Vos données d'entreprise quittent-elles Monaco sans que vous le sachiez ?

Il est 18 h. Une commerciale termine une offre. Elle ouvre un assistant dans le navigateur, colle le contrat du client et le tableau des marges, puis demande une synthèse. La réponse arrive tout de suite. Le texte, lui, est déjà parti.

La direction ne le voit pas. Le compte est souvent personnel, ouvert avec une adresse privée. Personne n’a la liste de ce qui a été collé : contrats, coordonnées de clients, marges, méthodes. La mémoire du travail sort, un copier-coller après l’autre.

Où va le texte, selon l’outil et le compte

ChatGPT est le service d’OpenAI. Hors de l’Espace économique européen, du Royaume-Uni et de la Suisse, sa politique du 10 septembre 2026 désigne OpenAI OpCo, LLC, à San Francisco, comme responsable : la société qui décide de l’usage des données. Ces données sont traitées sur des serveurs situés notamment aux États-Unis. Sur un compte personnel (Free, Plus ou Pro), le centre d’aide indique que le partage des contenus est activé par défaut, pour faire apprendre les modèles à partir des textes reçus. On peut le couper dans les réglages, sous « Improve the model for everyone ». Tant qu’il reste ouvert, le contrat collé peut servir à cet apprentissage.

Claude est le service d’Anthropic, société établie à San Francisco. Sa politique dit que les données personnelles partent vers ses serveurs aux États-Unis, ou vers d’autres pays. Sur un compte personnel, textes et réponses peuvent servir à améliorer les modèles, sauf refus dans les réglages. Même après ce refus, un contrôle de sécurité peut encore s’en servir, ainsi que tout l’échange si l’on laisse un avis, un pouce par exemple : le centre confidentialité indique que cet avis conserve la conversation jusqu’à cinq ans. Sur Claude for Work, ces textes ne servent pas à l’entraînement par défaut, sauf avis explicite ou participation volontaire, et une page du 15 juin 2026 précise qu’ils sont stockés aux États-Unis.

Gemini est le service de Google. Si le réglage Keep Activity est ouvert, Google utilise les échanges pour développer ses services, y compris pour entraîner ses modèles, et des relecteurs humains en lisent une partie. Google prévient alors de ne pas y mettre d’information confidentielle. Les conversations relues sont gardées jusqu’à trois ans. Réglage coupé, les échanges futurs ne servent pas à l’entraînement, sauf avis envoyé à Google, mais ils restent liés au compte pendant 72 heures. Dans Google Workspace, l’offre pour les organisations, l’entraînement sur les données du client suppose une permission, et l’administrateur place le traitement aux États-Unis, en Europe, ou dans les deux.

DeepSeek, édité par Hangzhou DeepSeek Artificial Intelligence Co., Ltd., société établie en Chine, écrit dans sa politique du 10 février 2026 qu’il collecte, traite et stocke les données personnelles en République populaire de Chine.

La loi monégasque ne couvre pas tout le tableau des marges

La loi n° 1.565 du 3 décembre 2024, publiée au Journal de Monaco du 13 décembre, vise les données personnelles d’un responsable établi à Monaco, serveurs dans la Principauté ou non. Seule la vie privée en est écartée. Préparer une offre avec le contrat d’un client reste une affaire de l’entreprise. L’article 2 vise une information sur une personne identifiée ou identifiable : un nom, un courriel, un numéro. Le nom du client dans le contrat collé en est une. Une grille de marges sans personne identifiable n’en est pas une. Elle quitte pourtant l’entreprise.

L’autorité de protection décrit un transfert comme tout flux hors Principauté, y compris un accès à distance. L’article 97 l’autorise sans formalité préalable si le pays a un niveau de protection adéquat, constaté par la Principauté. La liste est l’arrêté ministériel n° 2026-548 du 30 septembre 2026, au Journal de Monaco du 16 octobre 2026. Ni les États-Unis ni la Chine n’y figurent. La France, la Suisse et les pays de l’Union européenne y figurent, ou sont réputés adéquats. À défaut, l’article 98 demande une garantie, par exemple des clauses types approuvées par l’autorité, et l’article 99 ouvre quelques exceptions, dont le consentement explicite de la personne informée des risques. Un compte personnel de collaborateur n’est pas ce cadre. Avant que le fichier client parte : qui décide, avec quel contrat, vers quel pays.

Trois questions, cette semaine

1. 01Quels assistants sont ouverts, et avec quel compte : une adresse personnelle, ou un compte de l’entreprise dont on voit les réglages ?
2. 02Quelles pièces n’ont jamais le droit d’être collées : contrats, fichiers clients, marges, méthodes ?
3. 03Où le texte peut-il rester sur une machine que vous tenez ?

Trois façons de reprendre la main

D’abord une règle courte, écrite, connue de l’équipe : ce qui peut être collé, et ce qui ne peut pas l’être. Un brouillon sans nom n’a pas le poids d’un contrat signé. On la vérifie en demandant, cette semaine, quels comptes sont vraiment ouverts.

Ensuite un compte professionnel, configuré. Sur ChatGPT Business et Enterprise, l’administrateur peut voir, exporter ou supprimer les conversations, et l’entraînement est coupé par défaut. Claude for Work et Gemini dans Workspace donnent, eux aussi, un responsable côté entreprise. Le fichier quitte quand même la Principauté. La direction y gagne un contrat et des réglages lisibles, à condition que le compte personnel d’à côté disparaisse. S’il est traité aux États-Unis, ce pays n’est pas sur la liste adéquate : le contrat avec l’éditeur ne remplace pas la voie prévue par la loi.

Enfin un outil sur vos serveurs. Le fichier n’est pas envoyé à ces éditeurs. Accès, journaux et sauvegardes dépendent de vous. Gardez ce niveau pour les contrats, les dossiers clients, les marges et les méthodes.

L’outil sert déjà à l’équipe. La décision utile est de nommer ce qui a le droit de sortir. Si vous voulez faire cet état des lieux, parlons-en.