ChatGPT, Claude, Gemini : ce que vous acceptez vraiment en créant un compte

Chaque jour, des millions d’utilisateurs créent un compte sur un outil IA et cliquent sur « J’accepte » sans lire ce qu’ils acceptent. Ce n’est pas de la négligence, personne ne lit les CGV. C’est un mécanisme conçu pour ça. Ce que ces documents contiennent concrètement, ce qu’ils vous permettent de revendiquer malgré tout, et ce qu’ils vous font accepter définitivement : c’est ce que cet article décrit.

Ce qu’est un contrat d’adhésion et pourquoi ça change tout

Quand vous créez un compte sur ChatGPT, Claude, Gemini ou n’importe quel autre outil IA grand public, on vous présente des conditions générales d’utilisation. En bas de page, une case à cocher ou un bouton « J’accepte ». Vous cliquez. Vous utilisez l’outil.

Ce que vous venez de faire juridiquement s’appelle adhérer à un contrat. Pas négocier un contrat. Adhérer.

La différence est fondamentale. Dans un contrat négocié, les deux parties discutent des termes, proposent des modifications, trouvent un équilibre. Dans un contrat d’adhésion, une partie rédige l’intégralité des conditions et l’autre choisit entre accepter ou ne pas utiliser le service. Il n’y a pas de troisième option. Vous ne pouvez pas demander à Anthropic de modifier sa clause de résiliation, ni à OpenAI de supprimer sa disposition sur l’entraînement des modèles. Le contrat est ce qu’il est.

Ce mécanisme est légal et courant. Votre abonnement téléphonique, vos conditions bancaires, les CGV de votre plateforme de streaming : tout cela fonctionne sur le même principe. Ce qui est particulier avec les outils IA, c’est ce que ces contrats couvrent exactement, mais aussi les conséquences concrètes que vous acceptez sans le savoir.

En droit français, les contrats d’adhésion sont encadrés par l’article 1110 du Code civil depuis la réforme de 2018. Les clauses abusives peuvent en théorie être écartées. En pratique, contester une clause devant un tribunal suppose du temps, des ressources, et un préjudice suffisamment documenté pour justifier la démarche. La plupart des utilisateurs n’en sont pas là.

Ce que les sections suivantes décrivent, c’est ce que vous avez concrètement accepté, et ce que le droit européen vous permet malgré tout de revendiquer.

Ce que vous avez signé sans le lire

Voici ce que ces contrats prévoient généralement, et que la plupart des utilisateurs découvrent trop tard.

Les politiques varient selon les éditeurs et les formules souscrites. Ce qui suit décrit les pratiques les plus courantes sur les offres grand public.

Le risque le plus probable au quotidien n’est pas la résiliation arbitraire : c’est l’utilisation de vos données et la perte de continuité si votre accès est interrompu.

La résiliation unilatérale du compte, avec des recours limités

L’éditeur peut suspendre ou supprimer votre compte à tout moment, pour des raisons de violation de ses conditions qu’il apprécie seul, sans obligation de vous en expliquer les motifs ni de vous rembourser dans la plupart des cas. Si vous avez développé des projets, des historiques de conversation, des documents de travail sur la plateforme, tout cela disparaît avec le compte.

Un cas rapporté sur Reddit par un utilisateur allemand illustre ce mécanisme concrètement : il signale une faille de sécurité dans le système de facturation d’Anthropic après avoir subi des débits non autorisés dépassant 800 euros. La réponse d’Anthropic a été de bannir son compte. Sans remboursement, sans interlocuteur humain, et avec perte de l’ensemble de ses projets en cours, ce que les CGV permettaient. Ce témoignage n’a pas été vérifié de façon indépendante, mais il est cohérent et illustre un mécanisme contractuel réel, en revanche ce n’est pas un comportement systématique.

L’utilisation de vos données pour l’entraînement des modèles

Selon les paramètres de votre compte et les conditions applicables à votre région, les contenus que vous soumettez peuvent être utilisés pour améliorer le modèle.

Il faut distinguer l’utilisation pour l’entraînement du modèle, souvent paramétrable, et l’utilisation à des fins de sécurité ou d’amélioration du service, qui s’applique généralement quoi qu’il en soit.

Ce point varie selon les éditeurs et les formules, certaines offres entreprise l’excluent explicitement. Mais sur les offres grand public, la prudence s’impose : ce que vous glissez dans un prompt n’est pas nécessairement traité comme une information confidentielle.

La modification unilatérale des conditions

L’éditeur peut modifier ses CGV sans votre accord explicite. Une notification par email ou un bandeau sur l’interface suffit généralement. Si vous continuez à utiliser le service après la date d’entrée en vigueur des nouvelles conditions, vous les acceptez. Vous n’avez pas à resignez quoi que ce soit.

La limitation de responsabilité en cas d’incident

Si une faille de sécurité imputable à la plateforme cause un préjudice (débits non autorisés, fuite de données, dégradation d’un score de crédit comme dans le cas allemand) les CGV limitent généralement la responsabilité de l’éditeur à des montants symboliques, voire l’excluent entièrement pour certains types de dommages. La charge de la preuve et les voies de recours sont conçues pour décourager les actions individuelles.

La juridiction applicable

La plupart des CGV désignent une juridiction américaine pour les litiges. Cette clause n’est pas opposable à un consommateur européen : en vertu du Règlement Bruxelles I bis, vous pouvez toujours saisir la juridiction de votre lieu de résidence, quelle que soit la clause contractuelle. C’est un droit que les CGV ne peuvent pas effacer.

En pratique, une action individuelle devant un tribunal reste coûteuse et longue. La médiation de la consommation est une alternative plus accessible : tout professionnel vendant à des consommateurs en France est légalement tenu de proposer un médiateur. C’est souvent le premier recours utile avant d’envisager une procédure judiciaire.

Ce que le RGPD change, et ce qu’il ne change pas

Ce que le RGPD change pour les utilisateurs européens

Le droit européen impose des limites que les CGV ne peuvent pas effacer, quelle que soit la juridiction désignée par l’éditeur. Si vous résidez en France ou dans l’Union européenne, certains droits s’appliquent indépendamment de ce que vous avez accepté en cliquant.

Le droit d’accès vous permet de demander à l’éditeur une copie de l’ensemble des données personnelles qu’il détient sur vous. Le droit à l’effacement vous permet d’en demander la suppression, sous conditions. Le droit à la portabilité vous permet de récupérer vos données dans un format utilisable. En pratique, les formats d’export proposés sont souvent peu exploitables et ne permettent pas de reconstituer un workflow ou un historique de travail de façon satisfaisante. Ces droits existent, ils sont exercisables, et un éditeur qui les ignore s’expose à des sanctions de la CNIL.

Sur la question de l’entraînement des modèles, le RGPD impose une base légale pour chaque traitement. Si l’éditeur utilise vos données pour entraîner son modèle, il doit pouvoir justifier cette utilisation, par le consentement explicite, l’intérêt légitime, ou autre fondement. Un consentement obtenu par défaut, noyé dans des CGV longues et peu lisibles, est juridiquement fragile. Plusieurs autorités européennes de protection des données examinent actuellement ces pratiques.

Sur la question de la sécurité, le RGPD impose à l’éditeur des obligations de protection des données personnelles et de notification en cas de violation. Si une faille de sécurité expose vos données, l’éditeur doit en informer la CNIL dans les 72 heures et, dans certains cas, vous en informer directement. Les clauses contractuelles qui limitent sa responsabilité ne l’exonèrent pas de ces obligations réglementaires.

Ce que le RGPD ne change pas

Il ne neutralise pas la résiliation unilatérale du compte. Il ne garantit pas la conservation de vos projets ou de vos historiques. Il ne vous donne pas de recours rapide ou peu coûteux si vous êtes victime d’un incident. Et il ne s’applique pas aux données qui ne sont pas des données personnelles au sens du règlement : vos prompts qui ne contiennent pas d’informations permettant d’identifier une personne peuvent être traités sans que le RGPD y trouve à redire. Dès qu’un prompt mentionne un nom, une situation personnelle ou toute information identifiante, il entre dans le champ des données personnelles.

La protection européenne est réelle. Elle est aussi partielle, et souvent plus difficile à faire valoir concrètement qu’elle ne le paraît en théorie.

Ce que vous pouvez faire concrètement

« Lisez les CGV » est un conseil inutile. Personne ne le fait, et même ceux qui le font n’ont pas les moyens de les contester efficacement. Ce qui suit est plus réaliste.

Ne stockez pas dans un outil IA ce que vous ne voudriez pas perdre du jour au lendemain. Vos projets, vos documents de travail, vos historiques de conversation : exportez-les régulièrement si l’outil le permet, conservez-en une copie ailleurs, et testez que les exports sont exploitables. Un compte peut être suspendu sans préavis et sans recours immédiat.

Ne glissez pas dans un prompt ce que vous considérez comme confidentiel. Une stratégie commerciale, des données clients, des informations personnelles sensibles : selon les paramètres de votre compte et les CGV applicables, ces éléments ne sont pas nécessairement protégés comme vous le supposez.

Vérifiez les paramètres de confidentialité de votre compte, et revérifiez-les à chaque mise à jour. La plupart des outils IA permettent de désactiver l’utilisation des conversations pour l’entraînement des modèles. Ce paramètre n’est généralement pas activé par défaut. Il se trouve dans les réglages, pas dans les CGV.

Si vous subissez un préjudice lié à une faille de sécurité, signalez-le à la CNIL. L’éditeur a des obligations de notification que ses CGV ne peuvent pas effacer. Une plainte formelle est souvent le seul levier réel disponible pour un utilisateur individuel. Pour les litiges commerciaux (facturation non autorisée, remboursement refusé) la DGCCRF est également compétente et souvent plus accessible pour un particulier.

Enfin, gardez à l’esprit que votre dépendance à un outil est elle-même un risque. Plus vous construisez de projets, d’habitudes de travail, et de données sur une plateforme unique, plus la perte d’accès à cette plateforme a de conséquences. La diversification n’est pas une posture technique, c’est une précaution élémentaire.

Les outils IA sont utiles, souvent remarquables, et leur adoption va continuer. Ce n’est pas le sujet. Le sujet, c’est que l’enthousiasme pour ces outils ne devrait pas dispenser de savoir ce qu’on accepte en les utilisant. Un contrat d’adhésion reste un contrat. Ce que vous y avez signé produit des effets réels, indépendamment du fait que vous l’ayez lu ou non.

L’analyse, le cadrage juridique et les choix éditoriaux de cet article relèvent d’un travail humain. La rédaction a bénéficié d’une assistance par IA, intégralement relue, corrigée et validée par l’auteure.

Rédigé par Anne-Sophie, Juriste en droit des affaires et droit du numérique | 15 ans d’expérience
Diplômée en droit international des affaires et certifiée CIPP/E, Anne-Sophie a construit son expertise en entreprise, au contact des enjeux contractuels et réglementaires liés à l’innovation technologique et au numérique.
Elle accompagne depuis 3 ans les entrepreneurs et startups dans la sécurisation de leurs usages de l’IA : rédaction et négociation de contrats, mise en conformité RGPD et AI Act et gouvernance opérationnelle avec une approche concrète, adaptée aux réalités du terrain