Zéro rétention des données IA : OpenAI et Anthropic divergent

2026-08-20 · 6 min de lecture · Gouvernance IA

Le 19 août 2026, OpenAI a réaffirmé le zéro rétention des données pour ses modèles de pointe, deux mois après qu'Anthropic a imposé 30 jours de conservation. Deux fournisseurs équivalents n'offrent plus les mêmes garanties, et cela déclenche des obligations précises sous la Loi 25.

Le zéro rétention des données (ZDR, Zero Data Retention) est un engagement contractuel par lequel un fournisseur d'intelligence artificielle ne conserve ni les requêtes ni les réponses de son client une fois le traitement terminé. Le 19 août 2026, OpenAI a réaffirmé cet engagement pour ses modèles de pointe accessibles par interface de programmation (API, Application Programming Interface), au moment même où son principal concurrent applique la règle inverse depuis le 9 juin 2026 : 30 jours de conservation obligatoire.

Les deux entreprises identifient le même problème, détecter des attaques réparties sur plusieurs requêtes successives, et retiennent des solutions opposées. Le résultat pour une direction des technologies de l'information : deux fournisseurs de capacité comparable n'offrent plus les mêmes garanties, et une clause de rétention zéro négociée en 2025 ne couvre plus nécessairement les modèles appelés en 2026.

Qu'a annoncé OpenAI le 19 août 2026 ?

OpenAI maintient le ZDR pour les clients API admissibles : aucune conservation des invites ni des réponses après traitement, aucun accès du personnel au contenu, aucun entraînement sur les données client sans consentement explicite. L'entreprise y ajoute la prévisualisation de Private Safety Processing, un dispositif qui détecte les usages abusifs en analysant des motifs répartis sur plusieurs interactions liées, sans que son personnel accède au contenu : seuls des signaux automatisés nommant un type d'activité parviennent aux réviseurs.

Le déploiement et un livre blanc technique sont annoncés pour septembre 2026. Microsoft et Databricks figurent parmi les premiers testeurs (The Next Web, 20 août 2026). Selon Aleah Houze, responsable produit chez OpenAI, des requêtes anodines prises isolément peuvent révéler une cyberattaque coordonnée lorsqu'on les examine ensemble. Une exception demeure, imposée par la loi américaine : les contenus signalés comme matériel d'exploitation sexuelle d'enfants restent conservés pour révision manuelle, même en mode ZDR.

Pourquoi Anthropic impose 30 jours de rétention depuis juin 2026 ?

Le 9 juin 2026, Anthropic a annoncé que ses modèles de pointe, dont Claude Fable 5 et ceux de capacité équivalente ou supérieure, ne sont plus couverts par les ententes de rétention zéro. Les données transitant par ces modèles sont conservées 30 jours, autant sur les surfaces propriétaires que chez les revendeurs tiers, puis supprimées dans la quasi-totalité des cas (PYMNTS, 2026).

Anthropic assume l'impopularité de la mesure : l'entreprise a écrit que la décision poserait de véritables risques pour ses affaires si ses concurrents ne suivaient pas, mais qu'elle était essentielle pour détecter des attaques sophistiquées réparties sur plusieurs requêtes. Microsoft a restreint l'accès de ses employés le temps de réviser la politique (PYMNTS, 2026).

Que change cette divergence pour la conformité à la Loi 25 ?

Au Québec, la Loi 25 (Loi modernisant des dispositions législatives en matière de protection des renseignements personnels) transforme cette question technique en obligation juridique. Cinq actions s'imposent.

Refaire l'EFVP. L'article 3.3 de la Loi sur la protection des renseignements personnels dans le secteur privé (P-39.1) impose une EFVP (évaluation des facteurs relatifs à la vie privée) pour tout projet d'acquisition, de développement ou de refonte d'un système d'information mettant en jeu des renseignements personnels. Un changement de politique de conservation modifie les caractéristiques du système évalué.
Revalider la communication hors Québec. L'article 17 de la même loi, en vigueur depuis le 22 septembre 2023, exige une EFVP et une entente écrite avant de confier des renseignements personnels à un tiers établi hors du Québec. Une conservation de 30 jours à l'étranger change les termes de cette évaluation.
Inventorier les modèles réellement appelés. La politique de rétention s'attache au modèle, pas au contrat-cadre. Une passerelle qui bascule vers le modèle le moins coûteux peut déplacer un traitement d'un régime à l'autre sans notification.
Vérifier la portée exacte du ZDR. Le zéro rétention couvre l'API et les offres entreprise, pas les comptes grand public. Un employé qui colle un dossier client dans une interface gratuite sort du périmètre contractuel négocié.
Documenter les exceptions. Les exceptions légales et les révisions humaines déclenchées par classificateur doivent figurer au registre de traitement, sous peine de rendre l'EFVP incomplète en cas d'enquête.

Ces obligations s'ajoutent au risque d'accès extraterritorial documenté pour les outils infonuagiques américains, analysé dans l'article sur le CLOUD Act et la Loi 25.

Quelles échéances surveiller d'ici l'automne 2026 ?

Trois repères structurent les prochains mois. Le livre blanc technique d'OpenAI sur Private Safety Processing, attendu en septembre 2026, précisera si la détection sans accès au contenu résiste à un examen indépendant. Au Québec, la Commission d'accès à l'information (CAI) a déposé le 11 juin 2026 son rapport quinquennal « Transparence et vie privée : protéger la démocratie à l'ère numérique », avec 74 recommandations au législateur. Enfin, selon le rapport Enterprise AI Benchmark de PYMNTS Intelligence publié en avril 2026, 71 % des dirigeants d'entreprises de plus d'un milliard de dollars de revenus annuels citent la préparation de leur organisation comme principale limite à la performance de l'IA, contre 11 % qui pointent la technologie. Une clause renégociée sans mise à jour du registre de traitement ne réduit pas ce 71 %.

Questions fréquentes

Une clause de zéro rétention protège-t-elle contre toute conservation de données ?

Non. Les engagements de zéro rétention comportent des exceptions légales, notamment le signalement obligatoire de contenus d'exploitation d'enfants imposé par la loi américaine. Certains fournisseurs conservent aussi les contenus signalés par un classificateur automatisé pour révision humaine. Ces exceptions doivent être documentées dans l'évaluation des facteurs relatifs à la vie privée.

La Loi 25 interdit-elle d'utiliser un modèle d'IA qui conserve les données 30 jours ?

Non. Elle exige une évaluation préalable démontrant que les renseignements personnels bénéficieront d'une protection adéquate, ainsi qu'une entente écrite encadrant la communication hors Québec, conformément à l'article 17 de la loi québécoise sur le secteur privé, en vigueur depuis le 22 septembre 2023.

Les abonnements grand public à ChatGPT ou Claude sont-ils couverts par ces garanties ?

Non. Les dispositifs de zéro rétention et de traitement confidentiel annoncés en 2026 visent les déploiements par interface de programmation et les offres entreprise. Les comptes individuels, gratuits ou payants, relèvent de conditions distinctes, ce qui fait de l'IA non encadrée en entreprise un angle mort de conformité.

Sources

OpenAI, « Offering Zero Data Retention for frontier models », 19 août 2026 : https://openai.com/index/offering-zero-data-retention-for-frontier-models/
The Next Web, « OpenAI previews Private Safety Processing to keep zero data retention », 20 août 2026 : https://thenextweb.com/news/openai-zero-data-retention-private-safety-processing
PYMNTS, « Anthropic's 30-Day Data Policy Exposes Enterprise AI Governance Gaps », 2026 : https://www.pymnts.com/news/artificial-intelligence/2026/anthropic-30-day-data-policy-exposes-enterprise-ai-governance-gaps/
Commission d'accès à l'information du Québec, rapport quinquennal 2026 « Transparence et vie privée : protéger la démocratie à l'ère numérique », 11 juin 2026 : https://www.cai.gouv.qc.ca/actualites/publication-du-rapport-quinquennal-2026-de-la-commission
LégisQuébec, Loi sur la protection des renseignements personnels dans le secteur privé (RLRQ c. P-39.1), articles 3.3 et 17 : https://www.legisquebec.gouv.qc.ca/fr/document/lc/P-39.1
Commission d'accès à l'information du Québec, guide « Réaliser une évaluation des facteurs relatifs à la vie privée » : https://www.cai.gouv.qc.ca/uploads/pdfs/CAI_GU_EFVP.pdf

Voir tous les articles