Contrôles des données sur la plateforme OpenAI

Découvrez comment OpenAI utilise vos données et comment vous pouvez en garder le contrôle.

Vos données vous appartiennent. Depuis le 1er mars 2023, les données envoyées à l’API OpenAI ne sont pas utilisées pour entraîner ou améliorer les modèles OpenAI (sauf si vous choisissez explicitement de les partager avec nous).

Types de données stockées lors de l’utilisation de l’API OpenAI

Lorsque vous utilisez l’API OpenAI, les données peuvent être stockées sous les formes suivantes :

• Journaux de surveillance des abus : journaux générés lors de votre utilisation de la plateforme, nécessaires à OpenAI pour faire respecter nos politiques d’utilisation et nos accords, ainsi que pour limiter les usages nuisibles de l’IA.
• État de l’application : données conservées par certaines fonctionnalités de l’API afin d’exécuter la tâche ou de répondre à la requête.

Contrôles de conservation des données pour la surveillance des abus

Les journaux de surveillance des abus peuvent contenir certains contenus client, tels que les prompts et les réponses, ainsi que des métadonnées dérivées de ces contenus, comme les résultats des classificateurs. Par défaut, ces journaux sont générés pour toute utilisation des fonctionnalités de l’API et conservés jusqu’à 30 jours, sauf si une conservation plus longue est exigée par la loi ou raisonnablement nécessaire pour protéger nos services ou un tiers contre des préjudices.

Les clients éligibles peuvent faire exclure leurs contenus de ces journaux de surveillance des abus, sous réserve des limitations ci-dessous, en obtenant l’autorisation d’utiliser la politique de non-conservation des données ou la surveillance modifiée des abus. Actuellement, ces contrôles sont soumis à l’approbation préalable d’OpenAI et à l’acceptation d’exigences supplémentaires. Les clients autorisés peuvent choisir entre la surveillance modifiée des abus et la politique de non-conservation des données pour leur organisation ou leur projet API.

Les clients qui activent la surveillance modifiée des abus ou la politique de non-conservation des données doivent veiller à ce que leurs utilisateurs respectent les politiques d’OpenAI en matière d’utilisation sûre et responsable de l’IA. Ils doivent également respecter toutes les exigences de modération et de signalement prévues par la législation applicable.

Contactez notre équipe commerciale pour en savoir plus sur ces offres et leurs critères d’éligibilité.

Surveillance modifiée des abus

La surveillance modifiée des abus exclut les contenus client des journaux de surveillance des abus pour tous les points de terminaison de l’API, à l’exception, dans de rares cas, des images et des fichiers en entrée, comme décrit ci-dessous. Elle permet néanmoins au client de bénéficier de toutes les capacités de la plateforme OpenAI.

Politique de non-conservation des données

La politique de non-conservation des données exclut les contenus client des journaux de surveillance des abus de la même manière que la surveillance modifiée des abus.

La politique de non-conservation des données modifie également le comportement de certains points de terminaison : le paramètre store pour /v1/responses et v1/chat/completions sera toujours traité comme ayant la valeur false, même si la requête tente de le définir sur true.

En dehors de ces changements de comportement précis, les points de terminaison et les capacités indiqués par « Non » dans la colonne « Éligible à la politique de non-conservation des données » du tableau ci-dessous peuvent toujours stocker l’état de l’application, même si la politique de non-conservation des données est activée.

Sans examen humain

Pour les clients autorisés à utiliser la politique de non-conservation des données ou la surveillance modifiée des abus, nous nous réservons le droit de rendre certains modèles inéligibles à ces contrôles pour des clients spécifiques, après en avoir informé les clients concernés par écrit et à l’avance. Dans ce cas, les contenus client seront conservés dans les journaux de surveillance des abus, mais ne feront l’objet d’aucun examen humain, sauf si la législation applicable l’exige. Pour les clients ayant signé l’OpenAI Business Associate and Healthcare Addendum, une fois l’option Sans examen humain activée pour votre identifiant d’organisation, les points de terminaison éligibles au BAA peuvent être utilisés pour traiter des informations de santé protégées (PHI), même si les données sont conservées.

Conservation à des fins de sécurité

Pour les clients autorisés à utiliser la politique de non-conservation des données ou la surveillance modifiée des abus, nous nous réservons le droit de rendre certains modèles inéligibles à ces contrôles pour des clients spécifiques si cela est raisonnablement nécessaire pour enquêter sur des activités présentant des risques graves ou pour les prévenir, après en avoir informé les clients concernés par écrit et à l’avance. Dans ce cas, nous pouvons conserver et soumettre à un examen humain les contenus client issus de l’utilisation de ces modèles que nos classificateurs détectent comme susceptibles d’enfreindre nos politiques d’utilisation ou votre accord. Dans les autres cas, la conservation reste inchangée. Pour les clients ayant signé l’OpenAI Business Associate and Healthcare Addendum, une fois l’option Conservation à des fins de sécurité activée pour votre identifiant d’organisation, les points de terminaison éligibles au BAA peuvent être utilisés pour traiter des informations de santé protégées (PHI), même si les données sont conservées.

Configuration des contrôles de conservation des données

Une fois votre organisation autorisée à utiliser les contrôles de conservation des données, un onglet Conservation des données apparaît dans Paramètres → Organisation → Contrôles des données. Cet onglet vous permet de configurer ces contrôles au niveau de l’organisation et des projets.

• Contrôles au niveau de l’organisation : choisissez entre la politique de non-conservation des données et la surveillance modifiée des abus pour l’ensemble de votre organisation.
• Contrôles au niveau du projet : pour chaque projet, sélectionnez default pour hériter du paramètre de l’organisation, choisissez explicitement la politique de non-conservation des données ou la surveillance modifiée des abus, ou sélectionnez Aucun pour désactiver ces contrôles pour ce projet.

Exigences de stockage et contrôles de conservation par point de terminaison

Le tableau ci-dessous indique dans quels cas l’état de l’application est stocké pour chaque point de terminaison. Les points de terminaison éligibles à la politique de non-conservation des données ne conservent aucun contenu client comme état de l’application, sous réserve des limitations ci-dessous. Les points de terminaison ou les capacités inéligibles à cette politique peuvent conserver l’état de l’application lors de leur utilisation, même si vous avez activé la politique de non-conservation des données.

/v1/chat/completions

• L’état applicatif des sorties audio est conservé pendant 1 heure pour permettre les conversations à plusieurs tours.
• Lorsque la politique de non-conservation des données est activée pour une organisation, le paramètre store est toujours considéré comme ayant la valeur false, même si la requête tente de le définir sur true.
• Consultez la section Images et fichiers en entrée.
• La mise en cache des prompts peut stocker des tenseurs clé/valeur chiffrés dans le stockage local des machines GPU en tant qu’état applicatif. Ces données sont stockées sur les machines GPU locales et ne sont pas conservées au-delà du délai d’expiration de 24 heures. Pour gpt-5.5 et gpt-5.5-pro, définir prompt_cache_retention sur in_memory renvoie une erreur. Pour les modèles GPT-5.6 et les familles de modèles ultérieures, prompt_cache_options.ttl contrôle la durée de vie minimale du cache, et non cette durée maximale de conservation de l’état applicatif. Pour en savoir plus, consultez le guide de mise en cache des prompts.

/v1/responses

• Sauf indication contraire ci-dessous, l’API Responses applique une durée de conservation de l’état applicatif de 30 jours par défaut, ou lorsque le paramètre store est défini sur true. Dans ces cas, les données de réponse sont conservées pendant au moins 30 jours.
• Lorsque la politique de non-conservation des données est activée pour une organisation, le paramètre store est toujours considéré comme ayant la valeur false, même si la requête tente de le définir sur true.
• Le mode en arrière-plan stocke les données de réponse sur disque pendant environ 10 minutes pour permettre l’interrogation périodique. Pour les projets utilisant la surveillance modifiée des abus, y compris sa version renforcée, les requêtes au premier plan suivent les règles de conservation standard lorsque store est omis ou défini sur true. Les réponses en arrière-plan ne suivent la durée de conservation standard que si la requête définit explicitement store=true. Si store est omis ou défini sur false pour une requête en arrière-plan, la réponse est supprimée à la fin de la période temporaire d’interrogation.
• L’état applicatif des sorties audio est conservé pendant 1 heure pour permettre les conversations à plusieurs tours.
• Consultez la section Images et fichiers en entrée.
• Les serveurs MCP (utilisés avec l’outil de serveur MCP distant) sont des services tiers. Les données envoyées à un serveur MCP sont soumises à la politique de conservation des données de ce service.
• Les conteneurs hébergés utilisés par le shell distant et l’Interpréteur de code peuvent écrire un état applicatif temporaire dans le système de fichiers du conteneur (reposant sur un stockage par blocs éphémère) tant que celui-ci est actif. Les données du conteneur sont supprimées lorsqu’il expire ou qu’il est explicitement supprimé.
• La mise en cache des prompts peut stocker des tenseurs clé/valeur chiffrés dans le stockage local des machines GPU en tant qu’état applicatif. Ces données sont stockées sur les machines GPU locales et ne sont pas conservées au-delà du délai d’expiration de 24 heures. Pour gpt-5.5 et gpt-5.5-pro, définir prompt_cache_retention sur in_memory renvoie une erreur. Pour les modèles GPT-5.6 et les familles de modèles ultérieures, prompt_cache_options.ttl contrôle la durée de vie minimale du cache, et non cette durée maximale de conservation de l’état applicatif. Pour en savoir plus, consultez le guide de mise en cache des prompts.
• Lorsque la politique de non-conservation des données n’est pas activée pour une organisation, toutes les requêtes utilisent la mise en cache prolongée des prompts pour tous les modèles compatibles.
• Pour le compactage côté serveur, aucune donnée n’est conservée lorsque store="false".
• Nous prenons en charge les Skills selon deux modes : l’exécution locale et l’exécution dans des conteneurs hébergés. Les skills hébergés suivent le même cycle de vie du conteneur que le shell distant : les skills montés et les fichiers du conteneur restent disponibles tant que celui-ci est actif et sont supprimés lorsqu’il expire ou qu’il est supprimé.
• Les données transmises à des services tiers via des connexions réseau sont soumises aux politiques de conservation des données de ces services.

/v1/assistants, /v1/threads et /v1/vector_stores

• Les objets liés à l’API Assistants sont supprimés de nos serveurs 30 jours après leur suppression via l’API ou le tableau de bord. Les objets que vous ne supprimez pas via l’API ou le tableau de bord sont conservés indéfiniment.

/v1/images

• La génération d’images est compatible avec la politique de non-conservation des données lorsque vous utilisez gpt-image-2.5-sunburst, gpt-image-2.5-sunburst-2026-09-08, gpt-image-2.5-flare, gpt-image-2.5-flare-2026-09-08, gpt-image-2, gpt-image-1.5, gpt-image-1 et gpt-image-1-mini.

/v1/files

• Les fichiers peuvent être supprimés manuellement via l’API ou le tableau de bord, ou automatiquement en définissant le paramètre expires_after. Consultez cette page pour en savoir plus.

/v1/videos

• L’API v1/videos comprend un workflow qui enregistre les données sur disque pendant le traitement et les conserve pendant 48 heures pour permettre à l’appelant de télécharger la vidéo produite, puis pendant 30 jours pour la surveillance des abus. v1/videos est actuellement bloqué pour les requêtes MAM ou ZDR. Si les contrôles de conservation des données sont activés pour votre organisation, configurez un projet dont le paramètre de conservation est défini sur Aucune , comme indiqué dans la section Configuration des contrôles de conservation des données, afin d’utiliser /v1/videos avec ce projet.

Images et fichiers en entrée

Des images et des fichiers peuvent être envoyés en entrée à /v1/responses (y compris lors de l’utilisation de l’outil Utilisation de l’ordinateur), à /v1/chat/completions et à /v1/images. Les images et fichiers en entrée sont analysés dès leur envoi pour détecter du matériel pédopornographique. Si le classificateur détecte du matériel potentiellement pédopornographique, l’image est conservée pour un examen manuel, même si la politique de non-conservation des données, la surveillance modifiée des abus ou Eyes Off est activé.

Recherche web

La recherche web avec un accès Internet en direct n’est pas éligible à la conformité HIPAA et n’est pas couverte par un BAA. La recherche web en mode hors ligne, limité au cache (external_web_access: false), peut être couverte par un BAA lorsqu’elle est utilisée avec une clé API provenant d’un projet avec ZDR activé, au sein d’une organisation ZDR. Ces indications relatives à HIPAA et aux BAA s’appliquent uniquement à l’outil web_search de l’API Responses. Remarque : les variantes en préversion (web_search_preview) ignorent ce paramètre et se comportent comme si external_web_access était défini sur true. Nous recommandons d’utiliser web_search.

Contrôles de résidence des données

Les contrôles de résidence des données sont une option de configuration des projets qui vous permet de définir l’emplacement de l’infrastructure utilisée par OpenAI pour fournir ses services.

Contactez notre équipe commerciale pour savoir si vous pouvez bénéficier des contrôles de résidence des données. Une majoration de 10 % s’applique aux points de terminaison de résidence des données pour les modèles publiés à partir du 5 mars 2026 et éligibles à la résidence des données.

Comment fonctionne la résidence des données ?

Lorsque la résidence des données est activée sur votre compte, vous pouvez choisir une région pour les nouveaux projets que vous y créez parmi les régions disponibles ci-dessous. Si vous utilisez les points de terminaison, modèles et instantanés pris en charge indiqués ci-dessous, votre contenu client (tel que défini dans votre contrat de services) pour ce projet sera stocké au repos dans la région sélectionnée, dans la mesure où le point de terminaison nécessite la persistance des données pour fonctionner (comme /v1/batches).

Si vous sélectionnez une région prenant en charge le traitement régional, comme indiqué explicitement ci-dessous, les services effectueront également l’inférence sur votre Contenu client dans la région sélectionnée.

La résidence des données ne s’applique pas aux données système, qui peuvent être traitées et stockées en dehors de la région sélectionnée. Les données système comprennent les données de compte, les métadonnées et les données d’utilisation qui ne contiennent pas de Contenu client. Elles sont collectées par les services et utilisées pour leur gestion et leur fonctionnement. Il s’agit notamment des informations de compte ou des profils des utilisateurs finaux qui accèdent directement aux services (par exemple, votre personnel), des données analytiques, des statistiques d’utilisation, des informations de facturation, des demandes d’assistance et des schémas de sortie structurée.

Sous-traitants ultérieurs et traitement régional des requêtes

OpenAI fait appel à des sous-traitants ultérieurs pour fournir ses services. Pour les requêtes envoyées à us.api.openai.com ou à eu.api.openai.com, OpenAI utilise Cloudflare Regional Services afin que la terminaison TLS et le déchiffrement HTTPS aient lieu dans la région de traitement sélectionnée.

Limites

La résidence des données ne s’applique pas : (1) à la transmission ou au stockage de Contenu client en dehors de la région sélectionnée en raison de la localisation d’un Utilisateur final ou de l’infrastructure du Client lors de l’accès aux services ; (2) aux produits, services ou contenus proposés par des tiers autres qu’OpenAI par l’intermédiaire des Services ; ou (3) aux données autres que le Contenu client, telles que les données système.

Si la Région sélectionnée ne prend pas en charge le traitement régional, comme indiqué ci-dessous, OpenAI peut également traiter et stocker temporairement le Contenu client en dehors de cette Région pour fournir les services.

Exigences supplémentaires pour les régions hors des États-Unis

Pour utiliser la résidence des données dans une région autre que les États-Unis, vous devez avoir obtenu l’approbation pour les contrôles de surveillance des abus et signer un avenant relatif à la conservation modifiée.

La sélection de la région Émirats arabes unis nécessite une approbation supplémentaire. Contactez l’équipe commerciale pour obtenir de l’aide.

Utilisation de la résidence des données

La résidence des données se configure pour chaque projet au sein de votre organisation API.

Pour configurer la résidence des données avec un stockage régional, sélectionnez la région appropriée dans le menu déroulant lors de la création d’un projet.

Pour chaque requête adressée à un projet dont la résidence des données est configurée, ajoutez le préfixe de domaine indiqué dans le tableau ci-dessous.

Sélectionnez une région de traitement pour chaque requête

Au lieu de créer un projet propre à une région, vous pouvez choisir un traitement régional pour une requête donnée en utilisant le domaine préfixé avec une clé API issue d’un projet dont la zone géographique est définie sur Global.

Les exigences existantes en matière d’éligibilité et de contrôle de la conservation des données restent applicables. Le point de terminaison et le modèle sélectionnés doivent également prendre en charge le traitement régional, comme indiqué dans le tableau ci-dessous.

L’exemple suivant réutilise un même client et une clé API issue d’un projet Global pour des requêtes mondiales, américaines et européennes :

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28from openai import OpenAI

client = OpenAI()

# No processing constraint.
response = client.responses.create(
    model="gpt-5.6-terra",
    input="Reply with OK.",
)
print(response.output_text)

# US processing and storage.
response = client.with_options(
    base_url="https://us.api.openai.com/v1",
).responses.create(
    model="gpt-5.6-terra",
    input="Reply with OK.",
)
print(response.output_text)

# EU processing and storage.
response = client.with_options(
    base_url="https://eu.api.openai.com/v1",
).responses.create(
    model="gpt-5.6-terra",
    input="Reply with OK.",
)
print(response.output_text)

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21require "openai"

client = OpenAI::Client.new

response = client.responses.create(
  model: "gpt-5.6-terra",
  input: "Reply with OK."
)
puts(response.output_text)

response = client.with_options(data_residency: :us).responses.create(
  model: "gpt-5.6-terra",
  input: "Reply with OK."
)
puts(response.output_text)

response = client.with_options(data_residency: :eu).responses.create(
  model: "gpt-5.6-terra",
  input: "Reply with OK."
)
puts(response.output_text)

Quels modèles et fonctionnalités sont éligibles à la résidence des données ?

Les modèles et services API suivants sont actuellement éligibles à la résidence des données dans les régions indiquées ci-dessous.

Consultez Prise en charge par région pour comparer les capacités régionales et déplier la liste des services disponibles dans chaque région. Consultez Prise en charge des points de terminaison API, des outils et des modèles pour obtenir les listes complètes de modèles et une vue détaillée des services. La prise en charge du stockage régional n’implique pas celle du traitement régional.

Limitations des points de terminaison

/v1/chat/completions

• Il est impossible de définir store=true dans les régions autres que les États-Unis.
• Dans les régions qui ne prennent pas en charge le traitement régional, la mise en cache prolongée des prompts peut nécessiter qu’OpenAI traite et stocke temporairement le Contenu client en dehors de la Région pour fournir les services.

/v1/responses

• Il est impossible de définir background=True dans la région UE.
• Dans les régions qui ne prennent pas en charge le traitement régional, la mise en cache prolongée des prompts peut nécessiter qu’OpenAI traite et stocke temporairement le Contenu client en dehors de la Région pour fournir les services.

/v1/live/sessions

Les sessions GPT-Live sont éligibles à la politique de non-conservation des données. Lorsque cette politique est activée, store est considéré comme ayant la valeur false, même si une requête lui attribue la valeur true.

Le stockage des sessions est désactivé par défaut. Pour les projets où il est activé, store: true conserve l’enregistrement de la session terminée pendant 30 jours afin qu’il puisse être téléchargé ou utilisé pour démarrer une session forkée. Les sessions stockées et leur index expirent au bout de 30 jours. Le téléchargement des enregistrements et la possibilité de forker des sessions nécessitent une politique de gestion des données autorisant la persistance et ne sont pas disponibles avec la politique de non-conservation des données.

Définir store: false lors de la création d’un fork empêche le stockage de la nouvelle session ; cela ne supprime ni l’enregistrement source ni l’autorisation requise pour le lire. L’API ne fournit aucun point de terminaison public pour supprimer les sessions stockées.

GPT-Live prend en charge la résidence des données aux États-Unis et en Europe. Les modèles et outils backend auxquels des tâches sont déléguées disposent de leurs propres contrôles des données ; consultez les entrées correspondantes sur cette page pour les points de terminaison et les fonctionnalités concernés.

/v1/realtime

Le traçage pour /v1/realtime n’est actuellement pas conforme aux exigences de résidence des données dans l’UE.

Enterprise Key Management (EKM)

Enterprise Key Management (EKM) vous permet de chiffrer votre contenu client chez OpenAI à l’aide de clés gérées par votre propre système externe de gestion des clés (KMS).

Une fois configuré, EKM s’applique à tout état applicatif créé lors de votre utilisation de la plateforme. Consultez l’article du centre d’aide sur EKM pour en savoir plus sur son fonctionnement et son intégration avec votre fournisseur KMS.

Limitations d’EKM

OpenAI prend en charge le chiffrement Bring Your Own Key (BYOK) avec des comptes externes dans AWS KMS, Google Cloud (GCP) et Azure Key Vault. Si votre organisation utilise un autre service de gestion des clés, ces clés doivent être synchronisées avec l’un des fournisseurs KMS cloud pris en charge pour pouvoir être utilisées avec OpenAI.

EKM ne prend pas en charge les produits suivants. Toute tentative d’utilisation de ces points de terminaison dans un projet où EKM est activé renvoie une erreur.

• Assistants (/v1/assistants)
• Affinage pour la vision