D’après Bpifrance Le Lab, en janvier 2026, 55 % des TPE et PME françaises utilisaient l’IA générative. Un an plus tôt, elles étaient 31 %.
Presque aucune de ces personnes ne s’est demandé ce qu’il advient du texte collé dans la fenêtre de chat. Et c’est compréhensible : l’outil ressemble à un bloc-notes, et se comporte comme le serveur de quelqu’un d’autre.
Je ne suis pas juriste. Ce qui suit est le côté pratique de la question, avec les recommandations de la CNIL, qui les publie précisément pour cet usage.
Pourquoi le gratuit diffère du payant
La différence n’est pas dans la qualité des réponses, mais dans les conditions de traitement des données.
Dans les versions publiques gratuites, les conditions de service admettent en général que le texte saisi puisse être conservé et servir à améliorer le modèle, sauf si vous avez désactivé cette option vous-même. Dans les versions professionnelles, le contrat dit habituellement l’inverse : les données ne servent pas à l’entraînement, il y a un engagement de confidentialité, parfois un hébergement dédié.
La CNIL a mis à jour en avril 2026 ses recommandations sur l’IA et les données personnelles. L’idée n’a pas changé : le traitement automatisé de données personnelles par une IA ne bénéficie d’aucun régime particulier plus souple. Les mêmes règles s’appliquent que pour le reste.
Conclusion pratique : dès l’instant où vous collez le nom d’un client dans un chat gratuit, vous avez transmis des données personnelles à un tiers, et c’est à vous de l’expliquer, pas à l’éditeur du modèle.
Ce qu’il ne faut pas envoyer
La liste est courte, et il ne s’agit pas de paranoïa mais de ce qu’on croise tous les jours.
Les données personnelles de vos clients. Un nom avec un téléphone, une adresse, un numéro de commande ou un diagnostic. Le message d’un client en entier, s’il contient sa signature et ses coordonnées.
Les exports et les bases. Un fichier d’export de commandes, une liste d’abonnés, un tableau de contacts. La tentation est forte - « fais-moi le calcul » - et l’IA calcule effectivement bien. Sauf que vous livrez toute la base d’un coup, pas un contact.
Les documents. Contrats, factures, scans de pièces d’identité, relevés. Les scans surtout : on y trouve tout à la fois, adresse et numéro de document compris.
Les accès. Mots de passe, clés d’API, chaînes de connexion à une base. Catégorie à part, parce que le risque n’y est pas juridique mais direct : l’accès fuite, et l’histoire continue en piratage.
Les données internes sur des personnes. CV de candidats, évaluations de salariés, correspondance des ressources humaines. Pour ces usages, le règlement sur l’IA prévoit une catégorie à haut risque distincte, aux exigences nettement plus lourdes.
Ce que vous pouvez envoyer sans crainte
La moitié des tâches de travail ne nécessite aucune donnée personnelle, à condition de formuler autrement.
À la place du message du client en entier : un résumé de la situation sans noms ni coordonnées. À la place de la base : la structure du tableau et la question sur la formule. À la place de l’adresse réelle : n’importe quelle adresse fictive pour l’exemple. À la place du contrat : le paragraphe que vous ne comprenez pas, sans les parties ni les montants.
Fonctionnent très bien aussi les tâches où il n’y a pas de données personnelles par nature : un brouillon de description de prestation, l’analyse d’une erreur technique, la traduction d’un texte pour le site, l’explication d’un terme administratif inconnu, la vérification de la structure d’un texte.
À ne pas envoyer
- Nom du client avec téléphone, adresse ou numéro de commande
- Exports et bases : commandes, listes d’abonnés
- Documents : contrats, factures, scans de pièces d’identité
- Accès : mots de passe, clés d’API, chaînes de connexion
- Données sur des personnes : CV, évaluations, courriers RH
Sans crainte
- Un résumé de la situation sans noms ni coordonnées
- La structure d’un tableau et la question sur la formule
- Une adresse et un téléphone fictifs pour l’exemple
- Le paragraphe obscur d’un contrat, sans parties ni montants
- Brouillon de prestation, traduction, analyse d’une erreur
La règle d’une seule question
Avant d’envoyer, posez-vous une question : si ce texte se retrouvait demain en clair, qui en pâtirait et à quel point ?
Si la réponse est « personne, c’est un brouillon de description de prestation », envoyez. Si c’est « le client, qu’on peut identifier », retirez d’abord ce qui permet de l’identifier.
Cette règle remplace une longue liste et continue de fonctionner quand les services et les conditions changent.
Où vérifier si le service apprend sur vous
C’est un réglage à part, et il se trouve à un endroit différent dans chaque service. Ce qu’il faut savoir avant même d’ouvrir les paramètres : la frontière ne passe pas par le prix mais par le type de contrat. Un abonnement personnel ne sort pas vos données de l’entraînement, cela reste un produit grand public. Ce qui les en sort, c’est un contrat professionnel : Team, Enterprise, offre entreprise, API.
ChatGPT
Paramètres, section Data Controls, l’option sur l’amélioration du modèle. Sur toutes les formules personnelles, Plus et Pro compris, elle est active par défaut. Pour les offres entreprise et l’API, l’entraînement est exclu par contrat, pas par un interrupteur.
Claude
Paramètres, section confidentialité, l’option sur l’amélioration du modèle. Ici, c’est l’inverse : désactivé par défaut, cela ne fonctionne que si vous l’activez. Une fois activé, les données dépersonnalisées restent jusqu’à cinq ans dans l’entraînement.
Gemini
La page d’activité Gemini dans votre compte Google : myactivity.google.com, section Gemini. L’abonnement ne change rien au statut : c’est un produit grand public. Une partie des conversations est lue par des relecteurs humains, et ces copies sont conservées jusqu’à trois ans, sans disparaître avec votre activité.
Mistral
Paramètres du compte, l’option permettant de s’opposer à l’utilisation de vos entrées et sorties pour l’entraînement. Côté API, les données sont conservées trente jours pour la surveillance des abus, et un mode sans conservation existe.
Les intitulés des menus changent plus souvent que les règles elles-mêmes : cherchez par le sens - « amélioration du modèle », « model improvement », « activité ». Données vérifiées le 17.08.2026.
La question à poser directement au service
Si chercher dans les paramètres vous ennuie, demandez-le au chat lui-même. La question vaut pour n’importe quel service :
Réponds selon les conditions actuelles de ton service, pas selon des idées générales.
- Mes conversations servent-elles à entraîner des modèles sur ma formule actuelle ?
- Est-ce activé par défaut ou cela demande-t-il mon accord ?
- Où exactement cela se désactive-t-il dans les paramètres : donne le chemin précis dans les menus.
- Combien de temps mes données sont-elles conservées après la suppression d’une conversation et après la désactivation de l’entraînement ?
- Donne les liens vers les pages officielles où c’est écrit.
Si tu n’es pas sûr de quelque chose, dis-le, ne devine pas.
Réserve importante : la réponse du modèle est une piste, pas une preuve. Un modèle peut se tromper sur les règles de son propre service, surtout si elles ont changé récemment. C’est pourquoi le dernier point, celui des liens, est le plus utile : ils vous permettent de vérifier le réglage à la main et de voir ce que disent les conditions aujourd’hui, pas il y a six mois.
Quand la règle simple ne suffit plus
Il y a des cas qui demandent non pas de la prudence, mais une procédure formelle.
Si l’IA devient une partie d’un processus permanent où des données de personnes sont traitées régulièrement, une analyse d’impact relative à la protection des données est requise. Cela concerne les ressources humaines, les données juridiques et médicales, le travail intensif sur la base clients. Le sens de la procédure est terre à terre : avant le lancement, s’asseoir et examiner ce qui se passe si ces données fuitent ou si le modèle se trompe.
Deuxième cas : une IA conversationnelle sur votre site. Les données des visiteurs sont alors traitées par un service externe sans votre intervention à chaque échange, et la relation s’encadre par un contrat de sous-traitance. C’est le sujet de l’article consacré aux chatbots.
Et une chose dont on ne parle presque pas : le règlement sur l’IA demande qu’une entreprise qui utilise l’IA assure à ses équipes un niveau suffisant de compréhension de l’outil. Aucune certification n’est exigée, mais donner un mot de passe à un salarié sans lui expliquer ce qu’il ne faut pas y déposer ne remplit pas cette exigence.
Ce que vous pouvez faire cette semaine
- Demander autour de vous qui utilise l’IA et dans quel service.
- Vérifier s’il s’agit d’une version gratuite ou professionnelle.
- Dans la version gratuite, désactiver l’utilisation des données pour l’entraînement, si l’option existe.
- Convenir d’une règle simple : noms, téléphones, adresses et documents ne vont pas dans le chat.
- Pour les tâches régulières, passer à une version sous contrat.
Cinq points, une demi-heure, et le problème le plus fréquent est réglé.
Le dernier mot vous appartient
Les réglages et les contrats sont des outils, mais la décision revient à une personne, et chaque fois de nouveau. Aucun interrupteur ne remplace la seconde qui précède l’envoi, celle où vous décidez de ce que vous collez dans la fenêtre.
La sécurité des données de votre entreprise est entre vos mains. Un prestataire peut régler, expliquer et vérifier : montrer où se désactive quoi, examiner quels services tournent déjà sur votre site, aider à choisir une version sous contrat. Mais ce qui part dans le chat relève de celui qui appuie sur « envoyer ». Ce n’est pas un renvoi de responsabilité, c’est la description honnête de la situation : aucun spécialiste ne se tient derrière votre épaule au moment de l’envoi.
Là où je peux aider
Tout ce qui précède, un dirigeant le fait seul, sans spécialiste. Ma partie commence là où l’IA est intégrée au site : un chat sur les pages, une réponse automatique dans un formulaire, un widget tiers qui envoie les données des visiteurs on ne sait où. On entre alors dans l’examen des scripts présents sur le site, de ce qu’ils transmettent et de leur lien avec votre bannière de consentement.
Si vous avez le temps et l’envie, remettre de l’ordre dans vos habitudes se fait très bien seul. Si vous préférez vous occuper de votre activité plutôt que de chercher quel widget envoie les conversations de vos clients sur un serveur inconnu, je peux prendre la partie technique.
Sources et date des données : conditions et pages d’aide d’OpenAI, Anthropic, Google et Mistral, vérifiées le 17.08.2026 ; Bpifrance Le Lab, janvier 2026 (55 % des TPE et PME utilisent l’IA générative, contre 31 % un an plus tôt) ; recommandations de la CNIL sur l’IA et les données personnelles, avril 2026 ; Règlement UE 2024/1689 (AI Act).
Derniers articles
