Claude ou ChatGPT en entreprise : que vaut leur sécurité pour un comité de direction ?

01La réponse en clair

La question « Claude ou ChatGPT » est mal posée pour un comité de direction. Les deux outils sont proposés par des éditeurs qui commercialisent plusieurs niveaux d'offre. Le niveau d'offre change davantage le risque que le nom de l'outil.

Sur le point que les dirigeants redoutent en premier, la réutilisation de leurs données pour entraîner les modèles, les deux éditeurs publient la même règle de principe pour leurs offres professionnelles.

• Anthropic. Par défaut, l'éditeur n'utilise pas les entrées ni les sorties de ses produits commerciaux (Claude for Work, API Anthropic, Claude Gov) pour entraîner ses modèles. Les données ne servent à l'entraînement que si le client y consent explicitement, par exemple en signalant une réponse avec le bouton pouce ou en rejoignant le Development Partner Program.
• OpenAI. Par défaut, l'éditeur n'utilise pas les données de ChatGPT Enterprise, Business et Edu, de ses autres offres entreprise ni de la plateforme API, entrées comme sorties, pour entraîner ou améliorer ses modèles. Les données de l'organisation restent confidentielles et lui appartiennent. L'amélioration des modèles ne se fait que sur adhésion explicite, via le tableau de bord API.

Pour les comptes personnels, le régime est distinct. La page officielle d'Anthropic le précise pour ses offres grand public (Free, Pro, Max). La garantie décrite par OpenAI porte, elle, sur ses offres professionnelles et sa plateforme API. Un compte personnel ne bénéficie donc pas automatiquement de ces engagements. Il faut lire les conditions qui lui sont propres.

02Pourquoi c'est un enjeu de comité de direction

Choisir un modèle d'IA, c'est décider où vont les informations de l'entreprise. La question remonte donc au comité de direction, pour cinq raisons.

• Confidentialité. Stratégie, chiffres, dossiers clients, négociations en cours. Tout ce qui est saisi dans un outil d'IA quitte le périmètre habituel de l'entreprise. Il faut savoir qui peut y accéder.
• Non-entraînement. Les données saisies peuvent-elles servir à entraîner le modèle ? C'est la question qu'on pose en premier, mais elle ne suffit pas. Pour les offres professionnelles, la réponse par défaut est non chez les deux éditeurs.
• Hébergement et transferts. Où les données sont-elles traitées, et par quelle entité ? Un traitement hors de l'Union européenne constitue un transfert, qui doit être encadré.
• RGPD. Les données personnelles saisies dans l'outil, celles de clients, de salariés ou de candidats, entrent dans le champ du règlement.
• Hallucinations. Un modèle peut produire une réponse fausse, présentée avec assurance. La protection des données n'y change rien. C'est un risque de décision, pas un risque de fuite.

Ces enjeux engagent la responsabilité de l'entreprise, pas celle de l'éditeur seul. Le RGPD s'applique dès qu'un système d'IA traite des données personnelles (nom, e-mail, adresse IP, image, voix), et l'entreprise reste responsable du traitement. Choisir un fournisseur reconnu ne transfère pas cette responsabilité.

Il y a enfin un enjeu d'organisation. Les engagements de l'offre entreprise ne protègent que les personnes qui l'utilisent réellement. Un collaborateur qui colle un document dans son compte personnel sort du cadre contractuel de l'entreprise. C'est le shadow AI, et il ne se règle pas par le choix de l'outil.

03Les cinq critères à examiner

Voici une grille courte, applicable à Claude, à ChatGPT ou à tout autre outil. Elle ne classe pas les outils. Elle permet de vérifier qu'un outil précis, dans une offre précise, répond aux exigences de l'entreprise.

Traitez ces critères dans cet ordre. Les trois premiers sont des questions de contrat et de paramétrage. Les deux derniers sont des questions d'organisation, et ce sont elles qui échouent le plus souvent dans la pratique.

04Ce que l'engagement de non-entraînement ne règle pas

Le non-entraînement est un engagement de l'éditeur sur un usage précis des données. Il ne répond qu'à une partie de la question de confidentialité.

• Il ne dit pas si vous avez le droit de saisir ces données. Une donnée personnelle saisie sans base légale reste un problème au regard du RGPD, quel que soit l'outil.
• Il ne dit pas où les données sont traitées, ni sous quelle garantie de transfert.
• Il ne dit rien de l'exactitude des réponses. Un outil peut ne rien retenir de vos données et pourtant se tromper.
• Il ne remplace pas une règle interne. Si les collaborateurs utilisent des comptes personnels, les engagements de l'offre entreprise ne leur sont pas acquis.

05Les erreurs fréquentes

• Comparer des offres de niveaux différents. Opposer l'offre professionnelle d'un éditeur au compte gratuit de l'autre fausse la comparaison dans les deux sens.
• Confondre non-entraînement et conformité. Le premier est un engagement de l'éditeur. La seconde est une obligation de l'entreprise.
• Choisir sur la réputation ou sur un classement de performances. La performance d'un modèle sur une tâche ne dit rien de son cadre contractuel ni de la maîtrise de vos données.
• Lire les conditions une fois, puis ne plus les relire. Les offres et leurs conditions évoluent. Une revue régulière des pages officielles des éditeurs fait partie du cadre d'usage.
• Interdire sans proposer d'alternative. Quand l'outil validé manque, les usages passent par des comptes personnels, hors du cadre de l'entreprise.

06Ce que fait WYP, et ce qu'il ne fait pas

WYP.agency est un cabinet de conseil en stratégie pour dirigeants, comités de direction et conseils d'administration. WYP ne vend pas d'outil d'IA et reste indépendant des éditeurs. Cette indépendance permet de comparer Claude, ChatGPT et les autres sans enjeu commercial.

La méthode consiste à croiser plusieurs modèles d'IA, dont Claude, ChatGPT, Gemini, Perplexity, Mistral et Grok. On compare les réponses, on les recoupe, on repère les angles morts et les contradictions. Puis une personne relit et signe. Quand deux modèles divergent sur un point, la divergence indique un endroit à vérifier. C'est ce qui fiabilise une décision, plutôt que la confiance accordée à un seul outil.

Dans Le Cadrage IA, forfait à périmètre fixe de 2 900 € HT livré en 10 jours ouvrés, WYP audite les usages réels, rédige une politique d'IA, valide un outil et restitue le tout au comité de direction. La comparaison entre offres d'éditeurs y est un élément du dossier, pas son objet.

WYP ne rend pas d'avis juridique et ne remplace ni votre délégué à la protection des données ni votre conseil. WYP ne revend ni licence ni abonnement. La vérification contractuelle finale reste de votre côté.

07Par où commencer

• Recensez les outils et les comptes réellement utilisés dans l'entreprise, officiels ou non.
• Pour chacun, identifiez l'offre : professionnelle, API ou personnelle. C'est là que se joue le régime des données.
• Relisez les pages officielles de chaque éditeur, le Privacy Center d'Anthropic et la page Business data privacy d'OpenAI. Notez ce qui est appliqué par défaut et ce qui l'est sur adhésion.
• Écrivez les règles : quelles données, quels comptes, qui relit les sorties.
• Désignez la personne qui relit et signe.

Pour situer rapidement votre organisation, commencez par le diagnostic de maturité IA, gratuit. Les termes de cette page, shadow AI, hallucination, discipline d'usage, sont définis dans le glossaire IA. Si vous voulez un cadre écrit et un outil validé pour votre comité, l'offre Le Cadrage IA y répond.