Protection des données et outils d'IA : ce que tu peux saisir et ce qu'il faut éviter

Que devient ce que je saisis dans un chat d'IA ?

Dès que tu appuies sur Envoyer, ton texte part vers les serveurs du fournisseur. Là, le modèle calcule la réponse, et la conversation atterrit en général dans ton historique pour que tu puisses la rouvrir plus tard. Les fichiers et les photos envoyés sont traités exactement comme du texte tapé.

En outre, tes saisies peuvent servir de données d'entraînement, c'est-à-dire aider à améliorer les futurs modèles. Que ce soit le cas ou non dépend du fournisseur, de l'offre et de tes réglages. Chez plusieurs grands assistants, l'entraînement est activé dans l'offre pour particuliers jusqu'à ce que tu le désactives toi-même.

De plus, certains fournisseurs font vérifier une partie des conversations par des humains, par exemple pour le contrôle qualité ou pour détecter les abus. Google demande expressément aux utilisateurs de Gemini de ne rien saisir de confidentiel qu'un réviseur ne devrait pas voir. Google conserve les conversations vérifiées jusqu'à trois ans, séparément de ton compte.

Qu'est-ce qui n'a jamais sa place dans un chat d'IA ?

Une règle simple : tout ce qui pourrait te nuire, à toi ou à d'autres, en tombant entre de mauvaises mains reste dehors. Cela vaut aussi si tu as désactivé l'entraînement, car les conversations sont tout de même enregistrées.

• Mots de passe, codes PIN, codes de validation bancaire et identifiants de connexion, même pas « juste pour vérifier vite fait ».
• Coordonnées bancaires, numéros de carte bancaire, numéro fiscal ainsi que numéros de pièce d'identité ou d'assurance.
• Données de santé associées à des noms, par exemple des résultats d'examens, des diagnostics ou des comptes rendus médicaux te concernant ou concernant d'autres personnes.
• Données clients et données de tiers : noms, adresses, numéros de téléphone, contrats ou listes de clients entières.
• Secrets d'entreprise comme des chiffres internes, des produits non publiés ou du code source contenant des clés d'accès.
• Photos, historiques de conversation ou documents d'autres personnes sans leur accord.

Si tu as malgré tout besoin d'aide sur un tel sujet, supprime d'abord tout ce qui permet d'identifier une personne. « M. Dupont de Lyon, résultats du 3 mai » devient « un patient, la cinquantaine, résultats récents ». Pour une bonne réponse, l'IA n'a presque jamais besoin de vrais noms. Comment fournir tout de même assez de contexte, notre guide Écrire des prompts pour les débutants te l'explique.

Où désactiver l'entraînement dans ChatGPT, Claude, Gemini, Copilot et Mistral ?

Les chemins suivants proviennent des pages d'aide des fournisseurs (état : novembre 2026). Les noms des menus changent de temps en temps, et l'interface en français peut porter des intitulés légèrement différents. Microsoft a par ailleurs lancé une nouvelle appli Copilot, dans laquelle les chemins peuvent différer.

Important : la désactivation ne s'applique qu'aux futures conversations. Les conversations déjà enregistrées restent dans ton historique jusqu'à ce que tu les supprimes toi-même. Et même sans entraînement, les fournisseurs conservent les conversations un certain temps, par exemple pour lutter contre les abus. Ce que recouvre cette notion, notre lexique l'explique à l'entrée opt-out de l'entraînement.

Particulier ou professionnel : quelles règles pour les indépendants et les entreprises ?

Les versions gratuites et les abonnements privés comme Plus ou Pro sont conçus pour les particuliers. Les offres Business et Enterprise s'adressent aux entreprises et ont généralement des règles plus strictes sur les données : l'entraînement sur les données de l'entreprise y est en règle générale désactivé par défaut, les administrateurs gèrent les paramètres de façon centralisée, et il existe des contrats de traitement des données. Pour savoir quand une offre payante vaut le coup de manière générale, lis le guide Gratuit ou abonnement.

Ne te fie pourtant pas aveuglément à l'étiquette. Chez Mistral Vibe, par exemple, l'entraînement est désactivé d'office dans l'offre Enterprise, alors que dans l'offre Team, l'administrateur doit le désactiver lui-même. Si ton employeur met un outil d'IA à disposition, utilise précisément celui-ci pour le travail et non ton accès personnel.

Si tu travailles en indépendant et que tu saisis des données clients dans un outil d'IA, tu traites des données personnelles au sens du RGPD. L'idée de base : il te faut pour cela une base légale, tu dois informer tes clients de façon transparente et, en règle générale, conclure avec le fournisseur un contrat de sous-traitance (DPA). Les offres pour particuliers ne sont le plus souvent pas conçues pour cela.

Le plus simple est de ne saisir aucune donnée personnelle de clients et de travailler avec des exemples anonymisés. Cette section ne constitue pas un conseil juridique. Pour des questions concrètes, adresse-toi à un spécialiste de la protection des données.

Quelles alternatives existe-t-il pour les données sensibles ?

La variante la plus économe en données est une IA locale. Le modèle tourne directement sur ton ordinateur ou ton téléphone, et tes saisies ne quittent pas l'appareil. En contrepartie, les modèles locaux sont plus petits, plus lents et moins fiables sur les faits que les grands assistants cloud. Comment l'installer sans connaissances préalables, le tutoriel Utiliser l'IA hors ligne sur le téléphone te le montre.

Il existe aussi des solutions locales pour certaines tâches : Whisper (local) transcrit des enregistrements sur ton propre ordinateur, plus d'informations dans les outils pour les réunions et la transcription. Obsidian + lokale KI, c'est-à-dire Obsidian combiné à une IA locale, relie tes notes à un modèle qui tourne sur ton appareil.

Une deuxième possibilité, ce sont les fournisseurs basés dans l'UE, comme Mistral en France ou DeepL en Allemagne. Cela peut simplifier les questions liées aux transferts de données vers des pays tiers. Un siège dans l'UE n'est toutefois pas un blanc-seing : Mistral Vibe utilise par défaut les saisies des particuliers pour l'entraînement, jusqu'à ce que tu t'y opposes.

Checklist : que vérifier avant de saisir quelque chose ?

1. Est-ce que je montrerais aussi ce texte à un inconnu ?
2. Contient-il des noms, des adresses, des numéros de compte ou des informations de santé ? Dans ce cas, les supprimer ou les remplacer par des mentions génériques.
3. Le contenu ne concerne-t-il que moi, ou aussi des clients, des collègues ou ma famille ?
4. L'entraînement est-il désactivé, ou est-ce que j'utilise une conversation temporaire ou en mode incognito ?
5. S'agit-il du travail ? Dans ce cas, utiliser l'outil que mon employeur a autorisé.
6. Est-ce que j'envoie un fichier ? Dans ce cas, vérifier aussi les commentaires, les feuilles de calcul masquées et les métadonnées.
7. Une IA locale suffirait-elle peut-être pour cette tâche ?

D'ailleurs, tu devrais traiter les réponses avec autant d'esprit critique que tes saisies. Le guide Vérifier les réponses de l'IA te montre comment faire.