Vie privée des chatbots : où vont vos conversations

Fiche complémentaire de la leçon « Assistants d’IA : où finissent les données » — cours Vie privée en ligne

Quand vous écrivez à un assistant d’intelligence artificielle (IA), ou chatbot, un programme avec lequel on converse par écrit, vos mots ne disparaissent pas dès que la réponse s’affiche. La vie privée des chatbots, c’est ce qui se passe ensuite : où la conversation est enregistrée, pendant combien de temps, qui pourrait la lire, si elle sert à entraîner le modèle et à quels autres services elle parvient. Cette fiche suit une conversation le long de ce chemin, pour que vous puissiez décider de ce qui vous convient.

A. Pourquoi c’est important

Un assistant d’IA est utile parce qu’on lui donne du contexte : le brouillon d’un message, une question sur sa semaine, un document à résumer. Ce contexte contient souvent des données personnelles, et il voyage plus loin que votre écran.

Dans ce cours, la vie privée tient en trois questions : ce qui se sait de vous, qui le sait, et ce que vous choisissez de laisser savoir. Avec la vie privée des chatbots, les réponses se trouvent à deux endroits faciles à négliger : les réglages du compte et la politique de confidentialité, le document où le service explique comment il traite vos données. Inutile de les lire ligne à ligne : il ne s’agit pas d’abandonner ces outils, mais de les utiliser en connaissance de cause.

Ce que disent les sources

Cybermalveillance.gouv.fr, le dispositif national d’assistance aux victimes de cybermalveillance, consacre une page aux conseils d’usage de l’IA pour les particuliers. Elle invite à éviter de partager des sujets ou des documents personnels sensibles, car ces données peuvent « servir à entraîner l’IA qui les garde en mémoire ». Elle invite aussi à ajuster les paramètres de confidentialité du compte IA pour « réduire la durée de conservation des échanges », et à effacer régulièrement l’historique.

La CNIL (Commission nationale de l’informatique et des libertés), l’autorité française chargée de la protection des données personnelles, constate dans une page d’octobre 2025 que « De plus en plus d’entreprises utilisent les données personnelles de leurs utilisateurs pour entraîner des modèles d’IA. » Sur cette page, elle ne se prononce pas sur la conformité de ces pratiques au RGPD (le règlement européen sur la protection des données) et explique surtout comment s’y opposer sur les principales plateformes.

B. Notions clés

Six idées pour suivre une conversation après le moment où l’on valide son message.

Historique et conservation

La conservation, c’est la durée pendant laquelle un service garde vos données. Des assistants comme ChatGPT et Gemini enregistrent vos conversations dans votre compte, pour que vous puissiez les retrouver.

Pour Gemini, Google indique que l’activité est supprimée automatiquement au bout de 18 mois par défaut, et que l’on peut choisir 3 mois, 36 mois ou aucune suppression automatique. Cybermalveillance.gouv.fr conseille, plus largement, de régler la durée de conservation dans le compte et d’effacer l’historique de temps en temps.

Pourquoi c’est important pour vous : Supprimer une conversation n’efface pas tout instantanément. La politique de confidentialité européenne d’OpenAI (en anglais) indique que les données personnelles dont on demande la suppression sont retirées de ses systèmes sous 30 jours, avec des exceptions possibles pour des raisons légales ou de sécurité.

Conversations temporaires

ChatGPT et Gemini proposent tous deux un mode qui n’ajoute pas la conversation à votre historique.

Google précise que ces conversations ne servent pas à entraîner ses modèles d’IA, et OpenAI indique que celles de ChatGPT ne servent pas à améliorer les siens. Dans les deux cas, elles sont tout de même gardées un court moment, mentionné dans les pages d’aide ; la fiche de ce cours consacrée au refus de l’entraînement donne les durées actuelles.

Pourquoi c’est important pour vous : « Temporaire » veut dire « absent de l’historique », pas « jamais enregistré ». Ce mode convient à une question ponctuelle, à condition de savoir qu’une courte période de conservation s’applique quand même.

Relecture humaine

Dans certains services, ce ne sont pas seulement des logiciels qui lisent des conversations : des personnes en relisent un échantillon pour vérifier la qualité et la sécurité des réponses.

Google le dit explicitement pour Gemini : des relecteurs humains, y compris ceux de ses prestataires, lisent certaines conversations. Elles sont dissociées de votre compte avant d’être transmises aux prestataires. Les conversations relues sont conservées jusqu’à trois ans et ne sont pas supprimées quand vous supprimez votre activité.

Pourquoi c’est important pour vous : Cela transforme une inquiétude vague en question concrète : cela me dérangerait-il qu’une personne inconnue lise ce message, sans mon nom à côté ?

Utilisation pour l’entraînement

L’entraînement (training, en anglais) consiste à utiliser des exemples, parmi lesquels peuvent figurer vos conversations, pour améliorer le modèle.

Dans ChatGPT, le réglage s’appelle « Améliorer le modèle pour tous », nom que relève la CNIL. Selon l’aide d’OpenAI, quand il est désactivé, les nouvelles conversations ne servent plus à entraîner les modèles d’OpenAI, et les conversations déjà enregistrées ne sont ni supprimées ni masquées. Chez Gemini, l’entraînement dépend du réglage d’activité, que la CNIL désigne par « Activité dans les applications Gemini ». Google indique que, lorsque cette activité est désactivée, les nouvelles conversations ne servent pas à entraîner ses modèles d’IA, sauf si l’on envoie un avis ; la CNIL prévient que la désactiver « peut impliquer la suppression des conversations passées ».

Pourquoi c’est important pour vous : Remarquez le mot « nouvelles » : le changement agit sur ce que vous écrirez à partir de maintenant.

Applications connectées (connecteurs et modules complémentaires)

Une application connectée, appelée aussi connecteur ou module complémentaire (plug-in, en anglais), relie l’assistant à un autre service, par exemple votre messagerie ou votre stockage en ligne.

Pour Gemini, Google précise que les applications conservent les données que Gemini partage avec elles selon leurs propres règles, et que supprimer son activité Gemini n’efface pas ces données. Cybermalveillance.gouv.fr recommande de vérifier les autorisations accordées aux IA dans ses applications, extensions et services en ligne, et de les limiter au strict nécessaire.

Pourquoi c’est important pour vous : Chaque connexion ajoute un endroit où vos données peuvent finir, avec ses propres règles, et elle reste dans vos réglages jusqu’à ce que vous la coupiez.

Où les données sont traitées

Le lieu de traitement est le pays où vos données sont stockées et traitées, ce qui détermine les lois et les garanties applicables.

La politique de confidentialité européenne d’OpenAI (en anglais) indique par exemple que l’entreprise traite des données personnelles sur des serveurs situés hors de l’Espace économique européen, de la Suisse et du Royaume-Uni, notamment aux États-Unis. Elle dit s’appuyer, pour ces transferts, sur des mécanismes comme les décisions d’adéquation de la Commission européenne et les clauses contractuelles types.

Pourquoi c’est important pour vous : Pas besoin d’être juriste. D’après la CNIL, le droit d’accès permet de savoir si des données sont transférées hors de l’Union européenne ; cherchez donc ce point dans la politique de confidentialité.

C. Un exemple concret : l’assistant de Jean

Jean a 50 ans et dirige une petite entreprise à Lille. Il utilise un assistant d’IA avec son compte personnel pour rédiger des réponses à ses clients et mettre ses devis au propre. Cela lui fait gagner du temps, et il n’a pas l’intention d’y renoncer.

Au fil des mois, son usage s’est étendu par petites touches :

• il a collé la liste de prix d’un fournisseur pour en demander un résumé ;
• il a demandé de l’aide pour une réponse délicate, en indiquant le prénom du client et le problème de sa commande ;
• il a connecté sa messagerie pour que l’assistant retrouve d’anciens messages, pour une tâche qu’il n’a pas renouvelée depuis ;
• il s’est connecté avec un compte qu’il avait déjà ailleurs, parce que c’était plus rapide que de créer un nouveau mot de passe.

Chaque étape avait du sens sur le moment. Mais quand un fournisseur lui a demandé, mi-figue mi-raisin : « Et tout ça, ça part où ? », Jean s’est rendu compte qu’il n’en savait rien.

Ce qui a changé quand Jean a regardé

Jean a consacré quinze minutes à l’exercice ci-dessous. Ce qu’il a trouvé était plus calme que ce qu’il craignait :

• son historique remontait à sa première question, message du client compris ;
• le réglage d’entraînement était activé, et il ignorait qu’il existait ;
• la connexion avec sa messagerie était encore active, des mois après cette unique tâche ;
• la politique de confidentialité indiquait, en un paragraphe, dans quel pays ses données étaient traitées.

Il a pris trois décisions. Il a déconnecté sa messagerie. Il a supprimé les anciennes conversations qui contenaient des coordonnées de clients. Il a laissé le réglage activé pour les questions générales, et choisi une conversation temporaire dès qu’un client est concerné. Il ne s’agit pas d’une aide réduite : c’est une aide à des conditions qu’il a choisies.

D. À vous de jouer : suivre une conversation (15 minutes)

Cinq étapes courtes avec l’assistant d’IA que vous utilisez le plus. Les noms des réglages varient d’un service à l’autre et changent avec le temps : si vous n’en trouvez pas un, cherchez dans les pages d’aide du service les mots entre guillemets.

Étape 1 — Trouver votre historique et sa durée de conservation (3 minutes)

• Ouvrez les réglages de l’assistant, souvent depuis l’icône de votre profil, puis une rubrique qui ressemble à « Contrôles des données », « Gestion des données » ou « Activité ».
• Regardez jusqu’où remonte votre historique et si le service propose une suppression automatique.
• Repérez où lancer une conversation temporaire.

Étape 2 — Vérifier le réglage d’entraînement (3 minutes)

• Cherchez le réglage qui décide si vos conversations servent à entraîner ou à améliorer les modèles. Dans ChatGPT, la CNIL le nomme « Améliorer le modèle pour tous » ; dans Gemini, il dépend de « Activité dans les applications Gemini ».
• Notez s’il est activé ou désactivé. Ne changez rien pour l’instant.

Étape 3 — Chercher la relecture humaine (2 minutes)

• Cherchez dans le centre de confidentialité ou les pages d’aide du service les mots « relecture humaine » ou « relecteurs » (ou, en anglais, « human review »).
• Notez qui relit, si les conversations sont d’abord dissociées de votre compte, et pendant combien de temps. Sans réponse, notez-le aussi.

Étape 4 — Dresser la liste de vos applications connectées (3 minutes)

• Repérez dans les réglages la liste des applications connectées, des connecteurs ou des modules complémentaires.
• À côté de chacune, notez la dernière fois où vous en avez eu besoin.
• Notez si l’accès à l’assistant passe par un compte créé ailleurs.

Étape 5 — Lire la politique de confidentialité avec quatre questions (4 minutes)

Dans la politique de confidentialité, ne cherchez que ces quatre réponses. Elles correspondent à ce que la CNIL dit pouvoir obtenir par le droit d’accès : durée de conservation, destinataires, éventuel transfert hors de l’Union européenne, et existence de vos autres droits, dont la possibilité de saisir la CNIL.

• Combien de temps mes données sont-elles conservées ?
• Avec qui sont-elles partagées, par nom ou par catégorie ?
• Sont-elles transférées dans un autre pays, et lequel ?
• Comment faire valoir mes droits, et comment déposer une plainte ?

Si une réponse manque, vous pouvez la demander à l’organisme en exerçant votre droit d’accès. Selon la CNIL, il doit répondre « au plus tard dans un délai d’un mois », délai qui peut être porté à trois mois si la demande est complexe, à condition de vous en expliquer les raisons. En l’absence de réponse, vous pouvez saisir la CNIL en joignant les preuves de vos démarches, qui doivent d’abord avoir été faites auprès de l’organisme : « Avant de demander l’intervention de la CNIL, vous devez d’abord exercer vos droits Informatique et Libertés ».

Ensuite, prenez une décision : laisser un réglage tel quel, maintenant que vous le connaissez ; en modifier un ; ou déconnecter une application. Chacune des trois est un bon résultat.

E. Vidéos, articles et autres ressources

D’abord les sources institutionnelles françaises, puis les pages d’aide de deux assistants, à titre d’exemples et non de recommandations.

Sources institutionnelles

Cybermalveillance.gouv.fr — Utiliser l’IA, conseils pour les particuliers et les professionnels
Les conseils pour les particuliers : données saisies, historique, paramètres de confidentialité et autorisations.
https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/utiliser-ia-conseils-pour-les-particuliers-et-les-professionnels

CNIL — IA et vie privée : comment s’opposer à la réutilisation de ses données personnelles pour l’entraînement d’agents conversationnels ?
Plateforme par plateforme, où se trouvent les réglages d’entraînement (page du 16 octobre 2025).
https://cnil.fr/fr/ia-comment-sopposer-la-reutilisation-de-ses-donnees-personnelles-entrainement-agent-conversationnel

CNIL — Le droit d’accès : connaître les données qu’un organisme détient sur vous
Ce que l’on peut obtenir, dont la durée de conservation et les transferts hors de l’Union européenne, le délai de réponse et le recours.
https://www.cnil.fr/le-droit-dacces-connaitre-les-donnees-quun-organisme-detient-sur-vous

CNIL — Adresser une plainte à la CNIL
Les démarches à faire auprès de l’organisme avant de saisir la CNIL.
https://www.cnil.fr/fr/adresser-une-plainte

Pages d’aide des plateformes

Aide des applications Gemini — Centre de confidentialité des applications Gemini (titre indicatif)
Conservation, conversations temporaires, relecture humaine, applications connectées et réglage d’activité (page servie en espagnol lors de la vérification).
https://support.google.com/gemini/answer/13594961?hl=fr

Centre d’aide OpenAI — Contrôles des données dans ChatGPT
Le réglage d’entraînement, les conversations temporaires et leur emplacement (page en français).
https://help.openai.com/fr-fr/articles/7730893-data-controls-faq

OpenAI — Europe privacy policy
Suppression des données, lieu de traitement et garanties des transferts (page en anglais).
https://openai.com/policies/eu-privacy-policy/

Liens vérifiés en octobre 2026. Si une adresse change, chercher le titre sur le site de l’organisme aide souvent à la retrouver.

F. Le Framework Cyber Welfare : Compétences, Conscience du risque, Comportements sûrs

Cette fiche s’appuie sur le pilier Conscience du risque, au niveau FL2 — Initié : la vie privée des chatbots commence par comprendre comment un outil familier traite vos données.

Compétences

• Trouver les réglages d’historique, de conservation et d’entraînement de l’assistant que l’on utilise.
• Repérer et retirer les applications connectées dont on n’a plus besoin.
• Lire une politique de confidentialité pour y chercher quatre réponses précises.

Conscience du risque

• Savoir qu’une conversation peut être conservée, relue par des personnes et servir à l’entraînement.
• Comprendre qu’une conversation « temporaire » reste conservée un court moment.
• Voir chaque application connectée comme un endroit de plus où peuvent finir vos données.

Comportements sûrs

• Choisir une conversation temporaire pour les questions ponctuelles ou plus personnelles.
• Retirer une connexion quand la tâche pour laquelle elle a été créée est terminée.
• Revérifier les réglages quand la politique de confidentialité change.

G. Questions pour réfléchir

• Si l’une de vos conversations récentes était lue par un relecteur, sans votre nom à côté, laquelle vous gênerait le plus, et pourquoi ?
• Parmi vos applications connectées, laquelle avez-vous configurée pour une seule tâche, et cette tâche est-elle encore en cours ?
• Que raconte de vous un long historique de conversations ?

H. Que faire maintenant

Les recommandations (R) et mesures de sécurité (MS) de la base de données Cyber Welfare qui s’appliquent le plus directement ici.

1. Ce qui est conservé, et pour combien de temps

La base de données ne contient pas encore de recommandation sur les réglages des assistants d’IA, le conseil figure donc ici. Il s’agit d’une règle simple proposée par ce cours : choisir combien de temps les conversations sont gardées, décider en connaissance de cause pour l’entraînement, et penser à la conversation temporaire. Cybermalveillance.gouv.fr recommande de son côté d’ajuster les paramètres du compte et d’effacer l’historique de temps en temps.

Engagement minimal : cette semaine, ouvrez les réglages de données de votre assistant et notez deux réponses : combien de temps vos conversations sont gardées, et si elles servent à l’entraînement.

2. Ce qui est relié

• R31 — Limiter la connexion via les réseaux sociaux : n’utilisez « Se connecter avec… » que lorsque c’est utile : se connecter à un assistant « avec » un autre compte relie les deux. Les applications connectées relient dans l’autre sens : passez en revue la liste dans les réglages de l’assistant et déconnectez ce que vous n’utilisez plus.

Engagement minimal : retirez une application connectée ou un module complémentaire créé pour une tâche aujourd’hui terminée.

En bref

• La vie privée des chatbots part d’un fait : avec les services présentés ici, ce que vous écrivez est conservé par le fournisseur, au moins un temps.
• Conservation, relecture humaine et entraînement sont trois questions distinctes, qui trouvent chacune leur réponse dans les pages d’aide.
• Chaque application connectée est un endroit de plus où vos données peuvent finir, selon ses propres règles.
• Quatre questions suffisent pour lire une politique de confidentialité : combien de temps, avec qui, dans quel pays, et quels droits.

Ressources associées dans ce cours

• Que ne pas partager avec un chatbot : la règle en trois gestes
• Désactiver l’entraînement de l’IA : réglages des chatbots
• IA en famille : des règles simples pour la maison et l’école
• Recherche IA et vie privée : ce qui change quand on demande

Découvrez d’autres fiches complémentaires des cours du programme Protégez votre Vie Privée Numérique.