Confidentialité de l'IA : la FAQ complète

Sur de nombreux comptes grand public (ChatGPT, Gemini et d'autres), vos échanges peuvent, par défaut, être utilisés pour améliorer les modèles. La plupart des services offrent une option pour refuser cet usage dans les paramètres de confidentialité ou de données. Les offres professionnelles (Team, Enterprise, API) prévoient en général de ne pas entraîner sur vos données. Vérifiez toujours les réglages à jour de chaque fournisseur, car les pratiques changent régulièrement.

Rendez-vous dans les paramètres du service, à la rubrique « Données », « Confidentialité » ou « Contrôles des données », puis désactivez l'option d'amélioration des modèles. Chez OpenAI, il s'agit par exemple de « Improve the model for everyone » ; chez Google, cela passe par l'activité des applications. Vous pouvez aussi utiliser un chat temporaire sans historique. Les intitulés varient d'un outil à l'autre, donc explorez chaque menu avec attention.

La mémoire permet à une IA de retenir des informations vous concernant d'une conversation à l'autre : prénom, préférences, projets en cours. C'est pratique, mais cela concentre des données personnelles côté serveur et peut faire ressurgir des informations dans des contextes inattendus. Pour limiter le risque, consultez régulièrement la mémoire enregistrée, supprimez ce qui n'est plus utile et utilisez des sessions sans mémoire pour les sujets sensibles.

Vous pouvez généralement supprimer des conversations, effacer la mémoire enregistrée et, au titre du droit à l'effacement du RGPD, demander la suppression de votre compte et des données associées. Attention : supprimer une conversation n'efface pas toujours une information déjà enregistrée en mémoire, qu'il faut retirer séparément. Les délais de conservation et la procédure figurent dans la politique de confidentialité de chaque service.

Cela dépend du service et du type de compte. Certains conservent l'historique tant que vous ne le supprimez pas, d'autres appliquent des durées définies, et des conversations peuvent être gardées quelque temps même après suppression, notamment pour des raisons de sécurité ou légales. Les durées exactes figurent dans la politique de confidentialité du fournisseur, qu'il est utile de relire, car elles évoluent avec les mises à jour du service.

Oui. Certains services mettent en avant l'absence d'entraînement sur vos échanges et un stockage limité. Un espace multi-modèles comme MultipleChat permet d'utiliser plusieurs IA au même endroit sans concentrer tout votre contexte chez un seul acteur, et d'autres options orientées vie privée existent (Duck.ai, Proton Lumo, Brave Leo, Kagi). Pour un contrôle total, des outils auto-hébergés comme Ollama ou Jan gardent les données sur votre appareil. Comparez les politiques avant de choisir.

Oui. Dès que des données personnelles sont traitées, le RGPD s'applique, que vous saisissiez des informations dans une IA ou qu'une entreprise déploie un outil d'IA. Cela implique une base légale, une information des personnes, le respect de leurs droits (accès, rectification, effacement, opposition) et un encadrement des transferts hors Union européenne. En France, c'est la CNIL qui veille au respect de ce cadre.

La CNIL est l'autorité française de protection des données. Elle publie des recommandations sur la conception et l'usage d'IA respectueuses du RGPD (base légale, minimisation, information, exercice des droits, sécurité), accompagne les acteurs et peut contrôler puis sanctionner les organismes qui ne respectent pas les règles. Vous pouvez la saisir si vos droits ne sont pas respectés. Ses ressources sont publiées sur cnil.fr.

L'AI Act est un règlement de l'Union européenne qui encadre l'IA selon son niveau de risque : certaines pratiques sont interdites, les systèmes à haut risque sont soumis à des obligations strictes, et les IA génératives doivent respecter des exigences de transparence. Il s'applique progressivement à partir de 2025 et complète le RGPD sans le remplacer. Dès qu'il y a des données personnelles, le RGPD reste la référence.

C'est fréquent : beaucoup de fournisseurs d'IA hébergent des traitements aux États-Unis ou ailleurs. Le RGPD encadre ces transferts par des mécanismes tels que les clauses contractuelles types, les règles d'entreprise contraignantes ou un cadre d'adéquation reconnu par la Commission européenne. Pour savoir où sont traitées vos données et quelles garanties s'appliquent, consultez la politique de confidentialité du service, qui doit préciser ces éléments.

Mieux vaut éviter d'y saisir des données sensibles (santé, orientation, opinions, données bancaires, secrets professionnels) sur des comptes grand public. Si c'est nécessaire, privilégiez des offres prévoyant l'absence d'entraînement et des garanties contractuelles, vérifiez la localisation de l'hébergement et minimisez les informations identifiantes. Le RGPD accorde une protection renforcée aux données dites « sensibles », dont le traitement est en principe interdit sauf exceptions.

Elle peut l'être, à condition de respecter les principes du RGPD : base légale, information des personnes, minimisation, sécurité et encadrement des transferts. Les offres professionnelles prévoient souvent l'absence d'entraînement sur vos données et des garanties contractuelles adaptées. Selon l'usage, une analyse d'impact relative à la protection des données (AIPD) peut être nécessaire, et il est prudent d'encadrer l'usage par une politique interne. Voir notre page dédiée à l'IA en entreprise.

Les données des enfants bénéficient d'une protection particulière au titre du RGPD, et de nombreux services fixent un âge minimal ou requièrent l'accord parental. Pour un enfant ou un adolescent, il est prudent de désactiver la mémoire et l'entraînement, d'éviter de saisir des informations personnelles et de superviser l'usage. Vérifiez les conditions d'âge et les réglages de confidentialité propres à chaque service avant de laisser un mineur l'utiliser.

Les interfaces web d'IA, comme la plupart des sites, peuvent utiliser des cookies pour le fonctionnement, la mesure d'audience ou d'autres finalités. En France, les cookies non essentiels requièrent votre consentement, et vous devez pouvoir les refuser aussi facilement que les accepter. Consultez le bandeau cookies et la politique dédiée du service pour connaître les traceurs utilisés et ajuster vos préférences dans les paramètres.

L'anonymisation vise à rendre une personne non identifiable, de façon irréversible ; correctement réalisée, les données ne relèvent alors plus du RGPD. Mais elle est techniquement exigeante : une simple pseudonymisation (remplacement d'identifiants) reste réversible et demeure soumise au RGPD. Dans une IA, retirer les noms et détails identifiants avant de saisir un texte réduit les risques sans garantir une anonymisation parfaite. En cas de doute, considérez les données comme personnelles.

Sur un outil d'IA fourni par l'employeur (offre professionnelle, environnement d'entreprise), l'organisation peut, dans certaines limites, avoir accès aux données de la plateforme, à condition d'informer les salariés et de respecter le RGPD. Sur un compte personnel, l'employeur n'a normalement pas accès à vos échanges. En cas de doute, renseignez-vous auprès de votre service informatique ou de votre délégué à la protection des données, et évitez d'y mêler informations personnelles et professionnelles.