VPN et ChatGPT : protège-t-il vraiment vos données ?

Un VPN avec ChatGPT protège la connexion réseau, mais pas les informations confiées à l’intelligence artificielle. Le VPN chiffre le trafic entre votre appareil et son serveur ; ChatGPT reçoit toujours vos prompts, fichiers, réponses et identifiants de compte. Pour une PME, la confidentialité dépend surtout des données saisies, des réglages de conservation et du contrat souscrit auprès du fournisseur.

Que protège réellement un VPN avec ChatGPT ?

Un VPN avec ChatGPT chiffre les données pendant leur transport entre l’appareil et le serveur VPN. Il réduit ainsi l’exposition du trafic sur un Wi-Fi public ou un réseau non fiable. Le VPN ne masque toutefois ni les prompts ni les fichiers au service ChatGPT qui doit les traiter pour répondre.

VPN signifie « réseau privé virtuel ». C’est un service qui crée un tunnel chiffré entre un terminal et un serveur intermédiaire, puis transmet la connexion vers Internet. Selon le guide de la CISA publié en 2024, ce mécanisme protège les données en transit sur les réseaux non fiables.

Concrètement, un pirate présent sur le Wi-Fi d’un hôtel ne peut pas lire facilement le contenu qui traverse ce tunnel. Le fournisseur d’accès voit également moins précisément les services consultés. L’adresse IP présentée à ChatGPT correspond généralement à celle du serveur VPN, et non à celle de votre connexion directe.

La limite est nette : le chiffrement du transport s’arrête au point où le service destinataire doit exploiter les informations. OpenAI reçoit donc le texte saisi, les documents téléversés, les réponses produites et les données associées au compte. Le même raisonnement vaut pour Claude d’Anthropic et les autres services d’intelligence artificielle générative.

Un VPN reste pertinent pour le télétravail, l’accès à un système interne et les déplacements. Il ne remplace pas les autres couches de protection du poste, telles que celles présentées dans notre comparaison entre EDR et antivirus en entreprise.

Un VPN ChatGPT protège-t-il les données confidentielles ?

Un VPN ChatGPT ne rend pas sûre la transmission d’un secret commercial, d’un fichier client ou d’une donnée personnelle au service d’intelligence artificielle. La Commission nationale de l’informatique et des libertés recommande, en 2026, de ne pas saisir d’informations personnelles, confidentielles ou stratégiques dans un outil grand public.

Le piège le plus fréquent consiste à confondre connexion chiffrée et confidentialité vis-à-vis du fournisseur. HTTPS chiffre déjà les échanges avec ChatGPT, tandis qu’OpenAI indique en 2026 chiffrer les contenus en transit et au repos. Ajouter un VPN renforce le trajet réseau, mais ne modifie pas le contenu reçu par OpenAI.

Imaginez un devis contenant les marges de l’entreprise. Le VPN empêche un observateur local de l’intercepter, mais ChatGPT doit lire le devis pour le résumer. Même problème avec un contrat non signé, un dépôt de code privé, un dossier de ressources humaines ou une liste de prospects.

Sur les projets que nous menons, nous voyons souvent des équipes supprimer le nom d’un client tout en laissant son adresse, son secteur, des montants et des dates. Cette combinaison peut suffire à le réidentifier. L’anonymisation consiste à rendre une personne non identifiable de manière irréversible ; remplacer seulement son nom relève plutôt de la pseudonymisation.

Le bon réflexe consiste à retirer les noms, coordonnées, identifiants, secrets techniques et détails contractuels avant l’envoi. Pour un document très sensible, la réponse est plus simple : ne le transmettez pas à un service grand public, même derrière un VPN.

ChatGPT conserve-t-il les conversations en 2026 ?

En 2026, les conversations ordinaires de ChatGPT restent enregistrées jusqu’à leur suppression par l’utilisateur. OpenAI programme généralement leur suppression définitive sous 30 jours après cette action, avec des exceptions liées aux obligations légales, à la sécurité ou aux contenus déjà dissociés du compte.

Dans les espaces personnels ChatGPT Free, Plus et Pro, le partage destiné à l’amélioration des modèles est activé par défaut en 2026. Il peut être désactivé dans Settings, puis Data Controls. Le changement ne concerne que les conversations suivantes : il n’efface pas rétroactivement les échanges antérieurs.

Les Temporary Chats, ou conversations temporaires, ne servent pas à l’amélioration des modèles pendant leur statut temporaire. OpenAI précise néanmoins en 2026 qu’ils peuvent être conservés jusqu’à 30 jours pour des motifs de sécurité. « Temporaire » ne signifie donc pas « immédiatement détruit ».

Ces paramètres réduisent certains usages secondaires, mais ils n’autorisent pas l’envoi de n’importe quelle donnée. Une conversation doit encore être traitée par l’infrastructure pour produire une réponse. C’est la raison pour laquelle la gouvernance interne compte davantage que la simple association VPN ChatGPT.

Une formation à l’intelligence artificielle en entreprise doit donc couvrir les catégories de données autorisées, les outils approuvés et les contrôles à appliquer, plutôt que les seules techniques de rédaction de prompts.

ChatGPT Business ou Claude Team protègent-ils mieux une PME ?

ChatGPT Business et Claude Team apportent en 2026 des garanties plus adaptées à l’entreprise que leurs espaces grand public. OpenAI et Anthropic indiquent ne pas utiliser par défaut les entrées et sorties des offres professionnelles concernées pour entraîner leurs modèles. Ces garanties contractuelles sont plus déterminantes qu’un VPN pour les prompts.

Le tableau compare les options les plus utiles à une PME. Les prix sont ceux publiés par les éditeurs en 2026, en dollars américains hors taxes éventuelles ; la facturation réelle peut varier selon le taux de change et le régime fiscal.

ChatGPT Business coûte ainsi au minimum 40 $ US par mois avec paiement annuel pour deux sièges, sur la base du tarif publié par OpenAI en 2026. Claude Team représente au minimum 125 $ US par mois avec paiement annuel pour cinq membres, selon Anthropic en 2026. Ces montants ne comprennent pas le temps de cadrage, de formation et d’administration.

Les offres Enterprise ajoutent des possibilités de conservation personnalisée et des conditions contractuelles négociées. OpenAI annonce aussi en 2026 une résidence des données dans dix régions pour son offre Enterprise, ainsi que des accords de niveau de service. La résidence des données indique où elles sont stockées ; elle ne garantit pas, à elle seule, une conformité au Règlement général sur la protection des données.

Honnêtement, une offre Enterprise ne se justifie que si le volume, la sensibilité ou les exigences juridiques dépassent ce qu’une petite équipe peut gérer avec Business ou Team. Pour quelques collaborateurs traitant des contenus non sensibles, mieux vaut financer une politique d’usage claire avant un contrat complexe.

Comment sécuriser l’usage de ChatGPT dans une PME ?

La sécurisation de ChatGPT dans une PME repose sur une règle d’usage, la minimisation des informations envoyées, un compte professionnel administré et des durées de conservation adaptées. La Commission nationale de l’informatique et des libertés recommande aussi d’évaluer les transferts et d’associer le délégué à la protection des données ou le responsable de la sécurité.

Une procédure utile tient sur quelques pages. Elle distingue les usages sans données internes, ceux autorisés après anonymisation et ceux qui exigent un environnement spécialisé. Elle précise aussi qui peut ouvrir un compte, activer une intégration ou téléverser un fichier.

Voici les contrôles à mettre en place par ordre pratique :

1. Inventorier les usages réels : rédaction, analyse de documents, code, service client ou recherche.
2. Classer les données : publiques, internes, confidentielles, personnelles ou couvertes par un secret contractuel.
3. Interdire les données confidentielles dans les comptes grand public et retirer les identifiants inutiles des contenus autorisés.
4. Choisir une offre professionnelle, désactiver les partages facultatifs et définir une durée de conservation compatible avec le besoin.
5. Protéger les comptes avec une authentification multifacteur, c’est-à-dire un second facteur après le mot de passe.
6. Réexaminer les conditions du fournisseur et les usages internes à intervalles réguliers.

Côté agence, le réflexe est de cartographier le trajet complet d’une donnée : poste utilisateur, navigateur, fournisseur d’IA, extensions, connecteurs et stockage des résultats. Une extension de navigateur ou un agent connecté à plusieurs applications peut créer davantage de risques que l’interface ChatGPT elle-même. Le VPN ne contrôle pas ces transferts autorisés.

Pour les données les plus sensibles, un modèle de langage exécuté dans une infrastructure maîtrisée peut être préférable. Un LLM local avec Ollama sur OVH ou sur site limite les transferts vers un fournisseur externe, mais implique des coûts d’hébergement, des mises à jour, des contrôles d’accès et une qualité parfois inférieure aux grands modèles hébergés.

L’API constitue une autre voie. OpenAI a annoncé le 19 août 2026 que certains clients API éligibles pouvaient obtenir la Zero Data Retention, ou absence de conservation après traitement, sous réserve des exceptions annoncées. Cette option doit être confirmée contractuellement ; elle ne s’applique pas automatiquement à un abonnement ChatGPT classique.

Faut-il utiliser un VPN avec ChatGPT au travail ?

Un VPN avec ChatGPT est utile au travail pour sécuriser une connexion non fiable ou faire transiter l’accès par le réseau de l’entreprise. Il doit être conservé comme protection réseau, sans être présenté comme une garantie de confidentialité des prompts. Les données sensibles exigent des règles, des contrats et parfois une infrastructure dédiée.

Le bon arbitrage dépend donc du risque traité. Pour un salarié en déplacement, le VPN protège le trajet réseau. Pour empêcher l’envoi d’un fichier stratégique, il faut une politique, des restrictions techniques et une sensibilisation. Pour maîtriser la conservation, il faut examiner l’offre professionnelle et ses clauses.

Le cas où la solution évidente devient mauvaise est celui du VPN grand public choisi uniquement pour « anonymiser ChatGPT ». Il peut ajouter un intermédiaire qui traite des métadonnées de connexion, perturber les contrôles de localisation et donner un faux sentiment de sécurité. Un service VPN doit lui-même être évalué sur sa juridiction, ses journaux et son administration.

Cadrer ce type d’usage en amont évite la plupart des mauvaises surprises. Un regard extérieur peut aider à séparer les besoins réseau, juridiques et applicatifs, puis à choisir entre paramétrage, offre professionnelle, API sécurisée et modèle local.

FAQ sur les VPN et les intelligences artificielles

ChatGPT voit-il mon adresse IP avec un VPN ?

ChatGPT voit généralement l’adresse IP du serveur VPN en 2026, plutôt que l’adresse IP publique de votre connexion directe. Le compte, les prompts, les fichiers et d’autres informations techniques restent toutefois accessibles au service.

Le mode temporaire de ChatGPT est-il totalement privé ?

Le mode temporaire de ChatGPT exclut les échanges de l’amélioration des modèles pendant leur statut temporaire, mais OpenAI peut les conserver jusqu’à 30 jours en 2026 pour des raisons de sécurité. Ce mode ne convient donc pas aux secrets d’entreprise.

Désactiver l’entraînement supprime-t-il les anciennes conversations ?

Désactiver l’amélioration des modèles dans ChatGPT ne s’applique qu’aux conversations suivantes en 2026. Les anciennes conversations doivent être supprimées séparément, puis leur suppression définitive est généralement programmée sous 30 jours par OpenAI.

Une IA locale est-elle toujours plus sûre que ChatGPT ?

Une intelligence artificielle locale réduit les transferts externes, mais sa sécurité dépend de l’hébergement, des accès, des sauvegardes et des mises à jour. Une installation locale mal administrée peut être moins sûre qu’une offre professionnelle correctement configurée.