Vos données servent-elles à entraîner l’IA ?

Amélioration du service, entraînement, conservation contre les abus : trois mécanismes derrière la même phrase, et un réglage à trouver dans chaque outil.

À jour au 18 septembre 2026 — AI Act & PME

Une clause d’« amélioration du service » n’est pas toujours une clause d’entraînement, et une clause d’entraînement ne dit pas toujours son nom. Dans les deux offres professionnelles d’assistant et de suite bureautique dont nous avons ouvert les conditions, l’entraînement est écarté, mais l’engagement n’a pas la même force : Anthropic écrit « Anthropic may not train models on Customer Content from Services » (17 juin 2025), tandis que Google Workspace se réserve la réutilisation dès lors que le client a été « informé au préalable » (16 juillet 2026). Côté RGPD, la règle tient en une phrase : un fournisseur qui réutilise vos données pour son propre compte ne les traite plus pour le vôtre, et l’article 28, paragraphe 10, le considère alors comme responsable du traitement. Cela ne vous décharge de rien envers vos clients et vos salariés, qui doivent avoir été informés.

Check-list gratuite. Faites le point en 15 minutes sur les 10 points AI Act et RGPD à vérifier dans votre PME. Ouvrir la check-list →

Trois mots qu’il ne faut pas confondre

Entraîner un modèle

Entraîner, c’est intégrer vos contenus dans les données qui servent à calculer les paramètres d’un modèle. L’opération est irréversible en pratique : on ne retire pas une phrase d’un modèle comme une ligne d’une base. La CNIL le rappelle : « Un modèle d’IA est une représentation statistique des caractéristiques de la base qui a servi à l’entraîner », représentation qui peut, dans certains cas, conduire à « une divulgation de données d’entraînement ».

Attention à une variante : l’ajustement (ou fine-tuning) que vous lancez vous-même. La CNIL écrit que ses recommandations s’appliquent « au déployeur qui affine (“fine-tunes”) le système avec ses propres données, celui-ci en devenant alors responsable, y compris en tant que fournisseur au titre du règlement sur l’IA, mais seulement pour ce qui concerne cet affinage (fine-tuning) ». Selon la CNIL, une PME qui ajuste un modèle change donc de rôle, pour cet ajustement seulement.

Améliorer le service

« Améliorer le service » recouvre des opérations plus banales : mesurer quelles fonctions sont utilisées, corriger des anomalies, tester une interface. Certaines conditions distinguent les deux : la politique de confidentialité d’Anthropic du 10 septembre 2026 comporte deux lignes séparées dans son tableau des bases légales, « To improve the Services and conduct research (excluding model training) » et « (including model training) ». Quand un contrat mélange les deux, c’est le point à faire préciser par écrit.

Conserver pour détecter les abus

Troisième mécanisme, souvent oublié : la conservation des contenus pour la sécurité, la modération et le respect des conditions d’usage. Elle peut survivre à l’opposition. Anthropic précise, pour ses offres aux particuliers : « Even if you opt-out, we will use Inputs and Outputs for model improvement when: (i) your conversations are flagged for safety review […] or (ii) you’ve explicitly reported the materials to us ». Côté CRM, HubSpot indique que vos entrées et sorties d’IA, « including Customer Data », sont partagées avec ses fournisseurs d’IA tiers (16 septembre 2026). Un « non » à l’entraînement ne signifie donc jamais « rien n’est conservé ».

Le document est gratuit. Vous n’avez pas à le rédiger. Le modèle de politique d’usage de l’IA reprend les neuf clauses d’une politique d’usage, déjà rédigées. Vous saisissez votre raison sociale, vos outils autorisés et votre responsable désigné ; le document se met en forme, vous l’imprimez ou vous l’enregistrez en PDF. Sans installation, sans compte à créer.

Essayer le modèle — remplir et voir le document →

ou recevoir le modèle complet, gratuitement

Gratuit. Une adresse email suffit pour le recevoir.

Ce que disent les conditions

Ce tableau compare des types d’offres : nous ne nommons un éditeur que si nous avons ouvert sa page, à la date indiquée. Comparatif d’assistants : ChatGPT, Copilot, Gemini : quelle offre pour vos données ?

Type d’offre Réutilisation annoncée Ce qu’il faut vérifier
Offre grand public (gratuite ou payante, souscrite à titre individuel) Souvent active par défaut. Anthropic : « We may use your Inputs and Outputs to train and improve Anthropic AI models, unless you opt out through your account settings » (10 septembre 2026) Le réglage vaut-il pour les conversations passées ? Que reste-t-il malgré l’opposition ? Aucun contrat de sous-traitance n’est signé avec vous
Offre professionnelle d’un assistant Exclusion usuelle. Anthropic, conditions commerciales du 17 juin 2025 : « Anthropic may not train models on Customer Content from Services » Le texte dit-il « ne peut pas » ou « n’utilise pas actuellement » ? Couvre-t-il entrées et sorties ? Un accord de traitement (article 28) est-il joint ?
Suite bureautique Exclusion assortie d’une réserve. Google Workspace : « Google n’utilisera pas les Données client pour entraîner ni ajuster aucun de ses modèles d’intelligence artificielle générative permettant de fournir les Services d’IA générative Google Workspace sans avoir obtenu l’autorisation du Client ou l’en avoir informé au préalable » (16 juillet 2026) Une information préalable suffit-elle à ouvrir la réutilisation ? Qui, chez vous, la reçoit, et sous quel délai ?
CRM ou support client Réglages parfois actifs d’emblée : « Some HubSpot AI settings may be on by default ». Chez le même éditeur, les données de suivi et d’enrichissement alimentent son propre « commercial dataset » (16 septembre 2026) Quels réglages d’IA sont actifs dans votre compte ? Quelles données servent au fournisseur plutôt qu’à vous ?
Outil RH Point non vérifié ici : nous n’avons pas pu ouvrir de conditions d’éditeur RH Demandez le texte contractuel, pas la page commerciale. CV, évaluations et arrêts de travail sont à exclure d’abord
API (accès technique) Mêmes conditions que l’offre professionnelle : celles d’Anthropic couvrent les clés d’API Durée de conservation pour la détection d’abus ; un ajustement lancé par vous vous fait changer de rôle

RGPD : qui décide de quoi

Le fournisseur qui réutilise pour son compte change de statut

Un sous-traitant « ne traite les données à caractère personnel que sur instruction documentée du responsable du traitement » (article 28, paragraphe 3, point a). S’il s’en écarte, le paragraphe 10 tranche : « si, en violation du présent règlement, un sous-traitant détermine les finalités et les moyens du traitement, il est considéré comme un responsable du traitement pour ce qui concerne ce traitement ». Entraîner un modèle avec vos fichiers pour son propre bénéfice est une finalité propre : le fournisseur devient responsable de ce traitement. Cette bascule ne vous efface pas pour autant : vous restez responsable du choix de votre prestataire et de l’information des personnes.

Base légale : l’intérêt légitime, mais pas sans conditions

Pour entraîner, il faut une base légale. La CNIL consacre une fiche à l’intérêt légitime (19 juin 2025), « la plus couramment utilisée pour le développement de systèmes d’IA », sous trois conditions : un intérêt légitime, un traitement nécessaire, et une mise en balance qui ne porte pas « une atteinte disproportionnée aux droits et intérêts des personnes ». Son exemple vise notre sujet : un fournisseur d’agent conversationnel qui réutilise les conversations futures pour améliorer son modèle peut s’appuyer sur cette base s’il informe des risques, pseudonymise fortement, et permet de « s’opposer préalablement et de manière discrétionnaire au traitement, ainsi qu’à tout moment ultérieurement, sans que cela ne porte atteinte à l’utilisation du service ».

Retenez « préalablement » et « discrétionnaire » : la garantie recommandée par la CNIL va plus loin que l’article 21, qui n’ouvre l’opposition que « pour des raisons tenant à sa situation particulière » et laisse au responsable la possibilité de démontrer « des motifs légitimes et impérieux ». Un bouton d’opposition sans justification à fournir est un bon signal.

Informer vos clients, informer vos salariés

Si les contenus confiés à l’outil contiennent des données de vos clients ou de vos salariés, l’information leur est due par vous. Les articles 13 et 14 imposent d’indiquer les finalités et la base juridique, les destinataires, les durées, et, en cas d’intérêt légitime, « les intérêts légitimes poursuivis ». La CNIL est explicite : « une plateforme numérique souhaite réutiliser les données de ses utilisateurs pour entraîner un modèle d’IA. Elle doit les informer préalablement » (7 février 2025). Si la finalité est nouvelle, ajoutez un test de compatibilité (article 6, paragraphe 4) ; et même compatible, « une base légale valable doit toujours être identifiée et les personnes informées ».

Pour les salariés, le volet collectif s’ajoute : dans les entreprises d’au moins cinquante salariés, le comité social et économique est informé et consulté sur « l’introduction de nouvelles technologies, tout aménagement important modifiant les conditions de santé et de sécurité ou les conditions de travail » (article L. 2312-8, II, 4° du Code du travail).

Secret des affaires et confidentialité client

Le risque n’est pas que réglementaire. L’article L. 151-1 du Code de commerce protège l’information qui n’est pas « généralement connue ou aisément accessible », qui « revêt une valeur commerciale […] du fait de son caractère secret », et qui « fait l’objet de la part de son détenteur légitime de mesures de protection raisonnables ». Ce troisième critère dépend de vous : laisser un devis ou un contrat partir dans un outil dont les conditions autorisent la réutilisation affaiblit la protection le jour où vous en aurez besoin.

La CNIL le formule côté pratique : lorsque « les données sont susceptibles d’être réutilisées par le fournisseur […], l’organisme utilisateur devra mener une analyse au cas par cas pour déterminer s’il doit ou non interdire la fourniture de toute donnée personnelle, ou seulement certaines catégories ». Le prolongement contractuel est traité dans Vos prestataires utilisent l’IA : les clauses à prévoir.

AI Act : l’entraînement est d’abord l’affaire du fournisseur

Le règlement (UE) 2024/1689 ne vous impose pas de contrôler les données d’entraînement de votre outil : il fait peser ces obligations sur les fournisseurs : ceux de modèles d’IA à usage général (article 53, paragraphe 1) et, pour les systèmes à haut risque, ceux du système (article 10). Ceux-ci « mettent en place une politique visant à se conformer au droit de l’Union en matière de droit d’auteur et droits voisins » (point c) et « élaborent et mettent à la disposition du public un résumé suffisamment détaillé du contenu utilisé pour entraîner le modèle d’IA à usage général » (point d), applicables depuis le 2 août 2025 (article 113, point b). Ce résumé ne désigne pas vos fichiers, mais le modèle imposé par la Commission (24 juillet 2025) oblige l’éditeur à y déclarer si les interactions des utilisateurs avec le modèle (« user input and prompts ») ont servi à l’entraînement (section 2.4, « User data ») : c’est une pièce à demander.

Votre rôle reste celui de déployeur : l’organisme « utilisant sous sa propre autorité un système d’IA » à titre professionnel (article 3, point 4). L’article 4 vous vise directement depuis le 2 février 2025, dans sa rédaction consolidée au 27 juillet 2026 (règlement (UE) 2026/1744) : « Les fournisseurs et les déployeurs de systèmes d’IA prennent des mesures pour favoriser le développement de la maîtrise de l’IA par leur personnel et les autres personnes s’occupant du fonctionnement et de l’utilisation des systèmes d’IA pour leur compte ». Il précise que cette obligation « ne contraint pas les fournisseurs ou les déployeurs à garantir un niveau spécifique de maîtrise de l’IA par un individu ». Savoir ce que devient un document collé dans un outil fait partie de cette maîtrise.

Où regarder dans vos outils

  • Les réglages du compte. Cherchez une rubrique « contrôles des données » et un interrupteur du genre « améliorer le modèle pour tout le monde ». Notez s’il ne vaut que pour l’avenir.

  • La console d’administration. Dans les offres professionnelles, le réglage est souvent fixé à l’échelle de l’organisation : HubSpot renvoie ses clients à un article « Manage your AI settings » depuis ses conditions produit.

  • Le bon document. Chez HubSpot, la clause d’IA figure dans les Product Specific Terms, section 7, non dans l’accord de traitement. Lisez les deux.

  • La page des sous-traitants. Un éditeur qui appelle un modèle tiers ajoute un acteur à la chaîne : l’article 28, paragraphe 2, exige votre autorisation écrite, spécifique ou générale.

  • L’historique et sa durée. Séparez toujours « pas d’entraînement » de « pas de conservation ».

Les 6 vérifications avant de signer

  • 1. Quelle formulation exacte ? Relevez la phrase du contrat : « nous n’entraînons pas nos modèles sur vos données » sur une page d’aide n’est pas une clause.

  • 2. Quel périmètre ? Entrées, sorties, pièces jointes, métadonnées, intégrations : les conditions distinguent souvent ces catégories.

  • 3. Interdiction ou réglage ? Une exclusion contractuelle ne se désactive pas par erreur ; une case à cocher, oui.

  • 4. Et si l’éditeur change d’avis ? Une clause qui ouvre la réutilisation après simple information préalable suppose que quelqu’un, chez vous, lise ces courriels et réagisse à temps.

  • 5. Que reste-t-il malgré l’opposition ? Revue de sûreté, modération, journaux techniques : demandez la liste et les durées.

  • 6. Qu’écrivez-vous au registre ? Pour chaque outil : l’éditeur, l’offre, la réponse « oui / non / à confirmer » sur la réutilisation, la date de lecture des conditions, le réglage appliqué et par qui. Voir Registre des systèmes d’IA : modèle et mode d’emploi.

Idées reçues

  • « Nous avons désactivé l’entraînement, donc rien n’est conservé. » Les deux réglages sont distincts. La politique de confidentialité d’Anthropic ouverte ici prévoit des cas où des contenus restent utilisés malgré l’opposition, notamment lorsqu’ils sont signalés pour revue de sûreté ; vérifiez le point chez chaque éditeur.

  • « C’est forcément écrit dans le DPA. » Pas nécessairement : chez HubSpot, l’accord de traitement du 16 septembre 2026 ne porte pas la clause d’IA, qui figure dans un document séparé du même jour.

  • « L’AI Act nous oblige à vérifier les données d’entraînement de notre fournisseur. » Non : l’article 53 vise le fournisseur du modèle à usage général. Vous restez déployeur, et c’est l’article 4 qui vous vise sur ce terrain, dans les termes cités plus haut.

Le modèle de politique d’usage — gratuit

Les neuf clauses d’une politique d’usage de l’IA, déjà rédigées. Vous saisissez votre raison sociale, vos outils autorisés et votre responsable désigné ; le document se met en forme, vous l’imprimez ou vous l’enregistrez en PDF. Sans installation, sans compte à créer.

Le modèle de politique d’usage de l’IA : formulaire à gauche, document généré à droite
Vous remplissez la colonne de gauche ; le document se compose à droite, prêt à imprimer.

Voir le modèle — gratuit →

Gratuit. Une adresse email suffit pour le recevoir.

Le kit de conformité — 199 €

Le kit vous aide à noter au registre, pour chaque outil, si ses conditions prévoient une réutilisation des contenus, et à fixer dans votre politique d’usage ce qui ne doit jamais y être saisi.

Vous renseignez votre raison sociale et la liste de vos outils. Vous choisissez vous-même la catégorie de risque de chaque usage — interdit, haut risque, risque limité, risque minimal, ou « Je ne sais pas encore — à faire vérifier » — à l’aide d’un rappel des règles. Le kit met ensuite en forme votre politique d’usage de l’IA, dont les neuf clauses sont complétées avec les informations que vous avez saisies, votre registre des systèmes d’IA, votre journal des usages sensibles et votre note d’information au personnel.

Obtenir le kit →

Pas encore prêt ? Faites l’auto-diagnostic en 3 minutes ou commencez par la check-list AI Act gratuite : 10 points à vérifier en 15 minutes.

La newsletter. Un numéro tous les quinze jours : une question de conformité IA traitée avec les textes applicables et leurs dates, chaque affirmation sourcée. Gratuite, sans publicité. Lire le premier numéro — « Le premier risque de l’IA en entreprise n’est pas européen ».

À lire ensuite

Sources

Rédigé par Adrien Bano, fondateur d’IA en Règle. Nous ne sommes pas avocats : cet article a été préparé avec l’aide d’outils d’IA et vérifié sur les textes officiels cités.

Cet article a un but d’information générale, établi d’après les textes en vigueur au 18 septembre 2026 ; il ne constitue pas un conseil juridique.

Posts les plus consultés de ce blog

Politique d’usage de l’IA en entreprise : modèle et guide

Image
50 salariés et plus ? Autoriser ChatGPT ou Copilot, même par une simple charte informatique, peut obliger à consulter d’abord le CSE (code du travail, art. L. 2312-8). Le 21 mai 2026, la cour d’appel de Paris a confirmé la suspension d’outils d’IA, dont ChatGPT autorisé par une charte, jusqu’à cette consultation. Voir un exemple de dossier rempli (gratuit, 32 pages) → Neuf clauses, et le piège juridique qui rend la plupart de ces documents inopposables. À jour au 14 septembre 2026 — Conformité & RGPD Modèle prêt à compléter. Les neuf clauses décrites ci-dessous existent en modèle : vous saisissez vos informations, le document se met en forme, vous l’imprimez ou l’enregistrez en PDF. l’obtenir gratuitement — le modèle complet Ou l’essayer d’abord : remplissez le formulaire, le document se compose sous vos yeux → Une politique d’usage de l’IA utilisable tient sur une page et contient neuf clauses. Les voici, avec ce que ...
Lire la suite

Conformité AI Act pour les PME : ce qu’il faut faire

Image
50 salariés et plus ? Autoriser ChatGPT ou Copilot, même par une simple charte informatique, peut obliger à consulter d’abord le CSE (code du travail, art. L. 2312-8). Le 21 mai 2026, la cour d’appel de Paris a confirmé la suspension d’outils d’IA, dont ChatGPT autorisé par une charte, jusqu’à cette consultation. Voir un exemple de dossier rempli (gratuit, 32 pages) → Cinq actions, dans l'ordre, et le calendrier exact de ce qui s'applique déjà — ou pas encore. À jour au 14 septembre 2026 — AI Act & PME Faites le point en 3 minutes Dix questions, réponse immédiate, aucune adresse e-mail demandée et rien ne quitte ce site. Vous obtenez la liste de vos points à régler, dans l’ordre. Commencer l’auto-diagnostic → Ou consultez directement la check-list des 10 points , à cocher et à imprimer. Pour une PME qui utilise l’IA sans la développer, la conformité AI Act peut s’organiser en cinq actions. Trois concernent des obligations d...
Lire la suite

ChatGPT en entreprise : ce qui est autorisé ou non

Image
50 salariés et plus ? Autoriser ChatGPT ou Copilot, même par une simple charte informatique, peut obliger à consulter d’abord le CSE (code du travail, art. L. 2312-8). Le 21 mai 2026, la cour d’appel de Paris a confirmé la suspension d’outils d’IA, dont ChatGPT autorisé par une charte, jusqu’à cette consultation. Voir un exemple de dossier rempli (gratuit, 32 pages) → Oui, vous pouvez utiliser ChatGPT au travail. Les vraies questions sont : quelle version, avec quelles données, et selon quelle règle. À jour au 14 septembre 2026 — IA générative, RGPD & AI Act Faites le point en 3 minutes Dix questions, réponse immédiate, aucune adresse e-mail demandée et rien ne quitte ce site. Vous obtenez la liste de vos points à régler, dans l’ordre. Commencer l’auto-diagnostic → Ou consultez directement la check-list des 10 points , à cocher et à imprimer. Utiliser ChatGPT ou un autre assistant d’IA en entreprise est autorisé. Ce qui po...
Lire la suite