1. Où se trouve le vrai risque ?
L'un des risques les plus importants, ce sont les informations de l'entreprise dans des comptes personnels : des salariés qui collent des documents internes ou des données clients dans des versions gratuites de l'IA, sans que l'entreprise sache ce qu'elles deviennent.
Un compte personnel et une offre entreprise ne sont pas régis par les mêmes conditions. Dans un compte personnel, les règles d'utilisation de vos conversations dépendent de la configuration choisie par chaque personne, et l'entreprise ne la contrôle pas. Dans une offre entreprise, les conditions sont fixées par un contrat avec l'organisation, et un administrateur gère les comptes.
Une offre entreprise n'élimine pas pour autant tous les risques : les connecteurs, les droits d'accès et les espaces partagés peuvent aussi exposer des informations s'ils sont mal configurés.
C'est pourquoi la première question n'est pas « quel outil est sûr ? », mais « dans quel compte et avec quelle configuration l'utilise-t-on ? ».
2. Ce que disent les fournisseurs d'IA
Les trois grands fournisseurs publient des engagements précis pour leurs offres entreprise ; voici ceux qu'ils indiquent sur leurs pages officielles.
| Offre entreprise | Entraînement des modèles avec vos données | Autres engagements publiés |
|---|---|---|
| Claude for Work (Team et Enterprise, d'Anthropic) | Les entrées et les réponses ne sont pas utilisées par défaut pour entraîner les modèles. Exception : si quelqu'un envoie explicitement un commentaire (par exemple avec le bouton pouce levé ou baissé) ou choisit de l'autoriser. | L'entreprise cliente est « responsable du traitement » et Anthropic agit comme « sous-traitant » : il ne traite les données que selon les instructions du client, pour fournir le service. |
| ChatGPT Business et Enterprise (d'OpenAI) | OpenAI indique ne pas entraîner ses modèles avec vos données par défaut. | L'entreprise est propriétaire de ses entrées et de ses réponses (dans la mesure permise par la loi). OpenAI peut signer un accord de traitement des données (DPA) pour ChatGPT Business et Enterprise, à l'appui de la conformité au RGPD. Chiffrement au repos (AES-256) et en transit (TLS 1.2 ou supérieur). Dans ChatGPT Business, les administrateurs contrôlent la conservation, et les conversations supprimées sont effacées de ses systèmes sous 30 jours, avec les exceptions prévues par la politique du fournisseur, notamment les obligations légales et les motifs de sécurité. |
| Google Workspace avec Gemini (de Google) | Google indique ne pas utiliser les données du client pour entraîner des modèles sans son autorisation préalable, et que le contenu n'est pas utilisé pour entraîner Gemini en dehors de votre domaine ni examiné par des personnes sans autorisation. | Les prompts sont considérés comme des données client au sens du Cloud Data Processing Addendum de Google. Gemini n'accède qu'au contenu Workspace auquel l'utilisateur a déjà accès. |
Sources, consultées les 9 et 10 octobre 2026 : Anthropic — utilisation des données pour l'entraînement · Anthropic — responsable du traitement et sous-traitant · OpenAI — confidentialité pour les entreprises · Centre de confidentialité de l'IA générative dans Google Workspace. Ces conditions peuvent changer : vérifiez-les sur la page du fournisseur avant de souscrire.
3. Comptes personnels : Claude, ChatGPT et Gemini
Dans les comptes personnels, l'utilisation ou non du contenu pour entraîner les modèles dépend d'un paramètre que chaque utilisateur doit vérifier.
| Outil (compte personnel) | Ce qu'indique le fournisseur |
|---|---|
| Claude (Free, Pro, Max) | L'entraînement du modèle avec vos conversations dépend d'un paramètre (« model training ») que chaque utilisateur peut désactiver dans ses paramètres de confidentialité. S'il est activé, les nouvelles conversations peuvent être conservées sous forme désidentifiée jusqu'à cinq ans pour l'entraînement. Une conversation supprimée est effacée des systèmes sous 30 jours, avec des exceptions, par exemple les conversations signalées par les systèmes de sécurité ou les évaluations envoyées. |
| ChatGPT (Gratuit, Go, Plus, Pro) | Le contenu est utilisé pour entraîner les modèles, avec une option de refus. |
| Gemini (compte Google personnel) | Avec le paramètre « Conserver l'activité » activé, Google utilise votre activité pour améliorer ses services, y compris pour entraîner des modèles d'IA générative, avec l'aide d'examinateurs humains ; les données examinées sont dissociées de votre compte et conservées pendant 3 ans. Avec le paramètre désactivé, vos conversations futures ne sont pas utilisées pour entraîner les modèles, sauf si vous envoyez des commentaires, et elles sont conservées 72 heures. Les commentaires que vous envoyez peuvent aussi être conservés jusqu'à 3 ans, sans être associés à votre compte. |
Un abonnement individuel payant, comme Google AI Pro, change-t-il quelque chose ? Ce n'est pas confirmé dans la documentation officielle consultée. Le plus sûr est de vérifier le paramètre dans chaque compte.
Sources, consultées les 9, 10 et 13 octobre 2026 : Claude — offres et tarifs · Anthropic — conditions des comptes Free, Pro et Max · Anthropic — conservation des données · ChatGPT — tarifs · Centre de confidentialité des applications Gemini
4. Ce qu'exige la loi
Deux textes européens s'appliquent directement à une entreprise qui utilise l'IA avec des données : le RGPD et le règlement européen sur l'IA.
RGPD, article 28. Si l'outil traite des données personnelles pour le compte de l'entreprise, l'entreprise est le responsable du traitement et le fournisseur, le sous-traitant. L'article 28 prévoit que le responsable du traitement « fait uniquement appel à des sous-traitants qui présentent des garanties suffisantes » et que ce traitement « est régi par un contrat ou un autre acte juridique ». Pour ses offres entreprise, OpenAI propose un accord de traitement des données (DPA), Anthropic indique agir comme sous-traitant selon ses conditions commerciales, et Google renvoie à son Cloud Data Processing Addendum. Mieux vaut vérifier que le contrat est signé ou accepté avant d'y mettre des données personnelles.
Le contrat n'est pas la seule exigence. Le RGPD demande aussi une base juridique pour le traitement, la limitation des données au nécessaire et, si elles sortent de l'Espace économique européen, des garanties pour ce transfert. Et le fait que le fournisseur n'entraîne pas ses modèles avec vos données ne garantit pas, à lui seul, que vous puissiez les partager.
Règlement européen sur l'IA, article 4. Les organisations qui déploient des systèmes d'IA doivent prendre des mesures pour favoriser la maîtrise de l'IA de leur personnel. Cette obligation s'applique depuis le 2 février 2025. Le règlement (UE) 2026/1744 (Digital Omnibus), en vigueur depuis juillet 2026, la maintient, mais n'impose plus de niveau précis de maîtrise, selon la Commission européenne. Pour les systèmes à haut risque, l'obligation de former le personnel chargé de la supervision humaine reste en place.
Sources : RGPD (règlement (UE) 2016/679), articles 5, 6, 28 et 44 et suivants · Règlement (UE) 2024/1689 sur l'IA, articles 4 et 113 · Commission européenne — maîtrise de l'IA, questions-réponses, consultée le 13 octobre 2026
Cet article est informatif et ne constitue pas un conseil juridique.
5. Cabinets professionnels : un niveau d'exigence de plus
Pour les avocats et les conseils, les règles déontologiques de la profession s'ajoutent au RGPD. En Espagne, deux textes font référence :
- Circular 3/2026 du Consejo General de la Abogacía Española (l'instance représentative de la profession d'avocat en Espagne). Pour les écrits professionnels rédigés avec l'aide de l'IA, elle exige de toujours vérifier le résultat : celui qui signe un écrit en assume tout le contenu. La circulaire indique elle-même que la confidentialité et le secret professionnel seront traités dans une autre circulaire.
- Guide de bonnes pratiques de l'ICAM (barreau de Madrid). Le guide de l'ICAM (présenté en octobre 2025) demande de toujours garder le contrôle humain, d'adopter des protocoles internes (outils autorisés, responsables de la supervision) et de garantir la confidentialité, y compris avec les prestataires externes.
Le détail, avec les cas d'usage par profession, se trouve dans IA pour cabinets professionnels.
Sources : Circular 3/2026 du CGAE · Guide de l'ICAM
6. Sept règles pratiques
Ces sept règles sont celles que je recommande pour utiliser l'IA avec des données de l'entreprise sans mauvaise surprise. Ce ne sont pas des obligations légales en soi, mais une façon prudente de les respecter.
- Un environnement professionnel approuvé par l'entreprise pour tout usage avec des informations internes ou des données clients.
- Une configuration vérifiée : entraînement, conservation et connecteurs, compte par compte.
- Une anonymisation réelle des documents sensibles avant de les utiliser : retirer les noms ne suffit pas toujours. Pour l'AEPD (l'autorité espagnole de protection des données), une donnée n'est anonyme que s'il n'existe pas de probabilité raisonnable d'identifier la personne.
- Une liste d'outils autorisés, connue de toute l'équipe.
- Les données interdites, par écrit : celles qu'on ne met jamais dans une IA.
- Une validation humaine de tout ce qui sort de l'entreprise.
- Un référent interne (« champion ») qui répond aux questions et centralise les besoins.
Pour commencer avec une tâche concrète et configurer votre premier projet, consultez le guide pratique de l'IA pour dirigeants.
Dans nos formations individuelles, nous appliquons une règle simple : nous travaillons toujours dans le compte d'IA du client, jamais dans le nôtre, et si un document est sensible, nous utilisons une version anonymisée. Nous évitons ainsi de faire entrer les documents du client dans notre propre compte.
7. Questions fréquentes
ChatGPT est-il sûr pour une entreprise ?
Cela dépend de l'offre. Pour ChatGPT Business et Enterprise, OpenAI indique ne pas entraîner ses modèles avec les données de l'entreprise par défaut et propose un accord de traitement des données. Dans les versions individuelles, le contenu est utilisé pour entraîner les modèles, sauf si l'utilisateur active le refus.
Mes données servent-elles à entraîner l'IA ?
Dans les offres entreprise de Claude, ChatGPT et Google Workspace, pas par défaut, selon les fournisseurs. Dans les comptes personnels, cela dépend du paramètre de chaque utilisateur.
Faut-il un contrat avec le fournisseur ?
Si l'outil traite des données personnelles pour le compte de l'entreprise, oui : l'article 28 du RGPD exige que ce traitement soit régi par un contrat ou un autre acte juridique avec le fournisseur.
Et la version gratuite ?
Pour des informations internes ou des données clients, je ne la recommande pas : ses conditions dépendent de la configuration de chaque utilisateur, et l'entreprise ne les contrôle pas. Pour des essais avec des documents fictifs ou que vous êtes autorisé à partager, elle peut convenir.
Que faire si un salarié a déjà utilisé un compte personnel avec des données de l'entreprise ?
Identifiez les informations partagées et vérifiez si elles contiennent des données personnelles. Si c'est le cas, il peut s'agir d'une violation de données personnelles : il faut évaluer le risque et la notifier à l'autorité de contrôle compétente (l'AEPD en Espagne) dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf s'il est peu probable qu'elle engendre un risque pour les droits et libertés des personnes (article 33 du RGPD). Ensuite, vérifiez la configuration de ce compte, supprimez les conversations concernées si l'outil le permet et proposez à l'équipe une offre entreprise et des règles d'usage écrites. Consultez votre délégué à la protection des données ou votre conseil.
Étape suivante : organisez l'usage de l'IA dans votre équipe avec notre modèle de charte IA pour PME.
Vous voulez encadrer l'usage de l'IA dans votre entreprise ? Réservez un appel d'information : 30 minutes, gratuit, et une proposition sur mesure sous 5 jours ouvrés.