Chaque question posée à un assistant conversationnel laisse une trace. Derrière la simplicité d’un échange avec ChatGPT, Claude, Gemini ou Le Chat de Mistral, les contenus saisis alimentent souvent l’amélioration des modèles. Pour un organisme, ce réflexe en apparence anodin peut transformer une conversation ordinaire en fuite de données personnelles ou d’informations internes sensibles. La CNIL a publié un guide détaillé qui explique, plateforme par plateforme, comment s’opposer à cette réutilisation.
Vos échanges alimentent l’entraînement des modèles
Par défaut, la plupart des services d’IA générative conservent l’historique des conversations et s’en servent pour perfectionner leurs modèles. Les informations saisies, qu’il s’agisse de noms, de coordonnées, de dossiers clients, d’éléments de santé ou de données économiques, peuvent alors être conservées, analysées, voire restituées ailleurs. Les pratiques varient fortement selon les éditeurs. Anthropic, avec Claude, ne réutilise pas les échanges pour l’entraînement lorsque l’option correspondante est décochée, quand d’autres activent la collecte par défaut. Le constat reste identique : sans action de l’utilisateur, la confidentialité n’est jamais acquise.
Ce que prévoit le RGPD
Réutiliser des données personnelles pour entraîner une IA constitue un traitement soumis au RGPD. Les éditeurs invoquent le plus souvent l’intérêt légitime prévu à l’article 6 du règlement. Cette base impose de respecter le droit d’opposition reconnu à l’article 21 : toute personne peut refuser que ses données servent à l’entraînement, pour des raisons tenant à sa situation particulière. Les articles 13 et 14 obligent par ailleurs les plateformes à informer clairement sur cette finalité. La CNIL, sans se prononcer sur la conformité de chaque procédé, rappelle que ce droit doit rester simple à exercer et accessible en quelques clics.
La sécurité des données confiées relève de l’article 32
Pour un responsable de traitement, laisser des salariés déverser des informations sensibles dans un outil grand public soulève une question directe de sécurité. L’article 32 du RGPD impose des mesures techniques et organisationnelles adaptées au risque. Recourir à des versions professionnelles offrant une garantie de non-réutilisation, encadrer les usages et sensibiliser les équipes en font partie. Si des données venaient à être exposées par l’intermédiaire d’un outil d’IA, les obligations de notification des articles 33 et 34 pourraient s’appliquer, avec information de la CNIL puis, selon la gravité, des personnes concernées.
Conseils pratiques
- Désactiver l’option d’amélioration des modèles dans les paramètres de chaque service utilisé : ChatGPT, Gemini, Copilot, Grok, Le Chat, Claude ou DeepSeek.
- Interdire la saisie de données personnelles ou confidentielles dans les versions gratuites et grand public.
- Privilégier des offres professionnelles assorties d’un engagement contractuel de non-entraînement et d’un hébergement maîtrisé.
- Inscrire l’usage de l’IA dans le registre des traitements et réaliser une analyse d’impact lorsque le risque est élevé.
- Former les collaborateurs et diffuser une charte d’utilisation des outils d’IA.
Le rôle clé du DPO
La commodité de l’IA conversationnelle ne dispense jamais de vigilance. En activant les bons réglages et en encadrant les pratiques internes, chaque organisme réduit un risque devenu quotidien. Le DPO occupe ici une place centrale : traduire ces exigences en règles claires, vérifiables et connues de tous. La directive NIS2, qui renforce les obligations de gestion des risques pour de nombreux secteurs, ajoute une raison supplémentaire de reprendre le contrôle des données confiées aux assistants numériques.
Source : Commission nationale de l’informatique et des libertés (CNIL), guide « IA et vie privée : comment s’opposer à la réutilisation de ses données personnelles pour l’entraînement d’agents conversationnels », 16 octobre 2025.
