Quand vous envoyez un texte à une intelligence artificielle, où va-t-il, et qui peut le lire ensuite ? Pour beaucoup de dirigeants de TPE, la réponse est restée floue pendant des années. Les annonces de cette semaine obligent à poser la question plus précisément, surtout quand les données qui circulent sont sensibles.
C’est quoi, la rétention zéro, concrètement ?
Concrètement, c’est simple : le texte que vous envoyez à l’API n’est pas stocké. La requête arrive, la réponse part, et il ne reste aucune copie de votre prompt sur les serveurs de l’éditeur.
Pour mesurer l’intérêt, regardez ce qui se passe sans cette option. En fonctionnement classique, vos prompts sont conservés pendant un certain temps : ils peuvent servir à améliorer les modèles, à analyser un incident ou à être relus par des équipes internes. Rien de scandaleux, c’est le fonctionnement standard du secteur depuis des années. La rétention zéro supprime ce circuit : après le traitement, il ne reste rien à relire, rien à réutiliser, et donc rien qui puisse fuiter.
C’est une différence concrète quand ce que vous envoyez vaut cher : une liste de clients, un fichier de paie, des pièces d’un dossier en cours.
Est-ce que la rétention zéro existe pour ChatGPT ?
Non. La Zero Data Retention est une option des API professionnelles, pas du ChatGPT grand public que vous ouvrez dans un navigateur pour rédiger un email.
Les API, c’est la voie technique par laquelle les entreprises font traiter des données par l’IA dans leurs propres outils : un logiciel de devis, un outil de relance, un traitement de documents. C’est là que l’option existe, sur les modèles les plus puissants d’OpenAI, et uniquement pour les clients éligibles.
Le mot éligible compte. Être titulaire d’un compte OpenAI ne donne aucun droit automatique : l’éligibilité se vérifie contrat par contrat, dans l’accord signé avec l’éditeur. Si la confidentialité est une condition de votre projet, cette question se pose avant la signature, pas après.
Private Safety Processing, c’est quoi ?
Une nouveauté en preview, et une promesse ambitieuse : détecter les usages malveillants de l’API en analysant plusieurs conversations, sans jamais donner accès au contenu au personnel d’OpenAI.
Pourquoi c’est important ? Parce que la sécurité et la confidentialité se sont longtemps opposées. Vérifier ce que font les utilisateurs supposait de pouvoir lire ce qu’ils écrivent. La PSP cherche à casser ce compromis : la détection d’abus fonctionne, mais personne chez l’éditeur ne peut consulter vos échanges.
Le mot à retenir est preview. C’est une annonce de direction, pas un service figé : les garanties techniques exactes restent à documenter. Tant que ce n’est pas fait, on évalue une promesse, pas une réalité.
Et chez Anthropic, qu’est-ce qui change ?
Le mouvement inverse, avec une évolution rapide. Depuis le 9 juillet, Anthropic conserve pendant 30 jours les échanges des clients professionnels qui utilisent ses modèles les plus puissants, Claude Fable 5 et Claude Mythos. Le 20 août, l’entreprise a annoncé vouloir donner à ses clients entreprise davantage de contrôle : ils pourront stocker leurs données sur leur propre infrastructure cloud, la rétention de 30 jours restant appliquée par défaut.
Deux fournisseurs majeurs, deux philosophies opposées sur la même question. La leçon pour une TPE n’est pas de choisir un camp, c’est de comprendre qu’il n’y a pas de règle commune ni durable : la rétention dépend du fournisseur, du modèle et de l’accord signé, et elle peut changer en quelques jours. Le réflexe utile, pour chaque outil d’IA que votre entreprise utilise : savoir qui garde quoi, et pendant combien de temps.
Est-ce que ça me concerne, moi ?
Honnêtement, pour la plupart des usages TPE/PME, très peu. Si vous utilisez l’IA pour rédiger des devis, préparer des emails, résumer des documents publics ou générer des fiches produits, vous n’envoyez pas de données ultra-sensibles. Dans ce cas, la rétention zéro est un bonus rassurant, pas une nécessité.
Le sujet devient sérieux dans deux situations. D’abord, si votre activité manipule des données que la loi protège : dossier médical, situation juridique, coordonnées bancaires, fiches de paie. Ensuite, si vos clients vous confient leurs informations et que vous devez pouvoir leur garantir un traitement sans trace.
Et une règle qui vaut pour toutes les tailles d’entreprise : quand un fournisseur écrit « on ne garde pas vos données », lisez les conditions. Les exceptions, les durées, l’éligibilité : tout se joue dans le contrat, pas dans le slogan. Ce n’est pas de la paranoïa, c’est du bon sens : vous ne signeriez pas un devis sans le lire, alors ne choisissez pas un fournisseur d’IA sur une formule marketing.
Vos questions, nos réponses
Comment savoir si mon entreprise est éligible à la rétention zéro ? En vérifiant votre contrat d’API et en posant la question à l’équipe commerciale d’OpenAI. L’option n’est pas automatique : elle se juge dans l’accord signé, contrat par contrat, avec les conditions exactes écrites noir sur blanc.
Qu’est-ce que Private Safety Processing ? C’est un mécanisme de détection d’abus, en preview, qui analyse plusieurs conversations pour repérer les usages malveillants sans donner accès au contenu au personnel d’OpenAI. Le fonctionnement exact reste à documenter avant de juger la promesse.
Mes données sont-elles en danger sans la rétention zéro ? Pas pour la plupart des usages TPE/PME : sans données ultra-sensibles, la différence est minime. En revanche, si vous traitez des données médicales, juridiques ou bancaires, la rétention zéro devient un vrai critère de choix.
Et votre entreprise, dans tout ça ?
Que vous utilisiez déjà une API d’IA ou que vous hésitiez encore, la démarche est la même : savoir quelles données vous envoyez, vérifier ce que le fournisseur en fait, et décider en connaissance de cause. C’est le genre de sujet que nous aidons nos clients à trancher, sans jargon et sans pression.
Pour faire le point sur vos outils et vos automatisations, le diagnostic DSR est gratuit et sans engagement : https://dsr-agency.com