ChatGPT est-il sécuritaire pour vos dessins?

Trois choses décident de la réponse : le compte d'où le fichier est parti, ce que dit l'entente écrite, et l'endroit où le fichier repose ensuite. Un dessin collé dans un compte gratuit dépend d'un réglage que le détenteur du compte peut changer. Le même dessin, envoyé par un point de terminaison admissible sous un amendement de rétention, n'est jamais journalisé. Le fichier téléversé, lui, n'est pas couvert par cet amendement. Ni l'un ni l'autre ne garde le fichier chez vous.

Derik Lawlis Fondateur, ThriveAI · construit des systèmes d'IA chez des manufacturiers

La réponse courte, par type de compte

OpenAI publie un traitement différent selon le compte, et c'est le compte qui décide la plus grande partie de la réponse. Le tableau reprend ce que l'entreprise a publié dans sa réponse aux demandes de données du New York Times.

Des journaux de surveillance des abus sont produits pour toute utilisation de l'API et conservés jusqu'à 30 jours, selon le guide des données d'OpenAI. Une seule réserve porte tout le poids de ce tableau : sauf exigence légale. La section suivante montre ce que cette réserve a donné.

Ce que veut dire supprimer

Supprimer retire la conversation du compte tout de suite et programme son retrait des systèmes du fournisseur dans les 30 jours. L'exception est la phrase à lire, pas le délai.

Ce qu'une ordonnance de 2025 a changé

Une ordonnance de conservation est tombée dans le litige entre le New York Times et OpenAI, et OpenAI a publié qui elle touchait. Elle a forcé l'entreprise à garder du contenu ChatGPT grand public et API qui aurait autrement été supprimé.

L'ordonnance visait ChatGPT Free, Plus, Pro et Team, ainsi que les clients de l'API sans entente de rétention zéro. Elle ne touchait pas ChatGPT Enterprise ni ChatGPT Edu. Elle épargnait aussi les clients de l'API sur des points de terminaison sans rétention, sous l'amendement prévu à cet effet. Les obligations liées à cette ordonnance ont pris fin le 26 septembre 2025, et la suppression après 30 jours a repris. Un ensemble limité de données d'utilisateurs d'avril à septembre 2025 reste conservé sous garde légale. Une petite équipe juridique et de sécurité, soumise à vérification, y a seule accès.

Pour une usine, un seul point compte. Un réglage de rétention est une règle interne, et une ordonnance venue de l'extérieur peut la suspendre. Les paliers qui ont traversé l'ordonnance sont ceux qui tenaient une clause écrite.

Ce qu'il y a vraiment dans le collage

Un atelier colle cinq objets, et chacun porte une exposition différente.

• Un dessin de client. Tolérances, révision, numéro de pièce du client et, souvent, son nom dans le cartouche. Sous la plupart des ententes d'approvisionnement, le dessin appartient au client, donc le divulguer est votre exposition et sa perte.
• Une soumission de fournisseur ou un prix d'achat. Le coût rendu, qui est la marge énoncée à l'envers.
• Une feuille de prix de revient ou une gamme. Temps de cycle, temps de mise en course et taux horaire d'atelier. Qui détient ces trois valeurs peut soumissionner contre vous.
• Un fil de courriels de demande de prix. Le contact chez le client, les conditions commerciales et la date promise.
• Un export de l'ERP. Pas une job. Numéros de pièces, clients et prix pour tout le carnet, collés d'un coup.

La plupart de ces objets arrivent en pièce jointe plutôt qu'en texte tapé. Une invite et un fichier téléversé ne suivent pas le même chemin dans les systèmes du fournisseur. Une clause écrite pour l'un ne couvre pas automatiquement l'autre. La section suivante nomme la différence.

La rétention zéro et ses angles morts

Une entente de rétention zéro s'obtient par un amendement au contrat. OpenAI l'accorde après approbation préalable pour un cas d'usage admissible, et les entrées comme les sorties ne sont alors jamais journalisées.

Elle s'applique à une liste publiée de points de terminaison admissibles, dont les chat completions, les responses, les embeddings, l'audio et la modération. Une seconde liste publiée est inadmissible : les files, les vector stores, les conversations, les assistants et threads, les batches et l'ajustement de modèle. Ce sont justement les points de terminaison qu'une application utilise pour garder un document. La conséquence se dit en une phrase d'atelier. La réponse peut être générée sans rétention pendant que le dessin téléversé repose dans un stockage que l'amendement ne couvre pas. Les deux listes sont dans le guide des données d'OpenAI.

Le palier de modèle est le second angle mort. Anthropic publie la même forme avec une arête plus nette. Les entrées et les sorties commerciales sont supprimées en arrière-plan dans les 30 jours suivant leur réception ou leur production. Une conversation signalée par les systèmes automatisés de confiance et de sécurité est conservée jusqu'à 2 ans, et les scores de classement jusqu'à 7 ans. Les invites et les sorties des modèles qu'Anthropic désigne comme couverts sont conservées 30 jours sur chaque plateforme qui les offre. Cette règle prime sur une entente de rétention zéro antérieure. Les organisations qui en détenaient une doivent activer la rétention pour utiliser ces modèles.

Voilà pourquoi nos propres contrats nomment le palier de modèle. La rétention zéro n'est pas offerte pour chaque palier, donc un contrat qui dit rétention zéro sans nommer le palier n'a encore rien dit.

Les trois contrôles qui changent la réponse

1. Le compte. Qui signe, et si la rétention se règle par un administrateur plutôt que par l'utilisateur final. C'est le contrôle le plus facile à mettre en place, et le plus faible des trois.
2. L'entente écrite. Un amendement de rétention qui nomme les points de terminaison couverts et le palier de modèle visé. Le détenteur du compte peut changer un réglage. Une clause, elle, se renégocie.
3. L'endroit où le fichier repose. Le contrôle que les deux premiers ne touchent pas. Une clause de rétention encadre l'appel d'inférence. Le document, lui, reste là où l'application l'a mis.

C'est ce troisième contrôle qui décide ce qu'un manufacturier canadien peut décider sur l'endroit où ses données reposent, et c'est la forme que nous construisons. L'espace de travail ThriveAI est conçu pour tourner sur un serveur dédié au Canada, un par client. Le dessin, l'export de l'ERP et la feuille de prix de revient restent au repos sur ce serveur. L'inférence se fait de deux façons, et le client choisit. Premier choix, ce même serveur avec un modèle à poids ouverts. Second choix, un modèle de pointe sous une entente écrite sans rétention de données, avec le palier de modèle nommé. Une personne nommée approuve chaque soumission, chaque message et chaque écriture en retour.

Quatre règles à écrire noir sur blanc

Demandez-vous si ChatGPT est sécuritaire au travail et vous tombez sur deux variables : le compte ouvert et le contenu du collage. Ces quatre règles décident des deux, et une usine peut les écrire elle-même sur une page.

Ce qui peut être collé, et où

Les dessins de clients, les feuilles de prix de revient et les prix de fournisseurs vont uniquement dans un compte approuvé. La même règle vaut pour les exports de l'ERP et pour tout document portant le nom d'un client. Les questions générales, les normes publiques, le code écrit par l'atelier et le matériel que l'atelier possède en propre peuvent aller ailleurs. La règle tient en une ligne que le plancher peut appliquer : si le fichier vient d'un client, il ne sort pas du compte approuvé.

Quels comptes sont approuvés

Nommez le test plutôt qu'un produit. Un compte approuvé passe quatre tests. L'entreprise le contracte elle-même. Un administrateur y contrôle la rétention. L'entraînement sur le contenu d'affaires y est désactivé par défaut. L'entente écrite nomme les points de terminaison couverts et le palier de modèle. Un compte personnel échoue au premier test, donc aux quatre.

Ce qui est consigné

Tenez un registre des comptes utilisés par chaque personne et des fichiers sortis du bâtiment par ces comptes. La raison est opérationnelle. Quand un client demande où son dessin est allé, l'atelier répond à partir d'un registre plutôt que de mémoire.

Qui approuve

Une personne nommée approuve un nouveau compte, un nouveau connecteur et le premier téléversement du fichier d'un client. C'est la même règle que sur le travail de soumission. Une personne nommée approuve chaque action, et rien ne part tout seul.

À quoi ça ressemble une fois intégré

Le collage existe parce que la réponse vit dans trois systèmes que la personne ne peut pas interroger. L'ERP, la boîte courriel et la voûte de dessins. Copiez ces systèmes dans un entrepôt de données sur le serveur de l'atelier, et l'estimateur peut interroger l'ERP directement au lieu de coller l'export. Chaque valeur garde un lien vers l'enregistrement d'où elle vient, et le système refuse quand l'entrepôt n'a pas la réponse. Les modules de soumission, de prix de revient et d'achat tournent sur ce même entrepôt, ce que décrit la page IA pour la fabrication.

Pour un module construit à côté de votre ERP, voir logiciel sur mesure pour manufacturiers. Cette page existe aussi in English.