Oui, sur réquisition valide, et c'est plus simple depuis le 18 août 2026. Qui détient vos conversations, ce que peuvent obtenir la justice française et les autorités américaines, les chiffres publiés par OpenAI, et ce que cela change pour une mairie.
ChatGPT transmet-il vos données aux autorités françaises ? Oui, mais pas spontanément. OpenAI communique des données d'utilisateurs lorsqu'une autorité lui adresse une demande juridiquement valide, ou en cas d'urgence vitale. Pour un utilisateur situé en France, le fournisseur est OpenAI Ireland Limited, à Dublin. Depuis le 18 août 2026, un procureur ou un juge français peut lui adresser directement une injonction européenne de production, avec un délai de réponse de dix jours. Les autorités américaines disposent de leurs propres voies, dont le CLOUD Act.
La vraie question pour une collectivité n'est donc pas « est-ce que ça peut arriver », mais « quelles données y a-t-il dans ces conversations, et sous quel droit sont-elles ».
Qui détient vos conversations ChatGPT
Tout part d'une distinction que peu d'utilisateurs connaissent : ChatGPT n'est pas fourni par la même société selon l'endroit où vous résidez.
| Où réside l'utilisateur | Société qui fournit le service | Droit applicable à la demande |
|---|---|---|
| Espace économique européen et Suisse | OpenAI Ireland Limited, Dublin | Droit irlandais et droit de l'Union |
| États-Unis et la plupart des autres pays | OpenAI OpCo, LLC | Droit américain |
C'est ce qu'indique la politique d'OpenAI sur les demandes gouvernementales, dans sa version en vigueur depuis le 1er janvier 2026. Toutes les demandes, qu'elles visent la filiale irlandaise ou la société américaine, passent par un même portail en ligne.
Un agent de mairie qui utilise ChatGPT depuis la France est donc, en principe, client de la filiale irlandaise. Ses conversations relèvent du droit européen. Elles restent toutefois celles d'une entreprise dont la maison mère est américaine, et ce détail compte plus loin.
Ce que peut obtenir la justice française
Avant le 18 août 2026 : l'entraide, en principe
La politique publiée par OpenAI prévoit que les autorités d'un pays autre que l'Irlande passent par les mécanismes d'entraide entre États : la demande française transite par l'Irlande, qui la fait exécuter selon son propre droit. Le texte ajoute qu'OpenAI Ireland peut, « dans certains cas », répondre directement à une procédure étrangère lorsqu'elle serait contraignante pour une entreprise du pays demandeur.
L'entraide est lente. Il faut compter plusieurs mois, parfois davantage, ce qui la rend peu adaptée à une enquête courante.
Depuis le 18 août 2026 : l'injonction européenne de production
Le règlement (UE) 2023/1543 sur les preuves électroniques change la donne. Il s'applique depuis le 18 août 2026 dans tous les États membres sauf le Danemark. Un magistrat français peut désormais s'adresser directement à l'établissement désigné du fournisseur dans l'Union, sans passer par les autorités irlandaises.
| Catégorie de données | Exemples | Qui peut ordonner la production | Conditions |
|---|---|---|---|
| Données relatives aux abonnés | Nom, adresse électronique, moyen de paiement | Autorité judiciaire, dont le procureur | Toute infraction pénale |
| Données demandées pour identifier l'utilisateur | Adresse IP de connexion | Autorité judiciaire, dont le procureur | Toute infraction pénale |
| Données relatives au trafic | Métadonnées d'utilisation | Un juge ou une juridiction | Infraction punie d'au moins 3 ans d'emprisonnement, ou cybercriminalité, ou terrorisme |
| Données relatives au contenu | Le texte de vos conversations et les fichiers déposés | Un juge ou une juridiction | Mêmes conditions que pour le trafic |
Trois chiffres fixent le rythme :
- 10 jours pour transmettre les données en situation normale ;
- 8 heures en cas d'urgence ;
- jusqu'à 2 % du chiffre d'affaires annuel mondial du fournisseur en sanction s'il ne s'exécute pas.
Un point de prudence : la version de la politique d'OpenAI que nous avons consultée, datée de décembre 2025, renvoie encore à l'entraide pour les demandes non irlandaises. Elle est antérieure à l'entrée en application du règlement. Le règlement, lui, s'impose aux fournisseurs qui proposent leurs services dans l'Union, quelle que soit la rédaction de leur politique interne.
Concrètement, le contenu d'une conversation n'est pas accessible pour une contravention ou un simple litige. Il faut une enquête pénale d'une certaine gravité et la décision d'un juge. Mais dans ce cadre, l'accès est désormais rapide et direct.
Ce que peuvent obtenir les autorités américaines
C'est ici que la question change de nature. La justice française agit dans le cadre du droit européen, sous le contrôle d'un juge français. Les autorités américaines, elles, disposent de leviers qui ne dépendent pas de ce cadre.
Le CLOUD Act
Adopté en 2018, le CLOUD Act a inséré dans le code fédéral américain l'article 18 U.S.C. § 2713. Il impose aux fournisseurs de services de communication et de stockage de conserver et de communiquer les données de leurs clients qui se trouvent « en leur possession, sous leur garde ou sous leur contrôle », que ces données soient situées aux États-Unis ou en dehors.
La localisation des serveurs ne suffit donc pas à écarter le droit américain. La question juridique porte sur le contrôle : une maison mère américaine contrôle-t-elle les données d'une filiale européenne ? Elle est débattue entre juristes, et nous ne prétendons pas la trancher ici. Ce qui est certain, c'est qu'elle se pose, et que ce n'est pas la collectivité qui en maîtrise la réponse.
Les négociations d'un accord entre l'Union européenne et les États-Unis sur les preuves électroniques, relancées en mars 2023, n'avaient pas abouti à la date de publication de cet article.
Le renseignement : FISA et National Security Letters
Les demandes fondées sur le Foreign Intelligence Surveillance Act et les National Security Letters suivent un régime à part. OpenAI n'a pas le droit d'en publier le nombre exact, seulement une fourchette.
Les chiffres publiés par OpenAI
OpenAI publie depuis 2025 un rapport semestriel sur les demandes gouvernementales. Voici celui de juillet à décembre 2025.
| Type de demande | Demandes reçues | Demandes ayant donné lieu à communication | Comptes concernés |
|---|---|---|---|
| Données hors contenu (identité, e-mail, paiement) | 224 | 146 | 307 |
| Contenu (textes et fichiers échangés) | 75 | 62 | 84 |
| Urgence | 10 | 1 | 1 |
| Sécurité nationale américaine (FISA, NSL) | 0 à 249 | non précisé | 0 à 249 |
Deux lectures s'imposent.
Les volumes sont faibles au regard du nombre d'utilisateurs. Personne ne lit vos conversations par défaut.
Mais quand une demande de contenu arrive, elle aboutit presque toujours : 62 sur 75, soit plus de huit sur dix. Le rapport ne ventile pas les demandes par pays.
« Transmettre » ne veut pas dire « partager librement »
Il serait faux de laisser entendre qu'OpenAI ouvre ses bases à qui le demande. Sa politique pose plusieurs garde-fous :
- une procédure juridique valide est exigée, et seules les données visées par cette procédure sont communiquées ;
- le contenu n'est communiqué, côté américain, que sur mandat ou équivalent ;
- l'utilisateur est prévenu avant la communication, sauf interdiction légale ou circonstances exceptionnelles, et prévenu après coup lorsque l'interdiction prend fin ;
- les demandes d'urgence sont limitées au danger de mort ou d'atteinte physique grave, et examinées au cas par cas : une seule a abouti sur dix au second semestre 2025.
Ces garanties sont réelles. Elles sont aussi unilatérales : ce sont des engagements d'une entreprise, modifiables par elle, et subordonnés à la loi du pays qui la contraint.
Combien de temps les conversations sont-elles conservées
Une donnée qui n'existe plus ne peut être transmise à personne. La durée de conservation est donc la première protection.
Une conversation supprimée dans ChatGPT est en principe effacée des systèmes d'OpenAI sous trente jours. Cette règle a pourtant été suspendue en 2025 : dans le procès qui l'oppose au New York Times, un juge fédéral américain a ordonné en mai 2025 la conservation de l'ensemble des journaux de conversation, y compris ceux que les utilisateurs avaient supprimés.
L'obligation a été levée pour l'avenir à l'automne 2025. OpenAI a indiqué ne plus conserver à ce titre les conversations provenant de l'Espace économique européen, tout en gardant une partie des données historiques d'avril à septembre 2025.
L'épisode est instructif. Il montre qu'une décision de justice étrangère, rendue dans un litige qui ne concerne en rien vos services, peut modifier du jour au lendemain le sort de ce que vos agents ont tapé.
Ce que cela change pour une mairie
Pour un particulier, la question relève de la vie privée. Pour une collectivité, elle relève de la responsabilité de traitement.
Une mairie reste responsable des données personnelles que ses agents confient à un outil, même gratuit, même utilisé depuis un compte personnel. Or les demandes d'autorités visent un compte. Si ce compte contient le courrier d'un administré, la situation sociale d'une famille ou l'état de santé d'un agent, ce sont ces données-là qui sortent, au titre d'une enquête qui ne concerne peut-être même pas la commune.
| Ce que l'agent colle dans la conversation | Exposition en cas de demande |
|---|---|
| Un texte public à reformuler, une idée de discours | Aucune donnée sensible en jeu |
| Une délibération déjà publiée | Données déjà publiques |
| Le courrier nominatif d'un administré | Données personnelles d'un tiers qui n'a rien demandé |
| Un dossier d'aide sociale, un signalement, un dossier RH | Données sensibles, parfois couvertes par un secret protégé |
Trois mesures suffisent à réduire l'essentiel du risque :
- Interdire toute donnée nominative dans les assistants grand public, par une règle écrite. Notre modèle de charte IA contient la clause.
- Évaluer l'outil avant de le déployer, en particulier lorsque des données sensibles sont en jeu. La méthode est détaillée dans notre article sur l'AIPD appliquée à l'intelligence artificielle.
- Demander au prestataire sous quel droit il répond, et pas seulement où sont ses serveurs. Nous avons listé les questions à poser dans IA et collectivités : ce que vous devez exiger de votre prestataire.
Pour les usages autorisés et interdits au quotidien, voir Peut-on utiliser ChatGPT en mairie ?.
Un prestataire français échappe-t-il aux réquisitions ?
Non, et il faut le dire clairement.
Un prestataire établi en France répond aux réquisitions de la justice française. L'article 60-1 du code de procédure pénale permet au procureur et aux officiers de police judiciaire de requérir de tout organisme les informations utiles à une enquête, y compris celles issues d'un système informatique. L'article 60-1-2 réserve les données de connexion et de trafic aux infractions d'une certaine gravité, en principe punies d'au moins trois ans d'emprisonnement.
Rostra n'y fait pas exception, et ne le prétendrait pas. La différence n'est pas l'immunité. Elle tient à trois points :
- un seul droit : le droit français et européen, sans loi étrangère à portée extraterritoriale ;
- un seul juge : le juge français, devant lequel la collectivité peut faire valoir ses droits ;
- moins de matière exposée : chez Rostra, le texte est anonymisé avant l'envoi au modèle, les contenus sont chiffrés et cloisonnés par collectivité, et l'offre professionnelle du fournisseur de modèle interdit la réutilisation pour l'entraînement. Le détail est sur notre page Souveraineté.
Une donnée protégée par le droit de son pays, conservée le moins longtemps possible et débarrassée des noms avant traitement, reste la meilleure réponse à la question posée en titre.
En résumé
Oui, ChatGPT peut transmettre vos données aux autorités françaises, sur demande juridiquement valide. Depuis le 18 août 2026, un juge français peut obtenir le contenu d'une conversation auprès d'OpenAI Ireland en dix jours, pour une infraction punie d'au moins trois ans d'emprisonnement.
Les autorités américaines disposent en outre du CLOUD Act et des procédures de renseignement, qui ne dépendent pas de la localisation des serveurs.
Au second semestre 2025, OpenAI a reçu 75 demandes de contenu et en a satisfait 62.
Pour une mairie, la seule protection vraiment maîtrisée est en amont : aucune donnée nominative dans un assistant grand public, et un prestataire soumis à un seul droit pour tout le reste.
Vous voulez savoir sous quel droit sont traitées les données de votre collectivité ? Demandez une démonstration.
Sources : politique d'OpenAI sur les demandes gouvernementales de données, en vigueur depuis le 1er janvier 2026 ; rapport d'OpenAI sur les demandes gouvernementales, juillet à décembre 2025 ; règlement (UE) 2023/1543 sur les preuves électroniques et sa synthèse EUR-Lex ; 18 U.S.C. § 2713 ; article 60-1 du code de procédure pénale ; réponse d'OpenAI aux demandes du New York Times.