ChatGPT, Copilot, Le Chat : qu'un avocat peut-il y mettre ?

Au 5 octobre 2026, ChatGPT et Vibe peuvent par défaut entraîner leurs modèles sur les conversations des formules personnelles, sauf refus ; la déclaration de confidentialité de Microsoft le lui permet aussi. Les offres entreprise excluent l'entraînement par défaut et prévoient un contrat de sous-traitance, mais conservent les conversations. Le premier geste reste de retirer les données identifiantes.

Par Florent Lable · publié le 5 octobre 2026 · 9 min de lecture

La question revient dans tous les cabinets : « ai-je le droit de coller ce contrat dans ChatGPT ? » Le cadre déontologique est posé par l'article 66-5 de la loi du 31 décembre 1971 et précisé par le guide du Conseil national des barreaux de mars 2026, que nous lisons obligation par obligation dans notre page sur le guide IA du CNB. Cette page-ci fait autre chose : elle regarde, outil par outil, ce que les éditeurs déclarent faire de ce que vous leur confiez.

Que deviennent vos conversations dans la version gratuite ou personnelle ?

Chez OpenAI et chez Mistral AI, elles peuvent servir par défaut à entraîner les modèles, sauf si vous le refusez dans les réglages. Chez Microsoft, la réponse dépend de la version de l'application.

• ChatGPT (OpenAI). Pour les services destinés aux particuliers, OpenAI indique pouvoir utiliser votre contenu pour entraîner ses modèles. Le refus passe par le réglage « Améliorer le modèle pour tous » (Improve the model for everyone) ou par le portail de confidentialité, et ne vaut que pour les nouvelles conversations. Les conversations temporaires ne servent pas à l'entraînement, mais OpenAI peut en garder une copie jusqu'à 30 jours pour des raisons de sécurité.
• Le Chat (Mistral AI), devenu Vibe en août 2026. Sur la formule de base, les entrées et sorties servent par défaut à l'entraînement, sauf désactivation dans le panneau d'administration. Les documents joints comptent comme des entrées. Les conversations restent stockées jusqu'à ce que vous les supprimiez.
• Copilot (Microsoft), avec un compte personnel. Microsoft a changé d'application le 18 août 2026 : détail dans la section suivante.

Chez OpenAI comme chez Mistral AI, un pouce levé ou baissé sur une réponse peut faire entrer la conversation dans les données d'entraînement, même après un refus.

Copilot : que change le compte avec lequel vous vous connectez ?

Presque tout. Avec un compte Microsoft personnel, Copilot relève des conditions grand public ; avec un compte professionnel Entra ID, de la protection des données d'entreprise.

Avec un compte personnel. Depuis le 18 août 2026, Microsoft diffuse une nouvelle application Copilot, régie par le contrat de services Microsoft et les conditions d'utilisation de Copilot ; pour les données personnelles, Microsoft renvoie à sa déclaration de confidentialité. Dans sa section « Intelligence artificielle et fonctionnalités Copilot », celle-ci indique que Copilot utilise vos invites pour fournir et améliorer ses services, publicité comprise. Sa section « Comment nous utilisons les données personnelles » ajoute que Microsoft peut utiliser vos données pour développer et entraîner ses modèles d'IA.

La page des réglages de la nouvelle application, elle, ne parle pas d'entraînement. Elle décrit la mémoire, l'historique, la recherche web, la publicité et le partage avec Bing, Edge et MSN, qui peut utiliser vos conversations pour personnaliser ces services. Sans abonnement Microsoft 365, Copilot peut afficher de la publicité : générique, elle est choisie d'après la conversation en cours ; personnalisée, elle peut s'appuyer sur l'historique et la mémoire. Pour l'ancienne application, la FAQ de Microsoft était explicite : conversations et fichiers déposés servent à l'entraînement sauf refus, et sont conservés 18 mois par défaut ; Microsoft précise qu'elle ne vaut plus pour la nouvelle version.

Avec un compte professionnel Entra ID. Copilot relève du Data Protection Addendum et des Product Terms, Microsoft agissant comme sous-traitant. Les invites et les réponses ne servent pas à entraîner les modèles de fondation, et Copilot applique les stratégies de rétention de l'organisation. Une réserve : les requêtes de recherche web que Copilot tire de vos invites partent vers Bing, pour lequel Microsoft agit en responsable de traitement indépendant ; il précise qu'elles sont envoyées sans identifiant d'utilisateur ni d'organisation.

Le piège tient au compte de connexion. Un collaborateur connecté avec son compte personnel sur un poste du cabinet n'a pas la protection que le cabinet croit avoir payée. C'est un point à vérifier poste par poste.

Les offres entreprise changent-elles la réponse ?

Elles changent beaucoup de choses, mais pas celle qui compte pour le secret : le document entre toujours, en clair, chez un tiers qui le conserve.

Ce tableau appelle deux remarques.

L'absence d'entraînement n'est pas l'absence de conservation. Une conversation stockée pour vous afficher votre historique est une copie de la pièce chez le fournisseur. Mistral AI l'écrit clairement : le zero data retention n'est pas disponible pour Vibe, quelle que soit la formule, parce que l'application doit stocker les conversations pour fonctionner. Ce réglage existe seulement pour certains appels d'API sans état, avec une facturation à l'usage, et sur demande motivée.

Le contrat ne remplace pas l'anonymisation. Un accord de sous-traitance au sens de l'article 28 du RGPD encadre ce que le fournisseur fait des données personnelles, exceptions comprises. Celui de Mistral AI fait de l'éditeur le sous-traitant du client, mais l'autorise à entraîner ses modèles pour son propre compte si le client ne s'est pas désinscrit, et sur les échanges notés d'un pouce. Les lectures publiées du guide du CNB, reprises dans notre page dédiée, y voient deux exigences distinctes : un contrat avec le fournisseur, et le remplacement préalable des données du client par des codes neutres. L'une ne dispense pas de l'autre.

Un abonnement payant suffit-il ?

Non : payer ne vaut pas offre entreprise. ChatGPT Plus ou Pro restent des services destinés aux particuliers. Chez Mistral AI, seule la formule Enterprise est exclue de l'entraînement par défaut ; pour Vibe Teams, c'est à l'administrateur de le désactiver. Chez Microsoft, c'est le compte de connexion qui décide, pas l'abonnement : seul un compte professionnel Entra ID fait relever Copilot de la protection des données d'entreprise.

Où sont traitées les données ?

La réponse varie selon l'éditeur, l'offre et même la fonction utilisée.

• OpenAI contracte avec les résidents de l'Espace économique européen par l'intermédiaire d'OpenAI Ireland Ltd.
• Microsoft rattache Copilot en offre professionnelle à son engagement de frontière des données de l'Union (EU Data Boundary), avec des exceptions qu'il énumère : les requêtes envoyées à la recherche web et, à ce jour, les modèles d'Anthropic proposés dans Copilot.
• Mistral AI héberge les données dans l'Union par défaut, mais indique que, selon la fonction utilisée, elles peuvent être transférées temporairement hors de l'Union, chez les sous-traitants listés sur son Trust Center.

Les lectures publiées du guide du CNB retiennent aussi, au-delà du lieu des serveurs, la nationalité de la société qui les exploite. À vérifier pour chaque sous-traitant, pas seulement pour l'éditeur principal.

Alors, que peut-on y mettre ?

Le plus prudent : un document dont les données identifiantes ont été retirées, et rien d'autre de ce qui touche au dossier. C'est la seule réponse qui ne dépend ni de l'offre, ni du réglage d'un collaborateur, ni de la prochaine mise à jour des conditions.

Concrètement :

• une question de droit générale, sans fait du dossier : elle ne pose pas de difficulté de secret ;
• un contrat, des statuts, un bail : seulement après remplacement des noms, adresses, identifiants, coordonnées et références par des codes neutres, et relecture du contexte. La méthode, sur un contrat fictif, est dans notre guide pour anonymiser un contrat ;
• une pièce dont le contexte suffit à reconnaître le client, même sans nom (une affaire médiatisée, une activité unique dans une ville) : remplacer les noms ne suffit pas, et c'est à vous d'apprécier si elle peut sortir du cabinet.

Le remplacement des noms par des codes, avec une table conservée par le cabinet, est une pseudonymisation au sens du RGPD, pas une anonymisation : la différence a des conséquences, expliquées dans notre page dédiée.

Où intervient Caviardeur ?

Avant l'IA, et pas après. Caviardeur, conçu avec des avocats en propriété intellectuelle et testé par eux, remplace les données identifiantes d'un document par des balises par rôle et range la table de correspondance dans un espace du compte que l'éditeur ne peut pas lire.

Pour repérer ces données, Caviardeur fait lire le texte en clair à un seul tiers, Mistral AI, par des appels d'API sans état, avec le zero data retention activé sur l'organisation, ce que Vibe ne propose pas ; il s'arrête ensuite au document anonymisé, que vous portez vous-même dans l'outil de votre choix. Notre page Caviardeur pour les avocats présente le reste.

Sources

1. OpenAI, « How your data is used to improve model performance » — help.openai.com. Consulté le 5 octobre 2026.
2. OpenAI, « Temporary Chat FAQ » — help.openai.com. Consulté le 5 octobre 2026.
3. OpenAI, « Enterprise privacy at OpenAI », mise à jour du 8 janvier 2026 — openai.com. Consulté le 5 octobre 2026.
4. OpenAI, conditions d'utilisation pour l'Espace économique européen — openai.com. Consulté le 5 octobre 2026.
5. Microsoft, déclaration de confidentialité, mise à jour de septembre 2026, sections « Comment nous utilisons les données personnelles » et « Intelligence artificielle et fonctionnalités Copilot » — microsoft.com. Consulté le 5 octobre 2026.
6. Microsoft, « Microsoft Copilot for individuals: your data, privacy, and responsible AI » (application du 18 août 2026, compte personnel) — support.microsoft.com. Consulté le 5 octobre 2026.
7. Microsoft, « Microsoft Copilot for individuals: your privacy controls and choices » (même application) — support.microsoft.com. Consulté le 5 octobre 2026.
8. Microsoft, « Privacy FAQ for Microsoft Copilot » (ancienne application) — support.microsoft.com. Consulté le 5 octobre 2026.
9. Microsoft, « Enterprise data protection in Microsoft Copilot and Microsoft Copilot Chat » — learn.microsoft.com. Consulté le 5 octobre 2026.
10. Mistral AI, « Do you use my user data to train your Artificial Intelligence models? », 31 août 2026 — help.mistral.ai. Consulté le 5 octobre 2026.
11. Mistral AI, « Can I opt out of my input or output data being used for training? », 3 septembre 2026 — help.mistral.ai. Consulté le 5 octobre 2026.
12. Mistral AI, « Can I activate Zero Data Retention (ZDR)? », 12 août 2026 — help.mistral.ai. Consulté le 5 octobre 2026.
13. Mistral AI, « Data Processing Addendum », version en vigueur depuis le 27 juillet 2026, articles 2.1 et 2.3 — legal.mistral.ai. Consulté le 5 octobre 2026.
14. Mistral AI, « Where do you store my data or my Organization's data? » et « Le Chat is now Vibe », 12 août 2026 — help.mistral.ai. Consulté le 5 octobre 2026.
15. Conseil national des barreaux, « Le CNB adopte un guide sur la déontologie et l'Intelligence artificielle », 17 mars 2026 — cnb.avocat.fr. Le texte intégral du guide est réservé aux avocats. Consulté le 5 octobre 2026.