26 % des TPE et PME
utilisent l’IA en 2025, deux fois plus qu’en 2024 (Baromètre France Num 2025, DGE et CRÉDOC, 11 021 entreprises interrogées).
Baromètre France Num 2025, DGE / CRÉDOC
Guide IA et données
ChatGPT en entreprise : utiliser l’IA sans exposer vos données
Utiliser l’IA générative en entreprise sans exposer ses données, c’est choisir le bon niveau d’outil selon la sensibilité des informations, fixer des règles claires pour l’équipe et vérifier où les données sont traitées et combien de temps elles sont conservées. Ce guide fait le point, sources à l’appui, sans diaboliser ni idéaliser aucune solution.
En 30 secondes
L’essentiel à retenir
Toutes les IA ne traitent pas vos données de la même façon. Dans la version grand public de ChatGPT, les conversations peuvent servir à améliorer les modèles tant que l’option n’est pas désactivée. Dans les offres professionnelles (ChatGPT Business et Enterprise, Microsoft 365 Copilot, Gemini pour Workspace) et via l’API, les éditeurs indiquent ne pas entraîner leurs modèles sur vos contenus par défaut.
Le risque le plus courant n’est pas l’outil lui-même, mais l’usage non encadré : des salariés qui collent des données clients ou du code dans un compte personnel. La CNIL recommande de ne jamais y saisir d’informations confidentielles ou personnelles et d’encadrer les usages par une charte interne.
La bonne démarche tient en trois étapes : classer vos données par niveau de sensibilité, attribuer à chaque niveau un outil adapté (offre professionnelle, cloud européen ou modèle hébergé chez vous), puis écrire des règles simples que toute l’équipe comprend.
Chiffres clés
L’IA s’installe vite dans les entreprises, les questions de données aussi
-
-
52 % des TPE et PME
se disent inquiètes des fuites de données liées au numérique (Baromètre France Num 2025).
Baromètre France Num 2025, DGE / CRÉDOC
-
18 % des sociétés de 10 salariés et plus
utilisent l’IA en 2025, contre 10 % en 2024 : 15 % des 10 à 49 salariés, 58 % des 250 et plus (Insee, enquête TIC 2025).
Insee Première n° 2120, enquête TIC 2025
-
30 jours de conservation par défaut
des requêtes envoyées à l’API d’OpenAI, dans les journaux de surveillance des abus, sauf option de non-conservation accordée sur demande (documentation OpenAI).
OpenAI, Data controls in the OpenAI platform
Ce qui se passe vraiment
Que deviennent les informations que vous tapez dans une IA ?
Version grand public (ChatGPT gratuit, Plus ou Pro) : OpenAI indique qu’il peut utiliser les contenus éligibles pour améliorer ses modèles lorsque l’option est activée, ce qui est le cas par défaut. On peut la couper dans les paramètres, rubrique « Contrôle des données ». Deux détails comptent : un pouce levé ou baissé sur une réponse peut rendre la conversation concernée utilisable pour l’entraînement, même option coupée, et les discussions temporaires, non utilisées pour l’entraînement, peuvent être conservées jusqu’à 30 jours pour des raisons de sécurité.
Offres professionnelles : pour ChatGPT Business, Enterprise et l’API, OpenAI écrit ne pas entraîner ses modèles sur les données des clients par défaut, avec un chiffrement au repos et en transit et un accord de traitement des données (DPA) au sens du RGPD. Microsoft indique la même chose pour Microsoft 365 Copilot et Copilot Chat utilisés avec un compte professionnel : les requêtes, les réponses et les données de l’entreprise ne servent pas à entraîner les modèles de fondation. Pour Gemini dans Google Workspace, Google indique que vos contenus ne servent pas à entraîner des modèles en dehors de votre domaine sans votre autorisation.
Conservation et localisation : via l’API d’OpenAI, les requêtes sont conservées au maximum 30 jours dans les journaux de surveillance des abus, sauf option de non-conservation (Zero Data Retention) accordée sur demande à des clients éligibles. Depuis 2025, OpenAI propose un stockage et un traitement des données en Europe, réservés aux clients Enterprise, Edu et API éligibles : l’offre Business n’en fait pas partie à ce jour. Enfin, ces durées peuvent être prolongées par une obligation légale : en 2025, une décision de justice américaine liée au procès du New York Times a imposé à OpenAI de conserver pendant plusieurs mois des conversations de ses offres grand public et Team.
L’exemple qui a marqué les esprits reste celui de Samsung. En avril 2023, des ingénieurs ont collé dans ChatGPT du code source interne et le compte rendu d’une réunion. Selon Bloomberg, l’entreprise a ensuite interdit les IA génératives publiques dans une grande division. Rien n’indique que ces données aient été exploitées, mais elles étaient sorties de l’entreprise, sans possibilité de les rappeler.
Le risque principal
Le vrai sujet : les usages que personne n’a encadrés
On parle de « shadow AI » quand des collaborateurs utilisent des outils d’IA sans que l’entreprise l’ait prévu, souvent avec un compte personnel et avec les meilleures intentions : gagner du temps sur un mail, résumer un contrat, corriger un tableau. Les études disponibles viennent surtout d’éditeurs de sécurité, qui ont un intérêt commercial, et doivent être lues comme des tendances plutôt que des mesures exactes. Elles convergent pourtant : LayerX (2025) observe que 77 % des utilisateurs d’IA copient-collent des données dans les chatbots, et que 82 % de ces copier-coller passent par des comptes personnels non gérés ; Cyberhaven (2026) estime que près de 40 % des données envoyées vers des outils d’IA contiennent des informations sensibles.
Interdire n’est généralement pas la bonne réponse : l’usage se déplace simplement sur les téléphones personnels. La CNIL, dans ses fiches pratiques destinées aux TPE et PME (mars 2025, avec France Num et la CPME), recommande plutôt de fournir un cadre : un document de gouvernance qui dit ce qui est permis, des outils validés par l’entreprise, une formation, et le principe que la décision finale reste humaine. L’autodiagnostic de cette section permet de mesurer votre exposition.
Comparatif
Cinq façons d’utiliser l’IA générative, du plus simple au plus maîtrisé
Aucune option n’est bonne ou mauvaise dans l’absolu : chacune correspond à un niveau de sensibilité des données. Ce tableau résume les engagements publiés par les éditeurs en septembre 2026.
| Critère | Compte grand public (ChatGPT gratuit ou Plus…) | Offre professionnelle (ChatGPT Business ou Enterprise, Copilot, Gemini Workspace) | API d’un fournisseur d’IA | Fournisseur européen, hébergement dans l’UE | Modèle ouvert hébergé chez vous ou sur votre serveur dédié |
|---|---|---|---|---|---|
| Entraînement sur vos contenus | Possible par défaut, désactivable | Non par défaut selon les éditeurs | Non par défaut (OpenAI depuis mars 2023) | Selon le contrat, à vérifier | Non, vous contrôlez tout |
| Conservation | Historique conservé ; discussions temporaires jusqu’à 30 jours | Selon les réglages de l’administrateur | Jusqu’à 30 jours chez OpenAI, sauf option de non-conservation | Selon le contrat | Selon vos propres règles |
| Localisation des données | Non maîtrisée | Europe possible pour certaines offres Enterprise | Europe possible pour les clients éligibles | Union européenne | Là où vous l’installez |
| Gestion des comptes et contrat | Compte individuel, conditions grand public | Comptes gérés, accord de traitement des données | Accord de traitement des données | Contrat de sous-traitance RGPD | Pas de tiers, ou votre hébergeur seul |
| Mise en place | Immédiate | Rapide | Développement nécessaire | Développement nécessaire | Projet technique |
| Données adaptées | Niveau 1 uniquement | Niveaux 1 et 2 | Niveaux 1 et 2, niveau 3 anonymisé | Niveaux 1 à 3 selon le contrat | Niveaux 1 à 3 |
Sources : pages officielles d’OpenAI, Microsoft et Google consultées le 26/09/2026 (liens en fin d’article). Les conditions évoluent régulièrement : vérifiez les termes de votre contrat avant tout usage de données sensibles.
Le cadre
Ce que disent la CNIL, le RGPD et le règlement européen sur l’IA
La CNIL a publié en juillet 2024 ses premières recommandations pour déployer une IA générative : partir d’un besoin identifié, encadrer les usages permis et interdits, reconnaître les limites du système, choisir un système sécurisé, former les utilisateurs et mettre en place une gouvernance associant le délégué à la protection des données, la sécurité et les métiers. Dans ses questions-réponses, elle note qu’il semble généralement plus sûr de privilégier des solutions déployées « sur site » et qu’avec une API, la maîtrise du système est presque entièrement entre les mains du fournisseur. Elle rappelle aussi de ne jamais partager d’informations confidentielles comme des données personnelles.
Le RGPD s’applique dès que des données personnelles passent par l’outil : base légale, information des personnes, contrat avec le fournisseur en tant que sous-traitant, et analyse d’impact (AIPD) quand le traitement présente un risque élevé. Pour les transferts vers les États-Unis, la Commission européenne a adopté en juillet 2023 une décision d’adéquation, le Data Privacy Framework, qui permet ces transferts vers les entreprises certifiées. Le Tribunal de l’Union européenne a rejeté en septembre 2025 un recours qui en demandait l’annulation ; un pourvoi est pendant devant la Cour de justice. Le cadre est donc valide aujourd’hui, mais il reste discuté.
Il faut aussi connaître le CLOUD Act, une loi américaine de 2018 : elle permet aux autorités américaines, dans le cadre d’une procédure légale, d’obtenir des données auprès des fournisseurs soumis au droit américain, où que ces données soient stockées. C’est pour cette raison que l’ANSSI a créé la qualification SecNumCloud, dont la dernière version exige notamment que le prestataire relève exclusivement du droit européen. Pour la plupart des usages courants, ce n’est pas un motif d’inquiétude ; pour des données très sensibles (santé, défense, secret industriel), c’est un critère de choix.
Le règlement européen sur l’IA (AI Act, règlement 2024/1689) est entré en vigueur en août 2024. Depuis le 2 février 2025, les pratiques interdites s’appliquent, ainsi qu’une obligation de maîtrise de l’IA pour les organisations qui utilisent ces systèmes. Le règlement de simplification adopté en juillet 2026 (règlement 2026/1744) a précisé cette obligation : prendre des mesures pour développer la compétence des équipes, sans exiger un niveau garanti, et il a repoussé à décembre 2027 l’essentiel des obligations sur les systèmes à haut risque. Pour une PME qui utilise un assistant de rédaction, la conséquence pratique est simple : former les équipes et documenter les usages.
Méthode
Classer vos données en trois niveaux, puis choisir l’outil
Niveau 1, les informations publiques ou sans enjeu : un texte pour votre site, une reformulation de mail générique, une recherche d’idées. Un outil grand public avec l’entraînement désactivé, ou mieux une offre professionnelle, convient. Niveau 2, les informations internes : procédures, comptes rendus, documents commerciaux sans données personnelles. Il faut au minimum une offre professionnelle avec contrat, pas d’entraînement par défaut et des comptes gérés par l’entreprise.
Niveau 3, les informations sensibles : données personnelles de clients ou de salariés, données de santé, données bancaires, contrats, code source, secrets d’affaires, dossiers couverts par un secret professionnel. C’est là que la localisation et la maîtrise de la chaîne comptent vraiment : fournisseur européen avec hébergement dans l’Union, ou modèle ouvert installé sur un serveur que vous contrôlez. Si une information de niveau 3 doit malgré tout passer par un outil externe, on l’anonymise avant, comme le recommande la CNIL.
Reste à l’écrire. Une charte d’usage efficace tient sur une page : les outils autorisés et avec quels comptes, la liste de ce qu’on ne colle jamais dans une IA, l’obligation de relire et de vérifier chaque réponse avant de l’utiliser, la mention d’un usage d’IA quand un contenu est diffusé à l’extérieur, et un référent à qui poser ses questions. Elle se relit une fois par an, parce que les offres et les conditions des éditeurs changent vite.
Aller plus loin
Quand envisager une IA hébergée en France ou chez vous
Les modèles dits « ouverts » (dont les poids sont téléchargeables) ont beaucoup progressé. Mistral AI publie la plupart de ses modèles ouverts sous licence Apache 2.0, y compris la gamme Mistral 3 annoncée en décembre 2025 ; Qwen3 (Alibaba) et Gemma 4 (Google) le sont aussi. Llama (Meta) relève d’une licence propre, avec des conditions particulières. Ces modèles peuvent tourner sur un serveur de l’entreprise ou chez un hébergeur européen, avec des outils libres comme Ollama ou vLLM : aucune donnée ne sort alors du périmètre choisi.
Le matériel n’est plus hors de portée : d’après Hugging Face, les poids d’un modèle de 8 milliards de paramètres occupent environ 4 Go de mémoire graphique en quantification 4 bits, et ceux d’un modèle de 70 milliards environ 35 Go, auxquels il faut ajouter la mémoire nécessaire au contexte. La contrepartie est ailleurs : il faut installer, sécuriser, mettre à jour et surveiller l’ensemble. C’est pertinent quand le niveau 3 représente une part importante de vos usages, quand un secret professionnel s’applique, ou quand vous voulez connecter l’IA à vos documents internes sans les confier à un tiers. C’est le choix fait par un cabinet de courtage en crédit immobilier que nous avons accompagné en 2026 : l’IA qui analyse les pièces justificatives des emprunteurs tourne sur le serveur du cabinet, et ces données ne quittent pas son infrastructure.
Entre les deux existent des solutions intermédiaires : des offres professionnelles avec hébergement européen, ou des fournisseurs européens qui exposent des modèles ouverts depuis des centres de données dans l’Union. Nous détaillons les configurations, le dimensionnement et les coûts sur notre page consacrée à l’IA auto-hébergée, et la construction d’un assistant branché sur vos documents sur la page assistant IA métier.
FAQ
Questions fréquentes sur l’IA et la confidentialité des données
Les questions qui reviennent le plus souvent avant de lancer un projet digital, clarifier un besoin ou choisir le bon partenaire. Une autre question ? Écrivez-nous, nous répondons sous 24h ouvrées.
-
Comment désactiver l’entraînement sur mes conversations dans ChatGPT ?
Dans la version grand public, ouvrez les paramètres, rubrique « Contrôle des données », et désactivez l’option d’amélioration du modèle pour tout le monde. Attention : envoyer un avis (pouce levé ou baissé) sur une réponse peut rendre la conversation concernée utilisable pour l’entraînement. Les intitulés de menu changent souvent ; la page d’aide d’OpenAI donne la procédure à jour.
-
Peut-on mettre des données clients dans ChatGPT ?
Dans un compte grand public, non : la CNIL recommande de ne jamais y saisir de données personnelles ou confidentielles. Avec une offre professionnelle sous contrat, c’est envisageable pour des usages cadrés, à condition d’avoir vérifié le contrat de traitement des données, d’informer les personnes concernées et de limiter les informations au strict nécessaire. Pour des données sensibles, une solution hébergée en Europe ou chez vous reste la plus prudente.
-
Faut-il interdire l’IA à ses salariés ?
L’interdiction pure déplace souvent l’usage vers des comptes personnels, donc hors de tout contrôle. La démarche recommandée par la CNIL consiste plutôt à encadrer : des outils validés, une charte, une formation. C’est aussi le sens de l’obligation de maîtrise de l’IA prévue par le règlement européen.
-
Mes données sont-elles en sécurité si elles restent en Europe ?
La localisation dans l’Union européenne réduit l’exposition aux lois étrangères et simplifie la conformité au RGPD, mais elle ne suffit pas seule : il faut aussi regarder qui a accès aux données, combien de temps elles sont conservées, ce que prévoit le contrat et quel droit s’applique au fournisseur. C’est l’ensemble de ces critères que la qualification SecNumCloud de l’ANSSI vérifie pour les données les plus sensibles.
-
Une PME doit-elle faire une analyse d’impact (AIPD) avant d’utiliser l’IA ?
Pas pour tous les usages. Une AIPD est requise quand un traitement de données personnelles présente un risque élevé pour les personnes (données de santé à grande échelle, évaluation de salariés, profilage…). La CNIL recommande d’en réaliser une le cas échéant lors du déploiement d’une IA générative. Pour de la rédaction sans données personnelles, ce n’est pas nécessaire.
-
Qu’est-ce qu’un modèle d’IA ouvert (open weights) ?
C’est un modèle dont l’éditeur publie les paramètres entraînés, que l’on peut télécharger et faire tourner sur sa propre infrastructure. Les licences varient : Apache 2.0 pour la plupart des modèles ouverts de Mistral AI, pour Qwen3 et pour Gemma 4, licence spécifique avec conditions pour Llama. Lisez toujours la licence avant un usage commercial.
-
Qu’impose le règlement européen sur l’IA à une petite entreprise qui utilise ChatGPT ?
Pour un usage courant (rédaction, synthèse, aide à la décision non automatisée), l’essentiel est de prendre des mesures pour que les équipes comprennent l’outil, ses limites et ses risques. Les obligations lourdes visent les fournisseurs de modèles et les systèmes dits à haut risque, comme le recrutement automatisé ou l’évaluation de crédit, dont l’application a été repoussée à décembre 2027.
Sources
Sources et références
Pages consultées le 26 septembre 2026. Les conditions des éditeurs évoluent : nous mettons ce guide à jour régulièrement.
Pour aller plus loin
Prestations et ressources liées
Faire le point sur l’usage de l’IA dans votre entreprise
Échangeons 30 minutes : nous regardons vos usages actuels, le niveau de sensibilité de vos données et l’option la plus adaptée, de la simple charte d’usage à l’IA hébergée chez vous.