Une conversation n’est pas un fichier unique : c’est un journal, une copie de détection d’abus, parfois un échantillon relu par un humain. Voici les durées, les lieux d’hébergement et ce que « supprimer » efface vraiment.
Ce que vous tapez ne rentre pas dans le modèle : les poids sont figés pendant la conversation. En revanche, votre texte est écrit dans un journal côté serveur, souvent dupliqué dans un dispositif de détection d’abus, et parfois versé à un échantillon relu par des personnes. Effacer une conversation la retire de votre historique et déclenche une suppression des systèmes actifs en quelques semaines, mais ne touche ni les copies de sécurité en rotation ni un modèle déjà entraîné. Le régime change complètement selon que vous utilisez un compte grand public, une offre professionnelle ou un modèle exécuté localement.
Vous collez trois paragraphes d’un contrat client dans une fenêtre de discussion pour en obtenir un résumé. La réponse arrive en huit secondes. Vous fermez l’onglet, et parfois vous cliquez sur la corbeille à côté du titre de la conversation. La question qui vient ensuite est presque toujours mal posée : « est-ce que le modèle a appris mon contrat ? »
Non, pas à cet instant, et probablement jamais sous cette forme. Mais le contrat, lui, est parti quelque part. Il a été écrit sur un disque, horodaté, rattaché à un identifiant de compte, dupliqué dans un dispositif de sécurité, et il obéit désormais à trois ou quatre horloges différentes qui ne s’arrêtent pas quand vous cliquez sur la corbeille.
Comprendre où se situe réellement le risque évite deux erreurs symétriques : croire que tout ce qu’on tape est absorbé par une intelligence collective, et croire qu’une conversation fermée n’existe plus.
Un modèle de langage en service fonctionne avec des paramètres figés. Ils ont été calculés pendant l’entraînement, ils sont copiés sur les serveurs d’inférence, et ils ne bougent plus jusqu’au déploiement de la version suivante. Votre message est découpé en tokens, traverse le réseau de neurones, produit une réponse token par token, puis quitte la mémoire de calcul. Le détail de cette mécanique est traité dans le fonctionnement d’un modèle de langage.
L’illusion inverse vient d’une observation exacte : l’assistant « se souvient » de ce que vous avez dit trois messages plus haut. Ce souvenir n’est pas un apprentissage, c’est une relecture. À chaque tour, l’intégralité de la conversation est renvoyée au modèle en entrée, dans la limite de sa fenêtre de contexte. Le modèle ne se souvient de rien, on lui redonne le texte à chaque fois.
Conséquence pratique : le danger n’est pas dans les poids du modèle, il est dans le fichier qui garde la conversation pour pouvoir la relire. Ce fichier appartient à l’éditeur, il est sur ses serveurs, et il tombe sous le régime ordinaire de la protection des données.
Ce que l’interface vous montre comme une seule chose, une bulle de texte dans une liste, existe en réalité en plusieurs exemplaires qui n’ont ni le même but ni la même durée de vie.
Deux personnes peuvent interroger exactement le même modèle et se trouver dans deux situations juridiques opposées. Ce qui change, c’est la porte d’entrée.
| Voie d’accès | Qui fixe les finalités | Conservation par défaut | Entraînement par défaut | Relecture humaine |
|---|---|---|---|---|
| Compte grand public, gratuit ou payant | L’éditeur, responsable de traitement | Tant que le compte existe, sauf réglage contraire | Fréquent, avec opposition possible | Signalements et échantillons de qualité |
| Mode conversation éphémère | L’éditeur | Quelques dizaines de jours pour la seule détection d’abus | Non | Sur signalement uniquement |
| Offre entreprise, administration ou éducation | Votre employeur ou l’établissement, l’éditeur devient sous-traitant | Fixée au contrat, souvent paramétrable | Exclu par le contrat en principe | Encadrée par le contrat |
| Interface de programmation intégrée à un service tiers | L’éditeur du service que vous utilisez | De l’ordre de trente jours, option de rétention nulle courante | Exclu par défaut chez les grands fournisseurs | Sur signalement |
| Modèle ouvert exécuté sur votre machine | Vous | Ce que votre disque garde | Aucun | Aucune |
La ligne qui surprend le plus est la troisième. Passer à une offre professionnelle ne vous rend pas anonyme : cela transfère le pouvoir de décision de l’éditeur vers votre employeur, qui dispose alors d’une console d’administration et de journaux d’usage. Le contrat de sous-traitance de l’article 28 du RGPD encadre ce que l’éditeur peut faire, pas ce que l’employeur peut regarder. Cette bascule est la raison d’être d’une charte d’usage écrite, et elle vaut aussi pour les outils de transcription automatique, traités dans les comptes rendus de réunion générés par IA.
Les politiques de confidentialité des grands éditeurs mentionnent toutes une possibilité d’examen humain. Elle recouvre deux circuits qu’il faut séparer.
Le premier est la sécurité. Un classifieur automatique attribue à chaque échange un score sur quelques catégories : contenus sexuels impliquant des mineurs, instructions de fabrication d’armes, harcèlement, tentative de contournement des garde-fous. Au-delà d’un seuil, la conversation est mise de côté et peut être ouverte par une personne chargée de vérifier. Le point important est que le premier tri est statistique, donc faillible dans les deux sens : une discussion de recherche historique sur un attentat peut franchir le seuil, une demande réellement malveillante bien formulée peut passer dessous.
Le second circuit est l’amélioration de la qualité. Des échantillons sont prélevés pour évaluer les réponses, comparer deux versions du modèle, ou constituer des jeux d’ajustement. Ce circuit est celui que les réglages d’entraînement coupent, quand l’éditeur en propose. Le circuit sécurité, lui, ne se coupe pas : c’est une obligation que l’éditeur s’impose et que la réglementation renforce.
La suppression n’est pas un mensonge, mais elle décrit un processus, pas un événement. Dans l’ordre chronologique habituel : la conversation disparaît de votre historique immédiatement, elle est marquée pour suppression dans la base active et effacée dans un délai annoncé de quelques jours à un mois, puis elle s’efface des copies de sauvegarde au rythme de leur rotation, souvent trente à quatre-vingt-dix jours.
Trois éléments échappent à ce processus. La copie de détection d’abus suit sa propre échéance. Les journaux techniques agrégés, une fois dissociés du contenu, sont conservés plus longtemps à des fins statistiques et de sécurité. Et surtout, si un extrait a déjà servi à entraîner une version du modèle, il n’existe aucun moyen de le retirer des poids obtenus. Un modèle n’est pas une base de données consultable : on ne sait pas y localiser une phrase pour la découper.
C’est la différence essentielle entre l’effacement d’un compte classique, décrit dans la suppression réelle d’un compte en ligne, et l’effacement dans une chaîne d’IA. Dans le premier cas, la donnée est une ligne dans une table. Dans le second, elle a pu être diluée dans un objet statistique dont on ne peut plus l’extraire.
La localisation des serveurs est la question que tout le monde pose, et elle ne suffit jamais. Il faut en poser trois.
Où les données sont-elles stockées ? De plus en plus d’éditeurs proposent une résidence des données dans l’Union européenne, parfois en France. C’est un vrai progrès pour la maîtrise juridique et pour la latence.
D’où peut-on y accéder ? Un stockage à Francfort administré par une équipe de support en Californie implique un transfert au sens du RGPD dès qu’un administrateur ouvre une console. La question n’est pas où sont les disques, mais qui a les droits d’accès et depuis quel pays.
Sur quel fondement le transfert repose-t-il ? Pour les États-Unis, la décision d’adéquation du 10 juillet 2023 couvre les organismes qui se sont certifiés au cadre de protection des données UE-États-Unis. Pour les autres pays, on retombe sur les clauses contractuelles types accompagnées d’une analyse d’impact du transfert. Les principes généraux de l’externalisation sont détaillés dans notre explication du cloud.
Un dernier point échappe souvent aux acheteurs publics : la qualification SecNumCloud délivrée par l’ANSSI porte sur l’hébergement et son exploitation, pas sur le modèle lui-même. Un service qualifié peut très bien appeler, en arrière-plan, un modèle exécuté ailleurs. La chaîne complète doit être décrite dans le contrat.
Le scénario que redoutent les utilisateurs, un modèle qui recracherait leur contrat à un inconnu, existe mais reste marginal et difficile à provoquer. Les scénarios documentés sont beaucoup plus banals.
La règle de minimisation de l’article 5 du RGPD ne s’adresse pas qu’aux entreprises : appliquée à soi-même, elle règle 90 % du problème. Une consigne bien construite n’a presque jamais besoin des identités réelles. Vous pouvez éprouver la structure d’une demande avec notre constructeur de prompt, puis remplacer les éléments identifiants par des étiquettes.
Avant d’envoyer un message, posez-vous une question de durée plutôt que de confidentialité : si ce texte figurait dans un journal serveur consulté par un tiers dans deux ans, à l’occasion d’une violation ou d’une réquisition, quelle serait la conséquence ? Si la réponse est « aucune », envoyez. Si elle vous fait hésiter, retirez les identifiants avant d’envoyer, ou basculez sur un service dont le contrat exclut la conservation. Et si le sujet est la conformité de votre organisation plutôt que votre propre prudence, la question se déplace sur le terrain de la base légale et des droits, traité dans le RGPD appliqué à l’intelligence artificielle.
Non. Les paramètres du modèle sont figés au moment où il est mis en service. Votre message est transformé en tokens, traverse le réseau, produit une réponse, puis disparaît de la mémoire de calcul. S’il finit par influencer une version future du modèle, c’est par un chemin séparé et beaucoup plus lent : la conservation dans un journal, la sélection d’un échantillon, puis un nouvel entraînement plusieurs mois plus tard. C’est précisément ce chemin que l’on peut couper en refusant l’entraînement sur ses données.
Elle quitte votre historique immédiatement et les systèmes actifs de l’éditeur sous quelques semaines, selon la politique annoncée. Trois réserves : les copies de sauvegarde chiffrées s’effacent au rythme de leur rotation, la copie retenue pour la détection d’abus suit son propre délai, et une donnée déjà utilisée pour un entraînement ne peut pas être retirée des poids obtenus. La suppression est donc réelle mais elle n’est ni instantanée ni rétroactive.
Il change deux choses : la conversation n’apparaît pas dans l’historique et n’alimente ni la mémoire ni l’entraînement. Il n’empêche pas l’écriture du message dans les journaux techniques, ni la conservation temporaire pour la détection d’abus. C’est un bon réflexe pour une question sensible ponctuelle, pas un canal anonyme : la requête reste rattachée à votre compte, à votre adresse IP et à l’horodatage.
Certaines, oui, et l’éditeur doit le dire dans sa politique de confidentialité. Deux circuits existent : les conversations signalées par un filtre automatique, examinées pour vérifier un abus, et les échantillons prélevés pour évaluer la qualité des réponses. Le volume reste faible au regard du total, mais il n’est pas nul, et le tri initial est automatique, ce qui signifie qu’une conversation parfaitement anodine peut être remontée par erreur.
Dans une offre professionnelle, c’est l’employeur qui est responsable de traitement et qui dispose en général d’une console d’administration. L’accès aux contenus doit rester proportionné, être annoncé dans une charte, et le comité social et économique doit être informé et consulté avant la mise en place d’un dispositif permettant de contrôler l’activité des salariés. Voir ce que doit contenir une charte d’usage.
Les liens ci-dessus renvoient vers les textes et les organismes cités. Les dates de consultation sont celles de la dernière relecture, le 13 septembre 2026.
Dans ce thème
Dans la rubrique
Modèles de langage, IA générative, deepfakes et règlement européen sur l’IA, expliqués sans hype ni panique.