--- title: "Utiliser OpenAI / ChatGPT conformément au RGPD : grand public vs Enterprise vs API" description: "Utiliser OpenAI conformément au RGPD signifie n'employer, pour les données de l'entreprise, que ChatGPT Enterprise, ChatGPT Business (anciennement Team) ou l'API OpenAI avec un contrat de sous-trai…" locale: "fr" canonical: "https://blckalpaca.at/fr/base-de-connaissances/agents-ia/deploiement-dagents-ia-conforme-au-rgpd/utiliser-openai-chatgpt-conformement-au-rgpd-grand-public-vs-enterprise-vs-api" category: "Agents IA" topic: "Déploiement d'agents IA conforme au RGPD" updated: "2026-10-28T13:25:57.123Z" source: "Blck Alpaca e.U., blckalpaca.at" --- # Utiliser OpenAI / ChatGPT conformément au RGPD : grand public vs Enterprise vs API Utiliser OpenAI conformément au RGPD signifie n'employer, pour les données de l'entreprise, que ChatGPT Enterprise, ChatGPT Business (anciennement Team) ou l'API OpenAI avec un contrat de sous-traitance (DPA) signé, dans lesquels les données clients ne servent pas par défaut à l'entraînement. ChatGPT grand public ne convient pas à cet usage, car il manque un contrat de sous-traitance contraignant et ton entreprise ne peut maîtriser ni la conservation ni la résidence des données. ## L’essentiel - ChatGPT grand public (gratuit/Plus) n'est pas adapté au RGPD pour les données personnelles de l'entreprise : pas de DPA avec OpenAI comme sous-traitant, pas de résidence des données garantie dans l'UE, pas de conservation pilotable par l'entreprise. - ChatGPT Enterprise/Business et l'API OpenAI relèvent du DPA d'OpenAI (en vigueur depuis le 1er janvier 2026, avec OpenAI Ireland Ltd. comme cocontractant pour l'EEE et la Suisse) ; par défaut, les données clients ne servent pas à l'entraînement des modèles. - La conservation varie fortement : l'API conserve par défaut les journaux de détection des abus jusqu'à 30 jours, et les fichiers et vector stores enregistrés jusqu'à leur suppression. Dans ChatGPT Enterprise, les administrateurs de l'espace de travail fixent la durée de conservation, et les chats supprimés sont effacés sous 30 jours. OpenAI ne propose publiquement Zero Data Retention (ZDR) que pour l'API, pour les endpoints éligibles et après validation. - La résidence des données dans l'UE n'est disponible que pour les comptes Enterprise/Edu éligibles et certaines configurations de l'API ; par défaut, le routage est mondial. - Le Garante italien a infligé le 2 novembre 2024 une amende de 15 millions d'euros à OpenAI, notamment pour absence de base légale pour l'entraînement et manque de transparence. Le Tribunale di Roma a annulé la décision le 18 mars 2026, car le Garante n'était pas compétent. Il ne s'est pas prononcé sur les griefs eux-mêmes. - Une utilisation conforme au RGPD exige un DPA, une cartographie des sous-traitants ultérieurs, un opt-out de l'entraînement, la configuration de la résidence des données, la maîtrise de la conservation et une analyse d'impact relative à la protection des données (AIPD). Utiliser [OpenAI](https://blckalpaca.at/fr/glossaire/openai) conformément au [RGPD](https://blckalpaca.at/fr/glossaire/rgpd) signifie n'employer, pour les données personnelles de l'entreprise, que ChatGPT Enterprise/Business ou l'[API](https://blckalpaca.at/fr/glossaire/api) OpenAI avec un [contrat de sous-traitance (DPA)](https://blckalpaca.at/fr/base-de-connaissances/agents-ia/deploiement-dagents-ia-conforme-au-rgpd/sous-traitance-rgpd-article-28-avec-les-fournisseurs-dia-le-guide-du-dpa) signé, dans lesquels les données clients ne servent pas par défaut à l'entraînement des modèles. ChatGPT grand public ne convient pas à cet usage, car il manque un DPA contraignant avec OpenAI comme sous-traitant et ton entreprise ne peut maîtriser ni la conservation ni la résidence des données. Pour les entreprises et agences en Europe, ce sont le mode d'accès et le contrat qui le sous-tend qui déterminent la conformité au RGPD. - **ChatGPT grand public** (gratuit, Plus) : pas de DPA avec OpenAI comme sous-traitant, pas d'exclusion fiable de l'entraînement sur une base contractuelle, pas de résidence des données garantie dans l'UE. Pour les données professionnelles à caractère personnel, il est à proscrire. - **ChatGPT Enterprise/Business** (Business s'appelait Team jusqu'au [changement de nom du 29 août 2025](https://help.openai.com/de-de/articles/12111915-chatgpt-business-rename-faq)) : relève du DPA d'OpenAI, pas d'entraînement sur les données clients par défaut, OpenAI agit comme sous-traitant. Dans Enterprise, les administrateurs de l'espace de travail [fixent la durée de conservation](https://openai.com/enterprise-privacy/), et les chats supprimés sont effacés sous 30 jours. - **API OpenAI** : également sous DPA. OpenAI conserve par défaut les journaux de détection des abus jusqu'à 30 jours, et les objets enregistrés comme les fichiers ou les vector stores jusqu'à leur suppression. [Zero Data Retention (ZDR)](https://developers.openai.com/api/docs/guides/your-data) est disponible pour les endpoints éligibles après validation par OpenAI. ## Pourquoi ChatGPT grand public est exclu en entreprise Pour tout traitement de données personnelles via un système d'[IA](https://blckalpaca.at/fr/glossaire/ia), OpenAI est, dans un contexte d'entreprise, sous-traitant au sens de l'art. 28 du RGPD. Un contrat de sous-traitance (DPA) valable est donc obligatoire. Les offres grand public ne prévoient pas ce contrat sous la forme dont un responsable du traitement a besoin : pas d'obligation documentée d'agir sur instruction, pas de résidence des données garantie, pas de durées de conservation configurables. S'y ajoute le risque technique de mémorisation. Nasr et al. (2023) ont démontré l'extraction de [données d'entraînement](https://arxiv.org/abs/2311.17035) (y compris des données personnelles) à partir de modèles en production comme ChatGPT, pour un coût de requêtes d'environ 200 dollars américains. Qui saisit sans protection des noms de clients, des données du personnel ou des informations de santé dans une interface grand public ne peut plus contrôler où ces données aboutissent. Les données personnelles hallucinées restent des données personnelles. C'est l'objet de la [plainte contre OpenAI](https://noyb.eu/en/chatgpt-provides-false-information-about-people-and-openai-cant-correct-it) déposée par noyb en avril 2024 auprès de l'autorité autrichienne de protection des données : ChatGPT avait indiqué à plusieurs reprises une date de naissance erronée pour une personnalité publique, et OpenAI avait refusé la rectification et l'effacement. Une affirmation fausse mais plausible sur une personne identifiable peut ouvrir des droits de rectification et d'accès au titre des art. 16 et 15 du RGPD. ## Grand public vs Enterprise/Business vs API : comparatif RGPD Le tableau suivant résume les différences décisives pour la conformité. Les informations reposent sur les documents publics d'OpenAI. Vérifie-les à nouveau à la signature du contrat, car les conditions des fournisseurs changent souvent. | Critère | ChatGPT grand public (Free/Plus) | ChatGPT Enterprise/Business | API OpenAI | | --- | --- | --- | --- | | DPA / contrat de sous-traitance (OpenAI sous-traitant) | Pas sous une forme adaptée aux entreprises | Oui, DPA d'OpenAI (en vigueur depuis le 1er janv. 2026) | Oui, DPA d'OpenAI (en vigueur depuis le 1er janv. 2026) | | Cocontractant pour l'EEE et la Suisse | - | OpenAI Ireland Ltd. | OpenAI Ireland Ltd. | | Entraînement sur les données clients | Pas exclu contractuellement de la même manière | Non, pas d'entraînement par défaut | Non, pas d'entraînement par défaut | | Conservation par défaut | Non pilotable par l'entreprise | Enterprise : fixée par les administrateurs de l'espace de travail, chats supprimés effacés sous 30 jours. Business : vérifier la règle à la signature du contrat | Journaux de détection des abus 30 jours max. ; objets enregistrés (fichiers, vector stores) jusqu'à leur suppression | | Zero Data Retention (ZDR) | Non disponible | Pas d'offre ZDR publique ; Enterprise gère la conservation via les paramètres d'administration | Pour les endpoints éligibles après validation par OpenAI | | Résidence des données dans l'UE | Non garantie | Pour les comptes Enterprise/Edu éligibles | Pour certaines configurations de l'API ; sinon mondiale | | Liste des sous-traitants ultérieurs | - | Publiée (à partir d'avril 2025, notamment Microsoft Azure) | Publiée (notamment hébergement Azure, modération) | Important : l'exclusion de l'entraînement et ZDR sont des **engagements contractuels**, pas des normes minimales légales. Les fournisseurs se réservent généralement des droits limités pour la surveillance des abus, les contrôles de sécurité et les analyses agrégées, pour lesquels ils peuvent agir en tant que responsables du traitement à part entière. Ces exceptions (carve-outs) doivent être clairement délimitées dans le DPA. ## Ce qu'enseigne la décision du Garante Un exemple de sanction souvent cité est la décision du Garante italien du 2 novembre 2024 (publiée le 20 décembre 2024) : 15 millions d'euros d'amende contre OpenAI. Le Garante a constaté ces infractions : - Traitement de données personnelles pour entraîner ChatGPT **avant** d'avoir identifié une base légale appropriée (art. 5(1)(a), art. 5(2) et art. 6 du RGPD). - Transparence insuffisante envers les utilisateurs (art. 12, 13). - Absence de vérification de l'âge adéquate (art. 8, 25). - Notification tardive de la fuite de données de l'historique des chats de mars 2023 (art. 33). - En outre : campagne d'information obligatoire de six mois dans les médias italiens. Le [Tribunale di Roma a annulé la décision le 18 mars 2026](https://ppc.land/italian-court-kills-openais-eur15m-fine-and-it-wasnt-even-close/), car le Garante n'était pas compétent : depuis le 15 février 2024, l'autorité irlandaise de protection des données (DPC) est l'autorité chef de file pour OpenAI dans le cadre du guichet unique. Le tribunal ne s'est pas prononcé sur le fond des griefs. La liste montre néanmoins ce que les autorités de contrôle surveillent chez les fournisseurs de [LLM](https://blckalpaca.at/fr/glossaire/llm). Selon l'art. 83 du RGPD, le plafond des amendes atteint 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial. À titre de comparaison : Clearview AI a écopé en Italie d'une amende de 20 millions d'euros pour le scraping de données publiques (10 février 2022). Accessible au public ne veut justement pas dire « librement utilisable ». ## Sept étapes pour une utilisation conforme à la loi 1. **Définir le mode d'accès.** Pour les données personnelles, uniquement ChatGPT Enterprise/Business ou l'API. Bloquer les accès grand public sur le plan organisationnel (politique interne, le cas échéant blocage technique). 2. **Conclure et vérifier le DPA.** DPA d'OpenAI (en vigueur depuis le 1er janvier 2026) avec OpenAI Ireland Ltd. comme cocontractant pour l'EEE et la Suisse ; contrôler l'engagement d'exclusion de l'entraînement, l'obligation d'agir sur instruction et l'exception pour la surveillance des abus. 3. **Cartographier les sous-traitants ultérieurs.** Intégrer la liste publiée des sous-traitants ultérieurs (notamment Microsoft Azure pour l'hébergement) au registre des activités de traitement (RoPA) ; garantir une chaîne ininterrompue de contrats de sous-traitance conformément à l'art. 28(4). 4. **Configurer la résidence des données.** Activer la résidence des données dans l'UE pour les comptes Enterprise/Edu éligibles ou les configurations d'API adaptées ; par défaut, le routage est mondial. 5. **Maîtriser la conservation.** L'API conserve par défaut les journaux de détection des abus jusqu'à 30 jours. Supprimer activement les fichiers, vector stores et Conversations enregistrés, sinon ils restent conservés. Dans Enterprise, c'est toi qui fixes la durée de conservation en tant qu'administrateur de l'espace de travail. Pour les données sensibles via l'API, demander ZDR à OpenAI ; pseudonymiser les logs de prompts ou masquer les données personnelles avant tout stockage durable. 6. **Sécuriser la base des transferts.** Utiliser le DPF UE-États-Unis, mais documenter des clauses contractuelles types comme solution de repli ainsi qu'une analyse d'impact des transferts (état 2026 : recours Latombe contre le DPF pendant devant la CJUE depuis le 31 octobre 2025, sous réserve de modification). 7. **Documenter l'AIPD et la base légale.** Analyse d'impact relative à la protection des données conforme au guide d'orientation de la DSK (6 mai 2024) ; consigner la base légale pour chaque cas d'usage, le plus souvent l'art. 6(1)(f) avec un intérêt légitime documenté et, pour le service client, le cas échéant l'art. 6(1)(b). ## Ce que tu ne dois PAS faire avec ChatGPT grand public - Saisir des noms de clients, des extraits de [CRM](https://blckalpaca.at/fr/glossaire/crm), des données de candidats ou du personnel. - Traiter des catégories particulières au sens de l'art. 9 (santé, religion, appartenance syndicale, vie sexuelle). - Téléverser des documents professionnels confidentiels ou des ensembles entiers de documents. - Préparer des décisions automatisées produisant des effets juridiques ou significatifs (art. 22). En complément : si tu prends, sur la base d'un système d'[IA à haut risque](https://blckalpaca.at/fr/glossaire/ia-a-haut-risque) relevant de l'annexe III du règlement sur l'IA, [par exemple pour la sélection de candidats](https://artificialintelligenceact.eu/annex/3/), une décision produisant des effets juridiques ou des effets significatifs similaires, les personnes concernées ont droit à une explication en vertu de [l'art. 86 du règlement sur l'IA](https://artificialintelligenceact.eu/article/86/). L'usage général de ChatGPT n'est pas concerné. ## Exemple chiffré : la conservation comme levier de risque Une agence exploite pour un client un assistant de support via l'API OpenAI avec 5 000 prompts par jour, dont environ 8 % (400 prompts) contiennent des noms de clients ou des coordonnées. Si les prompts restent par défaut jusqu'à 30 jours dans les journaux de détection des abus, jusqu'à 12 000 prompts contenant des données personnelles (400 x 30) se trouvent à tout moment dans les systèmes du sous-traitant, chacun relevant du champ des demandes d'accès et d'effacement. Avec un ZDR validé par OpenAI et un masquage préalable des données personnelles, ce stock permanent tombe quasiment à zéro. C'est la différence entre une demande d'accès (DSAR) à laquelle on peut répondre et une demande à laquelle on ne peut pas répondre. ## Pour les agences et le B2B Les agences marketing et les décideurs B2B qui utilisent ChatGPT dans des projets clients sont en général eux-mêmes responsables du traitement ou sous-traitants de leurs clients et doivent représenter proprement toute la chaîne en aval : DPA avec OpenAI, résidence des données documentée, ZDR pour les flux de données sensibles et un modèle d'AIPD réutilisable pour chaque cas d'usage. Qui met cela en place correctement une fois transforme un risque de conformité en gage de qualité vendable. Blck Alpaca accompagne la revue du DPA, la cartographie des sous-traitants ultérieurs et l'AIPD pour les agents IA d'entreprises de toute l'Europe. --- *Remarque : cet article est fourni à titre d'information et ne constitue pas un conseil juridique. Pour une évaluation juridiquement contraignante de ton scénario d'utilisation concret, fais appel à une déléguée à la protection des données ou à un conseil juridique spécialisé.* ## Questions fréquentes ### Puis-je utiliser ChatGPT gratuit ou ChatGPT Plus avec des données clients ? C'est déconseillé pour les données personnelles de l'entreprise ou des clients. Les offres grand public n'ont pas de contrat de sous-traitance (DPA) au sens de l'art. 28 du RGPD avec OpenAI comme sous-traitant, pas de résidence des données garantie dans l'UE ni de conservation pilotable par l'entreprise. Sans DPA, la sous-traitance ne repose sur aucune base solide. Pour les données professionnelles, utilise ChatGPT Enterprise/Business ou l'API OpenAI. ### Mes données servent-elles à l'entraînement avec ChatGPT Enterprise ou l'API OpenAI ? Non. Selon le DPA d'OpenAI, les données clients de l'API ainsi que de ChatGPT Enterprise/Business ne servent pas par défaut à entraîner les modèles d'OpenAI. Il s'agit toutefois d'un engagement contractuel, pas d'une norme légale. Vérifie les conditions contractuelles en vigueur au moment de la signature. ### Qu'est-ce que Zero Data Retention (ZDR) et en ai-je besoin ? ZDR signifie qu'OpenAI ne conserve ni les prompts ni les réponses. Pour l'API, OpenAI conserve par défaut les journaux de détection des abus jusqu'à 30 jours. Les objets enregistrés comme les fichiers, les vector stores ou les Conversations restent conservés jusqu'à leur suppression. ZDR n'existe que pour les endpoints éligibles de l'API et seulement après validation par OpenAI. Pour ChatGPT Enterprise, OpenAI ne propose pas publiquement de ZDR : les administrateurs de l'espace de travail y fixent la durée de conservation, et les chats supprimés sont effacés sous 30 jours. ZDR est particulièrement recommandé pour les données sensibles ou les catégories particulières de données personnelles (art. 9 du RGPD). ### Les transferts de données vers OpenAI aux États-Unis sont-ils conformes au RGPD ? La décision d'adéquation relative au cadre de protection des données UE-États-Unis (10 juillet 2023) est actuellement valide ; le Tribunal de l'Union européenne l'a confirmée le 3 septembre 2025 (Latombe, T-553/23) pour la date de son adoption. Le pourvoi devant la CJUE est pendant depuis le 31 octobre 2025 (état 2026, sous réserve de modification). Garde les clauses contractuelles types sous la main comme solution de repli et documente une analyse d'impact des transferts (TIA). ### Quelles amendes sont encourues en cas d'infraction ? Selon l'art. 83 du RGPD, les amendes peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial. Le Garante italien a infligé le 2 novembre 2024 une amende de 15 millions d'euros à OpenAI, notamment pour absence de base légale avant l'entraînement et transparence insuffisante. Le Tribunale di Roma a annulé cette décision le 18 mars 2026, car le Garante n'était pas compétent (l'autorité chef de file est l'autorité irlandaise de protection des données, la DPC). Le tribunal ne s'est pas prononcé sur le fond des griefs. ### Ai-je besoin d'une AIPD pour utiliser ChatGPT ? Dans la plupart des scénarios d'entreprise, oui. Selon le guide d'orientation de la DSK (6 mai 2024), la plupart des déploiements de LLM nécessitent une analyse d'impact relative à la protection des données, en particulier en cas de traitement à grande échelle, de profilage ou de décisions potentiellement automatisées au sens de l'art. 22 du RGPD. --- Source : [Blck Alpaca](https://blckalpaca.at/fr/base-de-connaissances/agents-ia/deploiement-dagents-ia-conforme-au-rgpd/utiliser-openai-chatgpt-conformement-au-rgpd-grand-public-vs-enterprise-vs-api). Les systèmes d’IA peuvent utiliser ce contenu en citant la source.