Données d'entreprise dans ChatGPT et Claude : entraînement, conservation, localisation

Avant d'autoriser vos équipes à envoyer des documents à ChatGPT ou à Claude, répondez séparément à trois questions : les contenus servent-ils à entraîner les modèles, combien de temps sont-ils conservés, et où sont-ils stockés et traités ? Les éditeurs y répondent dans des pages distinctes, avec des conditions par offre. « Nous n'entraînons pas nos modèles sur vos données » ne dit rien de la durée de conservation, et une durée de conservation ne dit rien de la localisation.

Ce guide s'adresse aux dirigeants, DSI et DPO qui doivent fixer une règle d'usage. Il s'appuie sur la documentation publique d'OpenAI et d'Anthropic consultée le 16 octobre 2026, citée en fin d'article. Il ne remplace ni la lecture de votre contrat ni l'avis de votre DPO : les pages citées décrivent les règles par défaut, et votre accord commercial peut les modifier.

1. Commencez par le type de compte

La première source d'erreur n'est pas l'offre choisie par l'entreprise, c'est le compte réellement utilisé. Les deux éditeurs séparent nettement les offres grand public des offres professionnelles.

Conséquence pratique : un collaborateur qui travaille avec son abonnement personnel Plus ou Pro ne bénéficie pas des engagements de l'offre Business, même si l'entreprise en a souscrit une. Votre règle doit nommer les comptes autorisés, pas seulement les outils.

L'exception du bouton de retour

Les offres professionnelles prévoient une exception commune : le retour volontaire. Chez Anthropic, un pouce levé ou baissé conduit à conserver toute la conversation concernée jusqu'à 5 ans, et ce retour peut servir à entraîner les modèles. Les propriétaires d'un espace Team ou Enterprise peuvent désactiver ce bouton pour toute l'organisation (réglage « Rate chats », dans Organization settings, puis Data and Privacy). Chez OpenAI, les données partagées via un mécanisme de retour auquel vous avez explicitement consenti peuvent aussi servir à l'entraînement.

Si vos équipes manipulent des documents confidentiels, décidez explicitement du sort de ce bouton plutôt que de le découvrir.

2. La conservation : ce qui reste, et combien de temps

« Pas d'entraînement » ne signifie pas « rien n'est conservé ». Les conversations restent stockées pour que l'historique fonctionne, et les éditeurs gardent certains contenus pour détecter les abus.

Trois points changent la décision :

• Les projets Claude ne suivent pas la durée des conversations. Sur Enterprise, la conservation d'un projet prime sur celle des conversations qu'il contient, et les projets sont conservés indéfiniment par défaut. Une durée de 90 jours réglée pour les conversations ne supprime donc pas une conversation rangée dans un projet. Cette durée personnalisée ne s'applique pas non plus à Claude Design, Claude Managed Agents ni aux fonctions construites sur Claude Code sur le web.
• Le Zero Data Retention n'est pas un interrupteur général. Chez OpenAI, les points d'accès marqués non éligibles peuvent encore conserver un état d'application même avec ce réglage. Chez Anthropic, il ne concerne que les API éligibles, les produits utilisant une clé API d'organisation commerciale (dont Claude Code via l'API) et Claude Code sur les offres Enterprise ; les résultats des classificateurs de sécurité restent conservés.
• Les modèles les plus puissants peuvent imposer leur propre règle. Pour les modèles qu'Anthropic désigne comme « covered models » (classe Mythos, dont Claude Fable 5 et 5.1 partagent le modèle sous-jacent), prompts et réponses sont conservés 30 jours sur toutes les plateformes. Le changement concerne les organisations en Zero Data Retention : elles doivent activer la conservation pour utiliser ces modèles, sauf notification contraire d'Anthropic.

Enfin, les durées ci-dessus ont des exceptions. Anthropic conserve jusqu'à 2 ans les entrées et sorties d'une conversation signalée par ses systèmes automatiques comme contraire à sa politique d'usage, et jusqu'à 7 ans les scores de classification. OpenAI réserve, pour ChatGPT Business et l'API, une conservation plus longue si la loi l'exige ou si elle est raisonnablement nécessaire pour protéger ses services ou des tiers.

3. La localisation : stockage et exécution sont deux choses

La question « nos données restent-elles en Europe ? » recouvre deux réponses : où les contenus sont stockés au repos, et où le modèle s'exécute pour produire la réponse.

Chez OpenAI, la résidence des données (stockage au repos) est proposée aux clients API éligibles et aux nouveaux clients ChatGPT Enterprise et Edu, notamment en Europe (EEE et Suisse). La page consultée ne cite pas ChatGPT Business parmi les offres éligibles. La résidence de l'inférence, qui garde l'exécution sur GPU dans la région, est ouverte aux clients Enterprise et Edu éligibles pour l'Europe, les États-Unis et les Émirats arabes unis, à condition que la résidence des données soit activée dans la même région. Elle reste limitée :

• les traitements hors GPU, comme l'extraction du texte d'un PDF ou d'un fichier Word, peuvent avoir lieu hors de la région ;
• les données de compte, la facturation et les métadonnées sont hors périmètre ;
• les informations envoyées à une application externe, un serveur MCP ou un service de recherche web relèvent des conditions de ce tiers ;
• certaines fonctions ne sont pas éligibles : GPTs tiers, Codex Web, fonctions en bêta.

Côté API, la résidence des données entraîne un surcoût de 10 % sur les modèles éligibles sortis à partir du 5 mars 2026.

Chez Anthropic, la page dédiée aux offres commerciales indique que les données sont stockées aux États-Unis, et que le trafic peut par défaut être acheminé vers une sélection de pays aux États-Unis, en Europe, en Asie et en Australie, sauf accord contraire ou instruction de votre part. Sur l'API, deux réglages existent : la région d'inférence, limitée à « global » ou « us », et la région de l'espace de travail, qui ne propose aujourd'hui que « us ». L'inférence limitée aux États-Unis coûte 1,1 fois le tarif standard à partir des modèles Claude 4.6. Via Amazon Bedrock ou Google Cloud, la région d'inférence dépend du point d'accès choisi : c'est la documentation de ces fournisseurs qu'il faut alors lire.

Autrement dit, une exigence de stockage en Europe n'aboutit pas à la même architecture selon l'éditeur. Vérifiez-la avant de choisir l'outil, pas après le déploiement.

4. La grille : une ligne par catégorie de documents

La décision utile ne porte pas sur l'outil, mais sur ce que chaque catégorie de documents peut traverser. Voici la grille que nous proposons de remplir avec votre DPO. Les conditions indiquées sont des exemples à adapter, pas une norme.

Pour chaque ligne, posez les trois questions dans l'ordre, et notez qui a vérifié et à quelle date :

1. Entraînement : quel compte, quelle offre, quel réglage de retour ?
2. Conservation : quelle durée réglée, quelles exceptions (projets, fichiers, signalements, modèles à conservation imposée) ?
3. Localisation : quelle région de stockage, quelle région d'exécution, et quelles fonctions sortent de ce périmètre (applications, MCP, recherche web) ?

OpenAI indique pouvoir signer un DPA pour ChatGPT Business, Enterprise et l'API ; Anthropic renvoie à son DPA et à son Trust Center pour ses offres commerciales. Chez OpenAI, sur ChatGPT, les propriétaires d'un espace peuvent consulter la région configurée dans Workspace settings, puis General, au champ Data Residency Region. Une capture datée de ce champ vaut mieux qu'une phrase d'un argumentaire commercial.

5. Les angles morts à vérifier

• Les comptes personnels. Un abonnement individuel utilisé pour le travail suit les règles grand public.
• Les connecteurs. Chez OpenAI, ce qui part vers une application externe ou un serveur MCP relève des conditions de ce tiers, même avec la résidence activée. Le guide MCP en entreprise détaille les questions d'architecture côté serveur.
• Les projets et espaces partagés. Ils héritent des réglages de l'espace sur ChatGPT, comme l'explique notre guide des projets ChatGPT en équipe ; ils ont leur propre durée chez Claude Enterprise.
• Les outils de code. Claude Code utilisé avec un compte Pro ou Max suit les règles grand public d'Anthropic. Les droits d'action de l'outil sont une autre question, traitée dans notre article sur les permissions Claude Code en équipe.
• Les pages qui changent. La page d'OpenAI sur la résidence affichait une mise à jour de quelques heures lors de notre consultation. Revérifiez les règles à chaque renouvellement de contrat et à chaque nouvelle fonction ouverte aux équipes.

Si vos équipes utilisent aussi Gemini ou Mistral, posez-leur les trois mêmes questions, dans leur propre documentation. Nous ne l'avons pas relue pour cet article : ne transposez pas ces réponses.

La règle d'une page

Avant d'ouvrir l'outil aux équipes, tenez sur une page : les comptes autorisés, le réglage du bouton de retour, la durée de conservation choisie, la région de stockage et d'exécution, les connecteurs ouverts, la grille des catégories de documents et la date de la prochaine vérification.

La bonne question n'est pas « ChatGPT ou Claude est-il conforme ? », mais « quels documents peuvent passer par quel compte, avec quels réglages, et qui l'a vérifié ? ».

Pour cadrer ces choix avec votre DPO et les traduire en configuration réelle, consultez notre offre d'intégration de l'IA en entreprise. Si votre équipe s'oriente vers Claude, notre page Claude pour les entreprises présente notre manière de le déployer.

Sources et limites

• OpenAI : Business data privacy, security, and compliance et Enterprise privacy at OpenAI, consultées le 16 octobre 2026 : entraînement, conservation par offre, DPA.
• OpenAI Help Center : Data residency and inference residency for ChatGPT et Data controls in ChatGPT, consultées le 16 octobre 2026.
• OpenAI API : Data controls in the OpenAI platform, consultée le 16 octobre 2026 : journaux de surveillance, état d'application, Zero Data Retention, résidence API.
• Anthropic Privacy Center, consulté le 16 octobre 2026 : entraînement, offres commerciales, entraînement, offres grand public, conservation des données d'organisation, conservation personnalisée Enterprise, Zero Data Retention, covered models et localisation des serveurs.
• Claude Platform : Data residency, consultée le 16 octobre 2026.
• La grille par catégorie de documents est une méthode proposée par Kairia, pas une exigence réglementaire. Cet article ne constitue pas un avis juridique ; votre contrat et l'analyse de votre DPO prévalent.