OpenAI et le RGPD en 2026 : où en est ChatGPT après
l’annulation de l’amende italienne.
Ce qui a changé, ce qui reste ouvert, et ce qu’une entreprise doit mettre en place.
Demander si ChatGPT est conforme au RGPD revient à demander si une voiture est conforme au code de la route. Cela dépend de qui conduit, de ce qu’il transporte et de la manière dont il s’en sert. Pour une entreprise, la question utile n’est pas celle de la conformité d’OpenAI, mais de la sienne.
L’affaire italienne et son dénouement
C’est le dossier de référence en Europe, et il vient de connaître un retournement que beaucoup d’articles présentent encore de travers.
Le 2 novembre 2024, l’autorité italienne de protection des données adoptait une décision imposant à OpenAI une amende de 15 millions d’euros et une campagne d’information de six mois à la radio, à la télévision, dans la presse et sur internet. Les griefs portaient sur l’absence de base légale au traitement des données des utilisateurs, le défaut de transparence, la non-notification d’une violation survenue en mars 2023 et l’absence de vérification de l’âge des mineurs.
OpenAI a contesté, en faisant valoir notamment que la sanction représentait une vingtaine de fois son chiffre d’affaires italien de l’époque. Le tribunal de Rome a suspendu la mesure en mars 2025, sous réserve d’une garantie bancaire couvrant l’intégralité du montant, déposée en mai suivant.
Le 18 mars 2026, le même tribunal a rendu son jugement au fond : la décision de l’autorité est annulée, la garantie devient sans objet. La motivation complète a été rendue publique le 28 mai 2026.
Cette nuance est essentielle et rarement rapportée. L’annulation d’une sanction pour des motifs tenant à la décision elle-même n’équivaut pas à un constat de conformité. Les questions de fond soulevées par l’autorité italienne restent entières, et rien n’empêche une autre autorité européenne de les reprendre sur des fondements mieux étayés.
Le montant lui-même mérite d’être décomposé, car il renseigne sur ce qui était reproché. Neuf millions d’euros sanctionnaient l’absence de base légale et les manquements à la transparence et à l’information. Environ 320 000 euros visaient la seule non-notification de la violation de données. Le solde relevait d’une majoration liée à la gravité d’ensemble. Cette ventilation montre que le cœur du dossier n’était pas l’incident de sécurité mais la manière dont les traitements avaient été fondés et présentés aux utilisateurs.
Pourquoi la question n’a pas de réponse simple
Aucune autorité européenne ne délivre de label de conformité. Le règlement ne fonctionne pas ainsi : il fixe des obligations, et la conformité s’apprécie traitement par traitement, au regard d’une finalité et d’un contexte donnés.
Trois niveaux se superposent et méritent d’être distingués, car ils n’engagent pas les mêmes acteurs.
- Le modèle lui-même et les données ayant servi à son entraînement. C’est le terrain le plus contesté, sur lequel les autorités européennes n’ont pas encore de doctrine parfaitement stabilisée.
- Le service proposé aux utilisateurs : information, base légale, durées de conservation, exercice des droits, sécurité. C’est là que se situait l’essentiel des griefs italiens.
- Votre propre usage, en tant qu’entreprise. Ce que vous saisissez, pour quelle finalité, avec quelle base légale et quelle information de vos clients ou salariés.
Une entreprise n’a aucune prise sur les deux premiers niveaux. Elle est en revanche pleinement responsable du troisième, et c’est celui sur lequel une autorité de contrôle l’interrogera en cas de réclamation.
La CNIL a publié des recommandations progressives sur le développement et l’usage des systèmes d’intelligence artificielle, et le Comité européen de la protection des données a rendu un avis sur les modèles génératifs.
Ces travaux dessinent une méthode plutôt qu’un verdict : documenter les finalités, choisir une base légale défendable, informer les personnes, limiter les données transmises et être capable de justifier ses choix.
Un enseignement se dégage de l’issue italienne, et il vaut pour toutes les autorités européennes. La première grande sanction prononcée contre un fournisseur d’intelligence artificielle générative n’a pas survécu au contrôle juridictionnel. Ce précédent pourrait rendre les régulateurs plus prudents dans la construction de leurs décisions, et déplacer leur action vers un dialogue en amont plutôt que vers des sanctions spectaculaires. Pour une entreprise, cela signifie surtout que l’état du droit se stabilisera lentement, et qu’il faut apprendre à travailler dans cette incertitude plutôt qu’à l’attendre.
Qui est votre interlocuteur en Europe
Depuis février 2024, les services grand public destinés aux personnes situées dans l’Espace économique européen et en Suisse sont fournis par OpenAI Ireland Limited, entité irlandaise du groupe.
Cette organisation a une conséquence pratique considérable, souvent ignorée. Elle permet à OpenAI de relever du mécanisme dit du guichet unique : l’autorité irlandaise devient chef de file pour les traitements transfrontaliers, et les autres autorités nationales agissent en coopération plutôt qu’isolément.
Concrètement, une réclamation déposée auprès de la CNIL par un utilisateur français sera instruite dans ce cadre de coopération européenne. Cela ralentit les procédures, mais uniformise les décisions à l’échelle du marché intérieur.
C’est aussi ce qui explique pourquoi une action nationale isolée, comme celle engagée en Italie sur des faits antérieurs à cette réorganisation, est devenue beaucoup plus difficile à reproduire aujourd’hui.
Quelles données sont traitées
La politique de confidentialité européenne distingue plusieurs catégories, et il vaut la peine de les avoir en tête avant de saisir quoi que ce soit.
- Données de compte : identité, adresse électronique, informations de paiement, coordonnées.
- Contenus fournis : le texte des conversations, les fichiers importés, les images envoyées.
- Données techniques : adresse réseau, type d’appareil, navigateur, pays.
- Données d’usage : fonctionnalités utilisées, horaires, fréquence, durée des sessions.
La deuxième catégorie est celle qui pose problème en entreprise. Un salarié qui colle un extrait de contrat, un compte rendu d’entretien ou une liste de clients transmet des données personnelles dont l’employeur est responsable, souvent sans que personne ne l’ait décidé.
Un point de vigilance supplémentaire est apparu avec l’élargissement des usages. La plateforme s’est ouverte à des services tiers, un mouvement décrit dans notre analyse de son passage au statut de plateforme d’applications.
Chaque intégration ajoute un destinataire à la chaîne. La question ne porte plus seulement sur ce que fait l’éditeur, mais sur ce que font les services auxquels on choisit de connecter son compte.
Vos échanges servent-ils à l’entraînement ?
La réponse dépend entièrement du service utilisé, et cette distinction est la plus importante de tout le dossier pour une entreprise.
Sur les offres grand public, gratuite comme payantes individuelles, l’amélioration des modèles à partir des conversations est activée par défaut. Un réglage permet de la désactiver dans les paramètres de contrôle des données. Il faut le faire explicitement : aucune désactivation n’intervient d’elle-même.
Sur les offres professionnelles et sur l’interface de programmation, les contenus ne sont pas utilisés par défaut pour entraîner les modèles. C’est l’une des différences majeures entre un usage individuel et un déploiement encadré, et elle justifie à elle seule de basculer une équipe vers une offre adaptée plutôt que de laisser chacun utiliser son compte personnel.
Une nuance s’impose toutefois. Désactiver l’entraînement ne signifie pas que rien n’est conservé : des durées de rétention subsistent pour la sécurité, la détection des abus et les obligations légales. Le contenu n’alimente pas le modèle, il n’est pas pour autant effacé instantanément.
Exercer ses droits, et les limites techniques
Ce qui fonctionne bien
Les droits portant sur le compte s’exercent sans difficulté particulière : accès aux données détenues, export de l’historique, suppression du compte, rectification des informations d’identité, opposition à certains traitements.
Ces demandes se formulent depuis les paramètres du compte ou par les canaux indiqués dans la politique de confidentialité, avec les délais de réponse prévus par le règlement.
Ce qui reste problématique
La difficulté surgit lorsque la demande porte sur des informations que le modèle aurait pu absorber pendant son entraînement. Un modèle n’est pas une base de données : il n’y a pas d’enregistrement à localiser puis à supprimer.
Les autorités européennes se sont penchées sur ce point précis, sans que la question soit tranchée de manière définitive. Les mesures effectivement mises en œuvre relèvent plutôt du filtrage des sorties que d’un effacement au sens strict.
Cette limite technique explique une partie des tensions réglementaires actuelles. Le règlement a été conçu autour d’une logique de fichiers identifiables, dans laquelle supprimer une donnée a un sens opérationnel clair. Les modèles génératifs ne fonctionnent pas ainsi, et l’écart entre le texte juridique et la réalité technique n’est toujours pas comblé.
Les transferts hors d’Europe
Oui, des données quittent l’Espace économique européen. Ce n’est pas illégal en soi, mais cela suppose un encadrement, et il faut savoir lequel s’applique.
OpenAI s’appuie sur les clauses contractuelles types adoptées par la Commission européenne et sur les mécanismes complémentaires prévus par le règlement. Son avenant relatif au traitement des données précise les engagements pris envers les clients professionnels.
Une option mérite d’être connue des entreprises : une résidence des données en Europe est proposée pour certaines offres professionnelles, ce qui maintient sur le territoire européen le stockage des contenus traités. Cette possibilité ne concerne pas les comptes grand public.
Pour une organisation manipulant des données sensibles, cette différence n’est pas cosmétique. Elle conditionne la faisabilité même de certains usages, notamment dans la santé, le juridique ou le secteur public.
Ce qu’une entreprise doit mettre en place
La répartition des rôles est simple à énoncer. L’entreprise qui décide d’utiliser le service pour traiter des données de ses clients ou de ses salariés en est responsable. L’éditeur intervient comme prestataire dans le cadre de son avenant contractuel. En cas de contrôle, c’est vers l’entreprise que l’autorité se tournera.
Sept mesures couvrent l’essentiel du risque.
- Basculer vers une offre professionnelle plutôt que laisser chacun utiliser un compte personnel, ce qui règle d’un coup la question de l’entraînement.
- Inscrire le traitement au registre, avec sa finalité, sa base légale et ses durées.
- Rédiger une charte d’usage interne énumérant ce qui ne doit jamais être saisi : identifiants, données de santé, pièces d’identité, contrats non anonymisés.
- Former les équipes, car la fuite vient presque toujours d’un copier-coller bien intentionné.
- Informer les personnes concernées si leurs données passent par l’outil.
- Mener une analyse d’impact lorsque le traitement présente un risque élevé.
- Vérifier les intégrations tierces activées sur les comptes de l’organisation.
Le risque le plus courant n’est pas juridique mais humain. Un salarié qui colle un document confidentiel pour obtenir un résumé ne cherche pas à contourner une règle : il ignore qu’il y en a une.
Cette réalité rejoint un constat plus large sur les services numériques, illustré par le cas d’une application ayant laissé des millions de fichiers en libre accès : la donnée confiée échappe à celui qui l’a confiée.
Le cadre continue par ailleurs de se resserrer, entre la vérification d’âge annoncée en Europe, les dispositifs de vérification d’identité destinés à protéger les mineurs et l’arrivée de la publicité, qui ajoute une finalité commerciale au traitement.
Une dernière remarque sur la manière de lire ce dossier. L’annulation italienne ne clôt rien : elle déplace le débat vers le mécanisme européen de coopération et vers les travaux doctrinaux en cours. Une entreprise qui attendrait une réponse définitive avant d’agir attendra longtemps. La bonne posture consiste à documenter ses choix aujourd’hui, de façon à pouvoir les justifier quelle que soit l’issue.
OpenAI, ChatGPT et RGPD : les réponses essentielles.
OpenAI a-t-il payé l’amende italienne de 15 millions d’euros ?
Non. La sanction adoptée le 2 novembre 2024 a été suspendue en mars 2025 sous garantie bancaire, puis annulée par le tribunal de Rome le 18 mars 2026. La garantie a été déclarée sans objet et la motivation complète du jugement a été publiée le 28 mai 2026.
Cette annulation signifie-t-elle qu’OpenAI est conforme ?
Non, et c’est la confusion la plus répandue. Le jugement annule une décision administrative sans examiner sur le fond les manquements reprochés, notamment la non-notification d’une violation de données. Les questions soulevées restent entières.
Qui est responsable des données des utilisateurs français ?
OpenAI Ireland Limited fournit les services grand public aux personnes situées dans l’Espace économique européen et en Suisse depuis février 2024. Cette structure permet le recours au mécanisme du guichet unique, avec l’autorité irlandaise comme chef de file pour les traitements transfrontaliers.
Mes conversations servent-elles à entraîner les modèles ?
Sur les offres grand public, l’amélioration des modèles est activée par défaut et se désactive dans les paramètres de contrôle des données. Sur les offres professionnelles et l’interface de programmation, les contenus ne sont pas utilisés par défaut pour l’entraînement.
Une entreprise peut-elle utiliser ChatGPT avec des données clients ?
Oui, sous conditions. Elle en devient responsable de traitement : il lui revient de définir une finalité et une base légale, d’inscrire le traitement au registre, d’informer les personnes concernées et, en cas de risque élevé, de conduire une analyse d’impact.
Peut-on faire supprimer des informations apprises par le modèle ?
C’est techniquement complexe. Un modèle n’est pas une base de données où localiser puis effacer un enregistrement. Les mesures effectivement mises en œuvre relèvent davantage du filtrage des sorties que d’un effacement au sens strict, et la question n’est pas tranchée définitivement.
Les données restent-elles en Europe ?
Pas systématiquement. Des transferts existent, encadrés par les clauses contractuelles types de la Commission européenne. Une option de résidence des données en Europe est proposée pour certaines offres professionnelles, mais elle ne concerne pas les comptes grand public.
Quelle est la mesure la plus efficace en entreprise ?
Basculer vers une offre professionnelle plutôt que laisser chacun utiliser un compte personnel. Cela règle la question de l’entraînement au niveau organisationnel, là où un réglage individuel peut être décoché, oublié ou absent sur un nouveau compte.
- OpenAI — Politique de confidentialité applicable dans l’Espace économique européen
- OpenAI — Avenant relatif au traitement des données pour les clients professionnels
- Garante per la protezione dei dati personali — Décision du 2 novembre 2024
- Analyse juridique du jugement d’annulation rendu par le tribunal de Rome
- CNIL — Recommandations pour la mise en conformité des systèmes d’intelligence artificielle
- CNIL — Analyse du statut des modèles d’IA au regard du règlement
- CNIL — Travaux du Comité européen sur l’IA générative
- Comité européen de la protection des données — Rapport annuel 2025
WY-Créations analyse les évolutions du web, de l’intelligence artificielle et de leur encadrement. Ces éléments sont d’ordre général et ne constituent pas un conseil juridique ; pour une situation particulière, un avocat ou un délégué à la protection des données reste l’interlocuteur pertinent. Pour aller plus loin : toutes les actualités web.
La conformité de votre prestataire ne vous dispense jamais de la vôtre.
WY-Créations accompagne les entreprises sur leurs sites, leurs formulaires et la maîtrise des données qu’elles collectent.