Est-il sûr de télécharger des documents confidentiels dans ChatGPT ?

Peut-on télécharger un document confidentiel dans ChatGPT sans risque ? Tout dépend de deux choses : votre offre et le contenu du fichier. Le test en dix secondes : sur une offre personnelle (Free, Go, Plus, Pro), un fichier téléchargé peut servir à entraîner de futurs modèles, sauf si vous avez désactivé « Améliorer le modèle pour tous ». Un document vraiment confidentiel (contrat client, rapport sous NDA, document qui contient les données personnelles de tiers) ne devrait pas y aller tel quel : au sens du RGPD, ces données ne sont pas les vôtres. Sur une offre Business ou Enterprise, les téléchargements sont exclus de l’entraînement par défaut, ce qui en fait le bon cadre pour les travaux confidentiels. La précaution valable sur toutes les offres : anonymisez d’abord les identifiants ou utilisez une discussion temporaire. Voici le détail derrière cette règle.

Ce qu’il arrive à un fichier que vous téléchargez

Ces informations proviennent de la documentation officielle d’OpenAI, pas de suppositions. La FAQ sur les téléchargements de fichiers ne tranche pas à elle seule : elle se contente d’indiquer que l’usage des fichiers pour l’entraînement « dépend du service que vous utilisez » et renvoie à la page d’OpenAI sur la façon dont vos données servent à améliorer les performances des modèles. C’est cette page qui trace la ligne : les offres professionnelles sont exclues de l’entraînement par défaut, les offres grand public ne le sont pas. Sur une offre personnelle, un fichier téléchargé peut donc servir à améliorer les modèles tant que « Améliorer le modèle pour tous » reste activé. Le désactiver dans Paramètres → Contrôles des données constitue un opt-out propre pour les prochains téléchargements.

La conservation est distincte de l’entraînement. La politique de conservation d’OpenAI précise qu’un fichier téléchargé est conservé aussi longtemps que la conversation qui le contient ; lorsque vous supprimez cette conversation (ou votre compte, ou le GPT personnalisé auquel il est lié), le fichier est supprimé des systèmes d’OpenAI dans un délai de 30 jours, sauf obligation légale ou de sécurité. Une précision compte toutefois : un fichier qui y est enregistré survit à la suppression de la conversation, et se supprime séparément depuis la Bibliothèque. La conservation des données a donc une limite, mais supprimer un fichier ultérieurement n’annule pas un éventuel entraînement déjà effectué à partir de ce fichier.

La différence d’offre qui compte vraiment

Pour les données confidentielles, l’offre souscrite est le facteur déterminant. La page de confidentialité entreprise d’OpenAI indique que le contenu soumis via ses offres professionnelles (ChatGPT Business, Enterprise et l’API) n’est pas utilisé pour entraîner les modèles par défaut. C’est la ligne de partage essentielle : une offre personnelle traite votre fichier comme un matériau d’entraînement potentiel si vous n’avez pas fait la démarche d’opt-out ; une offre professionnelle ne le fait pas, par conception.

Si votre organisation traite des données réglementées, c’est aussi ici qu’intervient un accord de traitement des données, le contrat qui précise comment un prestataire traite les données personnelles pour votre compte au titre du RGPD. Les offres Business et Enterprise peuvent en proposer un ; les offres personnelles ne le permettent pas. La CNIL, autorité compétente en France pour la protection des données, a publié des lignes directrices sur l’IA et les données personnelles qui rappellent cette obligation. Si vous téléchargez des documents appartenant à des clients, ce contrat fait la différence entre un outil homologué et un problème de conformité silencieux.

Un contrôle rapide selon le type de document

• Votre propre brouillon, sans données de tiers (un CV, une lettre de motivation, vos notes) : acceptable sur n’importe quelle offre, risque faible.
• Un contrat, un rapport financier ou tout document sous NDA : offre professionnelle, ou anonymisez les clauses et chiffres confidentiels d’abord. Pas d’offre personnelle telle quelle.
• Un document rempli de données personnelles (liste de clients, réclamation d’un locataire, notes médicales) : ce sont leurs données personnelles que le RGPD protège, pas les vôtres. Anonymisez avant l’envoi, ou renoncez.
• Un formulaire scanné avec un numéro d’identité ou de carte bancaire : supprimez les numéros. « Mon numéro de référence » fonctionne aussi bien que les vrais chiffres pour obtenir de l’aide.

Deux méthodes pour sécuriser le téléchargement

Premièrement, utilisez une discussion temporaire pour tout ce qui est sensible : tant que vous ne l’enregistrez pas, elle n’est pas utilisée pour l’entraînement et n’apparaît pas dans votre historique (OpenAI peut en conserver une copie jusqu’à 30 jours pour des raisons de sécurité). Ouvrez une nouvelle discussion et sélectionnez « Temporaire » ; les menus évoluent parfois, donc si l’intitulé a changé, cherchez ce mot. Une conversation temporaire est la précaution ponctuelle la plus simple.

Deuxièmement, anonymisez avant de télécharger. Remplacez les noms, numéros de compte, adresses et codes de référence par des espaces réservés. Le contenu pour lequel vous avez besoin d’aide n’est presque jamais la partie qui crée le risque. C’est le principe de minimisation des données que défend la CNIL : ne transmettez que le strict nécessaire.

Vérifiez avant que ça quitte votre appareil

Relire une politique de conservation au moment où vous êtes sur le point de faire glisser un PDF n’est pas réaliste. C’est à cela que sert l’outil de vérification de confidentialité : collez le texte d’un document et il signale les noms, les adresses, les numéros de carte bancaire et les IBAN, les clés d’API et les lignes du type « mot de passe : … » avant que quoi que ce soit ne soit envoyé. L’analyse s’effectue dans votre navigateur, et nous ne voyons jamais votre fichier. Trente secondes de vérification valent mieux qu’une notification de violation de données à adresser à la CNIL au titre du RGPD, une fois le document client dans la nature.

À lire ensuite

GuidesClaude s'entraîne-t-il sur vos conversations ? Le réglage des 5 ansSur Free, Pro et Max, oui si « Aider à améliorer nos modèles d'IA » est activé, et la conservation passe de 30 jours à 5 ans maximum. Comment le couper.GuidesChatGPT sur WhatsApp : est-ce sécurisé, et lequel est le vrai ?ChatGPT est de nouveau sur WhatsApp dans l'Espace économique européen. Le seul vrai contact est le 1-800-CHATGPT d'OpenAI ; les autres sont des tiers.GuidesChatGPT est-il sûr pour la confidentialité ? Ce qui arrive vraiment à vos donnéesAssez sûr si vous faites trois choses : couper l'entraînement, gérer l'historique et ne pas coller les données d'autrui. Voici comment, dans l'ordre.