Données clients dans un assistant IA : permis ou non ?
« L’AI Act est reporté », avez-vous lu partout cet été. L’IA et la vie privée, ce serait donc un souci pour plus tard. Ce n’est qu’à moitié vrai : la partie reportée ne touche pas la plupart des PME, et ce qui vous concerne s’applique tout simplement. Plus important encore : le plus grand risque ne se niche pas dans la loi, mais dans le type de compte avec lequel vos collaborateurs travaillent dans ChatGPT, Claude ou Gemini. Qui colle des données clients dans un chatbot depuis un compte gratuit ou personnel a déjà un problème aujourd’hui. Qui configure correctement la version professionnelle peut utiliser l’IA l’esprit tranquille.
« L’AI Act est reporté » n’est qu’à moitié vrai
Le 24 juillet 2026, le fameux « Digital Omnibus on AI » paraissait au Journal officiel sous la forme du règlement (UE) 2026/1744, en vigueur depuis le 27 juillet 2026. Il décale une bonne partie du règlement européen sur l’IA (AI Act) : les systèmes à haut risque indépendants, comme l’IA utilisée pour le recrutement et la sélection, devaient être en règle pour le 2 août 2026 et obtiennent désormais un délai jusqu’au 2 décembre 2027 ; l’IA intégrée dans des produits réglementés, jusqu’au 2 août 2028. L’échéance du filigrane sur les médias synthétiques a elle aussi glissé au 2 décembre 2026, mais uniquement pour les systèmes déjà sur le marché avant le 2 août 2026 ; qui lance quelque chose de nouveau aujourd’hui y est soumis immédiatement.
Regardez surtout ce qui n’a pas bougé. Selon le calendrier officiel de mise en œuvre (mis à jour le 31 août 2026), les pratiques interdites et l’obligation de maîtrise de l’IA, c’est-à-dire le devoir de donner à vos collaborateurs des connaissances de base sur l’IA, s’appliquent déjà depuis le 2 février 2025. Depuis le 2 août 2025 s’appliquent les règles pour les créateurs de modèles d’IA à usage général, et depuis le 2 août 2026 l’obligation de transparence de l’article 50 : un chatbot doit faire savoir clairement que vous parlez à une IA, et le contenu généré par IA doit être reconnaissable comme tel. Si un chatbot tourne sur votre site web, cela s’applique dès aujourd’hui, report ou pas.
Et le RGPD lui-même ? Le volet de l’omnibus plus large qui devait l’assouplir n’a pas été voté ; le RGPD s’applique intégralement.
Le vrai piège se trouve dans votre compte
En pratique, les choses tournent rarement mal sur l’AI Act, mais bien sur ce qu’il advient du texte que vous introduisez. Et cela ne se décide pas à Bruxelles, mais dans votre abonnement. Les trois grands fournisseurs tracent une ligne étonnamment semblable : les comptes personnels peuvent s’entraîner sur vos conversations, les comptes professionnels ne le font pas par défaut.
| Fournisseur | Compte personnel | Compte professionnel |
|---|---|---|
| ChatGPT | Peut s’entraîner sur vos conversations ; à désactiver via « Improve the model for everyone » | Business, Enterprise et API : pas d’entraînement par défaut |
| Claude | Vous choisissez ; autorisé : conservation 5 ans, désactivé : 30 jours | Team, Enterprise et API : pas d’entraînement par défaut |
| Gemini | Avec « Keep Activity » activé : entraînement et relecture humaine possibles, conversations examinées conservées jusqu’à 3 ans | Workspace : pas d’entraînement sans autorisation |
Toutes les sources sont les fournisseurs eux-mêmes, consultées le 6 septembre 2026. À propos des comptes de particuliers, OpenAI écrit littéralement « we may use your content to train our models ». Chez Anthropic, depuis le changement de politique du 28 août 2025, c’est vous qui choisissez si vos conversations servent de matériel d’entraînement ; si vous l’autorisez, la durée de conservation est de cinq ans, si vous le désactivez, de trente jours. Team, Enterprise et l’API restent par défaut en dehors de l’entraînement. Et Google avertit lui-même, pour le Gemini gratuit, de ne pas introduire d’informations confidentielles : avec « Keep Activity » activé, les conversations peuvent servir à améliorer les modèles et une partie peut être lue par des réviseurs humains ; une fois examinées, elles restent conservées jusqu’à trois ans, même si vous les supprimez. Pour Google Workspace, la règle est encore différente : pas d’entraînement des modèles sur les données clients sans autorisation.
Le contre-argument honnête : sur un compte personnel aussi, vous pouvez désactiver l’entraînement, et un utilisateur soigneux le fait. Exact, mais cela ne résout pas trois choses. Un compte personnel ne vous donne aucun contrat de sous-traitance, le contrat que l’article 28 du RGPD impose avec toute partie qui traite des données personnelles pour votre compte. Chez Gemini, les conversations lues par des réviseurs restent de toute façon conservées jusqu’à trois ans. Et surtout : impossible pour vous de contrôler que chaque collaborateur a bien décoché cette case, et qui travaille avec son compte personnel relève de toute façon du régime consommateur, pas des garanties professionnelles pour lesquelles votre entreprise paie.
Quel assistant vous convient le mieux sur le fond, nous l’avons examiné dans notre comparatif de ChatGPT, Claude et Gemini ; pour la vie privée, la réponse est plus ennuyeuse : le bon abonnement pèse plus lourd que le bon modèle.
Ce que le RGPD exige de toute façon
Dès que des données à caractère personnel, c’est-à-dire toute information sur une personne identifiable, partent vers un service d’IA, les règles connues s’appliquent, à relire sur gdpr-info.eu. Outre le contrat de sous-traitance de l’article 28, l’article 35 exige une analyse d’impact relative à la protection des données (AIPD), une analyse de risque préalable, lorsque le traitement est susceptible d’engendrer un risque élevé, comme un profilage systématique. L’article 22 donne à chacun le droit de ne pas être soumis à une décision entièrement automatisée aux conséquences importantes ; si vous laissez l’IA prendre de telles décisions, un humain doit pouvoir intervenir. Et une fuite de données qui comporte un risque pour les personnes concernées doit, selon l’article 33, être notifiée à l’autorité de contrôle dans les 72 heures.
Chez nous, cette autorité de contrôle est l’Autorité de protection des données (APD), qui tient à jour une page thématique et des brochures sur l’IA et le RGPD. Au niveau européen, l’EDPB, la coupole des autorités de contrôle européennes, a adopté le 7 juillet 2026 des lignes directrices sur le web scraping pour l’IA générative : la ligne retenue est que le consentement n’est pas praticable à cette échelle et que l’intérêt légitime, moyennant un test strict, devient la voie principale. La consultation publique court encore jusqu’au 30 octobre 2026.
Où se trouvent vos données, et ce que vous réglez demain
Avec le bon abonnement, une question demeure : où vos données se trouvent-elles physiquement ? OpenAI propose depuis le 5 février 2025 la résidence des données en Europe pour l’API et les nouveaux espaces de travail Enterprise et Edu, et depuis le 16 janvier 2026, pour certains clients, aussi l’« inference residency », où le traitement lui-même s’effectue également en Europe. Google Workspace permet de choisir une région de stockage européenne sur la plupart des formules professionnelles. Anthropic est à la traîne : sa propre page vie privée indique laconiquement, depuis la mise à jour du 15 juin 2026, « Note that data is stored in the US », et l’hébergement européen figure sur la page de conformité comme « Coming 2026 ». Qui construit sur Claude, par exemple parce que l’API est devenue nettement moins chère pour le travail d’agents avec Fable 5.1, fera donc bien d’en tenir compte dans son analyse de risque.
Concrètement : mettez vos collaborateurs sur un abonnement professionnel ou sur l’API, avec contrat de sous-traitance, et convenez noir sur blanc que les comptes personnels ne servent pas au travail client. Vérifiez, en cas de profilage, si une AIPD s’impose, gardez un humain dans la boucle pour les décisions qui comptent vraiment, et sachez qu’une fuite de données doit être notifiée dans les 72 heures. Ceci est une mise en contexte, pas un avis juridique : pour un dossier concret, la page de l’APD est un point de départ et un spécialiste la prochaine étape. L’essentiel reste : la loi ne vous interdit pas de mettre l’IA sur du travail client, elle vous interdit de le faire négligemment. Et la différence, le plus souvent, ce n’est pas un avocat, c’est un abonnement.
