DeepSeek vs ChatGPT : quel outil I.A. protège le mieux vos données?

Les grands modèles de langage, ou Large language models (LLM), font désormais partie de la vie quotidienne de millions de gens. Des outils comme ChatGPT et DeepSeek s’occupent désormais de tout, des questions classiques aux recherches commerciales en passant par les flux de travail internes.

Mais quand vous partagez des informations à l’I.A., qu’arrive-t-il à ces données ?

Nous nous sommes penchés sur les politiques de confidentialité et les conditions générales de ChatGPT et DeepSeek pour comprendre comment chaque plateforme collecte, stocke et utilise vos données, ainsi que ce ça implique pour la confidentialité et la sécurité dans le monde réel.

Pourquoi la sécurité et la confidentialité sont importantes dans le choix d’une I.A.

La confidentialité des données est un facteur important dans le choix d’un outil I.A., parce que les saisies des utilisateurs peuvent être enregistrées, gardées ou utilisées pour l’apprentissage ou l’assurance qualité dans certaines conditions. Les demandes sont traitées dans une infrastructure gérée par le fournisseur, que les utilisateurs ne contrôlent pas, et sont soumises à la politique de gestion des données de la plateforme.

Le risque augmente au fur et à mesure que l’I.A. devient intégrée aux flux de travail quotidiens. Les gens utilisent ces outils dans un contexte personnel, comme par exemple pour obtenir des conseils sur la gestion d’un budget, pour des questions médicales ou liées à leur carrière, mais aussi dans un contexte professionnel, comme pour la documentation interne, l’analyse de code, la mise en place de stratégies et plus encore. Il s’agit de données sensibles, que vous ne voulez probablement pas offrir aux entreprises d’I.A. afin qu’elles entraînent leurs modèles.

Quand on compare les I.A., la sécurité et la confidentialité sont tout aussi importantes que la qualité ou la vitesse des réponses. Les pratiques en matière de gestion de données varient selon les fournisseurs, le type d’abonnement et les paramètres des utilisateurs, sur la conservation ou non des requêtes, et de leur utilisation pour analyse ou pour l’apprentissage du modèle. Les questions à se poser sont les suivantes :

• Qui peut accéder à vos données ?
• Dans quelles conditions peuvent-elles être utilisées ?
• Quelle visibilité a-t-on sur ce qui se passe une fois une requête envoyée ?

Comment DeepSeek et ChatGPT traitent les données des utilisateurs

Quand vous utilisez ChatGPT ou DeepSeek, vos données passe par plusieurs étapes après leur envoi. La manière dont chaque plateforme gère ces données dépend de sa politique de confidentialité et ses conditions générales.

Pour faire simple, la gestion des données couvre trois catégories :

1. La manière dont les requêtes sont traitées et enregistrées.
2. Si les saisies des utilisateurs peuvent être utilisées dans un autre cadre que celui de la réponse immédiate.
3. Combien de temps les informations restent dans les systèmes des fournisseurs.

Recueil des données et enregistrement des requêtes

ChatGPT et DeepSeek recueillent les données des utilisateurs dans le cadre du fonctionnement de leur service. Elles peuvent inclure les informations que vous fournissez, les données générées suite aux interactions avec la plateforme, ainsi que des données techniques recueillies automatiquement en arrière-plan.

DeepSeek

DeepSeek recueille des données personnelles quand vous créez un compte, quand vous formulez une requête, quand vous téléchargez des fichiers et interagissez avec le service. Ça inclut des détails comme votre adresse mail, vos identifiants, ainsi que le contenu des conversations comme les requêtes, l’historique du chat, les retours et les contenus téléchargés.

Cette plateforme recueille également des informations sur l’appareil et le réseau, comme votre adresse IP, des identifiants d’appareils, le système d’exploitation, le langage du système, des logs de performance et des rapports d’erreur. DeepSeek assigne des identifiants aux appareils et aux utilisateurs pour suivre leur activité au fil des sessions et des appareils utilisés pour des raisons de fonctionnement et de sécurité. L’entreprise enregistre également la manière dont les utilisateurs interagissent avec les fonctionnalités, la position géographique approximative en se basant sur l’adresse IP et pour des raisons de sécurité, et utilise des cookies et des technologies similaires pour faire fonctionner le service et l’analyser.

La politique de confidentialité de DeepSeek indique également que l’entreprise peut recevoir des données personnelles de manière externe, comme auprès de fournisseurs d’identifiants, de partenaires de sécurité et de sources publiques en ligne. DeepSeek indique que le service n’a pas été conçu pour traiter des données personnelles sensibles et indique de manière explicite à ses utilisateurs de ne pas envoyer de telles informations.

ChatGPT

ChatGPT recueille des données personnelles quand vous créez un compte, formulez des requêtes, téléchargez des contenus ou communiquez avec OpenAI. Elles incluent des informations de compte comme le nom, les informations de contact, les identifiants et les informations de paiement si elles ont été fournies. Les contenus des utilisateurs incluent les requêtes, les fichiers téléchargés, les images et les extraits audio, selon les fonctionnalités utilisées.

OpenAI indique dans sa politique de confidentialité qu’il recueille des données techniques générées par l’utilisation du service comme l’adresse IP, le type de navigateur, l’horodatage, les interactions, les schémas d’utilisation, les informations d’appareils et la position géographique approximative grâce à l’IP. Ces données permettent au service de mieux fonctionner, favorisent la surveillance de la sécurité et optimisent les performances. Des cookies et d’autres technologies similaires sont utilisées pour tenir compte des préférences des utilisateurs et améliorer leur expérience.

De plus, OpenAI reçoit des données de partenaires de confiance, comme des fournisseurs de sécurité et de marketing, et indique recueillir des informations disponibles de manière publique sur le net pour développer les modèles qui alimentent ses services.

Utilisation des données utilisateurs pour l’apprentissage des modèles

Les requêtes des utilisateurs ne génèrent pas que des réponses, dans certains cas, elles peuvent également être recueillies et analysées pour améliorer le modèle.

DeepSeek

DeepSeek traite les données utilisateurs pour le fonctionnement et l’amélioration de ses services, qui peuvent inclure le développement de modèle. Comme avec ChatGPT, vous pouvez choisir de ne pas partager vos contenus à des fins d’apprentissage en ouvrant les Settings (Paramètres) et en désactivant l’option Improve the model for everyone (Améliorer le modèle pour tout le monde) dans la section Données.

ChatGPT

ChatGPT peut appliquer des analyses automatisées et une vérification humaine à des fins de qualité et de sécurité. Toutefois, vous pouvez changer les contrôles des données par défaut dans Settings (Paramètres) > Data Controls (Contrôles des données) en désactivant l’option Improve the model for everyone (Améliorer le modèle pour tout le monde), ce qui empêche ChatGPT d’utiliser vos données pour entraîner ses modèles. Quand ce paramètre est désactivé, les requêtes suivantes sont exclues des flux de travail d’apprentissage, mais les données précédemment collectées peuvent quand même être gardées et le contenu de vos conversations peut être utilisé pour d’autres raisons, comme la sécurité.

Rétention des données et contrôle des suppressions

DeepSeek et ChatGPT gardent tous deux des données personnelles à des fins de fonctionnement, pour respecter la loi et pour plus de sécurité, mais la portée et les contrôles sont différents.

DeepSeek

DeepSeek garde les informations personnelles pendant aussi longtemps qu’il le faut pour fournir ses services et répondre aux exigences légales, commerciales et contractuelles. En général, il garde les informations de compte, les saisies des utilisateurs et les données de paiement pendant toute la période d’activité d’un compte. Si vous enfreignez les politiques de la plateforme, DeepSeek peut garder les données pertinentes même une fois votre compte fermé à des fins d’enquête.

Vous pouvez supprimer votre historique de chat depuis les paramètres de votre compte, mais DeepSeek n’indique pas dans sa politique de confidentialité combien de temps il faut pour que les données soient supprimées de ses serveurs. Il y a aussi l’option d’envoyer une requête à privacy@deepseek.com pour leur demander de supprimer vos données. Certaines informations peuvent être gardées quand nécessaire, à des fins légales.

ChatGPT

Comme DeepSeek, ChatGPT garde les données personnelles aussi longtemps que nécessaire pour faire fonctionner ses services ou à des fins légitimes comme la sécurité, la résolution de problèmes et le respect de la loi. La durée de la rétention dépend de facteurs comme la raison du traitement, la sensibilité des données, les risques potentiels d’un accès non autorisé, et les obligations légales applicables.

Les paramètres des utilisateurs peuvent influencer la rétention dans certains cas. Par exemple, les chats temporaires n’apparaissent pas dans l’historique des conversations, mais restent sur les serveurs ChatGPT pendant jusqu’à 30 jours. C’est la même chose pour les conversations classiques supprimées de votre historique.

Gestion des données depuis le portail de Confidentialité ChatGPT

Vous pouvez accéder au portail de confidentialité de ChatGPT sur privacy.openai.com. C’est ici que vous pouvez envoyer des demandes relatives à vos données personnelles, comme la suppression, l’accès, la correction, et d’autres actions relatives à vos droits. Ça va plus loin que les commandes dans l’appli, comme pour effacer l’historique, et vous permet en tant que consommateur de faire vos demandes de confidentialité directement à OpenAI.

Dans le portail Confidentialité, vous pouvez :

• Supprimer votre compte et les données personnelles associées : envoyer une demande de suppression de votre compte ChatGPT supprime votre compte et vos données des systèmes d’OpenAI, en général en seulement 30 jours.
• Demander un accès ou une suppression : les utilisateurs ayant les droits légaux applicables (par exemple ceux qui dépendent du Règlement général sur la protection des données (RGPD) de l’U.E.) peuvent demander un accès à leurs informations personnelles ou un droit à la correction.
• Demander la suppression des données personnelles des réponses de ChatGPT : si une réponse de ChatGPT inclut des informations permettant de vous identifier (comme votre nom ainsi que des informations sensibles ou privées), vous pouvez envoyer une demande de suppression. OpenAI traitera la demande et si elle est approuvée, prendra des mesures pour que ces informations personnelles précises ne soient pas intégrées aux futures réponses. Il faut savoir que cette option existe pour la protection de la confidentialité et ne veut pas dire que ChatGPT garde des profils personnels ou se souvient des individus au fil des conversations.

Dans l’ensemble, le portail de confidentialité vous offre une manière officielle d’exercer vos droits en matière de données quand les paramètres ne suffisent pas.

La confidentialité des I.A. open source et commerciales en pratique

Les systèmes I.A. ne sont pas tous conçus, utilisés et gérés de la même façon. Une des plus grosses différences concerne les modèles open-source, où certaines parties du système sont accessibles et les modèles d’I.A. commerciale, où le modèle et l’infrastructure sont contrôlés de façon centrale par un seul fournisseur.

Ce que signifie « open source » pour la sécurité sur DeepSeek

Dans le contexte de l’I.A., un modèle open source indique que le code est disponible publiquement. Ça permet des inspections indépendantes des problèmes de sécurité et de comportement inattendu dans le code en lui-même, surtout lors des déploiements auto-hébergés.

Le modèle DeepSeek R1 est disponible sur GitHub avec une licence MIT. Ça permet à tout le monde d’obtenir gratuitement le droit d’utiliser, de modifier et de distribuer le modèle, même à des fins commerciales.

D’un point de vue sécurité et confidentialité, la licence a plusieurs implications :

• Le modèle peut être auto-hébergé, pour que les requêtes et les réponses restent sur une infrastructure locale ou privée.
• Les chercheurs indépendants peuvent faire leurs propres tests pour trouver des vulnérabilités.
• Les organisations peuvent appliquer leurs propres mesures de contrôle d’accès, de connexion et de respect des normes.

Mais le fait qu’il soit open-source ne signifie pas que la transparence est totale dans l’ensemble du développement. Pour de nombreux modèles I.A. open source, l’origine, la composition et le prétraitement du corpus d’apprentissage ne sont pas rendues publiques mêle si le code du modèle l’est. Ça limite les vérifications indépendantes des données d’apprentissage du modèle et peut influencer les évaluations au niveau de la confidentialité, des partis pris et de la confiance.

DeepSeek ne divulgue pas publiquement les ensembles de données d’apprentissage, ce qui veut dire que la transparence au niveau du code ne s’applique pas à ces données ni aux processus de développement.

Infrastructure centralisée et confiance en ChatGPT

ChatGPT fonctionne avec une infrastructure contrôlée par OpenAI. Les utilisateurs interagissent avec le modèle depuis une interface web ou API et toutes les gestions de requêtes se font dans les systèmes gérés par OpenAI.

Dans ce modèle :

• OpenAI contrôle où et comment les données sont traitées.
• Les utilisateurs s’appuient sur les politiques et pas sur l’inspection directe du code.
• Les contrôles de sécurité, les restrictions d’accès et la surveillance sont administrés de manière centrale.

Comme le modèle et l’infrastructure sont privés, un audit complet du système n’est pas possible. Ça limite la transparence, mais ça permet à OpenAI de standardiser les contrôles de sécurité et de les appliquer à tous les utilisateurs.

Il faut noter qu’OpenAI a subi des analyses de contrôle et de respect des normes, dont des audits internes et des évaluations externes liées à la sécurité et aux exigences règlementaires.

Mesures de sécurité techniques : cryptage et contrôle des accès

ChatGPT et DeepSeek utilisent un mélange de cryptage et de contrôle des accès pour protéger les données des utilisateurs sur leurs plateformes. Ces mesures de sécurité sont conçues pour réduire le risque d’accès externe non autorisé plutôt que pour fournir une confidentialité totale du fournisseur de service en lui-même.

Cryptage en transit et au repos

Les deux plateformes utilisent un cryptage pour protéger les données des utilisateurs durant leur transmission et quand elles sont stockées sur leurs systèmes.

ChatGPT crypte les données au repos avec un chiffrement aux normes de l’industrie, comme le Advanced Encryption Standard (AES) 256-bit. Tous les points de terminaison emploient le Transport Layer Security (TLS) 1.2 ou supérieur pour crypter les données envoyées entre les utilisateurs, OpenAI et les fournisseurs de service d’OpenAI, ce qui aide à protéger les informations des interceptions pendant leur transit sur le réseau. La sécurité physique de son infrastructure est gérée par Microsoft Azure.

DeepSeek crypte les communications entre les utilisateurs et les serveurs web avec HTTPS (TLS), pour s’assurer que les données en transit sont protégées contre les interceptions passives.

Contrôle des accès et protection des comptes

Le contrôle des accès détermine qui peut accéder aux données utilisateurs dans une plateforme et sous quelles conditions. La documentation officielle de DeepSeek indique que l’accès aux serveurs et aux bases de données est limité au personnel autorisé, grâce à des mesures d’authentification et de contrôle des accès.

OpenAI met en place un contrôle strict des accès en se basant sur les principes du moindre privilège et de la séparation des tâches. L’accès n’est autorisé que quand c’est nécessaire à des fins de fonctionnement, de sécurité ou de respect de la loi, et il est soumis à des vérifications régulières.

OpenAI indique aussi qu’il surveille et enregistre les accès. Les enregistrements sont recueillis de manière centrale et examinés pour détecter des activités inhabituelles, les autorisations d’accès sont régulièrement auditées et révoquées quand elles ne sont plus nécessaires. Les systèmes administratifs et internes nécessitent une authentification à plusieurs facteurs (MFA) et les changements d’accès internes sont documentés et examinés.

Les limites du cryptage avec les chatbots I.A.

Les chatbots I.A. n’utilisent pas de cryptage de bout en bout ou end-to-end encryption (E2EE). Pour générer des réponses, les services comme ChatGPT et DeepSeek ont besoin de décrypter vos requêtes et de pouvoir y accéder sur leurs propres serveurs.

Ça veut dire que tout ce que vous saisissez peut être utilisé en interne selon les règles de la plateforme (par exemple pour le fonctionnement du service, les vérifications de sécurité et de qualité ou l’amélioration des modèles, selon vos paramètres). En d’autres termes, si le cryptage protège vos données en transit et au repos, il n’empêche pas le fournisseur d’y accéder.

Dans l’ensemble, le cryptage et le contrôle des accès représentent des protections de sécurité importantes et non une garantie de confidentialité. Mieux vaut partir du principe que tout ce que vous partagez avec un chatbot peut être conservé ou examiné en accord avec les politiques du fournisseur.

Utilisation commerciale et scénarios d’hébergement

Les entreprises qui ont intégré l’I.A. à leur flux de travail ou qui lui offre un accès à des informations exclusives depuis des API doivent tenir compte de l’isolation des données, du contrôle des accès, du respect des normes et de la responsabilité du fonctionnement. Ces considérations varient selon si l’outil I.A. est utilisé comme un service hébergé ou déployé dans une infrastructure interne.

ChatGPT Enterprise : confidentialité, gestion et contrôle de l’isolation

ChatGPT Enterprise est conçu pour les organisations qui veulent utiliser un service I.A. hébergé tout en s’assurant d’une meilleure gestion et d’un contrôle de la confidentialité plus solide que ceux qui sont disponibles dans les comptes d’utilisateurs lambda.

OpenAI n’utilise pas les contenus ChatGPT Enterprise pour former ses modèles. Les conversations sont isolées au niveau de l’organisation et l’accès est contrôlé de manière administrative, pas depuis les paramètres. Ça permet aux organisations de gérer la manière dont l’I.A. est utilisée en interne sans s’appuyer sur les employés et les forcer à configurer eux-mêmes les options de confidentialité.

D’un point de vue gestion, les organisations peuvent contrôler l’accès des utilisateurs, gérer les politiques d’utilisation et surveiller l’activité des équipes. Ça permet un meilleur respect des exigences internes et des processus d’audits. OpenAI gère tout de même l’infrastructure de manière centrale mais ces contrôles offrent aux entreprises de meilleurs cadres de gestion de données au sein du service. C’est particulièrement important quand ChatGPT est utilisé en tant qu’outil I.A. pour les développeurs ou pour des informations commerciales, où les requêtes peuvent contenir du code qui leur appartient, des API internes, des conceptions de système ou des données analytiques sensibles.

ChatGPT Enterprise ne change pas le modèle de déploiement hébergé. Les données sont toujours traitées sur une infrastructure gérée par OpenAI et les organisations continuent à s’appuyer sur les pratiques de sécurité et les contrôles d’accès internes d’OpenAI. La différence réside dans la gestion et l’isolation des données au niveau de l’organisation plutôt que dans la façon ou l’endroit où l’infrastructure est gérée.

Auto-hébergement de DeepSeek, avantages et responsabilités

DeepSeek peut être autohébergé dans l’infrastructure interne de l’organisation, comme sur des serveurs sur place ou des environnements cloud privés. Ça permet d’obtenir une latence plus basse dans certains environnements et plus de contrôle sur la confidentialité et la rétention des données dans une configuration personnalisée. Les requêtes et les réponses ne quittent pas le réseau de l’organisation, ce qui simplifie la gestion des données et qui réduit l’exposition aux infrastructures externes.

Pour les organisations dans des industries régulées comme la finance, la santé ou le gouvernement, l’auto-hébergement leur permet d’utiliser leurs mesures de sécurité actuelles, leurs processus d’audit et leurs règles de stockage des données directement depuis le système I.A.. L’accès peut être restreint depuis des systèmes d’identification internes et l’utilisation peut être surveillée avec les outils d’analyse et d’identification déjà mis en place.

Mais l’auto-hébergement transfère la responsabilité à l’organisation. L’entreprise devient responsable de la sécurité de l’environnement, de la gestion du contrôle des accès et de l’utilisation, des mises à jour et du respect des normes, des lois et des politiques internes. Il faut également des ressources abondantes pour faire tourner le modèle et contrairement aux modèles basés sur API et gérés par le fournisseur, vous aurez besoin d’expertise pour déployer et entretenir le système.

En d’autres termes, la confidentialité et la sécurité dépendent de la manière dont l’organisation crée et gère son environnement et pas des contrôles par défaut de la plateforme.

Comment utiliser les outils I.A. en toute sécurité

ChatGPT, DeepSeek et le reste des chatbots I.A. sont des systèmes de gestion des données. Tout ce que vous saisissez ou dictez est stocké et enregistré, pouvant ainsi être analysé et gardé à des fins de fonctionnement. C’est pareil pour les fichiers téléchargés. Ça crée de vrais risques en ce qui concerne l’exposition, surtout quand les requêtes contiennent des informations personnelles, professionnelles ou un contexte pouvant être mal utilisé lors d’un accès ultérieur.

Les meilleures pratiques pour éviter de partager des infos sensibles

ChatGPT et DeepSeek ne sont ni vos amis, ni vos confidents. Si vous avez une information que vous ne partageriez pas à un inconnu, ne la partagez pas à une I.A.

• Evitez de partager des identifiants : ne saisissez jamais de mots de passe, de code d’authentification, d’informations bancaires ou de numéros d’identification gouvernementaux.
• Faites attention à vos données personnelles et votre position géographique : un nom complet associé à une adresse, un numéro de téléphone ou votre mail peut vous exposer plus que ce que vous pensez, surtout quand les promptes contiennent un contexte personnel.
• Traitez les informations d’entreprise comme des données sensibles par défaut : les documents internes, les contrats, les données financières, les listes de client et le code source ne doivent pas être partagés dans un prompt sauf si l’outil a été approuvé pour ces cas de figure.
  
• Utilisez des prompts retravaillés ou tronqués quand c’est possible : si vous avez besoin d’aide dans un vrai scénario, remplacez les données par des données similaires ; ça vous permet d’obtenir des réponses utiles sans exposer de vraies informations. Supprimer les détails importants comme les noms d’utilisateurs ou des systèmes internes réduit significativement le risque tout en préservant l’efficacité.
• Gérez les paramètres de rétention et d’apprentissage de manière proactive : de nombreux outils I.A. offrent l’option d’effacer l’historique de conversation et de ne pas utiliser les prompts pour l’apprentissage des modèles. Ces paramètres ne sont pas toujours activés par défaut. Les évaluer et les modifier aide à limiter la rétention de données à long terme et réduit les chances que des promptes sensibles soient réutilisés de manière interne.
• Examinez régulièrement les autorisations et les habitudes d’utilisation : les outils I.A. évoluent rapidement, tout comme leurs paramètres. Examinez fréquemment les options de confidentialité, les applis connectées et les autorisations du navigateur pour vous assurer qu’elles sont toujours alignées avec votre utilisation de l’outil. De telles informations sont particulièrement importantes sur des appareils partagés ou au sein d’équipes.
• Protégez votre compte avec un bon mot de passe : votre historique de conversation et vos habitudes d’utilisation sont reliées à votre compte, un mot de passe compromis peut donc exposer les anciennes conversations et donc des données sensibles. Utilisez un mot de passe long et unique pour protéger votre compte. Si vous utilisez ChatGPT, activez la MFA avec une appli d’authentification ou des passkeys pour éviter les accès non autorisés (au moment de la rédaction de cet article, DeepSeek ne propose pas ces options). Il faut savoir que la MFA et les passkeys ne sont pas disponibles pour tous les utilisateurs de ChatGPT. Pour vérifier si ces fonctionnalités vous sont proposées et les activer, allez dans Settings (Paramètres) > Security (Sécurité).
  

Comment un VPN peut améliorer votre confidentialité quand vous utilisez une I.A.

Utiliser un  réseau virtuel privé ou virtual private network (VPN) avec ChatGPT ajoute des mesures de protection à vos sessions, au niveau du réseau. Un VPN crypte votre trafic internet, ce qui aide à éviter que des tiers comme des opérateurs ou des criminels sur le même réseau wifi interceptent votre activité. Ça permet aussi de remplacer votre adresse IP par celle du serveur VPN, ce qui réduit le suivi passif au niveau de votre connexion. C’est particulièrement utile quand vous accédez aux I.A. sur des réseaux publics ou non protégés.

Il est important d’en comprendre les limites, cependant. Quand vous vous connectez pour utiliser le service, votre activité est toujours liée à votre compte, VPN ou non. Un VPN ne masque pas vos prompts à l’outil et n’empêche pas la plateforme de traiter ou d’enregistrer vos saisies. Mais ça vous fournit une protection contre les interceptions externes au service, ce qui est particulièrement utile quand vous télétravaillez ou que vous voyagez.

Dans les environnements d’entreprise, les VPN sont souvent utilisés de concert avec les déploiements d’I.A. ou de modèles autohébergés pour plus de protection. Contrairement aux VPN commerciaux, conçus pour anonymiser le trafic internet de particuliers, les VPN d’entreprise font souvent partie intégrante du réseau de l’organisation, ce qui permet des routages internes, un accès restreint et des applications de politiques centralisées. Cette configuration réduit l’exposition en limitant les endroits autorisant le trafic I.A. et en gardant les prompts sensibles dans des réseaux contrôlés.

FAQ : les questions courantes sur DeepSeek et ChatGPT