Ce qu'il faut retenir en bref. La question n'est pas si ChatGPT est sûr, mais quelle version, pour quelle donnée. Les offres gratuites entraînent leurs modèles par défaut sur vos conversations ; les offres professionnelles avec contrat de traitement des données ne le font pas. La CNIL recommande depuis juillet 2024 de définir des usages autorisés et interdits avant tout déploiement. Cet article détaille cette distinction pour ChatGPT, Claude et Gemini, et une typologie des données à ne jamais saisir.
Qu'est-ce qui change entre ChatGPT gratuit, Plus et les offres Team/Enterprise ?
La différence ne se joue pas sur la qualité des réponses, mais sur ce qui arrive à vos données une fois envoyées. Sur les offres grand public (ChatGPT Free, Plus, Pro), selon la politique d'utilisation des données d'OpenAI (recoupée à partir de plusieurs sources publiques en juillet 2026), les conversations peuvent servir à l'entraînement par défaut, sauf si l'utilisateur désactive cette option dans ses paramètres. Sur les offres à destination des équipes et des entreprises (ChatGPT Team, ChatGPT Enterprise, l'API), OpenAI s'engage contractuellement à ne pas utiliser les données, requêtes ni fichiers pour entraîner ses modèles, par défaut et sans manipulation nécessaire de l'utilisateur.
Le même schéma se retrouve chez les deux autres éditeurs les plus utilisés en entreprise (politiques éditeurs recoupées à partir de sources publiques en juillet 2026, à revérifier à leur source avant toute décision, ces conditions évoluant régulièrement) :
| Outil | Offre grand public | Offre professionnelle |
|---|---|---|
| ChatGPT (OpenAI) | Free, Plus, Pro : entraînement par défaut, désactivable dans les paramètres | Team, Enterprise, API : pas d'entraînement par défaut, contrat de traitement des données |
| Claude (Anthropic) | Free, Pro : entraînement par défaut sauf opposition de l'utilisateur | Claude for Work (Team/Enterprise), API : exclus par défaut des évolutions d'entraînement, contrat dédié |
| Gemini (Google) | Application Gemini grand public : les échanges peuvent être exploités pour améliorer les services | Gemini pour Google Workspace (Business/Enterprise) : contenus non utilisés pour entraîner les modèles, ne sortent pas de l'organisation |
Concrètement, une entreprise qui laisse ses salariés utiliser des comptes personnels gratuits perd toute maîtrise sur cette bascule : rien n'empêche un collaborateur pressé de coller une donnée sensible dans un compte qui, par défaut, entraîne le modèle. C'est précisément le point que la CNIL demande aux entreprises de traiter en amont, pas au cas par cas.
Quelles informations ne faut-il jamais mettre dans un prompt ?
Toutes les données ne présentent pas le même niveau de risque. Certaines peuvent être saisies sans précaution particulière sur une offre professionnelle encadrée ; d'autres ne devraient jamais l'être, quelle que soit la version utilisée, sans un travail d'anonymisation préalable.
| Type de donnée | Exemple concret | Niveau de risque |
|---|---|---|
| Données personnelles identifiantes | Nom, email, numéro de téléphone d'un client ou d'un salarié dans un prompt collé tel quel | Élevé sur offre grand public, encadré sur offre professionnelle avec DPA |
| Secret des affaires | Stratégie tarifaire non publique, projet de rachat, données de R&D | Élevé quelle que soit l'offre : la fuite ne dépend pas que de l'entraînement du modèle |
| Données RH | Évaluation de performance, motif d'un arrêt maladie, dossier disciplinaire | Élevé, catégorie particulièrement sensible pour la CNIL |
| Données de santé | Compte rendu médical, dossier patient, données couvertes par le secret médical | Très élevé, quasiment jamais admissible sans anonymisation totale et cadre spécifique |
| Données client sous contrat de confidentialité | Extrait d'un contrat NDA, données transmises par un client sous clause de confidentialité | Élevé : la clause contractuelle s'applique indépendamment du RGPD |
La règle pratique la plus simple à retenir : si vous n'auriez pas le droit d'envoyer cette information par email à une personne extérieure à l'entreprise sans autorisation, vous ne devriez pas non plus la coller dans un prompt sur une offre grand public non encadrée. Cette règle prolonge celle déjà posée dans notre guide comment écrire un bon prompt : la clarté d'un prompt ne dispense jamais de vérifier ce qu'il contient.
Que dit la CNIL sur l'utilisation de ChatGPT en entreprise ?
La Commission nationale de l'informatique et des libertés (CNIL) a publié le 18 juillet 2024 des précisions concrètes pour le déploiement responsable de l'IA générative en entreprise. Elle recommande de partir d'un besoin réel plutôt que de déployer un outil sans usage défini, de fixer précisément les usages autorisés et interdits (en particulier la restriction de la saisie de données personnelles), de rappeler les limites de fiabilité de ces systèmes (des réponses plausibles mais parfois inexactes), de privilégier des solutions robustes et sécurisées plutôt que des outils grand public quand l'usage le justifie, de former les utilisateurs aux usages permis comme aux risques, et de mettre en place une gouvernance associant le délégué à la protection des données, la sécurité informatique et les métiers concernés dès le départ. La CNIL a depuis continué de publier des recommandations complémentaires sur l'IA générative et l'IA agentique, dans la continuité de cette position de juillet 2024 : ce n'est ni interdit, ni libre, c'est un traitement qui se prépare.
L'Agence nationale de la sécurité des systèmes d'information (ANSSI) complète cette approche sous l'angle technique : son guide de recommandations de sécurité pour un système d'IA générative, publié le 29 avril 2024, invite notamment à évaluer le niveau de confiance des outils et des sources de données avant de leur confier des informations, un principe directement transposable au choix d'une offre grand public ou professionnelle avant d'y saisir une donnée d'entreprise.
Comment anonymiser une donnée avant de la coller dans un prompt ?
L'anonymisation n'exige pas un logiciel spécialisé pour la majorité des usages du quotidien. Quelques réflexes suffisent avant de coller un texte dans un prompt :
- Remplacer les noms propres par des libellés génériques ("le client A", "le salarié concerné") plutôt que par le nom réel.
- Retirer les identifiants directs : email, téléphone, numéro de sécurité sociale, adresse précise.
- Reformuler les montants sensibles en ordre de grandeur ("environ 50 000 euros") plutôt qu'en chiffre exact traçable à un dossier précis, quand la précision n'est pas indispensable à la tâche demandée.
- Vérifier, avant d'envoyer, qu'aucune information ne permettrait de réidentifier la personne ou l'entreprise concernée par recoupement (fonction, date, lieu très spécifiques combinés).
- Pour un usage répété sur des données sensibles, préférer un outil d'anonymisation automatique ou une offre professionnelle avec contrat de traitement des données plutôt qu'une anonymisation manuelle répétée, qui finit toujours par comporter des oublis.
Ce travail prend quelques secondes de plus que le copier-coller réflexe, mais il transforme une donnée à risque en information exploitable sans exposition inutile.
Le même risque existe-t-il avec Claude et Gemini ?
Oui, dans les mêmes proportions et avec la même logique que celle déjà détaillée dans notre comparatif ChatGPT, Claude et Gemini au travail. Ce n'est pas un problème propre à ChatGPT : c'est un problème propre à la catégorie "IA générative grand public gratuite ou peu encadrée", quel que soit l'éditeur. Anthropic applique le même principe que OpenAI sur Claude : les offres Free et Pro peuvent entraîner les modèles sur les conversations sauf opposition de l'utilisateur, tandis que Claude for Work (les offres Team et Enterprise) et l'usage via API en sont exclus par défaut, avec un contrat de traitement des données dédié. Google applique une distinction équivalente sur Gemini : l'application grand public peut exploiter les échanges pour améliorer ses services, alors que Gemini pour Google Workspace (Business et Enterprise) garde les contenus dans l'organisation, sans réutilisation pour l'entraînement des modèles.
Autrement dit, changer d'outil sans changer d'offre ne résout rien : le critère qui compte est "grand public gratuite" versus "professionnelle avec contrat de traitement des données", pas la marque affichée sur l'interface.
Comment mettre en place une charte interne d'usage de l'IA en entreprise ?
Une charte n'a pas besoin d'être un document juridique de plusieurs pages pour être utile : elle doit surtout être lue et appliquée. Les éléments qui font la différence entre une charte théorique et une charte réellement suivie :
- Une liste courte et nommée des outils autorisés dans l'entreprise, avec l'offre précise (pas "ChatGPT", mais "ChatGPT Enterprise via le compte entreprise").
- Une liste tout aussi courte des catégories de données interdites en saisie directe (voir le tableau plus haut), formulée en exemples concrets plutôt qu'en jargon juridique.
- Un point de contact unique en cas de doute (référent RGPD, DPO, ou responsable désigné), pour éviter que chaque salarié improvise sa propre règle.
- Une session de sensibilisation courte plutôt qu'un document envoyé par email et jamais lu : la CNIL insiste sur la formation des utilisateurs comme sur la seule définition des règles.
- Une révision périodique, l'offre d'un éditeur et ses garanties pouvant évoluer d'une année sur l'autre.
Cette charte reste incomplète si elle n'est jamais mise en pratique dans les usages réels : c'est là que la formation des équipes fait la différence entre une règle affichée et un réflexe acquis.
Après avoir sécurisé les usages, comment aller plus loin dans l'IA au travail ?
Savoir quelles données on peut saisir, et où, règle la question de la conformité. Cela ne règle pas la question de la compétence : utiliser l'IA générative efficacement et en toute sécurité, jour après jour, sur ses propres tâches, demande une pratique guidée plutôt qu'une lecture unique. C'est la différence entre connaître la règle et savoir l'appliquer sur un cas réel de son métier, avec le bon niveau de prudence sans paralysie excessive.
Learn Room, organisme de formation certifié Qualiopi au titre des actions de formation, propose des parcours construits autour de cas concrets, comme l'automatisation des tâches avec les assistants virtuels IA ou les bases de l'IA pour un public sans bagage technique, incluant la question des usages responsables des outils d'IA générative, plutôt que sur des exemples génériques. Plus de 92 % des alumnis interrogés déclarent utiliser l'IA dans leur quotidien professionnel après leur formation.
Si vous êtes salarié et cherchez à sécuriser et approfondir votre usage de l'IA dans votre métier actuel, ou si vous envisagez une reconversion plus large vers des métiers liés à l'intelligence artificielle, ces formations sont finançables jusqu'à 100 % selon votre situation et votre éligibilité, via plusieurs dispositifs à faire valoir auprès du financeur concerné :
- Le CPF (Compte personnel de formation), pour les formations éligibles adossées à une certification active. Reste à charge : 150 euros en 2026, sauf exemptions (demandeurs d'emploi inscrits à France Travail, abondement employeur, prise en charge OPCO).
- L'OPCO, si votre entreprise finance la formation, sous réserve d'être à jour de cotisation.
- France Travail, pour les demandeurs d'emploi, via l'Aide individuelle à la formation (AIF), sous réserve d'accord du conseiller et de cohérence avec le projet professionnel.
Le point de départ le plus simple est un diagnostic gratuit de 2 minutes qui identifie votre niveau d'exposition à l'IA dans votre métier actuel et le parcours le plus adapté. Vous pouvez aussi consulter directement le catalogue de formations ou vérifier votre financement mobilisable.
Ce qu'il faut retenir
- La réponse à "peut-on mettre des données d'entreprise dans ChatGPT" dépend de la version utilisée et du type de donnée, jamais d'une règle unique.
- Les offres grand public gratuites (ChatGPT, Claude, Gemini) peuvent entraîner leurs modèles par défaut sur vos conversations, sauf désactivation ; les offres professionnelles avec contrat de traitement des données ne le font pas par défaut.
- Certaines données (secret des affaires, données de santé, données RH sensibles, données sous clause de confidentialité) ne devraient jamais être saisies sans anonymisation, quelle que soit l'offre.
- La CNIL recommande, depuis juillet 2024, de définir les usages autorisés et interdits avant tout déploiement, pas de laisser chaque salarié improviser sa propre règle.
- L'ANSSI recommande d'évaluer le niveau de confiance d'un outil et de ses sources de données avant de lui confier des informations sensibles.
- Le même raisonnement s'applique à Claude et à Gemini : le critère qui compte est "grand public gratuite" versus "professionnelle encadrée par contrat", pas la marque de l'outil.
- Une charte interne courte, réellement lue et suivie d'une formation, protège davantage qu'un long document juridique jamais consulté.
- Savoir ce qu'on peut saisir ne remplace pas une formation pratique : une formation courte, finançable jusqu'à 100 % selon éligibilité (CPF, OPCO, France Travail), permet d'appliquer ces règles sur ses propres cas métier.