Un salarié colle un fichier de relances dans un assistant pour gagner dix minutes. Noms des clients, montants dus, numéros de téléphone : tout est parti vers un service tiers, depuis son compte personnel, sans que personne l’ait décidé. Ce scénario n’a rien d’exceptionnel, et il se prévient avec quelques réglages et une règle claire.
Ce cours passe en revue ce qu’il faut vérifier dans ChatGPT et dans Claude avant d’y mettre la moindre donnée d’entreprise. Les menus et les conditions évoluent : je décris les fonctions plus que les boutons.
Une précision importante : je suis formateur, pas juriste. Ce qui suit vous aide à vous poser les bonnes questions et ne constitue pas un avis juridique. Les conditions de l’éditeur en vigueur font foi. Pour un cas sensible, consultez votre DPO (la personne chargée de la protection des données) ou un conseil spécialisé.
La distinction qui change tout : personnel ou professionnel
Les deux éditeurs traitent différemment les comptes individuels et les offres destinées aux organisations. Avant tout réglage, identifiez donc la nature du compte utilisé.
- Les offres individuelles : formule gratuite ou abonnement personnel. Vos réglages et les conditions grand public s’appliquent.
- Les offres professionnelles : ChatGPT Business, Enterprise et Edu d’un côté, Claude for Work (offres Team et Enterprise) de l’autre. Des conditions commerciales s’appliquent, et des administrateurs gèrent une partie des réglages.
Payer un abonnement personnel ne fait donc pas de votre compte une offre professionnelle. Beaucoup d’entreprises passent à côté de cette nuance.
Vérifier l’utilisation des conversations pour l’entraînement
Dans ChatGPT, l’amélioration des modèles
Sur un compte personnel, OpenAI indique que vos contenus peuvent servir à entraîner ses modèles, avec la possibilité de vous y opposer. Vous le trouverez parmi les contrôles des données, dans les paramètres, et un portail de confidentialité permet aussi de faire cette demande. Le désactiver ne supprime pas vos conversations passées de l’historique. Le mode vocal dispose de son propre contrôle : vérifiez-le si votre équipe l’utilise.
Dans Claude, l’aide à l’amélioration des modèles
Sur les formules individuelles, Anthropic indique que vos conversations servent à améliorer ses modèles seulement si vous l’avez autorisé. Le choix se trouve dans les paramètres, rubrique confidentialité. Désactiver ce réglage concerne les entraînements à venir : ce qui a déjà été intégré à un entraînement terminé ou en cours y reste. Deux exceptions sont à connaître : les éléments envoyés volontairement comme retour, par exemple avec les boutons d’avis, et les conversations signalées pour un examen de sécurité.
Comprendre ce que protège une conversation temporaire
Les deux outils proposent des conversations à part, utiles pour une question ponctuelle : les conversations temporaires dans ChatGPT, les conversations incognito dans Claude.
Dans les deux cas, l’échange n’apparaît pas dans l’historique, n’alimente pas la mémoire et n’est pas utilisé pour l’entraînement. Il n’est pas effacé pour autant à la seconde : les éditeurs indiquent une conservation limitée, notamment pour la sécurité. Quelques points diffèrent :
- Dans ChatGPT, une conversation temporaire que vous enregistrez redevient une conversation ordinaire, soumise à vos réglages habituels.
- Dans Claude, une conversation incognito fermée ne se rouvre pas, le mode n’existe pas à l’intérieur d’un projet, et sur les offres d’équipe elle peut figurer dans les exports de données accessibles aux propriétaires du compte.
Retenez-le bien : temporaire ne veut pas dire confidentiel. Ce mode réduit les traces, sans autoriser pour autant à y coller un fichier clients.
Ce qu’apporte une offre professionnelle
OpenAI indique que, par défaut, les contenus de ChatGPT Business, Enterprise et Edu ne servent pas à améliorer ses modèles. Anthropic indique la même chose pour ses produits commerciaux, comme Claude for Work, sauf retour volontaire ou accord explicite de votre part. Pensez donc à cadrer les boutons d’avis auprès de vos équipes. Sur ces offres, Anthropic précise que l’organisation cliente est responsable du traitement et que l’éditeur agit comme sous-traitant.
Ces offres apportent une administration commune, mais elles ne règlent pas tout. Les propriétaires décident par exemple de la mémoire, et des exports de données peuvent exister. Lisez les conditions et demandez les documents contractuels avant de décider, notamment le contrat de sous-traitance et l’information sur les transferts de données hors de l’Union européenne.
La liste de ce qu’on ne colle jamais sur un compte individuel
Quel que soit le réglage, posez une règle simple, écrite et connue de tous :
- Informations personnelles sur vos clients et prospects : noms, coordonnées, fichiers d’export.
- Dossiers de salariés, candidatures, informations de santé.
- Identifiants, mots de passe, clés d’accès, coordonnées bancaires.
- Contrats, conditions négociées, marges, secrets de fabrication et projets non annoncés.
- Tout document couvert par un engagement de confidentialité envers un client.
Pour le reste, remplacez ce qui identifie : « Client A », « une PME de transport en Isère », « un montant de X ». Dans la plupart des cas, l’assistant n’a pas besoin de la donnée réelle pour rédiger ou structurer. Attention, retirer un nom ne rend pas toujours une personne impossible à reconnaître : un poste précis dans une petite structure suffit parfois.
RGPD : les repères donnés par la CNIL
Dès qu’une donnée personnelle entre dans l’outil, le RGPD s’applique. Dans ses questions-réponses sur l’IA générative, la CNIL recommande notamment de ne pas saisir de données personnelles ni d’informations confidentielles, surtout dans un service grand public. Elle conseille aussi une charte qui définit les usages permis et interdits, la formation des utilisateurs, la vérification du fournisseur, un contrat encadrant la relation et l’association du DPO lorsqu’il y en a un. Une analyse d’impact peut être nécessaire selon l’usage.
Ces repères peuvent évoluer. Consultez directement cnil.fr et les pages de confidentialité des éditeurs au moment de décider.
Exercice : le contrôle de confidentialité de votre équipe
- Listez qui utilise quel outil, et avec quel type de compte.
- Ouvrez les paramètres de chaque compte et notez l’état du réglage sur l’entraînement.
- Décidez des cas où une conversation temporaire doit être utilisée.
- Rédigez votre liste « jamais collé » et ajoutez-y trois exemples tirés de votre métier.
- Comparez les conditions en vigueur des offres professionnelles si des données d’entreprise doivent vraiment y passer.
- Notez une date de revue, car les conditions et les fonctions changent.
Le bon ordre : décider, régler, puis utiliser
La confidentialité se joue en trois niveaux : le type de compte, les réglages et ce que chacun colle réellement. Aucun réglage ne compense une mauvaise habitude. Commencez par la règle écrite, ajustez les paramètres, puis laissez vos équipes travailler dans ce cadre clair.