la même manière. La version gratuite de ChatGPT ou de Gemini peut utiliser vos échanges pour entraîner leurs modèles, sauf si vous désactivez l’option. En revanche, les données envoyées via une API (usage professionnel) sont protégées par contrat et ne servent pas à l’entraînement chez la plupart des fournisseurs. La CNIL rappelle que toute utilisation de données personnelles par une IA doit respecter les principes du RGPD : finalité définie, base légale, transparence et droit d’opposition.
Sommaire
- Ce que dit le RGPD sur l’IA et vos données
- Phase d’apprentissage vs phase de production : la distinction clé
- Ce que chaque entreprise fait de vos conversations
- API ou chatbot : pourquoi la différence est juridique, pas technique
- Vos droits : accès, rectification, opposition, suppression
- 6 bonnes pratiques pour protéger vos données
- FAQ
Ce que dit le RGPD sur l’IA et vos données
Le RGPD ne mentionne pas explicitement l’intelligence artificielle. Mais ses principes s’appliquent intégralement à tout traitement de données par un système d’IA. La CNIL a publié un cadre de référence complet qui rappelle les fondamentaux.
Premier principe : la finalité. Un système d’IA exploitant des données personnelles doit avoir un objectif déterminé, légitime et explicite, défini avant même la conception du projet. Former un modèle de langage n’est pas une finalité suffisamment précise : il faut dire pour quoi et dans quel cadre.
Deuxième principe : la base légale. Le RGPD prévoit 6 bases légales : le consentement, l’exécution d’un contrat, le respect d’une obligation légale, la mission d’intérêt public, les intérêts vitaux et l’intérêt légitime. Une entreprise qui utilise vos conversations pour entraîner son IA doit pouvoir justifier laquelle de ces 6 bases s’applique. L’intérêt légitime est souvent invoqué, mais il est contestable quand les données sont personnelles ou sensibles.
Troisième principe : la minimisation. Les données utilisées doivent être limitées à ce qui est nécessaire. Un modèle de langage n’a pas besoin de votre nom, de votre adresse ou de votre numéro de téléphone pour apprendre la syntaxe du français. La CNIL recommande de tester les systèmes sur des données fictives avant d’utiliser des données réelles.
Enfin, le principe de transparence exige que l’utilisateur soit informé de façon claire et accessible. Une politique de confidentialité de 30 pages en anglais ne satisfait pas cette obligation pour un utilisateur français.
Phase d’apprentissage vs phase de production : la distinction clé
La CNIL distingue deux phases fondamentales dans l’utilisation d’une IA :
- La phase d’apprentissage : concevoir, développer et entraîner le modèle. C’est là que des milliards de données sont aspirées, nettoyées et utilisées pour que l’IA apprenne des patterns.
- La phase de production : déployer le modèle et répondre aux utilisateurs. Les données échangées à ce stade transitent par le système mais ne sont pas nécessairement réutilisées pour l’entraînement.
Du point de vue du RGPD, ces deux phases ne remplissent pas le même objectif et doivent donc être séparées juridiquement. Une finalité d’entraînement n’est pas la même qu’une finalité de service.
Concrètement : quand vous posez une question à ChatGPT, vos données peuvent être utilisées dans deux traitements distincts — celui qui génère la réponse (production) et celui qui améliore le modèle (apprentissage). Vous devez être informé des deux.
Ce que chaque entreprise fait de vos conversations
Tous les fournisseurs d’IA n’ont pas la même politique. Voici un comparatif basé sur les politiques de confidentialité officielles consultables en juillet 2026 :
| Entreprise | Chat gratuit | API (usage pro) | Opt-out possible |
|---|---|---|---|
| OpenAI (ChatGPT) | Utilisé pour entraînement (sauf opt-out) | ❌ Pas utilisé pour entraînement | ✅ Oui, dans les paramètres |
| Google (Gemini) | Utilisé pour améliorer les services, y compris les modèles | ❌ Pas utilisé pour entraînement | ✅ Oui, via « Activité dans les applications Gemini » |
| Anthropic (Claude) | Conversations gratuites peuvent être utilisées pour amélioration | ❌ Pas utilisé pour entraînement | ✅ Oui, opt-out disponible |
| Mistral AI (Le Chat) | Politique moins explicite ; usage commercial possible | ❌ Pas utilisé pour entraînement | ⚠️ Pas clairement documenté |
| Microsoft (Copilot) | Version grand public : peut être utilisé | ✅ Données Enterprise protégées (contrat) | ✅ Oui pour les entreprises |
Le point commun : tous les grands fournisseurs excluent les données API de l’entraînement de leurs modèles. C’est un standard de l’industrie depuis 2023. La version gratuite/chat est la seule concernée par la réutilisation.
Google précise explicitement dans son avis de confidentialité Gemini (juin 2026) : « Des réviseurs humains examinent certaines des données que nous collectons » et « veuillez ne pas saisir d’informations confidentielles que vous ne souhaiteriez pas qu’un réviseur consulte ». Même avec le paramètre « Conserver l’activité » désactivé, Google utilise vos discussions « pour créer des données anonymisées destinées à améliorer ses services ».
« Veuillez ne pas saisir d’informations confidentielles que vous ne souhaiteriez pas qu’un réviseur consulte ou que Google utilise pour améliorer ses services. »
— Avis de confidentialité Gemini, Google (juin 2026)
API ou chatbot : pourquoi la différence est juridique, pas technique
C’est la question la plus importante pour une entreprise : dois-je utiliser l’interface chat ou l’API ? La différence n’est pas technique — le même modèle tourne derrière — mais contractuelle et juridique.
| Critère | Interface Chat (gratuite) | API (payante) |
|---|---|---|
| Contrat | Conditions d’utilisation grand public | Accord de traitement de données (DPA) |
| Réutilisation des données | Souvent utilisées pour l’entraînement | Jamais utilisées pour l’entraînement |
| Garanties RGPD | Minimales, responsabilité floue | Clauses contractuelles, sous-traitance encadrée |
| Durée de conservation | Variable, souvent 30 jours à plusieurs années | Limitée contractuellement (souvent 30 jours max) |
| Réviseurs humains | ✅ Accès possible | ❌ Pas d’accès humain |
| Hébergement UE possible | Rarement | Possible selon le fournisseur (Mistral, Azure OpenAI) |
Pour une entreprise qui manipule des données clients, des secrets commerciaux ou des données de santé, la version gratuite d’un chatbot est un risque juridique. L’API avec un Data Processing Agreement (DPA) signé est la seule option conforme au RGPD.
Exception notable : Mistral AI, entreprise française, propose une API avec hébergement des données en Europe, ce qui simplifie la conformité RGPD pour les entreprises françaises. Microsoft Azure OpenAI offre également des garanties contractuelles solides avec hébergement dans des datacenters européens.
Cloud Act et FISA : vos données sont-elles à l’abri des autorités américaines ?
Au-delà de l’entraînement des modèles, il existe un risque juridique plus profond : la souveraineté des données. Toute entreprise sous juridiction américaine peut être contrainte de transmettre vos données aux autorités US, même si elles sont stockées dans un datacenter européen.
Le Cloud Act (Clarifying Lawful Overseas Use of Data Act, 2018) permet aux agences fédérales américaines (FBI, NSA) d’exiger d’une entreprise américaine l’accès à des données, quel que soit le pays où elles sont hébergées. Concrètement : vos conversations avec ChatGPT, Gemini ou Claude peuvent théoriquement être consultées par les autorités américaines, même si les serveurs sont en Europe.
Le FISA 702 (Foreign Intelligence Surveillance Act, section 702) autorise la surveillance électronique de personnes non-américaines situées hors des États-Unis. Les communications transitant par des services comme Google ou Microsoft sont concernées.
Ce que cela signifie pour les entreprises françaises :
| Fournisseur | Juridiction | Risque Cloud Act / FISA |
|---|---|---|
| OpenAI | États-Unis | ⚠️ Accès possible, même via Azure Europe |
| Google (Gemini) | États-Unis | ⚠️ Soumis au FISA 702 et Cloud Act |
| Anthropic (Claude) | États-Unis | ⚠️ Même régime que les autres US |
| Microsoft (Azure OpenAI) | États-Unis | ⚠️ Contrats européens, mais Cloud Act s’applique |
| Mistral AI | France / UE | ✅ Pas soumis au Cloud Act |
Le Data Privacy Framework (DPF), adopté en juillet 2023 entre l’UE et les États-Unis, vise à encadrer ces transferts et offrir des garanties aux citoyens européens. Mais il est déjà contesté par des associations de défense des libertés (NOYB, La Quadrature du Net), comme l’avaient été le Safe Harbor (invalidé en 2015 par l’arrêt Schrems I) et le Privacy Shield (invalidé en 2020 par l’arrêt Schrems II).
La CJUE a estimé dans l’arrêt Schrems II (2020) que les programmes de surveillance américains n’offraient pas de garanties équivalentes au niveau de protection exigé par le RGPD. Le DPF tente de répondre à ces objections, mais sa solidité juridique reste incertaine.
En pratique : si votre entreprise traite des données sensibles (santé, défense, secrets industriels), privilégier un fournisseur européen comme Mistral AI ou un modèle open source exécuté sur vos propres serveurs (via Llama, par exemple) élimine le risque Cloud Act. Pour un usage courant (marketing, support client), l’API d’un fournisseur américain avec DPA reste acceptable, mais le risque zéro n’existe pas.
Vos droits : accès, rectification, opposition, suppression
Le RGPD vous donne 4 droits fondamentaux sur vos données, même quand elles sont traitées par une IA :
- Droit d’accès : vous pouvez demander à un fournisseur d’IA quelles données il détient sur vous et comment elles sont utilisées. Dans les faits, obtenir une réponse exploitable est difficile — les conversations sont souvent dépersonnalisées.
- Droit de rectification : si une IA produit une information erronée à votre sujet et que cette information est stockée, vous pouvez exiger sa correction.
- Droit d’opposition : vous pouvez refuser que vos conversations servent à l’entraînement des modèles. C’est le droit le plus pertinent ici — il doit être exercé via les paramètres du service (ChatGPT, Gemini) ou en contactant le DPO du fournisseur.
- Droit à l’effacement : vous pouvez demander la suppression de vos conversations. Mais attention : si vos données ont déjà servi à entraîner un modèle, elles ne peuvent pas être « désapprises » rétroactivement. La suppression concerne les logs et le stockage, pas le modèle déjà entraîné.
La CNIL insiste sur l’obligation d’information : le responsable du traitement doit vous informer « de façon concise, transparente, compréhensible et aisément accessible ». Si vous devez fouiller 10 pages de documentation pour comprendre ce qu’il advient de vos données, l’entreprise n’est pas en conformité.
6 bonnes pratiques pour protéger vos données face à l’IA
- Utilisez l’API plutôt que le chat gratuit pour tout usage professionnel. Le DPA signé avec le fournisseur vous protège contractuellement.
- Vérifiez les paramètres de confidentialité de chaque service. ChatGPT propose un opt-out dans les paramètres ; Gemini dans « Activité dans les applications Gemini ».
- Ne saisissez jamais de données sensibles (santé, identifiants, secrets commerciaux, données clients) dans un chatbot grand public.
- Privilégiez les fournisseurs européens (Mistral) ou ceux qui proposent un hébergement en Europe (Azure OpenAI) si vous traitez des données personnelles.
- Formez vos équipes : le risque numéro un n’est pas l’IA elle-même, mais un employé qui colle un fichier client complet dans ChatGPT.
- Demandez le DPA avant de signer un contrat avec un fournisseur d’IA. Si le fournisseur refuse de s’engager contractuellement sur la non-réutilisation des données, passez votre chemin.
FAQ
Est-ce que ChatGPT utilise mes conversations pour s’entraîner ?
La version gratuite et ChatGPT Plus peuvent utiliser vos conversations pour l’entraînement, sauf si vous désactivez l’option dans les paramètres (Settings → Data Controls → « Improve the model for everyone »). L’API et les versions Enterprise/Team ne sont pas concernées : vos données ne servent jamais à l’entraînement.
Puis-je faire supprimer mes données d’un modèle déjà entraîné ?
Non. Une fois qu’un modèle a été entraîné sur des données, celles-ci ne peuvent pas être rétroactivement « désapprises ». C’est l’une des limites actuelles du RGPD face à l’IA. Vous pouvez demander la suppression de vos conversations stockées (logs, historiques), mais pas effacer leur influence sur le modèle. C’est un débat juridique actif au niveau européen.
Quelle est la différence entre l’API et le chat sur le plan juridique ?
L’API est encadrée par un contrat commercial qui inclut généralement un Data Processing Agreement (DPA) garantissant que vos données ne seront pas utilisées pour l’entraînement, que la conservation est limitée dans le temps et qu’aucun humain n’accède à vos données. Le chat gratuit est régi par des conditions d’utilisation grand public qui autorisent souvent la réutilisation des données.
Les fournisseurs européens sont-ils plus protecteurs que les américains ?
Sur le papier, oui — Mistral AI, entreprise française, propose un hébergement en Europe et des garanties contractuelles alignées sur le RGPD. Mais dans les faits, les géants américains (OpenAI, Google, Microsoft) proposent aussi des DPA solides pour leurs offres API et Enterprise. La clé est moins la nationalité du fournisseur que le contrat signé : un DPA avec OpenAI vaut mieux qu’une utilisation gratuite d’un service européen sans garanties.
La CNIL peut-elle sanctionner une entreprise qui utilise mal les données d’IA ?
Oui. La CNIL a le pouvoir de contrôler et sanctionner tout traitement de données non conforme au RGPD, y compris ceux impliquant l’IA. En pratique, la CNIL a déjà publié des recommandations spécifiques sur l’IA et travaille avec l’ANSSI et Inria sur des outils d’audit des modèles (projet PANAME, lancé en avril 2026). Les premières sanctions ciblant spécifiquement l’utilisation de l’IA sont attendues dans les prochains mois.
Que risque mon entreprise si un employé utilise ChatGPT avec des données clients ?
Plusieurs risques : violation du RGPD (amende jusqu’à 4 % du chiffre d’affaires annuel), rupture de confidentialité envers vos clients, perte de secret commercial si les données sont réutilisées pour l’entraînement. La CNIL considère que l’entreprise est responsable de l’usage que ses employés font des outils, même à titre individuel. Mettez en place une charte d’utilisation de l’IA.
Dernière mise à jour : 22 juillet 2026
Sources : CNIL — IA : comment être en conformité avec le RGPD (2026) ; Google — Guide sur la confidentialité dans les applications Gemini (juin 2026) ; OpenAI — Privacy Policy (2025-2026) ; CNIL — Dossier Intelligence Artificielle (2026).
