En bref. ChatGPT n’est ni « conforme » ni « non conforme » en bloc : tout dépend de l’offre et de ce que vous y saisissez. Dans les versions grand public (gratuite, Go, Plus, Pro), OpenAI décide seule de l’usage des conversations et peut les utiliser pour entraîner ses modèles tant que vous ne le désactivez pas, selon le comparatif des offres d’OpenAI consulté en octobre 2026. Les offres ChatGPT Business et Enterprise n’entraînent pas les modèles par défaut et permettent de signer un accord de traitement des données, ce que demande l’article 28 du RGPD quand un prestataire traite des données pour votre compte.
La question revient dans presque toutes les entreprises que nous accompagnons, souvent après coup. Le devis du soir rédigé avec le nom et l’adresse du client, la relance d’impayé où l’on a collé tout l’historique des échanges, le tri de CV pour un recrutement : ces trois gestes mettent des données personnelles dans un outil américain. Ce n’est pas interdit. Mais c’est à vous, et pas à OpenAI, de pouvoir le justifier. Cet article répond de façon neutre pour ChatGPT, pour Claude d’Anthropic et pour l’assistant de Mistral AI.
Pourquoi « conforme au RGPD » ne veut rien dire pour un outil
Le RGPD (règlement 2016/679, sur EUR-Lex) ne délivre pas de label aux logiciels. Il fixe des obligations à des acteurs : le responsable du traitement, qui décide pourquoi et comment les données sont utilisées, et le sous-traitant, qui les traite pour son compte. La vraie question est donc double.
- Qui est responsable de quoi ? Avec un compte grand public, OpenAI traite vos conversations pour ses propres finalités, dont l’amélioration de ses modèles. Avec une offre professionnelle, elle agit en principe comme sous-traitant, dans le cadre d’un contrat.
- Quelles données y mettez-vous ? Un texte de présentation de votre entreprise ne pose aucun problème. Le relevé de compte d’un client, un arrêt maladie ou un CV, si.
La CNIL le dit clairement dans ses questions-réponses sur l’utilisation d’un système d’IA générative, publiées le 18 juillet 2024 : dans le cas général, c’est l’organisme utilisateur qui engage sa responsabilité légale en cas de mauvaise utilisation de l’IA par son personnel.
Ce que changent les offres professionnelles
Quatre critères font la différence entre un usage défendable et un usage risqué.
L’entraînement des modèles
Sur les offres personnelles de ChatGPT, le contenu sert à entraîner les modèles, avec une possibilité de refus dans Paramètres, Contrôle des données, option « Améliorer le modèle pour tout le monde », selon le centre d’aide d’OpenAI. Pour ChatGPT Business et Enterprise, OpenAI écrit sur sa page « Enterprise privacy », mise à jour le 8 janvier 2026, qu’elle n’utilise pas les données professionnelles pour entraîner ses modèles par défaut. ChatGPT Business est le nouveau nom de l’offre Team depuis le 29 août 2025, d’après la FAQ d’OpenAI sur ce changement de nom.
L’accord de traitement des données
L’article 28 du RGPD impose un contrat écrit avec tout sous-traitant. OpenAI indique pouvoir signer un accord de traitement (DPA) pour ChatGPT Business, ChatGPT Enterprise et l’API, sur formulaire. Pour un client établi dans l’Espace économique européen, ce contrat est conclu avec OpenAI Ireland. Rien de tel pour un abonnement Plus : il relève de la politique de confidentialité grand public, où OpenAI reste responsable du traitement.
Le lieu de stockage et les transferts
La politique de confidentialité européenne d’OpenAI, mise à jour le 24 août 2026, précise que les données sont traitées hors de l’Europe, notamment aux États-Unis. Les transferts reposent sur les décisions d’adéquation de la Commission (article 45 du RGPD) ou sur les clauses contractuelles types (article 46). Parmi ces décisions figure celle du 10 juillet 2023 sur le cadre de protection des données UE-États-Unis, qui ne couvre que les entreprises américaines inscrites à ce cadre. Le Tribunal de l’Union européenne a rejeté le recours contre cette décision le 3 septembre 2025 (affaire T-553/23). Le stockage en Europe existe chez OpenAI, mais seulement pour l’API et pour les nouveaux espaces ChatGPT Enterprise et Edu éligibles, selon son centre d’aide. ChatGPT Business n’en bénéficie pas.
La durée de conservation
Sur un compte personnel, les conversations restent jusqu’à ce que vous les supprimiez, puis disparaissent des systèmes d’OpenAI sous 30 jours, sauf obligation légale. Les discussions temporaires sont effacées sous 30 jours. Dans Business et Enterprise, l’administrateur règle la durée de conservation.
Tableau comparatif sur les critères du RGPD
Ce tableau résume les pages officielles consultées en octobre 2026. Chaque cellule renvoie à sa source, listée sous le tableau. Les offres évoluent souvent : vérifiez avant de signer.
| Critère | ChatGPT gratuit, Go, Plus, Pro | ChatGPT Business | ChatGPT Enterprise | Claude Free, Pro, Max | Claude Team, Enterprise |
|---|---|---|---|---|---|
| Entraînement des modèles | Oui par défaut, désactivable[1][5] | Non par défaut[2] | Non par défaut[2] | Seulement si vous l’acceptez[6] | Exclu par les conditions commerciales[8] |
| Accord de traitement (article 28) | Non, OpenAI reste responsable du traitement[4] | Oui, sur formulaire[2] | Oui[2] | Non, politique grand public[7] | Oui, intégré aux conditions[8] |
| Stockage dans l’UE | Non proposé[1] | Non proposé[3] | Possible pour les nouveaux espaces éligibles[3] | Non, transferts vers les États-Unis[7] | Non précisé sur les pages consultées[8] |
| Conservation | Jusqu’à suppression, puis 30 jours[4] | Réglée par l’administrateur, effacement sous 30 jours[2] | Réglée par l’administrateur, effacement sous 30 jours[2] | 5 ans si l’entraînement est accepté, sinon 30 jours[6] | Effacement sous 30 jours après suppression[9] |
| Interlocuteur pour l’UE | OpenAI Ireland[4] | OpenAI Ireland[10] | OpenAI Ireland[10] | Anthropic Ireland[7] | Anthropic Ireland[8] |
Sources du tableau, consultées en octobre 2026.
- OpenAI, comparatif des offres ChatGPT
- OpenAI, Enterprise privacy (8 janvier 2026)
- OpenAI, résidence des données pour ChatGPT
- OpenAI, politique de confidentialité européenne (24 août 2026)
- OpenAI, contrôle des données dans ChatGPT
- Anthropic, mise à jour des conditions grand public (28 août 2025)
- Anthropic, politique de confidentialité (10 septembre 2026)
- Anthropic, conditions commerciales (17 juin 2025)
- Anthropic, conservation des données des organisations (1er juillet 2026)
- OpenAI, accord de traitement des données (en vigueur le 1er janvier 2026)
Claude et le RGPD : la même logique
Anthropic, qui édite Claude, suit le même découpage. Pour les offres Free, Pro et Max, l’entreprise demande depuis le 28 août 2025 à chaque utilisateur s’il accepte que ses conversations servent à entraîner les modèles. S’il accepte, la conservation passe à cinq ans ; sinon, elle reste de 30 jours. Pour les utilisateurs européens, le responsable du traitement est Anthropic Ireland, et les données sont transférées vers les États-Unis, selon sa politique de confidentialité en vigueur le 10 septembre 2026.
Les offres professionnelles relèvent des conditions commerciales. Elles contiennent deux engagements utiles : Anthropic ne peut pas entraîner ses modèles sur le contenu du client, et l’accord de traitement des données y est intégré par renvoi. Pour une question « claude ai rgpd », la réponse est donc la même que pour ChatGPT : un compte personnel ne suffit pas dès que des données de clients ou de salariés entrent dans la conversation.
Et l’option européenne ?
Mistral AI est une société française, installée à Paris. Son assistant Le Chat s’appelle désormais Vibe, d’après le centre d’aide de Mistral (12 août 2026). Sa politique de confidentialité indique qu’elle privilégie des prestataires situés dans l’Union et encadre les transferts exceptionnels par les clauses contractuelles types. Attention à un point : sur Vibe, les échanges servent par défaut à entraîner les modèles, sauf refus de votre part, et seuls les clients Enterprise en sont exclus d’office, selon son centre d’aide. Européen ne veut donc pas dire réglé. Les mêmes questions se posent : contrat, réglages, données saisies.
Ce que disent les autorités
Le Garante, l’autorité italienne, a limité provisoirement ChatGPT en Italie le 30 mars 2023. Le 20 décembre 2024, il a annoncé une amende de 15 millions d’euros contre OpenAI, avec une campagne d’information de six mois. Il reprochait notamment l’absence de base légale pour entraîner le modèle, un manque de transparence et une violation de données de mars 2023 non notifiée. Le Tribunal de Rome a depuis accueilli le recours d’OpenAI : le Garante signale sur la même page que sa décision a été retirée de son site après le jugement n° 4153/2026, publié le 18 mars 2026. Le montant n’est donc plus dû à ce stade.
Au niveau européen, le rapport du groupe de travail ChatGPT du CEPD, publié en mai 2024, rappelle que la conformité au RGPD incombe à OpenAI, pas aux utilisateurs. Cela ne vous dispense pas de vos propres obligations sur les données que vous saisissez. En France, la CNIL recommande, pour des usages non confidentiels d’un service grand public, des adresses électroniques professionnelles dédiées et la désactivation de la réutilisation des données par le fournisseur. Pour des données de clients ou de salariés, elle demande un contrat de sous-traitance et un encadrement des transferts hors de l’Union.
Ce que vous restez seul à faire
Aucune offre, même Enterprise, ne fait ces quatre choses à votre place.
- Inscrire l’usage au registre des traitements. L’article 30 du RGPD l’impose. La CNIL précise sur sa page consacrée au registre que la dérogation des entreprises de moins de 250 salariés ne joue pas pour les traitements non occasionnels, comme la gestion des clients. Elle propose un modèle à remplir.
- Informer les personnes. Les articles 13 et 14 du RGPD imposent d’indiquer les destinataires et les transferts hors de l’Union. Si vos devis passent par un outil d’IA, votre politique de confidentialité doit le dire.
- Ne pas saisir de données sensibles. L’article 9 interdit en principe le traitement des données de santé, d’opinions ou d’appartenance syndicale. L’arrêt de travail d’un salarié n’a rien à faire dans un assistant conversationnel.
- Fixer la règle par écrit. Quel outil, quel compte, quelles données jamais. C’est l’objet d’une charte d’utilisation de l’IA, que la CNIL recommande expressément.
Un réflexe simple couvre une bonne partie du risque : remplacer les noms par des initiales ou des rôles avant de coller un texte. « Client A, chantier de 40 m², relance à J+30 » suffit à l’outil pour rédiger une bonne relance.
Notre conseil pour une TPE
Si vous êtes seul et ne saisissez jamais de données de clients, un compte personnel avec l’entraînement désactivé peut suffire. Dès que l’équipe s’en sert pour des devis, des relances ou du recrutement, passez à une offre professionnelle avec un accord de traitement signé, puis tenez votre registre à jour. Le RGPD n’est pas le seul texte en jeu : le règlement européen sur l’IA ajoute ses propres obligations, détaillées dans notre guide AI Act pour les TPE et PME. Et si vous n’avez pas encore choisi vos outils, commencez par notre plan sur 30 jours pour démarrer avec l’IA.
Agir, et pouvoir le montrer.
Le Dirigeant Augmenté est notre formation IA des dirigeants de TPE : comptabilité, trésorerie, devis, connexion des logiciels, prospection et cadre juridique, en visio et en e-learning tutoré. Nous l’avons d’abord appliquée chez nous. Nous avons récupéré 44 heures d’administratif par mois. Ce temps est reparti sur le conseil et la création.
Un bloc entier porte sur le cadre juridique et la sécurité, et la formation laisse une trace datée de votre démarche. Commencez par vérifier ce que votre fonds peut prendre en charge.
Questions fréquentes
ChatGPT est-il conforme au RGPD ?
Cela dépend de l’offre et de l’usage. Les offres ChatGPT Business et Enterprise n’entraînent pas les modèles par défaut et permettent de signer un accord de traitement des données, exigé par l’article 28 du RGPD. Les offres grand public relèvent de la politique de confidentialité d’OpenAI, qui reste responsable du traitement.
ChatGPT Plus suffit-il pour une entreprise ?
Pas dès que des données de clients ou de salariés sont saisies. Selon le comparatif d’OpenAI consulté en octobre 2026, Plus utilise le contenu pour l’entraînement sauf refus et ne propose pas de stockage dans l’Union. Aucun accord de traitement n’est prévu pour cette offre.
ChatGPT Business stocke-t-il les données en Europe ?
Non, d’après le centre d’aide d’OpenAI consulté en octobre 2026. Le stockage dans l’Union est réservé à l’API et aux nouveaux espaces ChatGPT Enterprise et Edu éligibles. Les transferts vers les États-Unis restent encadrés par les mécanismes des articles 45 et 46 du RGPD.
Claude d’Anthropic est-il conforme au RGPD ?
La logique est la même que pour ChatGPT. Sur les offres Free, Pro et Max, l’entraînement dépend de votre choix et la conservation passe à cinq ans si vous l’acceptez, selon Anthropic. Les conditions commerciales des offres professionnelles interdisent l’entraînement sur vos contenus et intègrent un accord de traitement.
L’amende italienne contre OpenAI est-elle toujours valable ?
Le Garante avait annoncé une amende de 15 millions d’euros le 20 décembre 2024. Il indique sur son site que sa décision a été retirée après le jugement du Tribunal de Rome n° 4153/2026, publié le 18 mars 2026, qui a accueilli le recours d’OpenAI. Une suite judiciaire reste possible.
Une TPE doit-elle inscrire ChatGPT dans son registre des traitements ?
Oui, si l’outil sert à traiter des données personnelles de façon régulière. L’article 30 du RGPD impose le registre, et la CNIL précise que la dérogation des moins de 250 salariés ne couvre pas les traitements non occasionnels comme la gestion des clients. Elle met un modèle à disposition.
Faut-il faire une analyse d’impact pour utiliser ChatGPT ?
Pas pour rédiger des mails sans données personnelles. L’article 35 du RGPD impose une analyse d’impact quand un traitement est susceptible d’engendrer un risque élevé pour les personnes. La CNIL, qui reprend les lignes directrices européennes, présume ce risque dès que deux des neuf critères sont réunis, dont l’usage innovant d’une technologie : trier des candidatures ou profiler des clients avec l’IA mérite donc l’examen.
Que faire si des données de clients ont fuité à cause d’un outil d’IA ?
Notifier la violation à la CNIL dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, selon l’article 33 du RGPD. La notification n’est pas due si la fuite ne présente pas de risque pour les personnes, mais l’incident doit être documenté en interne. Si le risque est élevé, l’article 34 impose aussi de prévenir les personnes concernées.
Une TPE doit-elle nommer un délégué à la protection des données ?
En général, non. L’article 37 du RGPD l’impose aux organismes publics et aux entreprises dont l’activité de base consiste à suivre les personnes de façon régulière et systématique à grande échelle, ou à traiter à grande échelle des données sensibles. Un artisan qui utilise ChatGPT pour ses devis n’est pas dans ces cas. La CNIL recommande tout de même d’en désigner un, car il pilote la conformité.
Quelles amendes risque une entreprise qui ne respecte pas le RGPD ?
L’article 83 du RGPD prévoit deux plafonds, selon la CNIL consultée en octobre 2026 : 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial pour les principes et les droits des personnes, 10 millions d’euros ou 2 % pour des obligations comme la sécurité ou le registre, le montant le plus élevé étant retenu. La CNIL dispose aussi d’une procédure simplifiée, avec une amende plafonnée à 20 000 €.
