ChatGPT, Claude, Gemini, Copilot ou Mistral dans une commune ou une entreprise : comment protéger ses données

Je m'inscris aux actualitésGratuit, adapté à votre organisme, au rythme que vous choisissez →

Les versions grand public des assistants d'IA peuvent, selon les réglages, servir à entraîner les modèles de l'éditeur, alors que leurs offres professionnelles excluent cet usage par défaut et sont couvertes par un contrat de sous-traitance. Pour une commune, la CNIL recommande de ne jamais saisir de données personnelles ou confidentielles dans un service grand public. Depuis le 27 juillet 2026, le règlement européen sur l'IA demande aux employeurs qui utilisent ces outils de prendre des mesures pour former leur personnel.

Gratuit ou professionnel : la vraie différence

Chez OpenAI, les conversations des services pour particuliers peuvent servir à l'entraînement tant que l'utilisateur ne s'y oppose pas. Chez Google, l'application Gemini grand public prévient qu'une partie des conversations est relue par des humains et demande de ne pas y saisir d'informations confidentielles. Chez Anthropic, les conversations Claude Free, Pro et Max servent à l'entraînement si l'utilisateur l'a accepté dans ses réglages.

Les offres pour les organisations fonctionnent autrement : l'éditeur agit comme sous-traitant, un administrateur gère les comptes, et les éditeurs déclarent ne pas entraîner leurs modèles sur ces données par défaut. Plusieurs affichent des audits de sécurité (SOC 2 pour OpenAI ; SOC 2 et ISO/IEC 27001 entre autres pour Gemini dans Google Workspace).

Ce que promettent les offres professionnelles

Deux points de vigilance. Chez Mistral, l'assistant Le Chat s'appelle Vibe depuis le 12 août 2026, et le centre d'aide indique qu'en offre Team c'est l'administrateur qui désactive l'entraînement pour toute l'organisation : il faut donc vérifier ce réglage. Chez Microsoft, les recherches web lancées par Copilot passent par Bing, qui relève d'autres conditions et n'est pas couvert par la frontière de données de l'UE.

Et Albert, l'IA de l'État ?

La DINUM réserve aux services de l'État la puissance de calcul d'Albert API. Elle précise que cette mise à disposition n'est pas accessible aux collectivités territoriales. Les codes sources sont publics : une commune peut les réutiliser sur sa propre infrastructure ou via un prestataire.

Ce que dit la loi

RGPD et CNIL. Dans ses questions-réponses sur l'utilisation d'un système d'IA générative, la CNIL recommande de partir d'un besoin précis, de fixer par une charte les usages autorisés et interdits, de passer un contrat de sous-traitance avec le fournisseur, d'encadrer les éventuels transferts hors de l'Union européenne et d'associer le délégué à la protection des données. Elle demande de ne jamais partager de données personnelles ni d'informations de l'administration ou de l'entreprise dans un service grand public. Elle rappelle que l'organisme engage sa responsabilité en cas de mauvaise utilisation par son personnel.

ANSSI. Son guide de sécurité sur l'IA générative déconseille fortement d'envoyer des données sensibles à des services d'IA tiers : données personnelles, données contractuelles, juridiques ou financières, mots de passe.

Règlement européen sur l'IA. Le règlement (UE) 2024/1689 interdit certaines pratiques depuis le 2 février 2025. L'article 4, sur la maîtrise de l'IA, s'applique aussi depuis cette date. Le règlement (UE) 2026/1744 dit « omnibus numérique sur l'IA », en vigueur depuis le 27 juillet 2026, l'a réécrit : les fournisseurs et les déployeurs, donc une commune ou une PME qui utilise ces outils, doivent prendre des mesures pour favoriser la maîtrise de l'IA par leur personnel, sans devoir garantir un niveau précis pour chaque personne. Le même texte repousse au 2 décembre 2027 les obligations des systèmes à haut risque de l'annexe III et au 2 août 2028 celles de l'annexe I.

Ce que cela change pour vous

• Faites l'inventaire : repérez qui utilise déjà un assistant d'IA, avec quel compte, et pour quelles tâches.
• Interdisez les comptes personnels pour le travail : aucun nom d'administré, aucun dossier d'état civil ou d'urbanisme nominatif, aucune délibération non publique dans une version gratuite.
• Choisissez une offre professionnelle et lisez son contrat : contrat de sous-traitance, absence d'entraînement, lieu d'hébergement, durée de conservation réglable par l'administrateur.
• Vérifiez les réglages après l'achat : entraînement désactivé, retour d'avis (pouce en haut ou en bas) désactivé si besoin, durée de conservation fixée.
• Écrivez une charte d'une page et faites-la valider avec votre délégué à la protection des données.
• Formez les agents et les salariés : c'est ce que demande l'article 4, et c'est ce que recommande la CNIL.

Faire le point sur vos usages

Vous ne savez pas quels outils sont déjà utilisés dans vos services, ni si vos réglages protègent vos données ? Nous vous proposons un audit de vos usages de l'IA : les outils en place, les comptes utilisés, les réglages, les données qui circulent et les points à corriger. Nous pouvons aussi venir vous expliquer en direct, à vos équipes ou à vos élus, comment utiliser ces outils sans risque, avec des exemples tirés de votre quotidien.

HEXAGONE ENERGIE prépare également des formations aux outils d'IA pour les collectivités et les entreprises. Pour demander un audit, une présentation ou être informé des formations, contactez-nous.

Questions fréquentes

Sources : pages officielles d'OpenAI, Anthropic, Google, Microsoft et Mistral AI ; site IA dans l'État (DINUM) ; questions-réponses de la CNIL sur l'utilisation d'un système d'IA générative (juillet 2024) ; guide de l'ANSSI « Recommandations de sécurité pour un système d'IA générative » (avril 2024) ; règlement (UE) 2024/1689 et règlement (UE) 2026/1744, JOUE du 24 juillet 2026, EUR-Lex (consultés le 3 octobre 2026).