Confidentialité et IA : quelles données peut-on confier à ChatGPT, Claude ou Gemini ?

Un architecte charge un programme de concours dans une IA grand public pour gagner du temps sur la rédaction du mémoire. Trois semaines plus tard, il réalise qu'il a oublié de vérifier un paramètre : par défaut, ses conversations servent à entraîner le modèle. Le programme, couvert par un accord de confidentialité, a potentiellement alimenté un système qu'il ne contrôle plus. Ce scénario se répète chaque semaine dans les cabinets, et la confidentialité de l'IA reste le sujet que peu de professionnels prennent le temps de traiter sérieusement.

Cet article synthétise, pour un usage professionnel, ce qu'il faut savoir avant d'envoyer un fichier ou un prompt à un outil d'IA. Il s'appuie sur notre *Annexe Confidentialité et privacy des outils IA* (Educasium, mai 2026), compilée outil par outil. Les politiques des éditeurs évoluent vite : les principes ci-dessous restent valides, les réglages précis sont à vérifier auprès de chaque éditeur au moment de l'usage.

Sommaire

1. Trois textes encadrent votre usage de l'IA
2. La question à se poser avant chaque outil
3. Le changement que peu d'utilisateurs ont vu (Claude, octobre 2025)
4. Outil par outil : la synthèse
5. Ce qu'on peut confier, et ce qu'il ne faut jamais mettre
6. La grille de décision en trois temps
7. Les limites de cet article
8. Questions fréquentes

Trois textes encadrent votre usage de l'IA

Avant de choisir un outil, il faut connaître le cadre. Trois textes se cumulent, et le troisième est le moins connu.

Le RGPD, la base européenne

Le RGPD (règlement UE 2016/679) encadre toute donnée personnelle : nom, coordonnées, photo identifiable, plan avec adresse précise. Cette donnée ne peut être traitée que pour une finalité claire, sur une base légale, en quantité minimale, avec possibilité d'effacement. Conséquence concrète : on ne charge pas librement les données nominatives d'un client dans une IA grand public sans précaution. Et si l'IA est hébergée hors UE, l'éditeur doit fournir des garanties équivalentes.

L'AI Act, le cadre spécifique aux IA

L'AI Act (règlement UE 2024/1689) est le premier texte européen spécifique à l'intelligence artificielle, entré en vigueur de façon échelonnée entre 2025 et 2027. Pour les usages professionnels courants, il faut surtout retenir l'obligation de transparence quand un contenu est généré par IA, et la documentation exigée des fournisseurs de modèles à risque systémique comme ChatGPT, Claude ou Gemini.

Le Cloud Act, le texte que l'on oublie

Le Cloud Act (loi US de 2018) permet aux autorités américaines d'accéder, sous certaines conditions, aux données détenues par des entreprises américaines, même stockées en Europe. Ce point concerne directement Google, Microsoft, Anthropic et OpenAI. Pour des données très sensibles (concours stratégique, audit, contentieux), cela pousse à envisager une alternative européenne comme Le Chat de Mistral AI.

La question à se poser avant chaque outil

Plutôt qu'une liste de conseils, une grille de vérification applicable à n'importe quel outil, nouveau ou ancien.

Où sont stockées les données ? UE, États-Unis, autre ? L'hébergement conditionne le régime juridique applicable.

L'éditeur est-il soumis au Cloud Act ? Une entreprise américaine, ou contrôlée par une entreprise américaine, l'est. Cela change tout pour les données sensibles.

Les conversations servent-elles à entraîner le modèle ? Et existe-t-il un opt-out ? C'est la question centrale, et la réponse a changé pour plusieurs outils en 2025.

Combien de temps les données sont-elles conservées ? Et peut-on les effacer ? La suppression n'est jamais instantanée chez les grands éditeurs.

La version professionnelle apporte-t-elle des garanties réelles ? Un Data Processing Agreement (DPA) conforme au RGPD est l'élément qui transforme un outil grand public en outil défendable en entreprise.

La règle simple qui en ressort : les versions gratuites présentent un profil de risque maximal. Les versions professionnelles, à condition d'activer les bons paramètres et de signer le DPA, présentent un profil de risque réduit.

Le changement que peu d'utilisateurs ont vu (Claude, octobre 2025)

Claude, édité par Anthropic, a longtemps eu la réputation d'un outil plus prudent que les autres sur les données. Ce positionnement a changé, et une grande partie des utilisateurs ne l'a pas remarqué.

Avant octobre 2025, Anthropic n'utilisait pas les conversations utilisateurs pour entraîner ses modèles, sauf feedback explicite. Depuis le 8 octobre 2025, la politique est inversée sur les plans Free, Pro, Max et Claude Code : un commutateur « You can help improve Claude » s'affiche. Si vous l'avez accepté, ou ignoré sans le décocher, vos conversations peuvent alimenter l'entraînement des futurs modèles, avec une rétention pouvant aller jusqu'à cinq ans. Si vous le désactivez, la rétention tombe à 30 jours et il n'y a plus d'entraînement.

Les plans Team, Enterprise et API ne sont pas concernés par l'entraînement par défaut et bénéficient de garanties contractuelles. L'action immédiate, si vous utilisez Claude Pro en professionnel, est donc d'ouvrir les paramètres de confidentialité et de vérifier ce commutateur. La même vigilance s'applique à ChatGPT, où l'opt-out doit aussi être activé manuellement sur les versions Plus.

Outil par outil : la synthèse

Le tableau ci-dessous condense les points clés par outil, pour un usage professionnel (état mai 2026, à vérifier auprès de l'éditeur).

Lecture du tableau : pour une donnée sensible, l'idéal reste Mistral Le Chat (souveraineté UE) ou NotebookLM (corpus fermé, l'IA ne cite que vos documents). Pour la pratique quotidienne, Claude Pro ou ChatGPT Plus avec opt-out activé, et Midjourney Pro pour l'image.

Ce qu'on peut confier, et ce qu'il ne faut jamais mettre

La classification suivante est la partie la plus utile au quotidien. Elle distingue trois niveaux.

Ce que vous pouvez confier sans précaution particulière

Les questions de méthodologie génériques, les documents publics (PLU consultable en ligne, normes ouvertes, articles de presse), vos notes anonymisées, les brouillons de rédaction, les demandes de relecture orthographique ou grammaticale. Aucune donnée identifiable, aucun secret.

Ce que vous pouvez confier avec une version professionnelle et l'opt-out activé

Les notes de réunion (avec l'accord des participants), les études techniques internes anonymisées, vos mémoires techniques en cours de rédaction, les plans et schémas sans identifiant client (adresse retirée, nom du projet anonymisé). À condition d'être sur une version où les données ne servent pas à l'entraînement.

Ce qu'il ne faut jamais confier à une IA grand public

Les données personnelles identifiantes (noms, coordonnées, RIB, numéros de sécurité sociale, données de santé), les pièces administratives signées d'un client, les programmes confidentiels d'un concours sous accord de confidentialité, les plans cadastraux publiables sans accord explicite, les documents juridiques en contentieux. Pour ces cas, l'alternative européenne ou la sortie de l'IA s'imposent.

Un cas particulier mérite d'être nommé : enregistrer une réunion pour générer un compte rendu. Vous devez prévenir tous les participants que la réunion est enregistrée et que la transcription sera traitée par une IA. C'est une obligation légale. À défaut, c'est une faute.

La grille de décision en trois temps

Avant d'envoyer quoi que ce soit, posez-vous deux questions. Si ce contenu fuitait demain dans un blog public, est-ce que ce serait un problème pour mon client ou pour moi ? Et suis-je sur une version où mes données ne sont pas utilisées pour l'entraînement ?

Choisissez l'outil selon la sensibilité. Faible sensibilité : tout outil avec opt-out activé. Sensibilité moyenne : version Pro ou Team avec DPA conforme RGPD. Forte sensibilité : version européenne (Mistral) ou pas d'IA du tout.

Documentez vos choix. En cas de question d'un client, d'un assureur ou d'une autorité, vous devez pouvoir expliquer comment vous avez utilisé l'IA, avec quelles précautions, et pourquoi vous estimez avoir respecté vos obligations.

Les limites de cet article

Cet article n'est pas un conseil juridique. Pour les usages sensibles (données de santé, dossiers contentieux, marchés à enjeu de sécurité), la consultation d'un conseil ou d'un délégué à la protection des données reste nécessaire. Les politiques des éditeurs évoluent rapidement, et ce qui était vrai en mai 2026 peut ne plus l'être au moment où vous lisez ces lignes. Vérifiez toujours les paramètres et les conditions générales de l'outil au moment de l'usage.

Par ailleurs, l'IA n'est jamais obligatoire. Pour certaines tâches à enjeu, la bonne décision reste de ne pas utiliser d'IA, ou de se limiter à un corpus fermé comme NotebookLM. La productivité gagnée ne justifie pas toujours le risque pris sur des données qui ne vous appartiennent pas.

Questions fréquentes

Peut-on utiliser ChatGPT avec des données confidentielles d'entreprise ?

Oui, à condition d'utiliser une version Team ou Enterprise qui désactive l'entraînement sur vos données, et d'avoir signé le DPA proposé par OpenAI. Avec la version gratuite ou Plus sans opt-out activé, le risque est réel et déconseillé pour toute donnée client, contractuelle ou stratégique. La règle pratique consiste à anonymiser systématiquement les éléments sensibles avant de les soumettre, même sur une version professionnelle.

Quelles données ne faut-il jamais envoyer à une IA ?

Les données personnelles identifiantes (noms, coordonnées, données de santé, RIB), les pièces administratives signées, les programmes confidentiels sous accord de confidentialité, les documents juridiques en contentieux et les plans cadastraux publiables sans accord explicite du client. Pour ces catégories, aucune IA grand public n'offre de garantie suffisante.

Le Cloud Act s'applique-t-il à ChatGPT, Claude et Gemini ?

Oui, ces trois outils sont édités par des entreprises américaines (OpenAI, Anthropic, Google) soumises au Cloud Act, qui permet aux autorités américaines d'accéder à certaines données même stockées en Europe. Pour des données très sensibles, une alternative européenne comme Le Chat de Mistral AI, non soumise au Cloud Act, est plus défendable.

Claude utilise-t-il mes conversations pour s'entraîner ?

Depuis le 8 octobre 2025, sur les plans Free, Pro, Max et Claude Code, oui, par défaut, sauf si vous désactivez le commutateur « You can help improve Claude » dans les paramètres de confidentialité. Les plans Team, Enterprise et API ne sont pas concernés par l'entraînement et bénéficient de garanties contractuelles. Si vous utilisez Claude en professionnel, la vérification de ce réglage est la première action à faire.

Une formation IA aborde-t-elle la confidentialité et le RGPD ?

Une formation IA professionnelle sérieuse aborde nécessairement ces sujets, parce que la maîtrise des outils passe par la maîtrise des paramètres et des risques juridiques. Chez Educasium, la confidentialité et le RGPD sont traités dans le cadre des programmes, à partir de notre annexe outil par outil. C'est aussi ce qui distingue un usage bricolé d'un usage défendable en entreprise.

Pour aller plus loin

La confidentialité de l'IA ne dépend pas de l'outil, mais de la version choisie, des paramètres activés et de l'usage que vous en faites. Choisir le bon outil pour le bon cas est une compétence, et elle s'acquiert. Pour choisir entre les outils selon vos usages, voir notre comparatif ChatGPT ou Claude en entreprise. Pour structurer vos demandes et réduire les fuites d'information dans les prompts, consultez notre formation au prompt engineering.

Programmes certifiés Qualiopi, finançables OPCO et FIFPL. Pour former votre équipe aux bons usages et aux bons paramètres, contactez Educasium et précisez vos cas d'usage sensibles.