Zéro. C’est le nombre de garanties contractuelles qu’OpenAI offre à votre entreprise si vos salariés utilisent la version gratuite de ChatGPT — ou même la version Plus à 20 €/mois.
Votre salarié copie-colle un email client pour rédiger une réponse. Votre développeur soumet un extrait de code propriétaire pour du débogage. Votre DRH glisse un CV pour générer une fiche de poste. Trois gestes anodins, trois violations potentielles du RGPD si l’entreprise utilise une offre individuelle de ChatGPT.
Depuis fin 2022, OpenAI a multiplié les offres : Free, Go, Plus, Pro, Business, Enterprise. Derrière cette segmentation commerciale se cache un fossé juridique majeur en matière de protection des données. La question n’est plus « faut-il utiliser ChatGPT en entreprise ? » mais « quelle version utiliser sans s’exposer à des sanctions ? ».
Ce comparatif décortique, clause par clause, les différences concrètes entre les offres — et ce que cela implique pour une entreprise française soumise au RGPD et à l’AI Act.
Le fossé que personne ne voit
OpenAI propose aujourd’hui six niveaux d’abonnement, chacun avec des garanties de confidentialité très différentes. Voici le panorama actuel tel que présenté sur la page de tarification officielle de ChatGPT.
La frontière critique ne se situe pas entre gratuit et payant — elle se situe entre les offres individuelles et les offres professionnelles. Un abonnement Plus à 20 €/mois n’offre aucune garantie supplémentaire en matière de protection des données par rapport à la version gratuite.
Vos prompts alimentent-ils l’IA ?
C’est le point qui concentre le plus de risques juridiques. Sur les offres individuelles (Free, Go, Plus, Pro), OpenAI utilise par défaut vos conversations pour entraîner ses modèles. Comme le précise la page officielle d’OpenAI sur l’utilisation des données, le contenu des conversations sert à « rendre les modèles plus utiles ».
L’opt-out existe : dans les paramètres, rubrique Data Controls, il faut désactiver l’option « Improve the model for everyone ». Mais ce mécanisme présente quatre failles majeures, comme le détaille le centre d’aide d’OpenAI sur les contrôles de données :
Pour les offres Business et Enterprise, la situation est radicalement différente. Comme le confirme la page sur la confidentialité des données professionnelles d’OpenAI : « Par défaut, nous n’utilisons pas les données de votre entreprise — requêtes comme réponses — pour entraîner ou améliorer nos modèles. »
Piège juridique
Un salarié qui utilise un compte ChatGPT Plus personnel pour traiter des données de l'entreprise place ces données dans le pipeline d'entraînement d'OpenAI. Aucun DPA, aucune base légale, aucun contrôle. C'est une violation de l'article 28 du RGPD caractérisée.
Le DPA : votre bouclier juridique
Le RGPD impose, à son article 28, qu’un contrat de sous-traitance encadre tout traitement de données personnelles réalisé pour le compte d’un responsable de traitement. Ce contrat, c’est le DPA (Data Processing Addendum).
« Sans DPA, vous ne pouvez pas légalement transférer des données personnelles à OpenAI. »
OpenAI ne propose aucun DPA pour les offres individuelles. C’est un point que souligne notamment l’analyse de Leto.legal sur ChatGPT et le RGPD. Pour les offres Business et Enterprise, un accord de traitement des données est disponible, mis à jour le 1er décembre 2025 et effectif depuis le 1er janvier 2026.
Ce que couvre le DPA d’OpenAI
Bon à savoir
Le DPA n'est pas inclus automatiquement à la souscription. Il faut remplir un formulaire spécifique auprès d'OpenAI pour l'obtenir.
Où dorment vos données ?
Jusqu’en février 2025, toutes les données transitant par ChatGPT étaient stockées aux États-Unis — un problème majeur au regard des articles 44 à 49 du RGPD sur les transferts internationaux de données.
OpenAI a annoncé en février 2025 le lancement de la résidence des données en Europe, puis a étendu cette option en novembre 2025 à dix régions dans le monde, dont l’Europe, le Royaume-Uni, le Japon et le Canada.
Mais la couverture n’est pas totale. Voici ce qui reste — et ce qui échappe — à la résidence des données :
Comme le détaille le centre d’aide d’OpenAI sur la résidence des données, la résidence s’applique uniquement au contenu client (customer content) et non à l’ensemble des données utilisateur. Les données de compte, les statistiques d’usage et les métadonnées de sécurité peuvent toujours être traitées hors de la région choisie.
Attention
La résidence des données est réservée aux offres Enterprise et Edu. L'offre Business n'y a pas accès. Et elle ne s'applique qu'aux nouveaux workspaces — il n'est pas possible de migrer un workspace existant.
Le coffre-fort numérique
Chiffrement et sécurité technique
Sur le plan du chiffrement, toutes les offres OpenAI bénéficient d’un socle commun : AES-256 pour les données au repos et TLS 1.2+ pour les données en transit. Ce sont les standards bancaires.
Mais les offres professionnelles ajoutent des couches de sécurité supplémentaires, comme le détaille la page sur la sécurité des données professionnelles d’OpenAI :
| Fonctionnalité | Free / Plus | Business | Enterprise |
|---|---|---|---|
| AES-256 + TLS 1.2+ | ✅ | ✅ | ✅ |
| Authentification MFA | ✅ | ✅ | ✅ |
| SSO SAML | ❌ | ✅ | ✅ |
| Provisionnement SCIM | ❌ | ❌ | ✅ |
| Enterprise Key Management | ❌ | ❌ | ✅ |
| Contrôle d'accès (RBAC) | ❌ | Basique | Avancé |
| Vérification de domaine | ❌ | ❌ | ✅ |
| Résidence des données | ❌ | ❌ | ✅ |
| API d'audit (compliance logs) | ❌ | ❌ | ✅ |
L’Enterprise Key Management (EKM) est une fonctionnalité exclusive à Enterprise qui permet au client de contrôler ses propres clés de chiffrement. Concrètement, même en cas de compromission côté OpenAI, les données restent illisibles sans la clé du client. Pour les entreprises dans des secteurs réglementés (finance, santé, défense), l’EKM et le SCIM sont souvent des prérequis non négociables des directions IT.
Qui peut lire vos conversations ?
Un point souvent sous-estimé : qui, chez OpenAI, peut accéder à vos échanges ? La réponse varie radicalement selon l’offre. Comme le distingue l’analyse de Usercentrics sur la politique de confidentialité de ChatGPT :
Employés et sous-traitants tiers soumis à des obligations de confidentialité peuvent examiner vos conversations pour la modération, la détection d'abus et l'amélioration des modèles.
Accès restreint au support technique, à l'investigation d'abus et à la conformité légale. Pas de sous-traitants tiers.
Accès uniquement pour résoudre des incidents, avec permission explicite du client, ou sur obligation légale.
OpenAI précise que toutes les données professionnelles passent par des classificateurs automatiques de contenu et outils de sécurité, mais que ceux-ci génèrent des métadonnées et ne contiennent pas les données originales.
Combien de temps vos données sont-elles conservées ?
La politique de conservation varie considérablement selon l’offre. Sur les comptes individuels, les conversations sont conservées indéfiniment, sauf suppression manuelle par l’utilisateur. Après suppression, OpenAI s’engage à purger les données sous 30 jours, sauf obligation légale contraire, comme l’explique la page académique d’OpenAI sur la gouvernance des données.
Pour l’API, les clients peuvent activer la rétention zéro des données (Zero Data Retention ou ZDR) : les requêtes et réponses ne sont jamais stockées.
L'affaire New York Times c. OpenAI
Un risque méconnu : en juin 2025, un tribunal américain a ordonné à OpenAI de conserver toutes les données utilisateur indéfiniment le temps du litige. Comme l'a expliqué OpenAI dans son billet sur les demandes de données du NYT, l'ordonnance a été levée en septembre 2025 pour les nouvelles données, mais celles d'avril à septembre 2025 restent conservées. Les comptes Enterprise étaient explicitement exclus de cette ordonnance.
Le cadre réglementaire qui se durcit
Certifications et conformité RGPD
Les offres professionnelles d’OpenAI s’appuient sur un socle de certifications qui facilitent la conformité, comme le mentionne la page francophone sur la sécurité des données d’OpenAI : SOC 2 Type 2, CSA STAR, ISO/IEC 27001, 27017, 27018, 27701. Pour les entreprises soumises au RGPD, ces certifications ne sont pas suffisantes en elles-mêmes — elles constituent des éléments de preuve que les mesures techniques et organisationnelles appropriées sont en place (article 32 du RGPD).
Les exigences de la CNIL
La CNIL a publié en février 2025 de nouvelles recommandations sur l’IA et le RGPD, précisant que les entreprises déployant un système d’IA générative doivent notamment informer les personnes concernées et réaliser une analyse d’impact relative à la protection des données (AIPD) dans les cas à risque.
« Il ne faut jamais partager d'informations confidentielles telles que des données personnelles lors de l'utilisation d'un service grand public. »
L’AI Act en entreprise
Le règlement européen sur l’intelligence artificielle (AI Act), entré en vigueur en août 2024, ajoute une couche d’obligations. En tant que système d’IA à usage général, ChatGPT est classé en « risque limité » pour la plupart des usages, ce qui impose des obligations de transparence : informer les utilisateurs qu’ils interagissent avec une IA.
Mais si votre entreprise déploie ChatGPT dans un contexte à haut risque — recrutement, notation de crédit, santé, justice — les obligations deviennent beaucoup plus lourdes : documentation technique, analyse d’impact IA, surveillance humaine, traçabilité des décisions. Le choix de l’offre impacte directement votre capacité à y répondre :
| Obligation AI Act | Free / Plus | Business | Enterprise |
|---|---|---|---|
| Transparence (informer les utilisateurs) | Responsabilité du déployeur | Idem | Idem |
| Logs d'audit et traçabilité | ❌ | Limité | ✅ API Compliance |
| Analyse d'impact IA | Impossible | Partielle | ✅ Complet |
| Surveillance humaine | Aucun outil | Basique | ✅ Avancé |
Azure OpenAI : la troisième voie
Pour les entreprises qui veulent la puissance de GPT avec un cadre de conformité européen plus robuste, Microsoft Azure OpenAI Service constitue une alternative. L’accès aux modèles GPT-4 et GPT-5 passe alors par l’infrastructure Azure, avec des garanties contractuelles renforcées :
Cette option est généralement plus coûteuse (facturation à l’usage API) et nécessite des compétences techniques pour l’intégration, mais elle offre un niveau de maîtrise que ni ChatGPT Business ni Enterprise ne peuvent égaler, puisque l’infrastructure reste sous le contrôle de Microsoft Azure et non d’OpenAI directement.
Alternatives souveraines
D'autres solutions existent pour les entreprises françaises soucieuses de souveraineté, notamment Mistral AI (modèles hébergés en France) ou des solutions on-premise basées sur des modèles open source.
Votre plan d’action
Ce qu’il faut retenir
Free, Plus et Pro sont incompatibles avec un usage professionnel impliquant des données personnelles ou confidentielles. Pas de DPA, entraînement par défaut, aucun contrôle admin.
Pas d'entraînement sur les données, DPA disponible, SSO SAML. Mais pas de résidence des données ni d'EKM.
Résidence européenne, clés de chiffrement gérées par le client, rétention configurable, API d'audit.
Données dans l'infrastructure Microsoft Azure en Europe. Conformité RGPD et HDS possibles.
Il faut en faire la demande explicite, y compris sur les offres Business et Enterprise.
Documentation, transparence et analyse d'impact que seules les offres professionnelles permettent de satisfaire.