ChatGPT gratuit au travail : ce que votre entreprise expose vraiment

Le brouillon de licenciement, le contrat client, le tableau de marges : si quelqu'un de votre équipe les a collés dans une IA gratuite, ils ne sont plus seulement chez vous. Ce n'est ni une théorie ni un scandale : c'est le fonctionnement documenté de ces services. Le problème, c'est que presque personne ne le sait au moment de coller.

Par défaut, vos échanges peuvent entraîner le modèle

Sur ChatGPT grand public, gratuit comme Plus, les conversations peuvent être utilisées pour améliorer les modèles, sauf si l'utilisateur désactive l'option prévue dans les réglages (Paramètres, puis Contrôle des données). Deux détails comptent : le refus vaut pour un compte, pas pour l'entreprise, et il ne s'applique pas rétroactivement à ce qui a déjà été envoyé. Dans les faits, presque personne n'a jamais ouvert ce réglage.

Supprimé ne veut pas dire effacé

Supprimer une conversation la retire de votre écran, pas nécessairement des systèmes. L'affaire qui l'a rendu concret : dans le procès qui l'oppose au New York Times, OpenAI s'est vu ordonner en mai 2025 par la justice américaine de conserver les conversations des utilisateurs grand public, y compris celles qu'ils avaient supprimées. La mesure a duré plusieurs mois ; les offres entreprise à rétention zéro en étaient exemptées. Retenez la structure : un tiers peut faire conserver ce que vous pensiez avoir effacé, et le niveau d'offre change votre exposition.

Le CLOUD Act, la partie que tout le monde découvre

Le CLOUD Act est une loi américaine de 2018 : elle permet aux autorités judiciaires des États-Unis, dans un cadre légal, d'exiger d'un fournisseur américain la remise de données qu'il détient, où que soient les serveurs. Le critère n'est pas le lieu de stockage mais qui détient la donnée. Héberger « en Europe » chez un fournisseur américain ne fait donc pas sortir vos données de ce périmètre. Ce n'est pas une affaire de personne au pouvoir : c'est une compétence judiciaire, permanente.

Gratuit veut dire sans contrat

Une offre grand public gratuite ne s'accompagne d'aucun accord de traitement des données (DPA) entre le fournisseur et votre entreprise. Or le RGPD vous laisse responsable des données personnelles que vos équipes y déposent. Les offres professionnelles (Business, Enterprise, API) inversent les défauts : pas d'entraînement sur vos données par défaut, et un cadre contractuel. C'est toute la différence entre un outil que vous subissez et un outil que vous déployez.

Les trois réflexes à installer cette semaine

1. Faire désactiver l'amélioration du modèle sur chaque compte utilisé au travail (réglage individuel, non rétroactif : autant le faire aujourd'hui).
2. Poser une règle écrite : aucune donnée client identifiable, aucun document confidentiel dans un outil grand public, gratuit ou payant.
3. Basculer les usages sérieux vers une offre professionnelle avec DPA, ou vers l'API : c'est la version qui se défend en cas de contrôle.

Le lien avec l'article 4 de l'AI Act

Tout ce qui précède est exactement ce que l'article 4 du règlement européen demande depuis février 2025 : un niveau suffisant de maîtrise de l'IA chez les personnes qui l'utilisent. Pas un certificat imposé, pas un format obligatoire : des mesures, et la capacité de les montrer. Savoir régler ses outils, savoir ce qu'on ne colle jamais, savoir quelle offre protège : c'est précisément le contenu d'une formation de littératie IA digne de ce nom.