Les grands fournisseurs de modèles entraînent-ils leurs modèles sur les données d'API ?

D'après leurs pages publiques lues le 15/11/2026, Anthropic et OpenAI indiquent ne pas le faire par défaut pour leurs offres d'API. Chez Mistral, cela dépend de l'offre et d'une option de retrait. Vérifiez la page de l'offre exacte que vous utilisez.

Qui est responsable de traitement dans un assistant intégré à un logiciel ?

Cela se qualifie au cas par cas. En général, le client de l'éditeur décide de la finalité, l'éditeur traite pour son compte, et le fournisseur de modèle est un sous-traitant ultérieur. Faites valider votre cas.

Que dire à un client qui pose la question dans un appel d'offres ?

Répondre par écrit, avec la chaîne complète : qui traite quoi, sur quelles instructions, avec quelle conservation, et ce que dit le contrat du fournisseur de modèle.

Les données de vos clients servent-elles à entraîner l'IA ?

La question arrive presque toujours : « Si nos agents posent leurs questions à l'assistant, nos données servent-elles à entraîner un modèle ? » La bonne réponse n'est ni « non, bien sûr » ni un renvoi aux conditions générales. C'est une réponse écrite, qui suit la chaîne complète : votre logiciel, votre éventuelle plateforme d'assistant, le fournisseur du modèle. Et chaque maillon se vérifie sur ses propres conditions.

Ce que disent les fournisseurs de modèles (pages lues le 15/11/2026)

Fournisseur	Ce que dit la page publique	À vérifier
Anthropic	« By default, we will not use your inputs or outputs from our commercial products ... to train our models. » Exception : retours (avis positif ou négatif) signalés ou choix explicite de l'utilisateur	Que vous êtes bien sur une offre commerciale ; que vos utilisateurs n'envoient pas de retours à titre personnel
OpenAI	« As of March 1, 2023, data sent to the OpenAI API is not used to train or improve OpenAI models. » sauf choix de partage de votre part	La durée de conservation prévue pour votre type d'appel
Mistral	Selon l'offre : le mode gratuit de Mistral Studio peut utiliser les données pour l'entraînement avec possibilité de retrait ; l'offre à l'usage indique que le client garde le contrôle et peut se retirer	Que vous êtes sur une offre payante, et que le retrait est actif

Trois précautions de lecture :

Ces pages parlent d'offres précises. L'API et l'application grand public n'obéissent pas aux mêmes règles. Une équipe qui teste avec un compte personnel ne fournit aucune garantie pour la production.
Les pages changent. Notez la date de lecture et l'adresse, comme dans ce tableau, et relisez-les à chaque renouvellement.
Le contrat prime sur la page d'aide. La page d'aide décrit la pratique annoncée ; ce sont les conditions signées (et l'éventuel accord de traitement des données) qui vous engagent. Demandez-les.

La chaîne de traitement : qui est qui

Le RGPD distingue le responsable de traitement (celui qui décide pourquoi et comment les données sont traitées) du sous-traitant (celui qui traite pour son compte, sur instructions). La CNIL, dans sa fiche du 08/04/2024 sur la qualification des fournisseurs de systèmes d'IA, retient notamment :

un fournisseur qui développe un système pour le compte d'un client, dans le cadre d'une prestation, ou qui agit sur instructions documentées, est en principe sous-traitant ;
un fournisseur qui réutilise les données pour ses propres finalités, par exemple pour constituer sa propre base d'apprentissage, est en principe responsable de ce traitement ;
le fait de réutiliser la même base pour plusieurs clients est un indice qu'il traite pour son propre compte ;
l'analyse se fait au cas par cas.

Pour un éditeur, cela donne un schéma à valider avec votre juriste : vos clients décident de la finalité (aider leurs utilisateurs), vous traitez pour leur compte, et vos fournisseurs (plateforme d'assistant, fournisseur de modèle) sont des sous-traitants ultérieurs. Si l'un d'eux réutilise des données pour lui-même, la qualification change, et la réponse à vos clients aussi.

Les points à écrire pour répondre à un client

Préparez une fiche d'une page, relue par votre juriste, avec :

Les données qui entrent dans l'assistant : questions des utilisateurs, extraits de documentation, éventuellement données de fiches clients si l'assistant en lit.
Ce qu'on n'envoie pas : par exemple les champs sensibles, masqués avant l'appel au modèle.
Les fournisseurs impliqués, avec lien vers leurs conditions et la date de lecture.
L'engagement sur l'entraînement, formulé en fonction de ce que le contrat vous garantit réellement, pas de ce que vous supposez.
La durée de conservation des conversations, et comment un client les fait supprimer.
Les retours d'utilisateurs : un bouton « pouce » peut, chez certains fournisseurs, autoriser un usage pour l'entraînement ; décidez si vous l'exposez.
La procédure en cas de changement de fournisseur ou de conditions : préavis, information des clients.

Les pièges fréquents

Confondre « pas d'entraînement » et « pas de conservation ». Un fournisseur peut ne pas entraîner sur vos données tout en les conservant un certain temps pour des raisons de sécurité ou d'abus. Les deux sujets se vérifient séparément.
Promettre plus que le contrat. Si votre réponse commerciale dit « jamais », et que le contrat du fournisseur laisse une exception, c'est vous qui portez l'écart.
Oublier les environnements de test. Des données réelles collées dans un compte d'essai échappent à tout cadre.
Ne pas informer les utilisateurs finaux. Les personnes dont les données apparaissent dans les conversations doivent être informées par le responsable de traitement ; préparez le texte avec vos clients.

Ce que cela change à votre choix de solution

Que vous construisiez ou intégriez une plateforme, vous héritez de la même question. La différence : avec une solution maison, vous négociez vous-même les conditions du fournisseur de modèle ; avec une plateforme, vous demandez à celle-ci de vous fournir la liste de ses sous-traitants et ses engagements écrits. Voir construire ou intégrer pour la grille de décision, et l'intégration technique pour la transmission de l'identité de l'utilisateur.

Cette page donne une information générale et ne constitue pas un avis juridique : faites valider votre schéma de rôles et votre contrat par un avocat ou votre délégué à la protection des données.