« Pas utilisé pour entraîner » ne veut pas dire « effacé »

Beaucoup de services d'intelligence artificielle promettent de ne pas entraîner leurs modèles avec les données de leurs clients professionnels. C'est une garantie utile, mais elle ne dit rien de la durée pendant laquelle ces données sont conservées, ni des copies qui peuvent subsister. Pour une entreprise, ce sont trois questions différentes.

« Vos données ne servent pas à entraîner nos modèles » : ce type de promesse rassure, et il figure en bonne place dans la documentation des fournisseurs, par exemple chez OpenAI. Mais elle ne répond qu'à une question : les contenus envoyés vont-ils améliorer le produit du fournisseur ? Elle ne dit pas combien de temps ils restent stockés, ni ce qui se passe quand on clique sur « supprimer ».

La documentation publique d'OpenAI, l'éditeur de ChatGPT, permet de voir concrètement la différence. Elle sert ici d'exemple parce qu'elle est détaillée, pas parce que ce fournisseur serait meilleur ou pire qu'un autre.

Trois opérations à ne pas confondre

Entraîner. Selon sa documentation pour développeurs, consultée le 9 novembre 2026, OpenAI n'utilise pas depuis le 1er mars 2023 les données envoyées à son API, l'interface utilisée par les logiciels, pour entraîner ou améliorer ses modèles, sauf si le client choisit explicitement de les partager.

Conserver. La même page précise que des journaux de surveillance des abus sont générés par défaut et conservés jusqu'à 30 jours. Ils peuvent contenir les requêtes et les réponses. Cette durée peut être prolongée si la loi l'exige ou si c'est raisonnablement nécessaire pour protéger le service ou des tiers.

Garder pour faire fonctionner. Certaines fonctions stockent aussi des données pour accomplir leur tâche : conversations, fichiers, bases de documents. La documentation indique par exemple que les fichiers envoyés sont conservés jusqu'à leur suppression. Les objets de l'interface « Assistants » sont effacés 30 jours après leur suppression par le client ; ceux qui ne sont pas supprimés sont conservés indéfiniment.

Il existe des options dites de « rétention zéro » qui excluent les contenus de ces journaux. Selon le fournisseur, elles sont toutefois soumises à une approbation préalable, et certaines fonctions continuent de stocker des données même lorsqu'elles sont activées.

Autrement dit, une donnée peut ne jamais servir à l'entraînement et rester stockée pendant des semaines, voire jusqu'à ce que quelqu'un pense à l'effacer.

Quand un tribunal s'en mêle

Les durées annoncées peuvent aussi être suspendues par une procédure judiciaire. Dans le procès pour droit d'auteur intenté notamment par le New York Times contre OpenAI aux États-Unis, une juge a ordonné le 13 mai 2025 de préserver les données de sortie qui auraient normalement été supprimées, selon la lettre des éditeurs citée ci-dessous.

OpenAI indique que cette obligation a pris fin le 26 septembre 2025 et qu'elle est revenue à ses pratiques habituelles : les conversations ChatGPT supprimées sont effacées de ses systèmes sous 30 jours, les données de l'API aussi. L'entreprise précise toutefois conserver, sous accès restreint, un ensemble limité de données d'avril à septembre 2025 que le journal continue de réclamer. Elle ajoute ne plus être tenue de conserver indéfiniment les nouvelles données, ni aucune conversation provenant de l'Espace économique européen, de Suisse ou du Royaume-Uni.

Le dossier n'est pas clos. Dans une lettre du 5 janvier 2026 adressée à la juge, les éditeurs de presse accusent OpenAI d'avoir laissé disparaître des millions de conversations de l'échantillon qu'elle devait produire. Il s'agit des affirmations d'une partie au procès, pas d'une décision du tribunal.

Pour une PME suisse, cette affaire ne crée aucune obligation. Elle montre en revanche qu'une durée de conservation annoncée n'est pas une garantie absolue : une décision de justice, dans le pays du fournisseur, peut la modifier.

Ce que dit le droit suisse

En Suisse, la LPD prévoit que les données personnelles sont détruites ou anonymisées dès qu'elles ne sont plus nécessaires au regard des finalités du traitement. Lorsque l'entreprise confie ses données à un prestataire, elle reste responsable. Le Préposé fédéral à la protection des données et à la transparence (PFPDT) recommande notamment de prévoir, par contrat et par des mesures d'organisation, que les données externalisées pourront être effacées ou corrigées si nécessaire, et retrouvées en cas de demande d'accès.

Une grille simple pour s'y retrouver

Pour chaque outil d'IA utilisé, une PME peut répondre à quatre questions :

• Quelles données y entrent ? Texte d'un courriel, fichier joint, enregistrement audio.
• Dans quelle fonction ? Simple question, conversation sauvegardée, base documentaire.
• Combien de temps sont-elles conservées, selon la documentation ou le contrat applicable ?
• Qui peut demander leur effacement, et comment ?

Cette grille ne garantit pas qu'aucune copie ne subsiste. Elle permet de savoir où se trouvent les données de l'entreprise. C'est le préalable pour répondre à un client qui demande ce que l'on a fait de son dossier.

Ce qu'il faut retenir

L'absence d'entraînement, la durée de conservation et la suppression sont trois engagements distincts. L'un ne garantit pas les autres. La bonne question à poser à un fournisseur n'est donc pas seulement « utilisez-vous nos données ? », mais « où sont-elles, pour combien de temps, et que se passe-t-il quand nous les supprimons ? »

Sources principales

• OpenAI, Data controls in the OpenAI platform, documentation sans date indiquée, consultée le 9 novembre 2026.
• OpenAI, How we're responding to The New York Times' data demands in order to protect user privacy, 5 juin 2025, mise à jour du 22 octobre 2025.
• News Plaintiffs, lettre à la juge Ona T. Wang, In re: OpenAI, Inc., Copyright Infringement Litigation, 5 janvier 2026.
• Confédération suisse, Loi fédérale sur la protection des données (LPD), RS 235.1, article 6.
• Préposé fédéral à la protection des données et à la transparence (PFPDT), Externalisation (sous-traitance), page sans date indiquée.

Article documentaire, sans valeur d'avis juridique. Aucun service n'a été testé par LEMOVIA ; les durées citées sont celles annoncées par le fournisseur à la date de consultation et peuvent changer.