Sécurité, conformité et protection des données

La question que pose chaque DSI

Avant d’autoriser ChatGPT dans l’entreprise, la direction des systèmes d’information pose presque toujours la même question : où vont nos données ? Une réponse vague fait basculer le dossier dans la pile des sujets à réexaminer plus tard. Une réponse factuelle, appuyée sur des engagements contractuels et des audits vérifiables, débloque la validation. Cette leçon vous donne de quoi rassurer les décideurs quand c’est justifié, et les alerter quand ça l’est aussi.

Le modèle de données d’OpenAI pour les entreprises

Sur Business, Enterprise et Edu, OpenAI s’engage à ne pas entraîner ses modèles sur vos données par défaut, entrées comme sorties, et vous restez propriétaire de ces entrées et de ces sorties dans la mesure où la loi le permet. Ces engagements figurent dans les pages de confidentialité professionnelle d’OpenAI et dans ses conditions contractuelles : c’est sur ces documents que votre service juridique voudra s’appuyer.

Les données sont chiffrées au repos en AES-256 et en transit en TLS 1.2 ou plus. La conservation dépend de l’offre. Les conversations restent enregistrées jusqu’à ce qu’on les supprime, et la suppression devient définitive dans les 30 jours ; sur Enterprise et Edu, une politique de conservation de l’espace peut les effacer plus tôt, et elle s’applique aussi aux fichiers enregistrés. Une conversation temporaire n’apparaît pas dans l’historique, mais une copie peut être conservée jusqu’à 30 jours pour des raisons de sécurité.

La comparaison avec les offres individuelles éclaire la valeur de cet engagement. Sur Free, Plus ou Pro, les conversations peuvent servir à l’entraînement tant que l’utilisateur n’a pas désactivé l’option dans ses contrôles des données, et un pouce levé ou baissé sur une réponse peut, même dans ce cas, autoriser l’usage de toute la conversation. Sur les offres professionnelles, ce n’est pas un réglage individuel, et un retour sur une réponse n’autorise pas l’entraînement sur la conversation.

Conformité et certifications

OpenAI indique avoir réussi un audit SOC 2 confirmant que ses contrôles respectent les standards de sécurité et de confidentialité. Les rapports et attestations se demandent via son Trust Portal : c’est généralement la pièce que réclame un RSSI avant de signer.

Du point de vue du RGPD, OpenAI agit comme sous-traitant pour les données de vos espaces professionnels. Son accord de traitement des données (DPA) complète le contrat de services d’OpenAI et y est intégré. Les transferts hors de l’Espace économique européen et de la Suisse reposent sur des clauses contractuelles types ou sur une décision d’adéquation. Les nouveaux clients Enterprise et Edu peuvent stocker leurs contenus en Europe (EEE et Suisse) et y faire aussi tourner l’inférence. Sur Business, le choix de la région de stockage est en cours de déploiement ; il ne couvre pas l’inférence, et les journaux de prévention des abus, avec une copie temporaire des échanges, restent aux États-Unis.

Les besoins plus spécifiques passent par une offre sous contrat : le BAA exigé par la loi HIPAA aux États-Unis, la conservation zéro des données ou les clés de chiffrement gérées par le client (EKM) ne s’obtiennent pas en libre-service.

Ce que vous devez vérifier avant de déployer

L’ouverture des accès suppose une série de vérifications préalables, et l’ordre dans lequel vous les menez a son importance. Vérifiez d’abord que votre offre exclut bien les données de l’entraînement : c’est le cas par défaut sur Business, Enterprise et Edu, mais lisez-le dans les conditions applicables plutôt que sur la foi d’une page commerciale. Relisez ensuite le DPA intégré au contrat avec votre délégué à la protection des données.

Sur Enterprise ou Edu, réglez la politique de conservation selon vos règles internes. Documentez les finalités de traitement : votre registre des traitements RGPD doit inclure ChatGPT au même titre que vos autres outils, et l’oubli se voit immédiatement lors d’un contrôle. Informez enfin vos collaborateurs de la manière dont leurs données sont utilisées dans le cadre de l’outil.

Les zones grises qu’aucun paramétrage ne résout

La première concerne les données sensibles saisies dans les prompts. Même exclues de l’entraînement, elles transitent par les serveurs d’OpenAI, ce qui impose des règles explicites sur ce qui peut ou non être saisi : données personnelles de clients, informations financières non publiques, secrets industriels.

La deuxième tient à la mémoire, qui retient des informations d’une conversation à l’autre. Sur Enterprise, les administrateurs la règlent par rôle, mémoire partagée et mémoire améliorée comprises ; encore faut-il avoir tranché la question plutôt que de laisser le réglage par défaut décider à votre place.

La troisième porte sur les fichiers partagés. Dès que vous connectez un Google Drive ou un SharePoint, ChatGPT accède aux documents que le compte connecté peut ouvrir, et un dossier ouvert à toute l’entreprise le restera vu depuis ChatGPT. Retenez donc que le plus grand risque de sécurité n’est pas une faille dans le chiffrement d’OpenAI, mais un collaborateur pressé qui colle un contrat confidentiel dans la version gratuite depuis son téléphone personnel, faute d’accès professionnel. Fournir un accès encadré coûte moins cher que de laisser les équipes se débrouiller avec des comptes sur lesquels vous n’avez aucune visibilité.

À vous de jouer

Préparez le dossier de votre DSI. Rassemblez sur une page l’offre visée, l’engagement sur l’entraînement, le chiffrement, la conservation applicable, la région de stockage, le DPA et la référence du rapport SOC 2 à demander via le Trust Portal. Faites-la relire par votre délégué à la protection des données avant la réunion de validation.

Sources officielles : Enterprise privacy at OpenAI · Business data privacy, security, and compliance · OpenAI Data Processing Addendum (OpenAI) · Chat and file retention in ChatGPT · Data residency and inference residency for ChatGPT · Where your ChatGPT Business content is stored · How your data is used to improve model performance (centre d’aide OpenAI)

Points clés à retenir

• Sur Business, Enterprise et Edu, vos données ne servent pas à l’entraînement par défaut, et un retour sur une réponse n’y change rien.
• Chiffrement AES-256 au repos et TLS 1.2 ou plus en transit ; suppression définitive sous 30 jours, conservation réglable sur Enterprise et Edu.
• OpenAI a réussi un audit SOC 2 ; son DPA, intégré au contrat, encadre les transferts par des clauses contractuelles types.
• Résidence en Europe : stockage et inférence sur Enterprise et Edu, stockage seul et en déploiement sur Business.
• Les risques résiduels sont humains : données sensibles dans les prompts, mémoire non arbitrée, permissions de partage mal configurées.