En bref, peut-on utiliser ChatGPT avec des données d’entreprise en toute sécurité ?
Cela dépend de trois choses : du compte ou de l’offre utilisés, de ce que prévoient les conditions de cette offre concernant les données, et des informations saisies. Le même outil peut être acceptable avec une offre professionnelle approuvée pour un brouillon fondé sur des faits publics, et inacceptable avec un compte personnel pour un contrat client.
Le centre national britannique de cybersécurité a rappelé le principe sous-jacent en mars 2023 : une requête est visible par l’organisation qui fournit le modèle. Il recommandait de ne pas inclure d’informations sensibles dans les requêtes adressées aux modèles publics. Les conditions des fournisseurs ont évolué depuis, mais le principe reste valable : vous devez savoir où vont les données. Cette page fournit des informations générales, pas des conseils juridiques.
Choisissez la formule
Décidez quel type de compte est autorisé pour le travail. Les comptes personnels sont souvent un angle mort.
Lire les conditions
Vérifiez sur les pages du fournisseur lui-même l’utilisation des données pour l’entraînement, leur conservation, les contrôles d’administration et le lieu de traitement des données.
Classer les informations
Convenez de ce qui est public, interne, confidentiel ou personnel, avec des exemples simples.
Fixez la règle
Dressez une courte liste de ce qui ne doit jamais être saisi, quelle que soit la formule d’abonnement.
Former et vérifier
Entraînez-vous avec des données fictives et vérifiez que les usages réels respectent la règle.
Le type d’abonnement change-t-il la manière dont vos données sont traitées ?
Oui, les fournisseurs publient généralement des conditions différentes concernant les données pour leurs produits grand public et professionnels : vérifiez donc l’offre exacte que vous utilisez. Le centre de confidentialité d’Anthropic, daté du 18 août 2026, indique que, par défaut, l’entreprise n’utilisera pas les données d’entrée ou de sortie de ses produits commerciaux pour entraîner ses modèles, et renvoie les offres grand public à un article distinct. Le centre de confidentialité de Google Workspace indique que Workspace n’utilise pas les données des clients pour entraîner des modèles sans leur autorisation ou instruction préalable.
La documentation de l’API d’OpenAI indique que les données envoyées à l’API ne sont pas utilisées pour entraîner ou améliorer ses modèles, sauf si vous l’autorisez, et que les journaux de surveillance des abus sont conservés jusqu’à 30 jours par défaut. Nous n’avons pas pu ouvrir les pages d’OpenAI sur la confidentialité de ChatGPT pour les entreprises et les particuliers lors de notre vérification du 16 October 2026. Consultez-les donc directement pour la formule ChatGPT utilisée par votre équipe, plutôt que de vous fier à un résumé ici.
Que ne doivent jamais copier-coller les salariés dans ChatGPT ?
Certaines informations ne doivent être utilisées dans aucun outil d’IA généraliste, sauf si un processus spécifique et approuvé le prévoit. Pour la plupart des petites équipes, une bonne règle de base à enseigner consiste à établir une courte liste des informations à ne jamais saisir, avec une personne référente qui tranche les cas limites.
Mots de passe et clés
Identifiants, clés API, codes d’accès et informations de sécurité.
Catégories particulières de données à caractère personnel
Les données de santé, les données biométriques et les informations sensibles similaires concernant toute personne.
Documents confidentiels des clients
Tout ce qu’un contrat ou un accord de confidentialité restreint, sauf si le client a donné son accord.
Données financières non publiées
Résultats, conditions commerciales ou tarifs qui ne sont pas encore publics.
Questions relatives au personnel
Informations disciplinaires, réclamations ou détails sur les performances de salariés nommément désignés.
Vous souhaitez voir le lien avec un métier ?
Découvrez l’essai en équipe prévu ↗À quoi ressemble une consigne plus sûre ?
Chez Copperfield Consulting, un cabinet fictif de 20 personnes, un consultant souhaite obtenir de l’aide pour résumer un entretien client. Dans la version risquée, il colle la transcription intégrale dans un compte personnel, y compris le nom du client, la plainte d’un salarié nommément désigné et des chiffres de chiffre d’affaires non publiés.
La version plus sûre utilise l’offre professionnelle approuvée par le cabinet, supprime les noms et les chiffres, puis demande : "Résumez les principaux thèmes de ces notes anonymisées en cinq points. Ne déduisez rien qui ne soit pas explicitement indiqué." Le consultant vérifie ensuite chaque point dans les notes. La politique du cabinet précise quelle offre est approuvée et indique que l’utilisation de données clients nécessite l’accord du responsable de mission.
Qu’en est-il des données personnelles et de la législation sur la protection des données ?
Si vos salariés saisissent des données personnelles, vos obligations de protection des données s’appliquent comme d’habitude : l’IA ne les supprime pas. Le profil du NIST consacré à l’IA générative cite la confidentialité des données, notamment les fuites et la divulgation non autorisée de données personnelles ou sensibles, parmi les risques de l’IA générative. Au Royaume-Uni, l’ICO publie des recommandations sur l’IA et la protection des données ; sa page de synthèse, datée du 15 March 2023, indique qu’elles sont en cours de révision à la suite de la loi sur l’utilisation des données et l’accès aux données. Demandez conseil pour toute situation à haut risque.
Quelle place pour Tosheo.ai ?
Tosheo.ai est conçu pour enseigner les limites de partage de l’information dans le cadre de leçons pratiques, à partir de contenus fictifs ou approuvés, afin que les personnes s’exercent à prendre ces décisions avant d’y être confrontées avec des données réelles. Les engagements prévus pour le produit sont les suivants : les documents clients sont isolés par entreprise, supprimés à la fermeture du compte et jamais utilisés pour l’entraînement. Ce sont des engagements pour un produit dont le développement n’a pas encore commencé, pas des mesures de contrôle auditées.
Quand Tosheo.ai n’est-il pas la solution ?
La formation ne choisit pas votre offre d’IA, ne négocie pas d’accord de traitement des données et ne réalise pas d’évaluation des risques. Si vous avez besoin d’un examen de sécurité, d’une analyse d’impact relative à la protection des données ou de clauses contractuelles, travaillez avec votre responsable informatique, juridique ou de la protection des données. Tosheo.ai ne propose ni authentification unique ni contrats d’entreprise au lancement.
Sources et périmètre
Documentation de l’API OpenAI, vos données, vérifiée le 16 October 2026 ↗
NIST AI 600-1, Profil de l'IA générative, juillet 2024 ↗
ICO, Recommandations sur l’IA et la protection des données, 15 March 2023, en cours de révision ↗