Quand vous saisissez quelque chose dans un outil IA, vos mots sont envoyés sur les serveurs de l'entreprise. Dans de nombreux cas, sauf si vous désactivez un paramètre, ce texte peut être utilisé pour améliorer l'IA — il peut devenir une partie de ce que le modèle apprend. Le RGPD vous donne le droit de savoir ce qu'une entreprise détient sur vous, d'exiger la suppression et de vous opposer à l'utilisation de vos données pour l'entraînement du modèle. Les étapes clés : trouvez les paramètres de confidentialité, désactivez l'entraînement et sachez comment demander la suppression.
Chaque fois que vous tapez une question ou un problème dans un chatbot IA, vos mots quittent votre appareil et voyagent jusqu'aux serveurs d'une entreprise. C'est inévitable — l'IA y vit, pas sur votre téléphone ou votre ordinateur portable. Mais que se passe-t-il avec ces mots une fois qu'ils sont arrivés ? C'est là que c'est important — et c'est là qu'interviennent vos droits en tant que résident européen.
La protection des données est la principale préoccupation de nombreux Européens concernant les outils IA. La CNIL elle-même a jugé le sujet assez pressant pour publier, en juillet 2025, ses premières recommandations sur l'application du RGPD au développement des systèmes d'IA — un signe que le régulateur français considère cette question comme prioritaire, pas seulement théorique. Cette inquiétude est fondée — et ce guide vous explique en termes simples ce qui se passe réellement.
Ce que signifie vraiment « vos questions peuvent entraîner le modèle »
Quand vous tapez un message dans un chatbot IA grand public et que vous l'envoyez, il part sur les serveurs de l'entreprise. L'IA génère une réponse qui vous revient. Jusque-là, c'est comme tout autre service web.
L'étape supplémentaire est celle-ci : de nombreux services IA grand public conservent, par défaut, un enregistrement de ces conversations et peuvent les utiliser pour améliorer leur modèle. « Améliorer le modèle » signifie que les ingénieurs de l'entreprise analysent des schémas dans les conversations — parfois avec des évaluateurs humains — et utilisent ces schémas pour rendre l'IA plus intelligente.
En pratique, cela signifie que les mots que vous avez tapés — vos questions, vos inquiétudes, votre situation personnelle — pourraient faire partie de ce que le modèle apprend. Pas d'une manière qui permettrait à quelqu'un de rechercher votre message exact, mais vos mots contribuent bien au comportement futur du modèle.
Ce n'est pas un secret. C'est dans les conditions d'utilisation. La plupart des gens ne les lisent tout simplement jamais.
La différence qu'un seul paramètre peut faire
Presque tous les grands services IA ont désormais une page de paramètres de confidentialité. Sur cette page, il y a généralement une option du type : « Utiliser mes conversations pour améliorer le modèle. » Elle est souvent activée par défaut pour les comptes gratuits.
La désactiver prend environ trente secondes et signifie que vos nouvelles conversations ne seront pas utilisées pour l'entraînement.
Ce qu'elle ne fait pas :
- Elle ne supprime pas les conversations déjà stockées sur le serveur.
- Elle n'empêche pas l'entreprise de conserver la conversation pour des raisons de sécurité ou légales.
- Elle peut ne pas s'appliquer aux conversations qui ont eu lieu avant le changement de paramètre.
Pour réellement supprimer des données stockées, vous devez exercer vos droits RGPD — expliqués ci-dessous.
Vos quatre droits RGPD essentiels, en termes simples
RGPD signifie Règlement Général sur la Protection des Données. C'est une loi européenne qui vous donne un contrôle réel et opposable sur vos données personnelles. Voici les quatre droits les plus pertinents pour les outils IA.
1. Le droit d'accès (article 15 du RGPD)
Vous pouvez demander à toute entreprise : « Quelles données personnelles détenez-vous sur moi ? » Elle doit vous répondre dans un délai d'un mois — prolongeable de deux mois supplémentaires pour les demandes complexes (article 12.3) — et vous fournir une copie dans un format utilisable. C'est ce qu'on appelle une demande d'accès aux données (Subject Access Request).
Pour un outil IA, cela peut inclure : vos coordonnées de compte, votre historique de conversations et les déductions que l'entreprise a faites à partir de votre utilisation.
2. Le droit à l'effacement (article 17 du RGPD, le « droit à l'oubli »)
Vous pouvez demander à une entreprise de supprimer les données personnelles qu'elle détient sur vous. Ce droit n'est pas absolu : l'article 17.3 prévoit des exceptions explicites — obligation légale de conservation, liberté d'expression et d'information, ou nécessité de constater, exercer ou défendre des droits en justice. L'entreprise doit toutefois expliquer le motif de son refus.
Pour les outils IA, cela signifie généralement : la suppression de votre compte, de vos conversations stockées et de toute donnée d'entraînement dérivée de vos conversations (cette dernière partie peut être techniquement complexe, les entreprises pouvant ne pas être en mesure de retirer votre influence d'un modèle déjà entraîné).
3. Le droit d'opposition (article 21 du RGPD)
Vous pouvez dire à une entreprise : « Cessez d'utiliser mes données à cette fin. » Pour l'entraînement IA, cela signifie s'opposer à ce que vos conversations soient utilisées pour améliorer le modèle. L'entreprise doit s'arrêter, sauf si elle peut démontrer une raison impérieuse de continuer.
En pratique, il est souvent plus facile d'utiliser le bouton de confidentialité dans les paramètres que de suivre un processus d'opposition formel — mais les deux voies vous sont ouvertes.
4. Le droit à la portabilité (article 20 du RGPD)
Vous pouvez demander à recevoir les données que vous avez vous-même fournies à un service, dans un format structuré, couramment utilisé et lisible par machine — par exemple pour changer de fournisseur. C'est exactement ce qui se cache derrière la fonction « Exporter mes données » que ce guide mentionne plus loin : ce n'est pas un geste de courtoisie de l'entreprise, c'est un droit RGPD à part entière.
Où vous plaindre si une entreprise ne répond pas
Si une entreprise ne répond pas, ou répond de façon manifestement insuffisante, l'étape suivante est une plainte auprès d'une autorité de contrôle (article 77 du RGPD) — gratuite et sans avocat.
En France, contrairement à l'Allemagne où la compétence est partagée entre seize autorités régionales, il n'existe qu'une seule autorité compétente : la CNIL (Commission Nationale de l'Informatique et des Libertés), quel que soit votre lieu de résidence dans le pays. Comme les filiales européennes des grandes entreprises d'IA sont souvent basées en Irlande, votre plainte peut ensuite être transmise à l'autorité irlandaise (DPC) dans le cadre du mécanisme de « guichet unique » — mais vous la déposez toujours d'abord auprès de la CNIL.
Ce que la CNIL fait — et ne fait pas : elle instruit votre plainte, peut mettre en demeure l'entreprise et prononcer des sanctions pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial annuel. Ce qu'elle ne fait pas, c'est vous accorder personnellement une indemnisation. Une demande de réparation du préjudice matériel ou moral au titre de l'article 82 du RGPD doit être portée séparément devant le tribunal judiciaire — une plainte CNIL n'est pas un préalable obligatoire à cette action civile, et son issue ne lie pas le juge.
Des étapes concrètes à suivre dès aujourd'hui
Une liste de contrôle simple. Vous n'avez pas à tout faire — un ou deux points font déjà une réelle différence.
Étape 1 — Trouver les paramètres de confidentialité. Dans ChatGPT : Paramètres → Contrôles des données. Dans d'autres outils, cherchez Paramètres → Confidentialité ou Aide → Politique de confidentialité → Vos droits.
Étape 2 — Désactiver l'entraînement. Désactivez toute option indiquant « améliorer le modèle », « utiliser les conversations pour l'entraînement » ou similaire. Enregistrez.
Étape 3 — Supprimer l'historique des conversations. La plupart des outils IA permettent de supprimer des chats individuels ou tout l'historique. Les supprimer de votre vue les retire également du pipeline d'entraînement futur.
Étape 4 — Envoyer une demande de suppression si vous voulez repartir à zéro. Utilisez le formulaire de demande de confidentialité de l'entreprise (généralement dans le centre d'aide ou la page de confidentialité). Indiquez clairement : « J'exerce mon droit à l'effacement au titre du RGPD. Veuillez supprimer toutes les données personnelles me concernant, y compris l'historique des conversations. »
Étape 5 — En l'absence de réponse ou de réponse satisfaisante : déposer une plainte. Si l'entreprise ne répond pas dans le délai ou de façon insuffisante, adressez-vous gratuitement à la CNIL (voir la section ci-dessus). Cela ne remplace pas une demande d'indemnisation, mais cela met la pression et laisse une trace officielle.
Étape 6 — Utiliser un mode plus privé pour les sujets sensibles. Certains outils offrent un mode « navigation privée » ou « chat temporaire » qui ne sauvegarde pas du tout la conversation. Utilisez-le quand vous discutez de quelque chose que vous ne souhaitez pas stocker.
« Je voudrais poser une question sur ma situation personnelle, mais je veux préserver ma vie privée. Existe-t-il un moyen de vous utiliser sans sauvegarder cette conversation ? »
Vous pouvez littéralement poser cette question à l'IA — elle vous indiquera quels modes ou paramètres sont disponibles.
À quoi faire attention
Ne jamais saisir des données médicales, financières ou d'identité. Même avec l'entraînement désactivé, votre texte est transmis aux serveurs de l'entreprise et y est stocké durant la session. Un nom complet plus une condition médicale plus une date de naissance est exactement le type de combinaison qui rend les données personnelles sensibles. Utilisez des descriptions générales.
Les captures d'écran et les enregistrements vocaux sont aussi des données. Si vous partagez une photo ou utilisez un assistant vocal, cette image ou cet audio va sur le serveur. Soyez aussi prudent avec les entrées visuelles et audio qu'avec le texte tapé.
Les outils « gratuits » et vos données. Quand un service ne coûte rien, l'entreprise doit bien payer ses factures d'une façon ou d'une autre. Pour de nombreux outils IA, une réponse consiste à utiliser ce que les utilisateurs partagent pour améliorer le produit — qu'ils vendent ensuite aux entreprises. Ce n'est pas automatiquement mauvais, mais c'est bon de le savoir.
Phishing et faux formulaires de « suppression de données ». Vous verrez parfois des e-mails ou des messages proposant de vous aider à supprimer vos données IA. Allez toujours directement sur le site officiel — ne cliquez jamais sur un lien dans un e-mail inattendu. Les demandes RGPD légitimes passent par la propre page de confidentialité de l'entreprise.
Entraînement désactivé ≠ données supprimées. Désactiver l'entraînement est une étape importante, mais ce n'est pas la même chose que demander la suppression de vos données. Si vous voulez repartir entièrement à zéro, vous devez soumettre une demande de suppression formelle.
Que faire ensuite
Une fois vos paramètres de confidentialité réglés, l'étape suivante est de comprendre quelles données ces outils détiennent déjà sur vous — et comment les consulter. Notre guide Ce que l'IA sait sur moi vous explique comment demander un export complet de données auprès des grands services IA.
Si vous utilisez spécifiquement ChatGPT, le guide pas-à-pas Paramètres de confidentialité de ChatGPT vous montre chaque option en termes simples.
Et si vous souhaitez aller encore plus loin — vous désinscrire de l'entraînement sur plusieurs services à la fois — Comment se désinscrire de l'entraînement IA et demander la suppression de vos données couvre l'ensemble du processus.
Sources
- Article 12 du RGPD — Transparence des informations, communications et modalités — GDPR-info.eu
- Article 17 du RGPD — Droit à l'effacement (« droit à l'oubli ») — GDPR-info.eu
- Article 20 du RGPD — Droit à la portabilité des données — GDPR-info.eu
- Article 82 du RGPD — Droit à réparation et responsabilité — GDPR-info.eu
- Plaintes en ligne — CNIL
- Comprendre le RGPD — CNIL
- Intelligence artificielle — CNIL
