ChatGPT en entreprise

Risque de base

Faible 10

• Éditeur américain (États-Unis), soumis au Cloud Act +10

Avant de savoir comment vos équipes s'en servent. Dans Lanterne, il monte avec les comptes personnels, les données sensibles confiées, les droits accordés et le nombre de personnes, et descend quand l'entreprise l'autorise et l'encadre.

Ce que nous recommandons

• OpenAI vend une offre entreprise : la préférer aux comptes personnels, l'autoriser dans la charte, et vérifier ses conditions (entraînement sur vos données, conservation, hébergement).

Ce que disent les conditions de l'éditeur

• Certifications · Entreprise : ChatGPT Enterprise, Business et la plateforme API ont passé un audit SOC 2 Type 2.
  La page sur la résidence cite aussi CSA STAR. source, lue le 23 octobre 2026
• Contrat de traitement (DPA) · Équipe : OpenAI propose un accord de traitement des données (DPA) pour ChatGPT Business, ChatGPT Enterprise et l'API, à demander par formulaire. source, lue le 23 octobre 2026
• Hébergement · Entreprise : Résidence des données au repos en Europe (et dans d'autres régions) pour les nouveaux espaces ChatGPT Enterprise et Edu et les projets API éligibles.
  Depuis le 16 janvier 2026, inférence intra-régionale aux États-Unis ou en Europe pour les clients Enterprise éligibles. ChatGPT Business n'est pas cité. source, lue le 23 octobre 2026
• Durée de conservation · API : Saisies et sorties de l'API conservées au plus 30 jours (fourniture du service, détection des abus), puis supprimées ; conservation nulle (ZDR) possible sur demande.
  Certains points de terminaison font exception, selon la documentation de la plateforme. source, lue le 23 octobre 2026
• Durée de conservation · Entreprise : Les administrateurs fixent la durée de conservation ; les conversations supprimées sont effacées sous 30 jours, sauf obligation légale.
  Pour Business, même délai de 30 jours, avec en plus une exception pour la protection des services ou des tiers. source, lue le 23 octobre 2026
• Connexion unique (SSO) · Entreprise : Authentification SAML SSO annoncée dans les engagements des offres entreprise.
  La page ne précise pas offre par offre si Business y a droit. source, lue le 23 octobre 2026
• Entraînement sur vos données · API : Les données de la plateforme API (après le 1er mars 2023) ne servent pas à l'entraînement par défaut, sauf adhésion explicite.
  Le propriétaire d'une organisation API peut activer le partage de données. source, lue le 23 octobre 2026
• Entraînement sur vos données · Entreprise : Par défaut, les données de ChatGPT Enterprise ne servent pas à entraîner les modèles, sauf adhésion explicite au partage. source, lue le 23 octobre 2026
• Entraînement sur vos données · Gratuite : Les contenus des offres individuelles (Free, Plus, Pro) peuvent servir à entraîner les modèles ; désactivable via « Améliorer le modèle pour tous » ou le Privacy Portal.
  Même après désactivation, une conversation sur laquelle on donne un avis (pouce haut ou bas) peut être utilisée en entier. Les discussions temporaires ne servent pas à l'entraînement. source, lue le 23 octobre 2026
• Entraînement sur vos données · Individuelle payante : Plus et Pro suivent la règle des offres individuelles : contenus utilisables pour l'entraînement par défaut, avec possibilité de refuser dans les paramètres. source, lue le 23 octobre 2026
• Entraînement sur vos données · Équipe : Par défaut, les saisies et sorties de ChatGPT Business ne servent pas à entraîner les modèles, sauf adhésion explicite au partage.
  ChatGPT Business est l'ancienne offre Team. source, lue le 23 octobre 2026

Comment Lanterne le repère

• Dans le navigateur, par le réseau (DNS, proxy, pare-feu) : chatgpt.com, chat.openai.com, oaiusercontent.com.
• Sur les notes de frais et relevés de carte, à son libellé.
• Quand il est autorisé avec un compte Microsoft ou Google, ou installé comme extension.
• Par le questionnaire anonyme, qui dit à quoi il sert et avec quelles données.