📅 Dernière mise à jour : 9 janvier 2026
⏱️ Temps de lecture : 15 minutes
🔄 Mise à jour majeure (janvier 2026) : Cet article a été entièrement actualisé avec les dernières évolutions d'OpenAI : DPA 2026, ChatGPT Enterprise, data residency, conformité RGPD renforcée, et intégration AI Act.
En janvier 2026, ChatGPT compte plus de 180 millions d'utilisateurs et 5 millions d'entreprises clientes dans le monde. Depuis son lancement fracassant en novembre 2022, l'outil d'OpenAI a profondément transformé le paysage professionnel et soulevé des questions cruciales sur la protection des données personnelles et la conformité RGPD.
Bonne nouvelle : OpenAI a considérablement amélioré sa conformité RGPD depuis 2023. L'entreprise propose désormais un DPA (Data Processing Addendum), des offres ChatGPT Enterprise et Business avec garanties renforcées, et un hébergement de données en Europe. Mais la question demeure : ChatGPT est-il vraiment conforme au RGPD en 2026 ? La réponse est plus nuancée qu'un simple oui ou non.
ChatGPT et RGPD en chiffres (2025-2026)
Adoption mondiale qui prend de l'ampleur :
- 180 millions d'utilisateurs actifs mensuels
- 5 millions d'entreprises clients (août 2025)
- 600 millions de visiteurs mensuels
- 67% des entreprises françaises utilisent ChatGPT sans AIPD
Quelques mises à jour pour la conformité :
- DPA disponible depuis 2024 (Data Processing Addendum)
- SOC 2 type 2 + ISO 27001/27017/27018/27701 certifiés
- Data residency : données herbegeables en UE (Europe, UK)
- ChatGPT Enterprise : pas d'utilisation pour entraînement de modèle
Risques persistants :
- 63% des données ChatGPT contiennent des infos personnelles identifiables (étude UE 2024)
- Seulement 22% des utilisateurs connaissent les paramètres de confidentialité
- Non-conformité RGPD de la version gratuite (conservation illimitée, manque transparence)
Dans ce guide actualité en janvier 2026, vous découvrirez :
- Les évolutions majeures d'OpenAI depuis 2023
- ChatGPT gratuit vs Business vs Enterprise : différences RGPD
- Comment utiliser ChatGPT en conformité (DPA, AIPD, bonnes pratiques)
- Les risques persistants et comment les mitiger
- AI Act + RGPD : les nouvelles obligation 2026
1 - Rappel des grands principes du RGPD et de l'IA
Le Règlement Général sur la Protection des Données (RGPD) a pour objectifs de renforcer les droits des individus sur leurs données personnelles et de responsabiliser les acteurs dans les traitements de ces données. En pratique, ces objectifs ont une traduction très concrète pour les organismes.
Le droit des personnes sur leurs données personnelles
Comme évoqué plus haut, le RGPD impose aux organismes que chaque individu conserve la maîtrise de ses données personnelles.
1. Les personnes concernées doivent être valablement informées de leurs droits et de l'utilisation qui est faite de leurs données (article 12 RGPD et 13 RGPD).
Ce premier droit à l'information est un prérequis car sans information sur leurs droits et le traitement de leurs données personnelles, les individus ne peuvent pas les exercer. Cela implique qu'une politique de confidentialité informe les personnes concernées des éléments suivants :
- Ce qui est collecté par l'organisme,
- Pour combien de temps,
- En vertu de quel fondement juridique,
- Pour quel objectif et comment ces données sont sécurisées,
- Quels sont les droits que les individus peuvent exercer (développé ci-dessous)
- Et la manière dont ils peuvent les exercer, par exemple via un portail dédié ou par le contact du délégué à la protection des données personnelles (DPO).
2. Les personnes concernées doivent pouvoir exercer leurs droits sur leurs données à tout moment (article 15, 16, 17, 20 et 21 du RGPD).
Le RGPD prévoit plusieurs droits à disposition des personnes :
- Le droit d'accéder à leurs données personnelles
- Le droit de demander une rectification de ces données,
- Le droit de s'opposer à l'utilisation qui en est faite,
- Le droit de demander la suppression de leurs données personnelles,
- Et le droit d'obtenir une copie de ces données.
À tout moment, l'organisme doit mettre à disposition les moyens nécessaires pour faciliter l'exercice de ces droits.
Les règles d'utilisation des données personnelles par l'organisme
À toute étape du cycle de vie d'une donnée, l'organisme doit être vigilant sur le mode de collecte des données, leur utilisation et la manière dont elles sont sécurisées :
- Les données personnelles doivent être collectées en vertu d'une autorisation. Le RGPD prévoit 6 hypothèses limitatives autorisant l'organisme à collecter, puis utiliser les données. Appelé "base légale", ce principe signifie que les données personnelles ne peuvent être traitées que sur un fondement juridique. L'article 6 RGPD en énumère 6 : le consentement de la personne, l'exécution d'un contrat, le respect d'une obligation légale, l'intérêt légitime de l'organisme, l'intérêt public ou l'intérêt vital.
- L'article 5 du RGPD, qui énumère les principes fondateurs du RGPD prévoit que protéger les données personnelles implique notamment de conserver l'intégrité des informations utilisées et de ne pas altérer leur exactitude.
- Enfin, tout organisme doit, en toute circonstance, être en mesure d'assurer la sécurité des données contre toute violation, fuite, altération ou destruction en prévoyant les mesures de sécurité adéquates (article 32 RGPD).
Les principes de l'intelligence artificielle
Les grands principes du RGPD ont été pensés pour une utilisation classique des données par les entreprises, organismes, associations et administration. L'émergence de l'intelligence artificielle dans notre quotidien est un bouleversement majeur et vient se heurter aux règles en matière de protection des données personnelles.
En effet, les systèmes d'intelligence artificielle reposent sur l'exploitation de données personnelles pour entraîner le modèle (ou l'algorithme) pour se développer et imiter une tâche humaine. Ces systèmes sont par exemple fondés sur le Machine Learning (ou apprentissage informatique) qui permet aux algorithmes d'apprendre à partir de l'expérience et d'adapter leur comportement en fonction des nouvelles données.
En tout état de cause, les données, notamment les données personnelles, représentent la source principale d'alimentation et de développement de l'IA.
En particulier ChatGPT, développé par OpenAI, qui est un chatbot qui fonctionne grâce au deep learning. ChatGPT est conçu pour répondre aux questions des utilisateurs, est capable de gérer des tâches variées telles que la rédaction d'articles, le développement de code informatique et la résolution de problèmes mathématiques. Il se souvient des messages précédents dans une conversation et peut interagir de manière similaire à un être humain.
Quelques mois après son lancement le 30 novembre 2022, cette nouvelle IA a déjà provoqué un changement de paradigme. Dans ces conditions, il convient de s'interroger sur l'articulation de ChatGPT et le RGPD.
Les évolution 2023-2026 : qu'est-ce qui a changé ?
Depuis la publication de cet article en 2023, OpenAI a apporté des amélioration majeures :
- Avril 2023 : Introduction de la désactivation de l'historique
- Juin 2023 : Lancement ChatGPT Enterprise (zéro entraînement sur données clients)
- Mars 2024 : DPA (Data Processing Addendum) disponible
- Août 2024 : AI Act entre en vigueur (convergence RGPD + IA)
- Septembre 2024 : ChatGPT Business lancé (PME/TPE)
- Décembre 2024 : Data residency Europe (hébergement UE)
- Janvier 2026 : DPA mis à jour + compliance ISO renforcée
Ce qui reste problématique :
- Version gratuite : conservation illimitée des conversations
- Manque de transparence sur les algorithmes d'entraînement
- Données d'entraînement (web scraping potentiellement non conforme)
- Informations inexactes sur personnes
2 - ChatGPT et RGPD 2026 : Etat des lieux actualisé
La conformité de ChatGPT au RGPD dépend désormais de la version utilisée et de la manière dont vous l'utilisez. Depuis 2023, OpenAI a déployé une stratégie à trois niveaux pour répondre aux exigences européennes.
ChatGPT gratuit vs Business vs Enterprise : le comparatif RGPD selon Leto
En comparant attentivement les différentes option que propose aujourd'hui ChatGPT et les dernières mises à jour, notre verdict est sans appel :
- Version gratuite : Déconseillée en entreprise (non conforme RGPD)
- Business : Adapté PME/TPE avec données non sensibles
- Enterprise : Recommandé pour ETI/Grands comptes et données sensibles
ChatGPT Gratuit : Les risques RGPD persistants
Malgré les améliorations, la version gratuite reste problématique pour une utilisation professionnelle :
1. Absence de DPA (Data Processing Addendum)
Problème : Sans DPA, vous ne pouvez pas légalement transférer des données personnelles à OpenAI (exigence article 28 RGPD).
Conséquence : Toute donnée client/salarié transmise = violation RGPD potentielle.
Interdit : Copier-coller emails clients, noms, coordonnées, données RH...
2. Entraînement du modèle (sauf opt-out)
Par défaut : Vos conversations servent à entraîner les futurs modèles ChatGPT.
Comment désactiver :
- Settings → Data Controls
- Désactiver "Improve the model for everyone"
3. Conservation illimitée des données
Problème : ChatGPT gratuit conserve vos conversations indéfiniment (sauf suppression manuelle).
Non-conformité : Principe de "limitation de la conservation" (article 5.1.e RGPD) violé.
Solution partielle : Utiliser le mode "Temporary chat" (conversations non sauvegardées).
4. Manque de transparence
Problèmes identifiés :
- Pas de liste exhaustive des données collectées
- Algorithmes d'entraînement opaques ("boîte noire")
- Impossible de savoir précisément où sont vos données
5. Transferts de données Hors UE
Notamment, aux Etats-Unis
6. Hallucinations et données inexactes
Risque RGPD majeur : ChatGPT peut générer des informations fausses sur des personnes réelles (violation article 5.1.d RGPD - exactitude).
ChatGPT Business / Enterprise : Les Garanties RGPD
Depuis juin 2023 (Enterprise) et septembre 2024 (Business), OpenAI propose des offres pensées pour les entreprises avec garanties RGPD renforcées.
1. DPA disponible
Qu'est-ce que c'est ?
Contrat obligatoire entre vous (responsable de traitement) et OpenAI (sous-traitant) définissant :
- Les obligations de chaque partie
- Les mesures de sécurité
- Les transferts de données
- Les droits d'audit
Comment l'obtenir ?
- Créer un compte ChatGPT Business ou Enterprise
- Remplir le formulaire DPA : openai.com/policies/data-processing-addendum
- OpenAI vous envoie le DPA signé sous 5-10 jours
Version 2026 : DPA mis à jour le 1er décembre 2025, effectif au 1er janvier 2026.
Lien DPA officiel : https://openai.com/policies/data-processing-addendum/
2. Pas d'entraînement sur vos Données (Par défaut)
Garantie Enterprise : Vos conversations ne sont jamais utilisées pour entraîner les modèles.
3. Data Residency (hébergement Europe)
Disponible depuis décembre 2024 : Les entreprises peuvent choisir d'héberger leurs données en Europe (UE + UK).
4. Contrôle de la conservation des données
ChatGPT Enterprise : Vous pouvez définir une durée de rétention personnalisée : de 7 à 90 jours.
ChatGPT Business : Conservation par défaut, mais suppression manuelle possible.
5. Certifications et Audits
ChatGPT Business & Enterprise sont certifiés :
- SOC 2 Type 2 (sécurité et confidentialité)
- ISO/IEC 27001 (sécurité de l'information)
- ISO/IEC 27017 (sécurité cloud)
- ISO/IEC 27018 (protection données personnelles cloud)
- ISO/IEC 27701 (gestion vie privée)
- CSA STAR (Cloud Security Alliance)
Cela est un gage de sécurité pour votre entreprise mais aussi pour vos salariés.
3 - Guide Pratique : commet utiliser ChatGPT en conformité RGPD ?
Étape 1 : Choisir la version Business ou Enterprise
- ❌ Gratuit : Interdit pour données professionnelles
- ✅ Business (25€/user/mois) : PME/TPE, données non sensibles
- ✅ Enterprise (sur devis) : ETI/Grands comptes, données sensibles
Étape 2 : Signer le DPA
- Créer votre compte Business ou Enterprise
- Remplissez le formulaire DPA : https://openai.com/policies/data-processing-addendum/
- Conservez une copie signée
Étape 3 : Activer Data Residency Europe
Suivez les étapes suivantes :
- Dashboard → Projects → Create New Project
- Region : Europe
- Toutes les futures requêtes seront alors traitées en Europe
Étape 4 : Réaliser une AIPD (Analyse d'Impact)
Cette étape est obligatoire si vos actions concernent :
- Le traitement de données sensibles (santé, judiciaire, biométrie...)
- Le profilage ou scoring automatisé
- La surveillance à grande échelle
Chez Leto nous automatisons les AIPD pour outils IA → En savoir plus
Étape 5 : Documenter dans le registre de traitements
Étape 6 : Informer les personnes concernées
En mettant à jour votre politique de confidentialité :
Nous utilisons ChatGPT (OpenAI) pour (finalité : assistance rédaction, analyse documents...).Vos données peuvent être traitées par OpenAI en tant que sous-traitant.OpenAI est certifié Data Privacy Framework et conforme RGPD.Données hébergées : (Europe / USA).Pour exercer vos droits : (contact DPO).
Étape 7 : Former et sensibiliser vos équipes aux bonnes pratiques
Et leur transmettre ce qui représente un risque ou non pour eux, et pour l'entreprise.
Chez Leto, nous sensibilisons les équipes à ces risques et leurs apportons les bonnes pratiques à mettre en place : Pour en savoir plus.
Étape 8 : Mettre en place un process d'incident
Que faire en cas de fuite de données via ChatGPT ? C'est la question que se pose souvent les DPO ! Voici la démarche à suivre :
- Identifier l'incident : Quelles données ? Combien de personnes ?
- Supprimer les conversations : Dashboard ChatGPT → Delete chats
- Notification CNIL : Si risque élevé → 72h max
- Informer les personnes : Si risque élevé pour leurs droits
- Documenter : Registre des violations de données
4- AI Act + RGPD : Nouvelles Obligations 2026
Depuis août 2024, l'AI Act (Règlement IA européen) s'applique progressivement. Il complète le RGPD pour les systèmes d'IA.
ChatGPT est-il soumis à l'AI Act ?
Oui, en tant que "modèle d'IA à usage général"
Obligations AI Act pour OpenAI :
- Documentation technique exhaustive
- Politique de respect droits d'auteur
- Résumé des données d'entraînement
- Marquage contenu généré par IA (watermarking)
Obligations pour vous en tant que DPO :
- AIPD si usage à haut risque (RH, scoring, biométrie...)
- Transparence : informer que vous utilisez l'IA
- Surveillance humaine ("human-in-the-loop")
Leto vous accompagne dans votre conformité IA + RGPD
Pour chaque étape de votre conformité RGPD et IA, faites appel à Leto.
