IA et sécurité : que dit la loi ?
Avant tout, il faut savoir que le traitement des données sur ChatGPT est encadré par plusieurs réglementations, parmi lesquelles le Règlement général sur la protection des données (RGPD), ainsi que le Règlement sur l’intelligence artificielle (AI Act).
Le Règlement général sur la protection des données (RGPD)
Entré en vigueur en 2018, le RGPD est une réglementation européenne visant à encadrer le traitement des données dans l’ensemble de l’UE. Il s’adresse à toutes les entreprises et organisations publiques qui collectent ou traitent les informations de personnes situées au sein de l’UE.
Les systèmes d’intelligence artificielle générative doivent, par conséquent, suivre les principes de transparence, de sécurité et de respect des droits des utilisateurs prévus par ce texte de loi : conservation des données limitée dans le temps ; finalité de traitement déterminée, légitime et explicite ; minimisation de la data ; obligation d'information…
Bien que les données partagées avec ChatGPT puissent être hébergées ou traitées aux États-Unis, où est basé le siège d’OpenAI, elles continuent d’être soumises aux obligations du RGPD. C’est OpenAI Ireland Limited, la filiale européenne de la société américaine, qui est chargée d’assurer la conformité avec le RGPD pour le traitement des données des résidents de l’Espace économique européen (EEE) et de la Suisse.
Pour renforcer encore plus la sécurité des transferts internationaux d’informations personnelles hors de l’UE, OpenAI s’appuie également sur des dispositifs juridiques reconnus, tels que les clauses contractuelles types (SCC - Standard Contractual Clause).
→ À savoir : les autorités judiciaires américaines peuvent, conformément au droit américain, accéder aux données hébergées aux USA dans le cadre d’une enquête ou d’une procédure en cours, telles qu’une suspicion de fraude, une alerte de sécurité ou encore une action en justice.
Le Règlement sur l’intelligence artificielle IA Act
Adopté par l’Union européenne fin 2024, l’AI Act est le premier règlement spécifique à l’intelligence artificielle. Il impose le respect de plusieurs obligations, qui diffèrent en fonction du niveau de risque du système concerné (minimal, limité, élevé, inacceptable).
Pour les outils d’IA à usage général tels que ChatGPT, il existe plusieurs exigences en matière de transparence et de documentation technique. Les utilisateurs doivent par exemple être clairement informés qu’ils interagissent avec une IA. De plus, les développeurs doivent fournir des informations relatives au fonctionnement, aux usages possibles et aux limites du modèle. Enfin, des garde-fous doivent être mis en place pour réduire les risques d’utilisation abusive ou détournée de ces technologies (influence des comportements, manipulation des individus, désinformation,…).
Comment sont traitées les données que je partage avec ChatGPT ?
Les modalités de traitement des données diffèrent en fonction de la version utilisée. Sur la version individuelle, vos conversations avec ChatGPT peuvent, par défaut, être utilisées par OpenAI à des fins d’entraînement et d’amélioration des modèles d’IA, mais aussi pour surveiller les abus.
En revanche, sur ChatGPT Teams et ChatGPT Enterprise, les informations transmises ne sont jamais utilisées pour entraîner les modèles. Ces modules respectent en effet la conformité renforcée SOC-2, une norme de référence pour la gestion de la sécurité et de la confidentialité des données.
Mes données sont-elles stockées sur ChatGPT ?
Oui, ChatGPT stocke certaines de vos données sur des serveurs externes sécurisés situés aux États-Unis. Cela inclut les prompts (ou invites), qui sont des instructions que vous envoyez à l’IA ; les réponses générées et certains éléments techniques (tels que le type de navigateur utilisé et l'adresse IP), ainsi que les informations de connexion (nom, adresse e-mail…). Cela dépend toutefois de la configuration de vos paramètres et du type de compte que vous utilisez.
Partager mes données avec ChatGPT : quels sont les risques ?
OpenAI a déployé plusieurs mesures strictes pour protéger les données de ses utilisateurs contre les vulnérabilités de sécurité :
- Les données sont chiffrées en transit (via un protocole HTTPS visant à empêcher l’interception des échanges), et au repos, quand elles sont stockées sur les serveurs ;
- Des protocoles de contrôle stricts sont appliqués pour limiter l’accès aux données exclusivement aux personnes autorisées ;
- Des audits de sécurité sont menés tous les ans afin d’identifier et de corriger les failles de sécurité éventuelles ;
- Des tests de pénétration (pentests) sont menés régulièrement par des experts indépendants pour mesurer la robustesse des systèmes informatiques ;
Par ailleurs, bien que certains contenus puissent être analysés par des humains dans le but d’entraîner de futurs modèles linguistiques, cela est réalisé dans un cadre sécurisé et limité. Vos données ne sont ni vendues, ni utilisées à des fins marketing, ni partagées avec des tiers sans votre consentement.
Malgré les efforts fournis par OpenAI pour renforcer la sécurité de ses systèmes, ChatGPT est, comme toute technologie en ligne, exposé à des risques réels de différentes natures :
- Fuite ou perte de données ;
- Cyberattaque ;
- Bogue informatique pouvant compromettre l’intégrité de la data ;
- Interception malveillante des communications ;
- Usurpation d’identité ou accès non autorisé aux comptes utilisateurs
- Utilisation abusive ou détournée à des fins frauduleuses ou illégales
Dans de tels cas de figure, les conséquences peuvent alors être très préjudiciables : vol de données financières ; fraude ; phishing ; tentative de manipulation ; piratage informatique ; fake news ; atteinte à la réputation ; procédures judiciaires ; sanctions réglementaires ; perte de confiance des parties prenantes…
Rappelons aussi que ChatGPT fonctionne sur un modèle de langage basé sur le machine learning (apprentissage automatique) et plus spécifiquement le deep learning (apprentissage profond). Au moment de générer des réponses, il puise ainsi au sein de milliards de contenus en ligne qui constituent sa base de données d’entraînement (ou base de connaissances). Si vous publiez du contenu sur internet accessible publiquement (par exemple, sur votre site web ou sur un portail ouvert au public), celui-ci peut donc être intégré aux bases de connaissances de ChatGPT et d’autres outils d’intelligence artificielle. Ce comportement est similaire à celui des algorithmes de Google et d’autres moteurs de recherche qui scannent le web en permanence, classent l’information disponible en ligne et l’utilisent pour répondre à vos requêtes.
En outre, il est important de rappeler que ChatGPT n’est pas un espace de stockage sécurisé destiné à protéger les données sensibles, mais un agent conversationnel. OpenAI recommande d’ailleurs aux utilisateurs de ne pas partager d’informations personnelles identifiables ou confidentielles lors de leurs échanges avec l’IA (Source : Politique d’utilisation d’OpenAI).
→ Bon à savoir : si vous souhaitez prendre connaissance des informations vous concernant détenues par OpenAI, vous pouvez, via le portail de confidentialité mis en place par la société, demander une copie de vos données. À tout moment, vous pouvez également supprimer votre compte et toutes les informations qui y sont liées. Vous êtes aussi libre d’exiger la suppression de l’ensemble de vos informations personnelles des résultats du modèle ChatGPT, ou encore l’arrêt d’exploitation de vos données à des fins d’entraînement de ChatGPT.
IA et sécurité : les bonnes pratiques à connaître pour protéger ses données sur ChatGPT
Voici quelques exemples de bonnes pratiques à adopter pour maximiser la protection de vos données sur ChatGPT :
Ne divulguez pas d’informations sensibles
Même si les données sont chiffrées sur ChatGPT, elles ne sont pas anonymisées à 100 %. Pour plus de prudence, il est donc vivement conseillé de ne pas partager d’informations sensibles, telles que :
- Des données personnelles identifiables (nom de famille, adresse postale, numéro de sécurité sociale, …) ;
- Des informations confidentielles (identifiants de connexion, mots de passe, documents juridiques privés, base de données clients, illustrations ou photographies originales…) ;
- Des contenus soumis au secret professionnel (diagnostic médical, données RH, échanges soumis à un accord de confidentialité…) ;
- Des informations protégées par la propriété intellectuelle (maquette de site, code source d’un logiciel ou d’une application…) ;
- Des données financières (numéros de carte bancaire, relevés de compte, RIB…) ;
- Des informations médicales ;
- Toute autre donnée que vous ne souhaitez pas voir utilisée dans l’entraînement d’un modèle.
De même, évitez de partager des documents confidentiels ou sensibles, tels que des rapports financiers, des contrats, des actes notariés…
Anonymisez vos requêtes
Pensez également à anonymiser les informations partagées et les requêtes formulées pour qu’elles ne soient pas identifiables. Vous pouvez, pour cela, utiliser des formulations génériques, des alias et des noms de société fictifs, par exemple.
Utilisez ChatGPT Teams ou ChatGPT Enterprise
Si vous utilisez l’intelligence artificielle générative dans un cadre professionnel, ou que vous souhaitez partager des données sensibles en toute sécurité, nous vous recommandons fortement d’utiliser ChatGPT Teams ou ChatGPT Enterprise. Comme évoqué précédemment, ces versions sont conformes aux normes SOC-2, qui garantissent un haut niveau de sécurité, de confidentialité et de gestion des données. Ces versions sont spécifiquement conçues pour qu’aucune donnée utilisateur ne soit utilisée dans le cadre de l’entraînement de l’IA. Cela est particulièrement important si vous exercez dans un secteur réglementé (notaire, avocat, médecin, expert-comptable…) ou que vous manipulez des informations délicates.
De plus, ces abonnements offrent des fonctionnalités avancées, adaptées aux besoins des entreprises : espace de travail partagé ; gestion des membres, des rôles et des accès ; collaboration sécurisée…
Désactivez les options d’amélioration
Sur la version individuelle, rendez-vous dans > Paramètres > Gestion des données, puis désactivez “Améliorer le modèle pour tous” .
Par ce biais, vous refusez que vos conversations avec ChatGPT soient utilisées pour améliorer l’IA.
Activez la mémoire temporaire
Par défaut, ChatGPT utilise une mémoire temporaire : les conversations sont conservées pendant la session en cours, puis supprimées à la fin de celle-ci. Le dernier modèle, ChatGPT-4o, propose, depuis peu, une nouvelle fonctionnalité : la mémoire persistante. Avec ce paramètre, vous permettez au système de conserver certaines de vos données afin de personnaliser les futures interactions et d’affiner ses réponses.
Pour le désactiver, rendez-vous dans Paramètres > Personnalisation > Mémoire. Décochez ensuite les options “Faire référence aux éléments mémorisés” et “Faire référence à l’historique des chats”.
De cette manière, vous interdisez à l’outil d’enregistrer et d’utiliser les éléments mémorisés pour vous répondre.
Optez pour le chat éphémère
OpenAI a récemment mis en place une nouvelle fonctionnalité : les chats éphémères. Avec cette option, les conversations ne sont pas enregistrées dans l’historique de votre compte et sont automatiquement supprimées du système au bout de 30 jours. Elles ne sont pas non plus utilisées pour l’entraînement des modèles d’IA.
Limitez l’utilisation de ChatGPT via des outils tiers
Il faut également savoir que certaines extensions, applications ou plugins non vérifiés et exploitant ChatGPT peuvent être moins sécurisés. Pour éviter tout risque, mieux vaut utiliser l’outil d’IA directement via le site officiel ou sur l’application mobile.
Sécurisez votre connexion internet
Par ailleurs, assurez-vous de disposer d’une connexion internet sécurisée lors de l'utilisation de solutions d’IA. Évitez par exemple de vous connecter à ChatGPT via des réseaux Wi-Fi publics. Pour renforcer la protection de vos informations et de votre vie privée en ligne, vous pouvez installer un VPN (Virtual Private Network, réseau privé virtuel) sur votre smartphone et ordinateur. Ce logiciel va non seulement chiffrer le trafic, mais aussi masquer votre adresse IP, ce qui réduit les risques d’interception de vos données sur des réseaux internet non sécurisés et préserve votre anonymat.
Sensibilisez vos collaborateurs aux enjeux de sécurité
Vous êtes une entreprise et souhaitez intégrer l’IA dans vos pratiques internes ? Pour garantir une manipulation sécurisée de ChatGPT, il est impératif de sensibiliser et de former vos équipes aux bons usages de l’IA, mais aussi de mettre en place une charte d’utilisation interne de l’intelligence artificielle, listant les règles à respecter et les usages prohibés.
Vous l’avez compris, la sécurité de vos données sur ChatGPT dépend avant tout de l’usage que vous en faites. Gardez toujours à l’esprit que tout ce que vous partagez avec l’IA peut être collecté et analysé. Malgré les précautions techniques et juridiques mises en place, utiliser l’IA avec discernement, recul et vigilance reste, à ce jour, le meilleur moyen de protéger ses informations sur ce puissant outil d’intelligence artificielle.
Vous souhaitez intégrer des outils d’IA générative dans votre entreprise de façon responsable, éthique et sécurisée ?
Découvrez les formations professionnelles en intelligence artificielle, en ligne ou en présentiel, proposées par Mister IA ! Plusieurs de nos modules de formation sont aujourd’hui éligibles au CPF (Compte professionnel de formation), en plus des financements via les OPCO, l’AGEFICE et le FSE+.
Grâce à ces dispositifs, beaucoup de nos apprenants bénéficient d’un remboursement intégral de leur formation !
* Source : Sam Altman interviewé par le directeur des conférences TED, Chris Anderson en avril 2025
.webp)
