ChatGPT en entreprise et RGPD : ce qu'il faut vérifier avant de signer
Dans beaucoup d'entreprises françaises, ChatGPT est arrivé avant la décision de l'utiliser : des comptes ouverts avec une adresse professionnelle, parfois un abonnement payé sur une note de frais, et une direction qui découvre l'usage après coup. La CNIL n'interdit pas cette situation par principe. Dans ses questions-réponses de juillet 2024, elle admet qu'un service grand public puisse être envisagé pour des usages non confidentiels, avec des adresses professionnelles dédiées et en désactivant la réutilisation des données par le fournisseur. Dès que des données de clients ou de collaborateurs entrent dans les prompts, il faut en revanche un cadre contractuel, et c'est ce que proposent ChatGPT Business et ChatGPT Enterprise, avec des différences qui comptent pour le RGPD.
Business ou Enterprise : ce qui change pour la conformité
Business est l'offre en libre-service, pour des équipes de 2 à 200 personnes selon la page de tarifs d'OpenAI. Enterprise passe par le service commercial. Le tableau comparatif publié par OpenAI, consulté le 12/10/2026, sépare les deux sur plusieurs points qui intéressent directement un DPO ou un RSSI.
| Point | ChatGPT Business | ChatGPT Enterprise |
|---|---|---|
| Entraînement sur les contenus | non par défaut | non par défaut |
| Résidence des données (US, EU, UK, JP et autres) | « No » dans le tableau des tarifs ; l'aide d'OpenAI annonce un déploiement progressif | oui ; région Europe = EEE et Suisse, pour les nouveaux clients |
| Résidence de l'inférence | non | pour les clients Enterprise éligibles ayant activé la résidence des données |
| Plateforme de journaux de l'API pour la conformité | non | oui |
| Certifications ISO 27001, 27017, 27018 et 27701 | non | oui |
| SOC 2 Type II | oui | oui |
| SCIM, liste d'adresses IP autorisées | non | oui |
| DPA | intégré par référence au Services Agreement ; formulaire de signature proposé | idem |
Pour un usage avec des données personnelles en volume, l'écart le plus lourd porte sur la résidence des données et sur les certifications, qui figurent toutes deux du côté Enterprise.
La résidence des données, décrite de deux façons
Sur ce point, les pages d'OpenAI ne disent pas la même chose, et il vaut mieux le savoir avant de rédiger le registre. Le tableau des tarifs indique « No » pour la résidence des données en Business. Un article de l'aide d'OpenAI explique pourtant que la résidence des données pour ChatGPT Business « is rolling out gradually and is not yet available to all customers », et que la région se choisit au moment de la souscription. Le même article précise deux limites. Les journaux de surveillance des abus restent stockés aux États-Unis quelle que soit la région choisie, et si cette région n'est pas les États-Unis, « a copy of every prompt and response is also stored in the United States for a limited time ». La résidence Business ne couvre pas non plus le lieu où les réponses sont calculées.
En Enterprise, la page de référence dit que les nouveaux clients éligibles peuvent faire stocker leurs contenus au repos dans la région choisie, dont « Europe (EEA + Switzerland) », et qu'ils peuvent y ajouter la résidence de l'inférence. OpenAI ajoute que le traitement hors GPU peut avoir lieu ailleurs et que l'authentification, le routage et les statistiques peuvent sortir de la région. Un client Enterprise plus ancien doit donc vérifier ce que couvre son propre contrat plutôt que de supposer que la région européenne s'applique.
Le contrat, l'entraînement et ce que voient les administrateurs
Le Services Agreement en vigueur depuis le 1er janvier 2026 intègre par référence l'accord de traitement des données (DPA) dès que le client traite des données personnelles, et OpenAI propose en plus un formulaire pour signer ce DPA pour Business, Enterprise et l'API. Les transferts hors de l'EEE reposent, selon le DPA, sur des clauses contractuelles types ou une décision d'adéquation.
Côté entraînement, OpenAI écrit qu'il n'utilise pas par défaut les données de ChatGPT Business et Enterprise pour entraîner ses modèles. L'exception est le partage volontaire : d'après sa page sur la confidentialité des entreprises, OpenAI peut utiliser les données qu'un client a « explicitement accepté de partager », par exemple « dans le cadre de nos fonctionnalités de commentaires ». Pour les comptes individuels, l'aide d'OpenAI précise que noter une réponse avec le pouce levé ou baissé peut faire servir toute la conversation à l'entraînement. La CNIL recommande justement, dans sa FAQ, de s'opposer à la réutilisation des données d'usage par le fournisseur, ce qui conduit à traiter ce bouton dans la charte d'utilisation.
La question des administrateurs est moins souvent posée. Pour Business, la page de confidentialité d'OpenAI dit que les administrateurs de l'espace de travail « peuvent consulter, accéder, exporter et supprimer les conversations des utilisateurs finaux ». En Enterprise, ils ont accès à un journal d'audit des conversations par l'API Enterprise Compliance. Les conversations supprimées disparaissent des systèmes d'OpenAI sous 30 jours, sauf obligation légale de conservation.
Le CSE avant le premier compte
L'article L2312-8 du Code du travail impose, dans les entreprises d'au moins 50 salariés, d'informer et de consulter le CSE sur l'introduction de nouvelles technologies. Les tribunaux s'en servent pour l'IA depuis 2025 : selon le commentaire de CMS Francis Lefebvre, le tribunal judiciaire de Nanterre a jugé en février 2025 que des outils restés des mois en phase pilote valaient première mise en œuvre et appelaient la consultation, celui de Créteil a suspendu en juillet 2025 des outils d'IA générative dans la presse, et à Paris, en septembre 2025, la consultation a été exigée pour une plateforme d'IA générative ouverte à tous les salariés d'un groupe audiovisuel.
Il existe un second texte, moins cité dans ce contexte. L'article L2312-38 prévoit que le CSE est informé et consulté « préalablement à la décision de mise en œuvre dans l'entreprise » de moyens ou de techniques permettant un contrôle de l'activité des salariés. Notre lecture, qui n'engage que nous, est qu'un espace ChatGPT où les administrateurs peuvent lire, exporter ou auditer les conversations relève de cette question, et que le dossier remis au CSE gagne à décrire précisément qui peut accéder à quoi.
Le dossier que nous préparerions
Avant d'ouvrir des comptes, nous rassemblerions un dossier assez court pour que le DPO, le RSSI et le CSE puissent le lire en entier, en suivant les recommandations de la CNIL de juillet 2024.
| Pièce | Ce qu'elle doit contenir |
|---|---|
| Liste des usages | les cas autorisés, les cas interdits (données de santé, secrets d'affaires, décisions individuelles), qui décide des exceptions |
| Choix de l'offre | Business ou Enterprise, région de stockage choisie, ce qui reste aux États-Unis d'après OpenAI |
| Contrat | DPA signé, liste des sous-traitants consultée et datée |
| Réglages | boutons de retour d'expérience, applications connectées, durée de conservation fixée par les administrateurs |
| Accès administrateur | qui peut lire ou exporter les conversations, et dans quel cas |
| AIPD | menée si les prompts contiennent des données personnelles en volume, comme le suggère la CNIL en attendant ses recommandations complémentaires |
| Information du CSE | durée du pilote, population concernée, réponses aux deux articles du Code du travail |
Quand ChatGPT ne suffit pas pour tous les dossiers
ChatGPT Enterprise convient à beaucoup d'organisations, surtout quand l'objectif est de donner à tous un outil récent avec une région de stockage européenne. Il devient moins adapté quand une partie des dossiers ne doit aller chez aucun fournisseur de modèle extérieur, ou quand vous voulez pouvoir changer de modèle selon le projet.
ChatGPT Business est un bon point de départ. La vraie question vient plus tard : qui décide quel modèle voit quelles données, vous ou votre fournisseur ? Sascha Schumann, CEO Myra Security
C'est la logique de Myra AI Workspace, que nous éditons. Un projet réglé sur « Local only » ne travaille qu'avec les modèles hébergés par Myra sur sa propre infrastructure dans l'UE, attestée BSI C5 Type 2 au niveau de l'infrastructure, et le serveur y bloque modèles cloud, recherche web et outils externes. Sur les offres payantes en libre-service, ces modèles demandent le module complémentaire « EU-Gov ». Pour les autres projets, des modèles externes restent possibles ; les données personnelles peuvent alors être remplacées par des marqueurs avant l'envoi, dans toutes les offres, ce qui reste une pseudonymisation. Myra n'utilise pas les données de ses clients pour entraîner des modèles d'IA, et le routage limité à l'UE pour les modèles externes est désactivé tant qu'un administrateur ne l'active pas.
Pour être complet sur le CSE, le journal des requêtes de Myra conserve aussi par défaut le prompt et la réponse, et Myra peut désactiver cette journalisation pour un client qui le demande. L'interface n'existe qu'en allemand et en anglais, sans version française.
Voir aussi notre guide sur Copilot en entreprise.
Questions fréquentes
ChatGPT Business entraîne-t-il ses modèles avec nos données ?
Pas par défaut. OpenAI écrit qu'il n'utilise pas les données de ChatGPT Business et Enterprise, requêtes et réponses comprises, pour entraîner ou améliorer ses modèles. La page d'OpenAI sur la confidentialité des entreprises prévoit une exception : si vous avez explicitement accepté de partager des données, par exemple via les fonctions de commentaires, OpenAI peut s'en servir pour améliorer ses services.
Quel contrat encadre les données personnelles dans ChatGPT Business ?
Le DPA d'OpenAI, que le Services Agreement en vigueur depuis le 1er janvier 2026 intègre par référence dès que le client traite des données personnelles. Les transferts hors de l'EEE reposent sur des clauses contractuelles types ou une décision d'adéquation.
Le CSE doit-il être consulté avant de déployer ChatGPT ?
Dans une entreprise d'au moins 50 salariés, la question se pose au titre de l'article L2312-8 du Code du travail, qui vise l'introduction de nouvelles technologies, et des tribunaux ont déjà exigé cette consultation pour des outils d'IA, à Créteil en suspendant leur utilisation. Si les administrateurs peuvent consulter les conversations des salariés, l'article L2312-38 sur les moyens de contrôle de l'activité mérite aussi d'être examiné avec votre conseil.
Sources
- OpenAI, Tarifs Business (tableau comparatif), consulté le 12/10/2026
- OpenAI, Confidentialité des entreprises, consulté le 12/10/2026
- OpenAI, Protection, sécurité et conformité des données professionnelles, consulté le 12/10/2026
- OpenAI Help Center, Data residency and inference residency for ChatGPT, consulté le 12/10/2026
- OpenAI Help Center, Where your ChatGPT Business content is stored, consulté le 12/10/2026
- OpenAI Help Center, ChatGPT Business overview, consulté le 12/10/2026
- OpenAI Help Center, Data controls in ChatGPT, consulté le 12/10/2026
- OpenAI, Services Agreement (en vigueur au 1er janvier 2026), consulté le 12/10/2026
- OpenAI, Data Processing Addendum, consulté le 12/10/2026
- CNIL, Les questions-réponses sur l'utilisation d'un système d'IA générative (18/07/2024), consulté le 12/10/2026
- CNIL, Comment déployer une IA générative ? (18/07/2024), consulté le 12/10/2026
- Code du travail, article L2312-8, Légifrance, consulté le 12/10/2026
- Code du travail, article L2312-38, Légifrance, consulté le 12/10/2026
- CMS Francis Lefebvre, Intelligence artificielle : le forçage de la consultation du CSE, consulté le 12/10/2026