Souveraineté et conformité

OpenAI est-il conforme au RGPD ? Ce que ChatGPT et l'API font de vos données

Oui et non. OpenAI fournit à ses clients entreprise et API les outils contractuels qu'attend le RGPD — un accord de traitement signé avec OpenAI Ireland, des clauses contractuelles types pour les transferts —, et beaucoup d'entreprises européennes l'utilisent légalement. Mais OpenAI est une société américaine : une injonction américaine fondée sur le CLOUD Act peut atteindre les données qu'elle contrôle, où qu'elles soient stockées, et aucun contrat n'y change rien. Que cela compte dépend de ce que vous envoyez, et de qui doit en répondre.

Publié le 6 oct. 2026 · vérifié le 20 oct. 2026

« Conforme » veut dire deux choses

La question en cache deux autres. La première est procédurale : les contrats, le mécanisme de transfert et les garanties vous permettent-ils, à vous client, de remplir vos propres obligations RGPD ? La seconde est juridictionnelle : un État extérieur à l'UE peut-il contraindre le fournisseur à livrer vos données, quoi que dise le contrat ?

Un fournisseur peut être solide sur la première et exposé sur la seconde, et l'inverse existe aussi. Quand une entreprise européenne demande si OpenAI est « conforme au RGPD », elle pose en général la seconde question — le droit américain peut-il atteindre mes données ? — même si le mot employé renvoie à la première.

ChatGPT pour les particuliers, dans les mots d'OpenAI

Pour l'application grand public, le centre d'aide d'OpenAI est explicite. Les citations ci-dessous, en anglais d'origine, ont été lues le 29 septembre 2026 ; celle sur l'entraînement a été relue le 6 octobre 2026.

Sujet	En clair	Ce qu'écrit OpenAI	Source
Lieu de stockage	Aux États-Unis et dans le monde	« Content is stored on OpenAI systems and our trusted service providers' systems in the US and around the world. »	Centre d'aide
Durée de conservation	Jusqu'à ce que vous les supprimiez	« Regular and archived chats remain saved to your account until you delete them or an applicable workspace retention policy removes them. »	Centre d'aide
Entraînement	Possible, sauf si vous le désactivez	« When you use our services for individuals, such as ChatGPT and Codex, we may use your content to train our models. »	Centre d'aide
Relecture humaine	Possible : rien de sensible à saisir	« Please do not enter sensitive information that you would not want reviewed or used. »	Centre d'aide
Données gardées en Europe	Réservé à certains clients API, Enterprise et Edu	« Eligible API customers and new ChatGPT Enterprise/Edu customers »	Centre d'aide

On peut désactiver l'entraînement et supprimer ses conversations, et le RGPD s'applique à ChatGPT en Europe comme à tout autre service : droits d'accès, d'effacement et d'opposition demeurent. Le tableau montre la position par défaut d'un service grand public exploité depuis les États-Unis.

L'API et les offres entreprise : le volet contractuel

Pour les clients entreprise et API, l'accord de traitement des données d'OpenAI — en vigueur depuis le 1er janvier 2026, lu le 6 octobre 2026 — est signé avec OpenAI Ireland Ltd. lorsque le client est établi dans l'EEE ou en Suisse. Quand OpenAI Ireland transfère ces données hors de l'EEE, l'accord s'appuie sur les clauses contractuelles types ou sur une décision d'adéquation au titre de l'article 45 du RGPD.

Sur l'entraînement, OpenAI écrit : « By default, we don’t use inputs or outputs from ChatGPT Business, ChatGPT Enterprise, ChatGPT Edu, or our API to improve our models. » (centre d'aide, lu le 6 octobre 2026) — par défaut, ni les offres Business, Enterprise et Edu ni l'API ne servent à améliorer ses modèles. La résidence des données en Europe est proposée aux clients API, Enterprise et Edu éligibles.

Pour un grand nombre d'usages, c'est un montage défendable au regard du RGPD, et votre conseil pourra très bien l'accepter. Il répond à la question procédurale. Pas à la question juridictionnelle.

Les transferts depuis l'arrêt Schrems II

Envoyer des données personnelles à une société établie aux États-Unis est un transfert au sens du chapitre V du RGPD. Il exige une décision d'adéquation ou des garanties appropriées comme les clauses contractuelles types. Depuis l'arrêt Schrems II de 2020, qui portait sur le droit américain de la surveillance, s'appuyer sur ces clauses impose d'évaluer si le destinataire peut réellement les respecter — l'analyse d'impact des transferts que votre délégué à la protection des données vous demandera.

Le cadre de protection des données UE–États-Unis, adopté en 2023, est la décision d'adéquation en vigueur pour les organisations américaines qui y adhèrent ; il a résisté à un premier recours en septembre 2025, et un pourvoi est pendant (détails dans notre guide RGPD et CLOUD Act). Dans tous les cas, ces mécanismes règlent la façon dont les données peuvent quitter l'Europe. Aucun ne change le gouvernement qui peut donner des ordres au destinataire.

Le CLOUD Act : ce qu'aucun contrat n'efface

Le CLOUD Act permet aux autorités américaines de contraindre un fournisseur soumis à leur juridiction à livrer les données qu'il possède, détient ou contrôle, « regardless of whether such communication, record, or other information is located within or outside of the United States » (18 U.S.C. § 2713). Le ministère de la Justice précise que cette juridiction « is not limited to U.S. corporations » (FAQ du CLOUD Act, 2019). Une filiale irlandaise peut signer des contrats européens ; la maison mère américaine qui contrôle les données reste atteignable.

Un exemple concret d'un tribunal américain décidant de ce que garde OpenAI date de 2025, dans le procès pour droit d'auteur intenté par le New York Times : OpenAI a dû conserver des données de sortie de ChatGPT et de l'API. OpenAI a ensuite écrit : « we are no longer under a legal order to retain consumer ChatGPT and API content indefinitely. Our obligations under the earlier order ended on September 26, 2025. » (OpenAI, mise à jour du 22 octobre 2025) — l'obligation a pris fin le 26 septembre 2025. C'était une ordonnance de conservation dans une affaire civile, pas une demande fondée sur le CLOUD Act, mais elle montre où se prennent ces décisions.

Ce qui reste de votre côté, quel que soit le fournisseur

Quand vous envoyez des données personnelles à un service d'IA, vous êtes responsable du traitement et le fournisseur est votre sous-traitant. Une bonne part du RGPD repose sur vous, quel que soit le fournisseur choisi :

Une base légale pour le traitement, documentée (article 6).
La minimisation : n'envoyer que les données personnelles dont la tâche a besoin (article 5). Une bonne part du « problème RGPD » des outils d'IA tient à des données qui n'auraient jamais dû partir.
La limitation des finalités : des données collectées pour un usage ne servent pas à un autre — entraînement de modèle compris — sans fondement.
Un contrat de sous-traitance (article 28) et un registre des traitements (article 30) qui dit ce qui part vers quel fournisseur, et pourquoi.
La conservation et les droits des personnes, y compris pour les prompts et les journaux que vous gardez vous-même.

Quand cela compte, et quand ce n'est pas le cas

Si l'accord de traitement et les clauses contractuelles types satisfont votre conseil, et que rien dans vos contrats n'interdit une juridiction hors UE, utiliser OpenAI est un choix légitime.
Si vous travaillez dans un secteur régulé — santé, droit, certains services financiers, marchés publics — ou si le contrat d'un client exclut « tout traitement sous juridiction extra-européenne », c'est la nationalité du fournisseur qui pose problème, et la paperasse n'y peut rien.
Si vous êtes un particulier, choisissez ce que vous tapez. OpenAI demande elle-même de ne rien saisir que l'on ne voudrait pas voir relu.

Rien de tout cela ne juge l'ingénierie d'OpenAI ni ses intentions. C'est une question de loi applicable à la société, et elle dépend de qui la contrôle, pas de l'endroit où se trouvent ses serveurs.

L'alternative européenne, et ses limites

Evanesca est un agent et un chat IA, dotés d'une API compatible OpenAI, dont tous les modèles tournent en Europe — pour la plupart en France chez Scaleway, avec OVHcloud en relais, les modèles de Mistral dans la région UE de Mistral AI, d'autres chez AKI.IO en Allemagne, Apertus chez Infomaniak en Suisse. OVHcloud, Scaleway, Mistral AI et Infomaniak sont des sociétés européennes sans maison mère américaine, ce qui les place hors de portée directe du CLOUD Act ; AKI.IO est une société allemande dont les actionnaires ne sont pas publiés. Evanesca ne stocke ni prompts ni réponses et ne s'en sert jamais pour entraîner un modèle ; votre historique reste dans votre navigateur, et de vos messages elle ne garde que la facturation : tokens et coût. Ce que gardent les opérateurs relève d'eux : Scaleway peut conserver et lire les requêtes qui provoquent des erreurs ou paraissent abusives, jusqu'à 14 jours (Scaleway, consulté le 6 octobre 2026), et Mistral AI garde les entrées et sorties de ses modèles 30 jours pour surveiller les abus ; elle permet à ses clients de s'opposer à l'entraînement, et le compte d'Evanesca s'y oppose, sauf pour ce qui est envoyé à Mistral Large 4 : c'est une préversion, et les conditions commerciales de Mistral l'autorisent à utiliser pour l'entraînement les données des modèles en préversion, quelle que soit l'opposition (Mistral AI, consulté le 12 octobre 2026).

Pour les équipes, l'offre Entreprises ajoute un DPA article 28 signé et une liste des sous-traitants avec préavis et droit d'opposition.

Les limites, sans détour : vous choisissez parmi les modèles d'autres éditeurs, pas ceux d'OpenAI, tous exécutés en Europe ; et Evanesca n'est pas encore ouverte. La lecture comparée des politiques de ChatGPT, Claude, Gemini, Copilot et Meta AI se trouve sur la page des sources.

Questions fréquentes

ChatGPT est-il conforme au RGPD ?

Le RGPD s'applique à ChatGPT en Europe et ses utilisateurs gardent leurs droits. Mais selon les pages d'OpenAI, les conversations grand public sont stockées aux États-Unis et dans le monde, conservées jusqu'à leur suppression, et peuvent servir à l'entraînement sauf refus. Et OpenAI, société américaine, reste à portée du CLOUD Act.

L'API d'OpenAI est-elle conforme au RGPD ?

Sur le plan procédural, pour beaucoup d'usages : les clients de l'EEE signent un accord de traitement avec OpenAI Ireland, les transferts reposent sur des clauses contractuelles types ou une décision d'adéquation, et les données de l'API ne servent pas à l'entraînement par défaut. Sur le plan juridictionnel, OpenAI reste une société américaine qu'une injonction américaine peut atteindre.

La résidence des données en Europe d'OpenAI protège-t-elle du CLOUD Act ?

Non. La résidence décide du lieu de stockage et de traitement ; le CLOUD Act suit la société qui contrôle les données, où qu'elles soient. Une région européenne change l'adresse, pas le gouvernement qui peut donner des ordres à la société.

Les clauses contractuelles types suffisent-elles ?

Souvent, accompagnées d'une analyse d'impact des transferts. C'est un mécanisme de transfert légal. Elles ne peuvent pas vous garantir qu'aucun tribunal américain n'atteindra vos données : si vos contrats ou votre secteur l'exigent, il vous faut un fournisseur sans maison mère américaine.

À quoi ressemble une alternative européenne à ChatGPT ?

À un service dont les opérateurs n'ont pas de maison mère américaine, qui dit où tourne chaque modèle et ce qui est conservé. Evanesca exécute ses modèles en Europe, pour la plupart en France chez Scaleway, avec OVHcloud en relais, et ne stocke aucun prompt ; le détail est sur la page souveraineté.