ChatGPT Business et RGPD : ce qu'il faut savoir en entreprise

Vos salariés utilisent probablement déjà ChatGPT, parfois avec leur compte personnel. ChatGPT Business, l'offre d'OpenAI pour les équipes, promet un cadre plus sûr. Mais que deviennent réellement les données, et que demande le RGPD ? Voici les faits, tirés des pages officielles d'OpenAI et de la CNIL, puis l'alternative que nous proposons quand les données sont sensibles.

Pour le cadre général (RGPD, AI Act, matériel), consultez aussi notre guide sur l'IA locale en entreprise.

ChatGPT Team devient ChatGPT Business

Depuis le 29 août 2025, ChatGPT Team s'appelle ChatGPT Business. OpenAI précise qu'il s'agit d'un simple changement de nom : prix et limites restent les mêmes.

Les prix sont affichés en dollars, y compris sur la page française d'OpenAI.

Ce qu'OpenAI s'engage à faire avec vos données

• Pas d'entraînement par défaut. « Nous n'entraînons pas nos modèles sur les données de votre organisation par défaut », pour Business, Enterprise, Edu et l'API.
• Chiffrement. AES-256 pour les données stockées, TLS 1.2 ou plus en transit. L'offre Business a passé un audit SOC 2 Type 2.
• Conservation. Les administrateurs fixent la durée de conservation. Une conversation supprimée disparaît sous 30 jours, sauf si la loi impose de la garder ou si c'est « raisonnablement nécessaire » pour protéger OpenAI ou des tiers.

L'hébergement en Europe : réservé à Enterprise

OpenAI propose depuis février 2025 un hébergement des données en Europe pour les nouveaux espaces ChatGPT Enterprise et Edu, et pour l'API. Depuis janvier 2026, le calcul lui-même peut aussi rester en Europe pour certains clients Enterprise, Edu et Healthcare. Deux limites : certains traitements (authentification, routage, statistiques) peuvent avoir lieu ailleurs, et les données de compte et de facturation ne sont pas concernées. Surtout, rien de tout cela ne s'applique à ChatGPT Business.

Ce que dit le RGPD, et ce qu'il ne règle pas

Quand vos salariés collent des données clients ou RH dans ChatGPT, c'est votre entreprise qui en reste responsable. La CNIL recommande de ne jamais partager de données personnelles sur un service grand public, d'encadrer l'usage par une charte interne et, pour les données personnelles ou sensibles, de « privilégier le déploiement de solutions "sur site" ».

Trois sujets restent ouverts pour un service américain :

1. Le Cloud Act. Un fournisseur américain peut être contraint de remettre des données aux autorités américaines, même si elles sont hébergées en Europe. Au Sénat, en juin 2025, Microsoft France a reconnu sous serment ne pas pouvoir garantir le contraire. Nous détaillons le sujet dans notre article sur le Cloud Act.
2. Une jurisprudence mouvante. Le régulateur italien avait infligé 15 millions d'euros d'amende à OpenAI en décembre 2024. Le tribunal de Rome a annulé cette décision en mars 2026. Les règles du jeu se précisent encore, au cas par cas.
3. De nouvelles obligations européennes. La Commission a désigné ChatGPT « très grand moteur de recherche en ligne » au titre du règlement sur les services numériques le 31 août 2026. Les règles de l'AI Act sur les modèles à usage général s'appliquent depuis août 2025, et celles sur les systèmes à haut risque arrivent en décembre 2027.

ChatGPT pour le juridique, la RH, la santé : prudence

Pour un cabinet d'avocats, un expert-comptable, un service RH ou un acteur de santé, les documents contiennent des données couvertes par le secret professionnel ou des données personnelles sensibles. Même sans entraînement, les envoyer à un service soumis au droit américain reste un risque à évaluer sérieusement. Pour ces métiers, la solution la plus simple à justifier est que les données ne quittent jamais l'entreprise.

La checklist avant d'adopter ChatGPT Business

1. Lister les données que vos équipes vont y mettre, et exclure les données sensibles.
2. Rédiger une charte d'usage, comme le recommande la CNIL.
3. Fixer une durée de conservation courte dans l'espace d'administration.
4. Vérifier le contrat de sous-traitance et les transferts hors UE avec votre DPO.
5. Prévoir une solution locale pour les cas d'usage sensibles.

L'alternative : votre propre ChatGPT interne

Un assistant IA local offre la même expérience (une fenêtre de discussion, la recherche dans vos documents) avec un modèle ouvert qui tourne sur une machine installée chez vous. Aucune donnée ne sort, aucun fournisseur étranger n'y a accès, et il n'y a pas d'abonnement par utilisateur.

Le calcul est vite fait. Pour 10 utilisateurs, ChatGPT Business coûte 2 400 $ par an en annuel, soit 7 200 $ sur trois ans, avant toute option Premium. Notre station IA 2× RTX 5070 Ti 32 Go coûte 5 990 € TTC, une fois, et vous appartient. Elle ne remplace pas tous les usages des plus grands modèles du cloud. En revanche, pour la rédaction, le résumé et la recherche dans vos documents internes, elle garde tout chez vous.

Découvrez notre assistant IA privé, ou consultez nos stations et serveurs IA. Pour un projet, demandez un devis ou appelez le +33 6 32 49 26 41.

À lire aussi

• Alternative à ChatGPT : 7 IA comparées, de Mistral à l'IA locale
• Souveraineté numérique : l'Europe face aux États-Unis dans l'IA

Questions fréquentes

ChatGPT Business est-il conforme au RGPD ? Aucun outil n'est conforme « en soi » : c'est l'usage que vous en faites qui doit l'être. ChatGPT Business offre de bonnes garanties (pas d'entraînement par défaut, chiffrement, conservation paramétrable), mais pas d'hébergement européen, et reste soumis au droit américain.

ChatGPT Business utilise-t-il mes données pour entraîner ses modèles ? Non, pas par défaut, selon OpenAI.

Quelle différence entre ChatGPT Team et ChatGPT Business ? Aucune : Team a été renommé Business le 29 août 2025, sans changement de prix ni de limites.

Peut-on héberger ChatGPT en Europe ? Seulement avec ChatGPT Enterprise ou Edu, ou via l'API. Pour une IA qui reste réellement dans vos murs, il faut un modèle local.

Sources

• OpenAI, FAQ sur le changement de nom de ChatGPT Business, tarifs ChatGPT Business et sièges Premium (10 août 2026)
• OpenAI, confidentialité des données professionnelles et Enterprise privacy (mise à jour du 8 janvier 2026)
• OpenAI, hébergement des données en Europe (5 février 2025, mis à jour le 16 janvier 2026) et aide sur la résidence des données
• CNIL, Questions-réponses sur l'utilisation d'un système d'IA générative (18 juillet 2024) et programme de travail 2026
• Sénat, compte rendu de la commission d'enquête sur la commande publique (audition du 10 juin 2025)
• Garante per la protezione dei dati personali, décision n° 755 et note sur son annulation ; TuttoTech, annulation de l'amende (23 mars 2026)
• Hunton, désignation de ChatGPT au titre du DSA (4 septembre 2026)
• Commission européenne, cadre réglementaire de l'IA (mis à jour le 3 août 2026)