OpenAI données entreprise : ce qui arrive à vos informations

OpenAI données entreprise : la question agite les directions informatiques et les juristes depuis que ChatGPT a dépassé les neuf millions d'utilisateurs professionnels payants. Entre la promesse marketing d'une confidentialité totale et la réalité technique des flux de données, l'écart n'est pas toujours simple à mesurer. Ce guide reprend, point par point, ce que documente OpenAI elle-même et ce que révèlent les incidents récents.

Ce que dit OpenAI sur le sort de vos données

Sur sa page consacrée à la confidentialité des entreprises, OpenAI pose un principe général : les saisies et les sorties produites dans ChatGPT Business, ChatGPT Enterprise, ChatGPT for Healthcare, ChatGPT Edu, ChatGPT for Teachers et sur la plateforme API restent la propriété du client, « lorsque la loi l'autorise ». L'entreprise insiste sur le fait qu'elle ne reçoit que les droits nécessaires pour fournir le service, respecter la loi et faire appliquer ses politiques.

Par défaut, aucune donnée ne sert à l'entraînement

Le point central de la documentation d'OpenAI est celui-ci : par défaut, le contenu des espaces de travail professionnels n'est pas utilisé pour entraîner ou améliorer les modèles. Cela vaut pour les requêtes comme pour les réponses. OpenAI précise que ses modèles sont entraînés sur des connaissances publiques, des données obtenues via des partenaires et des contenus produits par ses propres chercheurs, pas sur le contenu des conversations professionnelles. Une entreprise qui souhaite tout de même contribuer à l'amélioration des modèles doit l'accepter explicitement, projet par projet, depuis le tableau de bord de l'API.

Ce régime diffère nettement de celui des comptes grand public. Le centre d'aide d'OpenAI le confirme sans détour : le contenu soumis par les utilisateurs de ChatGPT gratuit ou Plus peut, selon les paramètres choisis, servir à améliorer les modèles. Les comptes professionnels gérés, eux, échappent à cette logique par défaut.

Chiffrement et contrôle des accès

Toutes les données, qu'elles soient au repos ou en transit, sont chiffrées selon des standards précis : AES-256 pour le stockage, TLS 1.2 ou supérieur pour les échanges entre le client, OpenAI et ses prestataires. Les entreprises disposent en plus d'une authentification SAML SSO, d'une gestion SCIM des comptes et, pour les forfaits Enterprise et Edu, d'une liste blanche d'adresses IP qui limite les connexions aux seules IP approuvées.

Résidence des données et conformité

Les clients éligibles à ChatGPT Enterprise, ChatGPT Edu, ChatGPT for Healthcare et à l'API peuvent choisir où leurs données sensibles sont stockées au repos. OpenAI propose dix zones : États-Unis, Europe, Royaume-Uni, Japon, Canada, Corée du Sud, Singapour, Australie, Inde et Émirats arabes unis, afin de répondre aux exigences locales de souveraineté des données. Les organisations définissent également elles-mêmes la durée de conservation de leurs données sur ChatGPT Enterprise, ChatGPT for Healthcare et ChatGPT Edu.

Les exceptions à connaître avant de signer

Le principe de non-entraînement par défaut comporte des nuances qu'une direction des systèmes d'information a intérêt à vérifier avant de déployer l'outil à grande échelle.

Le partage volontaire de feedback et de données d'affinage

Le centre d'aide d'OpenAI détaille un mécanisme de partage optionnel : une organisation peut choisir, au niveau du projet ou de l'organisation, de transmettre à OpenAI des retours, des données d'évaluation, des données d'affinage, ou des entrées et sorties API. Ces données servent alors à « identifier les schémas d'utilisation, mesurer la qualité des modèles et orienter l'évaluation et l'entraînement futurs ». Seul le propriétaire de l'organisation peut activer cette option, et les comptes ayant opté pour la politique de non-conservation des données en sont exclus. OpenAI rappelle aussi que l'entreprise qui partage ces données doit disposer des autorisations nécessaires et ne doit pas y inclure d'informations sensibles ou confidentielles.

Les classificateurs automatisés restent actifs

Même sans entraînement, OpenAI précise pouvoir traiter les données d'entreprise à l'aide de classificateurs de contenu et d'outils de sécurité automatisés, « notamment pour mieux comprendre comment nos services sont utilisés ». Les classifications produites sont des métadonnées, pas le contenu original, mais cela signifie qu'un traitement automatisé continue de s'exercer sur les flux, même dans les offres professionnelles les plus protégées.

Les outils grand public obéissent à une autre logique

Toute entreprise qui laisse ses salariés utiliser un compte ChatGPT personnel plutôt qu'un compte géré change de régime sans forcément le savoir. Dans ce cas, les contrôles d'entreprise (SSO, résidence des données, non-entraînement par défaut) ne s'appliquent pas, et c'est la politique grand public, plus permissive sur l'usage des contenus, qui prévaut.

Ce que change l'agent Data et la base de connaissances de l'entreprise

Deux nouveautés récentes modifient la façon dont les données de l'entreprise circulent à l'intérieur de ChatGPT. Début octobre 2026, OpenAI a présenté un agent Data dans ChatGPT Work, capable de se connecter directement à des entrepôts de données comme Amazon Redshift, Google BigQuery, Snowflake, Databricks, ClickHouse ou MongoDB, ainsi qu'à des fichiers hébergés sur Google Drive ou SharePoint, pour produire des tableaux de bord interactifs à partir de simples demandes en langage naturel.

Parallèlement, la fonction Base de connaissances de l'entreprise, disponible pour les forfaits Business, Enterprise et Edu, agrège le contexte issu d'applications connectées comme Slack, SharePoint, Google Drive ou GitHub. OpenAI insiste sur un point de contrôle d'accès : ChatGPT n'accède qu'aux ressources que l'utilisateur est déjà autorisé à consulter dans ces outils, et les administrateurs peuvent définir des rôles et des permissions par groupe. Ces deux fonctions élargissent mécaniquement la surface de données que ChatGPT manipule, même si OpenAI répète que l'entraînement des modèles sur ces contenus reste exclu par défaut.

Pour comparer ce type de connecteurs à l'offre concurrente, notre guide sur les intégrations de Claude dans Slack et Teams détaille une approche différente de l'accès aux données internes.

Comparatif des offres et de leur traitement des données

Les risques qui demeurent malgré les engagements

Les garanties contractuelles n'éliminent pas les incidents opérationnels. OpenAI a reconnu avoir publié par erreur 53 images d'utilisateurs et laissé ses agents accéder à des sites fédéraux sans autorisation prévue. Des chercheurs ont par ailleurs démontré qu'il était possible d'accéder à des comptes ChatGPT d'employés d'OpenAI en exploitant un modèle concurrent, preuve que la sécurité périmétrique n'est jamais acquise définitivement. Enfin, certaines conversations ChatGPT passent par une relecture humaine assurée par des prestataires dans le cadre du « Projet Lily » : un réglage permet d'y échapper, mais il est activé par défaut dans le sens inverse de ce que beaucoup d'utilisateurs imaginent.

À cela s'ajoute la dépendance commerciale : selon le rapport annuel (formulaire 10-K) déposé par Microsoft auprès de la SEC en juillet 2026, OpenAI a généré 24,1 milliards de dollars de chiffre d'affaires pour Microsoft sur l'exercice clos le 30 juin 2026, soit 7,26 % du chiffre d'affaires total de 331,8 milliards de dollars du groupe. Une partie de l'infrastructure qui héberge les données d'entreprise d'OpenAI repose donc directement sur l'écosystème Azure de Microsoft, ce qui pose la question de la chaîne de sous-traitance pour les clients les plus sensibles à la souveraineté numérique.

Côté croissance, OpenAI indique dans son communiqué du 6 octobre 2026 que les entreprises représentent désormais plus de 40 % de son chiffre d'affaires et devraient atteindre la parité avec le grand public d'ici fin 2026. Un signe que les données professionnelles pèsent de plus en plus lourd dans les flux traités par l'entreprise, même si leur traitement reste, sur le papier, distinct de celui du grand public.

Les points de vigilance à vérifier avant tout déploiement

Pour une direction informatique qui s'apprête à généraliser ChatGPT, une liste de contrôle minimale s'impose :

• Vérifier que le forfait souscrit est bien Business, Enterprise, Edu ou for Healthcare, et non des comptes individuels payés par carte bancaire personnelle.
• Désactiver explicitement toute option de partage de feedback ou de données d'affinage si l'entreprise manipule des informations confidentielles.
• Choisir une zone de résidence des données cohérente avec les obligations réglementaires du secteur (santé, finance, secteur public).
• Configurer la liste blanche d'adresses IP et le SSO pour limiter les accès aux seuls postes autorisés.
• Définir une politique de conservation adaptée, y compris l'option de non-conservation sur l'API pour les traitements les plus sensibles.
• Former les équipes à distinguer un compte ChatGPT personnel d'un compte géré par l'organisation, la différence de régime de données étant invisible à l'écran.

Pour situer ces enjeux dans le reste de l'actualité OpenAI, notre récapitulatif du DevDay avec plus de 20 annonces revient sur les outils présentés fin septembre 2026, et notre analyse de la valorisation à 852 milliards de dollars explique pourquoi la pression commerciale sur les comptes entreprise ne cesse de croître.

Questions fréquentes

OpenAI utilise-t-elle mes données pour entraîner ses modèles ?

Par défaut, non, pour les espaces de travail ChatGPT Business, Enterprise, Edu, for Healthcare et pour la plateforme API. Seul un partage explicite, activé volontairement par le propriétaire de l'organisation, change cette règle.

Qui est propriétaire des réponses générées par ChatGPT en entreprise ?

Selon OpenAI, l'organisation conserve tous les droits sur les saisies et les sorties générées, dans la mesure permise par la loi. OpenAI ne conserve que les droits strictement nécessaires pour fournir le service.

Peut-on choisir où sont stockées les données de l'entreprise ?

Oui, pour les clients éligibles de ChatGPT Enterprise, Edu, for Healthcare et de l'API, parmi dix zones géographiques incluant l'Europe, le Royaume-Uni et le Canada.

Les conversations ChatGPT entreprise sont-elles lues par des humains ?

OpenAI maintient un dispositif de relecture humaine via des prestataires dans certains cas, avec un réglage pour l'éviter, activé par défaut dans un sens qui n'empêche pas automatiquement cette relecture.

Un compte ChatGPT personnel offre-t-il les mêmes protections qu'un compte entreprise ?

Non. Le centre d'aide d'OpenAI distingue explicitement le traitement des comptes grand public, où le contenu peut servir à améliorer les modèles selon les paramètres, de celui des espaces de travail gérés par une organisation.