ChatGPT, Copilot, Gemini : quelle offre pour vos données ?

Contrat, entraînement, conservation, hébergement : ce que prévoient réellement les offres personnelles et professionnelles de quatre assistants courants en entreprise.

À jour au 17 septembre 2026 — AI Act & PME

Aucun assistant d’IA n’est « conforme au RGPD » en soi. C’est l’usage qu’en fait votre entreprise qui l’est, ou non. Pour des données personnelles, deux questions viennent en premier : l’éditeur signe-t-il avec vous un accord de traitement des données qui le place en sous-traitant, et vos contenus sont-ils exclus de l’entraînement de ses modèles ? D’après les pages consultées, les offres professionnelles d’OpenAI, Microsoft, Google et Mistral AI prévoient un tel accord ; l’exclusion de l’entraînement est acquise par défaut chez les trois premiers et dans l’offre Enterprise de Mistral, tandis que dans l’offre Team l’administrateur peut la désactiver. Les comptes personnels ne prévoient pas d’accord de traitement avec l’entreprise.

Check-list gratuite. Faites le point en 15 minutes sur les 10 points AI Act et RGPD à vérifier dans votre PME. Ouvrir la check-list →

Le principe : c’est votre usage qui est conforme, pas l’outil

Quand un salarié colle un CV, un courriel client ou un tableau RH dans un assistant, votre entreprise traite des données personnelles. Elle en est le responsable de traitement : c’est elle qui décide pourquoi et comment ces données sont utilisées.

L’éditeur, lui, peut être (plus rarement, responsable conjoint avec vous) :

Sous-traitant. Il traite les données uniquement pour votre compte et selon vos instructions. L’article 28 du RGPD impose alors un contrat qui fixe ses obligations. Les éditeurs l’appellent souvent DPA (Data Processing Agreement ou Addendum), en français « accord de traitement des données ».
Responsable de traitement pour ses propres fins. C’est la situation d’un compte personnel : l’éditeur applique sa politique de confidentialité grand public et peut, selon les réglages, réutiliser les conversations pour améliorer ses modèles.

D’une offre à l’autre, cinq points changent réellement :

Le contrat : un accord de traitement des données est-il proposé ?
L’entraînement : vos contenus servent-ils à améliorer les modèles par défaut ?
La conservation : combien de temps les conversations sont-elles gardées, et qui peut les supprimer ?
La localisation : les données peuvent-elles rester en Europe, et comment sont encadrés les transferts, c’est-à-dire les envois de données vers un pays hors de l’Union ?
L’administration : l’entreprise contrôle-t-elle les comptes (authentification unique, dite SSO), les droits et les journaux d’activité ?

Le document est gratuit. Vous n’avez pas à le rédiger. Le modèle de politique d’usage de l’IA reprend les neuf clauses d’une politique d’usage, déjà rédigées. Vous saisissez votre raison sociale, vos outils autorisés et votre responsable désigné ; le document se met en forme, vous l’imprimez ou vous l’enregistrez en PDF. Sans installation, sans compte à créer.

Essayer le modèle — remplir et voir le document →

ou recevoir le modèle complet, gratuitement

Gratuit. Une adresse email suffit pour le recevoir.

Ce que disent les éditeurs

Les constats ci-dessous reprennent les pages officielles des éditeurs, consultées le 17 septembre 2026 sauf mention contraire. Ces conditions changent souvent, et deux assistants ont récemment changé de nom.

OpenAI : ChatGPT

Les pages d’OpenAI bloquent les accès automatisés. Nous les avons lues dans leurs dernières copies archivées (Internet Archive), datées du 29 juillet au 15 septembre 2026.

Offres personnelles (Free, Go, Plus, Pro). Selon l’aide d’OpenAI, le partage des données pour l’entraînement y est « activé par défaut ». L’utilisateur peut le couper dans Paramètres, Contrôles des données, « Améliorer le modèle pour tout le monde ». Le réglage vaut pour les nouvelles conversations. Une conversation temporaire ne sert pas à l’entraînement, mais une copie peut être gardée jusqu’à 30 jours. Pour l’Europe, OpenAI Ireland est responsable de traitement.
ChatGPT Business (ex-Team), Enterprise et Edu. OpenAI indique ne pas entraîner ses modèles sur ces données par défaut. Il propose un accord de traitement des données pour Business, Enterprise et l’API (accès technique pour les développeurs) ; son DPA le qualifie de sous-traitant. Les conversations supprimées sont effacées de ses systèmes sous 30 jours, sauf obligation légale ou nécessité de protéger ses services. Côté administration, les administrateurs Business peuvent consulter, exporter et supprimer les conversations de l’espace ; Enterprise ajoute une API de conformité.
Données en Europe. La page dédiée réserve la résidence des données (Europe comprise) aux « nouveaux clients » ChatGPT Enterprise et Edu éligibles, et aux clients API éligibles. ChatGPT Business n’y est pas mentionné. Même activée, elle porte sur le stockage ; le traitement par les modèles en Europe est une option distincte, et les métadonnées et intégrations externes sont exclues.
API. Pas d’entraînement depuis le 1^er mars 2023, sauf accord explicite ; conservation en principe jusqu’à 30 jours contre les abus.

Microsoft : Copilot

Attention aux noms. Microsoft 365 Copilot s’appelle désormais Microsoft Copilot, et Microsoft 365 Copilot Chat s’appelle Microsoft Copilot Chat. L’application grand public porte aussi le nom de Microsoft Copilot. Seul compte le type de compte utilisé.

Avec un compte Microsoft personnel. L’usage relève du contrat de services Microsoft et des conditions d’utilisation de Copilot, sans accord de traitement avec votre entreprise. Pour la nouvelle application, disponible depuis le 18 août 2026, Microsoft écrit que les prompts, réponses et fichiers ne servent pas à entraîner les modèles de fondation, c’est-à-dire les grands modèles généraux. L’ancienne FAQ, qui ne vaut que pour l’ancienne version, prévoyait un entraînement sauf opposition et une conservation de 18 mois. Vérifiez donc quelle version vos salariés utilisent.
Avec un compte professionnel (Microsoft Entra ID). Microsoft Copilot et Copilot Chat bénéficient de la « protection des données d’entreprise » : ils relèvent du Microsoft Products and Services Data Protection Addendum (version de mai 2026), Microsoft agissant comme sous-traitant. Prompts et réponses ne servent pas à entraîner les modèles de fondation. Les administrateurs fixent la conservation (Microsoft Purview) et peuvent auditer les interactions.
Données en Europe. Pour les utilisateurs de l’Union, Microsoft indique que le trafic reste dans l’« EU Data Boundary », son périmètre de stockage et de traitement européen. Deux exceptions sont écrites noir sur blanc : les requêtes de recherche web envoyées à Bing, pour lesquelles Microsoft est responsable de traitement indépendant, et les modèles d’Anthropic, actuellement exclus de ce périmètre.

Google : Gemini

Application Gemini avec un compte Google personnel. Dans l’Espace économique européen, le service est fourni par Google Ireland, qui applique sa notice de confidentialité grand public (mise à jour le 29 juin 2026). Si le réglage « Conserver l’activité » (Keep Activity), activé par défaut pour les plus de 18 ans, reste actif, l’activité sert à améliorer les services de Google, « y compris l’entraînement de modèles d’IA générative », avec relecture humaine d’une partie des conversations. L’activité est supprimée automatiquement après 18 mois par défaut. Les conversations relues par des humains sont conservées jusqu’à trois ans, même si vous supprimez votre activité. Réglage désactivé, les conversations restent 72 heures sur le compte. Google demande de ne pas saisir d’informations confidentielles.
Gemini dans Google Workspace (Business, Enterprise, Education). L’application Gemini est un service principal de Workspace, activé par défaut et désactivable par l’administrateur. Les prompts sont des données client régies par le Cloud Data Processing Addendum, qui qualifie Google de sous-traitant. Google s’engage à ne pas relire vos contenus ni les utiliser pour l’entraînement hors de votre domaine sans votre permission. Pour l’application Gemini, les administrateurs choisissent la durée de conservation (3, 18 ou 36 mois, 18 par défaut) et disposent de journaux d’audit.
Données en Europe. Les régions de données de Workspace (États-Unis ou Europe) couvrent désormais les prompts et réponses de l’application Gemini et de Gemini dans Workspace. Elles ne sont disponibles que dans certaines éditions, par exemple Business Standard et Business Plus, pas Business Starter. Selon l’édition, elles couvrent le stockage seul ou aussi le traitement.

Mistral AI : Le Chat, devenu Vibe

Le 12 août 2026, Mistral AI a renommé Le Chat en Vibe, avec les mêmes comptes, offres et conversations. Être une société française ne rend pas un usage conforme : seul compte le contrat.

Offres personnelles. Les conditions consommateurs visent un usage personnel. Selon l’aide de Mistral, les entrées et sorties servent par défaut à entraîner les modèles, sauf si l’utilisateur s’y oppose dans ses paramètres. Selon sa politique de confidentialité, les conversations sont conservées jusqu’à leur suppression ou celle du compte.
Offres Team et Enterprise. Les conditions commerciales prévoient qu’un accord de traitement des données s’applique quand Mistral traite des données pour le compte du client. Ce DPA (en vigueur depuis le 27 juillet 2026) place Mistral en sous-traitant, mais l’autorise à agir en responsable de traitement pour entraîner ses modèles « sauf si le client s’y est opposé », et pour exploiter les retours « pouce levé ou baissé ». D’après l’aide, seule l’offre Enterprise exclut l’entraînement par défaut ; en Team, l’administrateur peut le désactiver pour toute l’organisation. Team et Enterprise permettent le SSO et la gestion des utilisateurs.
Données en Europe. Mistral indique que les données sont hébergées par défaut dans l’Union européenne, mais peuvent être transférées temporairement hors de l’Union selon les fonctionnalités, avec des clauses contractuelles types.
Un point flou. Les conditions consommateurs renvoient aux conditions commerciales en cas d’usage professionnel, et la politique de confidentialité ne s’applique pas aux données traitées dans le cadre de votre activité, Mistral étant alors sous-traitant. Aucune page consultée ne dit comment ces règles s’appliquent à un abonnement Pro souscrit pour l’entreprise. Posez la question par écrit.

Le tableau comparatif

Chaque cellule résume une page officielle datée (voir les sources). « Non précisé » signifie que nous n’avons trouvé aucun engagement écrit, pas que la réponse est négative.

Offre	Accord de traitement (DPA)	Entraînement sur vos contenus par défaut	Données en Europe possible	Source consultée
ChatGPT personnel (Free, Go, Plus, Pro)	Non : politique de confidentialité grand public (OpenAI Ireland responsable de traitement)	Oui, désactivable	Non précisé	Aide OpenAI, politique Europe (24 août 2026)
ChatGPT Business / Enterprise	Oui, OpenAI sous-traitant	Non	Enterprise et Edu : stockage en Europe pour les nouveaux clients éligibles, traitement en Europe en option. Business : non mentionné	Enterprise privacy (8 janvier 2026), DPA (1^er janvier 2026), aide résidence
Copilot avec compte Microsoft personnel	Non : contrat de services Microsoft	Nouvelle application : non. Ancienne version : oui, désactivable	Non précisé	Support Microsoft, Copilot for individuals et ancienne FAQ
Microsoft Copilot / Copilot Chat (compte Entra ID)	Oui, Microsoft sous-traitant	Non	Oui (EU Data Boundary), hors recherche web et modèles d’Anthropic	Microsoft Learn (18 et 24 août 2026), DPA (mai 2026)
Application Gemini, compte personnel	Non : notice de confidentialité grand public	Oui (« Keep Activity », désactivable)	Non précisé	Gemini Apps Privacy Hub (10 août 2026)
Gemini dans Google Workspace	Oui, Cloud Data Processing Addendum, Google sous-traitant	Non, sans votre permission	Oui, selon l’édition (pas Business Starter)	Workspace Privacy Hub (14 août 2026), régions de données (16 septembre 2026)
Le Chat / Vibe personnel	Non : conditions consommateurs (usage personnel)	Oui, désactivable	Oui, hébergement UE par défaut, transferts possibles	Aide Mistral (août-septembre 2026), conditions consommateurs (7 août 2026)
Le Chat / Vibe Team ou Enterprise	Oui, Mistral sous-traitant, responsable pour l’entraînement si non désactivé	Team : non précisé par défaut, désactivable par l’administrateur. Enterprise : non	Oui, hébergement UE par défaut, transferts possibles	DPA (27 juillet 2026), conditions commerciales (5 août 2026)

Transferts hors UE : où en est le cadre UE–États-Unis ?

Deux mécanismes sont le plus souvent utilisés pour les transferts vers les États-Unis.

La décision d’adéquation du 10 juillet 2023, dite Data Privacy Framework. Elle permet les transferts vers les entreprises américaines certifiées sans garanties supplémentaires. Le 3 septembre 2025, le Tribunal de l’Union européenne a rejeté le recours de M. Latombe qui en demandait l’annulation (affaire T-553/23). Un pourvoi devant la Cour de justice a été signalé (affaire C-703/25 P) ; à notre connaissance, il n’a pas encore été jugé. Vérifiez l’état de la procédure avant de vous appuyer sur ce seul mécanisme.
Les clauses contractuelles types adoptées par la Commission, que les DPA d’OpenAI, de Google et de Mistral mentionnent comme solution de transfert.

Une option « données en Europe » réduit les transferts sans les supprimer : chaque éditeur liste des exceptions.

Ce que dit la CNIL

Dans ses questions-réponses sur l’utilisation d’un système d’IA générative (18 juillet 2024), la CNIL recommande de :

clarifier le rôle de l’éditeur et signer, le cas échéant, un contrat de sous-traitance, en encadrant les transferts hors de l’Union ;
limiter les services grand public aux usages non confidentiels, avec des adresses professionnelles dédiées et, le cas échéant, la réutilisation des données désactivée ;
interdire par une charte la saisie de certaines données, personnelles ou confidentielles, en analysant au cas par cas ce que l’éditeur peut réutiliser ;
associer le délégué à la protection des données et, le cas échéant, réaliser une analyse d’impact (AIPD).

Nous n’avons pas identifié de publication plus récente de la CNIL modifiant ces recommandations.

Et l’AI Act ?

Pour un usage courant de ces assistants (rédaction, synthèse, traduction), deux points sont à connaître. D’autres règles peuvent s’appliquer à des usages sensibles, par exemple le tri de candidatures, qui relève des systèmes à haut risque (obligations applicables à partir du 2 décembre 2027).

La maîtrise de l’IA (article 4). Depuis le règlement (UE) 2026/1744, entré en vigueur le 27 juillet 2026, les déployeurs doivent « prendre des mesures pour favoriser » la maîtrise de l’IA de leur personnel, sans être tenus de garantir un niveau précis. La Commission et les États membres doivent les y aider. Informer les utilisateurs des limites des outils et des données à ne pas saisir est l’une de ces mesures, que la CNIL recommande aussi.
Les contenus diffusés (article 50). Un hypertrucage (image, son ou vidéo réaliste généré ou modifié par IA) doit être signalé comme tel. Un texte généré par IA et publié pour informer le public sur des questions d’intérêt public doit aussi l’être, sauf s’il a fait l’objet d’une relecture humaine ou d’un contrôle éditorial et qu’une personne, physique ou morale, assume la responsabilité éditoriale de la publication.

Le choix de l’offre relève, lui, du RGPD.

Les 6 questions à poser avant d’autoriser un outil

Qui signe ? Le compte est-il ouvert au nom de l’entreprise, avec un accord de traitement des données accepté ou signé ?
Vos contenus servent-ils à l’entraînement ? Quel est le réglage par défaut, et qui peut le modifier : l’administrateur ou chaque utilisateur ?
Combien de temps sont-ils gardés ? Pouvez-vous fixer la durée et supprimer une conversation ?
Où sont-ils traités ? Une option européenne existe-t-elle pour votre édition, et quelles exceptions liste-t-elle ?
Qui contrôle les comptes ? SSO, désactivation d’un compte au départ d’un salarié, journaux d’activité.
Quelles fonctions sortent du contrat ? Recherche web, connecteurs, agents, modèles tiers : chacun peut relever de conditions différentes.

Ce qu’il ne faut pas en conclure

Qu’une offre professionnelle rend un usage conforme : il faut toujours informer les personnes, tenir le registre et limiter les données saisies.

Qu’un outil désactivé pour l’entraînement ne conserve rien : la plupart gardent des données, au moins temporairement, pour la sécurité ou la détection des abus.

Qu’un éditeur européen dispense de lire le contrat, ou qu’un éditeur américain est interdit.

Que ce tableau vaudra dans six mois : les noms et les conditions changent vite.

Ce que la loi n’exige pas

Un hébergement en Europe. Le RGPD autorise les transferts hors de l’Union s’ils sont encadrés, par une décision d’adéquation ou des clauses contractuelles types par exemple.
Une « certification RGPD » de l’outil. Aucune ne dispense l’entreprise de ses propres obligations.
Une interdiction des comptes gratuits. Le RGPD ne l’impose pas. Pour des usages non confidentiels, la CNIL indique qu’un service grand public « pourra être envisagé[e] avec des garanties appropriées » : adresses professionnelles dédiées et, le cas échéant, réutilisation des données désactivée.
Une analyse d’impact systématique. Elle s’impose quand le traitement est susceptible d’engendrer un risque élevé, par exemple pour évaluer ou trier des candidats ou des salariés ; pas pour chaque usage d’un assistant.
Une mention « généré par IA » sur tous vos documents internes. L’article 50 vise les hypertrucages et les textes publiés pour informer le public sur des questions d’intérêt public.

Le modèle de politique d’usage — gratuit

Les neuf clauses d’une politique d’usage de l’IA, déjà rédigées. Vous saisissez votre raison sociale, vos outils autorisés et votre responsable désigné ; le document se met en forme, vous l’imprimez ou vous l’enregistrez en PDF. Sans installation, sans compte à créer.

Le modèle de politique d’usage de l’IA : formulaire à gauche, document généré à droite — Vous remplissez la colonne de gauche ; le document se compose à droite, prêt à imprimer.

Voir le modèle — gratuit →

Gratuit. Une adresse email suffit pour le recevoir.

Le kit de conformité — 199 €

Pour garder la trace de ces vérifications, le kit propose notamment un modèle de registre des systèmes d’IA au texte fixe, où vous notez vous-même chaque outil et son offre, et un modèle de politique d’usage qui liste les outils autorisés.

Vous renseignez votre raison sociale et la liste de vos outils. Vous choisissez vous-même la catégorie de risque de chaque usage — interdit, haut risque, risque limité, risque minimal, ou « Je ne sais pas encore — à faire vérifier » — à l’aide d’un rappel des règles. Le kit met ensuite en forme votre politique d’usage de l’IA dont les neuf clauses sont complétées avec les informations que vous avez saisies, votre registre des systèmes d’IA, votre journal des usages sensibles et votre note d’information au personnel.

Obtenir le kit →

Pas encore prêt ? Faites l’auto-diagnostic en 3 minutes ou commencez par la check-list AI Act gratuite : 10 points à vérifier en 15 minutes.

La newsletter. Un numéro tous les quinze jours : une question de conformité IA traitée avec les textes applicables et leurs dates, chaque affirmation sourcée. Gratuite, sans publicité. Lire le premier numéro — « Le premier risque de l’IA en entreprise n’est pas européen ».

Sources

Google — Gérer l’activité dans les applications Gemini (page consultée le 17 septembre 2026)
Règlement (UE) 2016/679 (RGPD), articles 28, 35 et 44 à 46 ; règlement (UE) 2024/1689, articles 4 et 50, modifié par le règlement (UE) 2026/1744
OpenAI — Enterprise privacy (mise à jour le 8 janvier 2026 ; copie archivée du 15 septembre 2026)
OpenAI — Désactiver l’entraînement en gardant l’historique (copie archivée du 14 septembre 2026)
OpenAI — FAQ des conversations temporaires (copie archivée du 15 septembre 2026)
OpenAI — Résidence des données pour ChatGPT (copie archivée du 29 juillet 2026)
OpenAI — Politique de confidentialité Europe (mise à jour le 24 août 2026 ; copie archivée du 11 septembre 2026)
OpenAI — Data Processing Addendum (en vigueur le 1^er janvier 2026 ; copie archivée du 7 septembre 2026)
OpenAI — Contrôle des données de l’API (consultée le 17 septembre 2026)
Microsoft — Enterprise data protection in Microsoft Copilot and Copilot Chat (mise à jour le 18 août 2026)
Microsoft — Data, Privacy, and Security for Microsoft Copilot (mise à jour le 18 août 2026)
Microsoft — Copilot Chat Privacy and Protections (mise à jour le 24 août 2026)
Microsoft — Products and Services Data Protection Addendum (version de mai 2026)
Microsoft — Copilot for individuals : your activity history et Privacy FAQ for Microsoft Copilot (ancienne version) (consultées le 17 septembre 2026)
Google — Gemini Apps Privacy Hub (mis à jour le 10 août 2026)
Google — Generative AI in Google Workspace Privacy Hub (mis à jour le 14 août 2026)
Google — Data covered by data regions (mise à jour le 16 septembre 2026)
Google — Cloud Data Processing Addendum (consulté le 17 septembre 2026)
Mistral AI — Le Chat is now Vibe et Can I opt out of training? (consultées le 17 septembre 2026)
Mistral AI — Where do you store my data? (consultée le 17 septembre 2026)
Mistral AI — Data Processing Addendum (en vigueur le 27 juillet 2026), Commercial Terms of Service (5 août 2026), conditions consommateurs EEE (7 août 2026), Privacy Policy (3 septembre 2026)
CNIL — Questions-réponses sur l’utilisation d’un système d’IA générative (18 juillet 2024)
Commission européenne — Décision d’adéquation UE–États-Unis (10 juillet 2023)
CJUE — Communiqué de presse n° 106/25, affaire T-553/23, Latombe/Commission (3 septembre 2025)
Commission européenne — AI Omnibus enters into force (27 juillet 2026) et AI Act Service Desk — article 50

Rédigé par Adrien Bano, fondateur d’IA en Règle. Nous ne sommes pas avocats : cet article a été préparé avec l’aide d’outils d’IA et vérifié sur les textes officiels cités.

Cet article a un but d’information générale, établi d’après les textes et les conditions des éditeurs consultés le 17 septembre 2026 ; il ne constitue ni un conseil juridique ni une recommandation d’achat. Les conditions des éditeurs évoluent : vérifiez-les avant de choisir.

Rechercher dans ce blog

IA en Règle