Contrôles des données sur la plateforme OpenAI

Découvrez comment OpenAI utilise vos données et comment vous pouvez en contrôler l’utilisation.

Vos données vous appartiennent. Depuis le 1er mars 2023, OpenAI n’utilise pas les données envoyées à son API pour entraîner ou améliorer ses modèles, sauf si vous choisissez explicitement de les partager avec nous.

Types de données stockées lors de l’utilisation de l’API OpenAI

Lorsque vous utilisez l’API OpenAI, des données peuvent être stockées sous deux formes :

• Journaux de surveillance des abus : ces journaux sont générés lorsque vous utilisez la plateforme. OpenAI en a besoin pour faire respecter ses politiques d’utilisation et ses accords, et pour limiter les usages préjudiciables de l’IA.
• État de l’application : certaines fonctionnalités de l’API conservent des données pour exécuter une tâche ou répondre à une requête.

Contrôles de conservation des données pour la surveillance des abus

Les journaux de surveillance des abus peuvent contenir certains contenus client, comme les prompts et les réponses, ainsi que des métadonnées qui en sont dérivées, comme les résultats des classifieurs. Par défaut, toute utilisation d’une fonctionnalité de l’API génère des journaux de surveillance des abus. Nous les conservons pendant 30 jours au maximum, sauf si la loi exige une conservation plus longue ou si celle-ci est raisonnablement nécessaire pour protéger nos services ou un tiers contre un préjudice.

Sous réserve des limites ci-dessous, les clients éligibles peuvent faire exclure leur contenu de ces journaux en obtenant l’autorisation d’utiliser la politique de non-conservation des données ou la surveillance modifiée des abus. Ces contrôles nécessitent actuellement l’accord préalable d’OpenAI et l’acceptation d’exigences supplémentaires. Une fois l’autorisation obtenue, les clients peuvent choisir entre la surveillance modifiée des abus et la politique de non-conservation des données pour leur organisation API ou leur projet.

Les clients qui activent la surveillance modifiée des abus ou la politique de non-conservation des données doivent veiller à ce que leurs utilisateurs respectent les politiques d’OpenAI relatives à l’utilisation sûre et responsable de l’IA. Il leur incombe également de respecter les obligations de modération et de signalement prévues par la législation applicable.

Contactez notre équipe commerciale pour en savoir plus sur ces options et vérifier votre éligibilité.

Surveillance modifiée des abus

La surveillance modifiée des abus exclut le contenu client des journaux de surveillance des abus pour tous les points de terminaison de l’API, sauf dans de rares cas pour les images et les fichiers fournis en entrée, comme indiqué ci-dessous. Le client peut continuer à utiliser toutes les fonctionnalités de la plateforme OpenAI.

Politique de non-conservation des données

La politique de non-conservation des données exclut le contenu client des journaux de surveillance des abus de la même manière que la surveillance modifiée des abus.

Elle modifie également le comportement de certains points de terminaison. Le paramètre store de /v1/responses et de v1/chat/completions est toujours interprété comme false, même si la requête tente de le définir sur true.

En dehors de ces changements précis, les points de terminaison et les fonctionnalités indiqués comme non éligibles à la politique de non-conservation des données dans le tableau ci-dessous peuvent continuer à stocker l’état de l’application, même si cette politique est activée.

Politique de non-conservation des données (ZDR) avec traitement privé de sécurité

La politique de non-conservation des données avec traitement privé de sécurité permet à OpenAI d’automatiser la surveillance de la sécurité tout en maintenant les garanties de la politique de non-conservation des données. Les limites indiquées sur cette page pour les points de terminaison et les fonctionnalités restent applicables.

Les clients qui utilisent la ZDR avec traitement privé de sécurité (PSP) doivent configurer un espace de stockage qu’ils contrôlent et satisfaire aux exigences techniques et opérationnelles supplémentaires décrites dans le guide de la ZDR avec traitement privé de sécurité.

Conservation privée avec traitement privé de sécurité (anciennement Eyes Off)

Pour certains clients autorisés à utiliser la politique de non-conservation des données ou la surveillance modifiée des abus, nous nous réservons le droit de rendre des modèles inéligibles à ces contrôles. Nous en informons au préalable les clients concernés par écrit. Dans ce cas, le contenu client est conservé dans des journaux de surveillance des abus chiffrés sur une infrastructure gérée par OpenAI. Il ne fait l’objet d’aucun examen humain, sauf si la législation applicable l’exige. Pour en savoir plus, consultez l’annexe A du livre blanc technique sur le traitement privé de sécurité.

Si vous avez signé l’avenant OpenAI Business Associate and Healthcare Addendum, vous pouvez utiliser les points de terminaison éligibles au BAA pour traiter des informations de santé protégées (PHI) dès que la conservation privée avec traitement privé de sécurité est activée pour votre identifiant d’organisation, même si des données sont conservées. Les limites indiquées sur cette page pour les points de terminaison et les fonctionnalités restent applicables.

Conservation à des fins de sécurité

Pour certains clients autorisés à utiliser la politique de non-conservation des données ou la surveillance modifiée des abus, nous nous réservons le droit de rendre des modèles inéligibles à ces contrôles si cette mesure est raisonnablement nécessaire pour prévenir des activités présentant un risque grave ou pour enquêter sur celles-ci. Nous en informons au préalable les clients concernés par écrit. Dans ce cas, lorsque vous utilisez ces modèles, nous pouvons conserver et soumettre à un examen humain le contenu client que nos classifieurs signalent comme susceptible d’enfreindre nos politiques d’utilisation ou votre accord. Dans les autres cas, les règles de conservation restent inchangées. Si vous avez signé l’avenant OpenAI Business Associate and Healthcare Addendum, vous pouvez utiliser les points de terminaison éligibles au BAA pour traiter des informations de santé protégées (PHI) dès que la conservation à des fins de sécurité est activée pour votre identifiant d’organisation, même si des données sont conservées.

Configuration des contrôles de conservation des données

Une fois votre organisation autorisée à utiliser les contrôles de conservation des données, l’onglet Conservation des données apparaît dans Paramètres → Organisation → Contrôles des données. Cet onglet vous permet de configurer les contrôles pour votre organisation et pour chaque projet.

• Contrôles de l’organisation : choisissez la politique de non-conservation des données ou la surveillance modifiée des abus pour l’ensemble de votre organisation.
• Contrôles du projet : pour chaque projet, sélectionnez default pour hériter du paramètre de l’organisation, choisissez explicitement la politique de non-conservation des données ou la surveillance modifiée des abus, ou sélectionnez Aucun pour désactiver ces contrôles pour le projet.

Exigences de stockage et contrôles de conservation par point de terminaison

Le tableau ci-dessous indique dans quels cas chaque point de terminaison stocke l’état de l’application. Sous réserve des limites précisées ci-dessous, les points de terminaison éligibles à la politique de non-conservation des données ne conservent aucun contenu client au titre de l’état de l’application. Les points de terminaison et les fonctionnalités inéligibles peuvent conserver l’état de l’application lorsque vous les utilisez, même si vous avez activé cette politique.

/v1/chat/completions

• L’état de l’application associé aux sorties audio est conservé pendant 1 heure pour permettre les conversations à plusieurs tours.
• Lorsque la politique de non-conservation des données est activée pour une organisation, le paramètre store est toujours interprété comme false, même si la requête tente de le définir sur true.
• Consultez la section sur les images et fichiers fournis en entrée.
• La mise en cache des prompts peut stocker des tenseurs clé/valeur chiffrés au titre de l’état de l’application dans le stockage local des machines équipées de GPU. Ces machines ne conservent pas les données au-delà du délai d’expiration de 24 heures. Pour gpt-5.5 et gpt-5.5-pro, définir prompt_cache_retention sur in_memory renvoie une erreur. Pour les modèles GPT-5.6 et les familles de modèles ultérieures, prompt_cache_options.ttl détermine la durée de vie minimale du cache, sans modifier cette durée maximale de conservation de l’état de l’application. Pour en savoir plus, consultez le guide de mise en cache des prompts.

/v1/responses

• Sauf indication contraire ci-dessous, la durée de conservation de l’état de l’application pour l’API Responses est de 30 jours par défaut ou lorsque le paramètre store est défini sur true. Dans ces cas, les données de réponse sont conservées pendant au moins 30 jours.
• Lorsque la politique de non-conservation des données est activée pour une organisation, le paramètre store est toujours interprété comme false, même si la requête tente de le définir sur true.
• En arrière-plan, les données de réponse sont stockées sur disque pendant environ 10 minutes pour permettre l’interrogation périodique. Pour les projets qui utilisent la surveillance modifiée des abus, y compris sa version renforcée, la durée de conservation standard s’applique aux requêtes au premier plan lorsque store est omis ou défini sur true. Pour les réponses en arrière-plan, cette durée s’applique uniquement si la requête spécifie explicitement store=true. Si store est omis ou défini sur false dans une requête en arrière-plan, la réponse est supprimée à la fin de la période d’interrogation temporaire.
• L’état de l’application associé aux sorties audio est conservé pendant 1 heure pour permettre les conversations à plusieurs tours.
• Consultez la section sur les images et fichiers fournis en entrée.
• Les serveurs MCP utilisés avec l’outil de serveur MCP distant sont des services tiers. Les données envoyées à un serveur MCP sont soumises à sa politique de conservation des données.
• Les conteneurs hébergés utilisés par le shell distant et l’Interpréteur de code peuvent écrire temporairement l’état de l’application dans leur système de fichiers, qui repose sur un stockage par blocs éphémère, tant que le conteneur est actif. Les données du conteneur sont supprimées lorsqu’il expire ou qu’il est explicitement supprimé.
• La mise en cache des prompts peut stocker des tenseurs clé/valeur chiffrés au titre de l’état de l’application dans le stockage local des machines équipées de GPU. Ces machines ne conservent pas les données au-delà du délai d’expiration de 24 heures. Pour gpt-5.5 et gpt-5.5-pro, définir prompt_cache_retention sur in_memory renvoie une erreur. Pour les modèles GPT-5.6 et les familles de modèles ultérieures, prompt_cache_options.ttl détermine la durée de vie minimale du cache, sans modifier cette durée maximale de conservation de l’état de l’application. Pour en savoir plus, consultez le guide de mise en cache des prompts.
• Pour le compactage côté serveur, aucune donnée n’est conservée lorsque store="false".
• Les Skills peuvent s’exécuter localement ou dans un conteneur hébergé. Les Skills hébergés suivent le même cycle de vie que le conteneur du shell distant. Les Skills montés et les fichiers du conteneur restent disponibles tant que le conteneur est actif et sont supprimés lorsqu’il expire ou est supprimé.
• Les données transmises à des services tiers via des connexions réseau sont soumises aux politiques de conservation de ces services.

/v1/decisions

Par défaut, les journaux de surveillance des abus sont conservés pendant 30 jours au maximum.

L’API Decisions prend en charge la politique de non-conservation des données, la conservation privée avec PSP et la conservation à des fins de sécurité, sous réserve des conditions d’éligibilité et de configuration du compte décrites ci-dessus.

L’API Decisions applique la même politique de conservation privée avec PSP que l’API Responses. Le contenu signalé et un échantillon de requêtes peuvent être conservés pour un examen de sécurité automatisé. Pour en savoir plus, consultez la section sur la conservation privée avec PSP.

Les limites suivantes s’appliquent :

• La mise en cache des prompts peut stocker des tenseurs clé/valeur chiffrés au titre de l’état de l’application dans le stockage local des machines équipées de GPU. Ces machines ne conservent pas les données au-delà du délai d’expiration de 24 heures. Pour en savoir plus, consultez le guide de mise en cache des prompts.
• Consultez la section sur les images et fichiers fournis en entrée pour connaître l’exception de conservation applicable aux images susceptibles de contenir du matériel pédopornographique.

L’API Decisions est éligible à une utilisation dans le cadre de la loi HIPAA si vous avez signé l’avenant OpenAI Business Associate and Healthcare Addendum et si votre compte satisfait aux exigences de configuration applicables.

/v1/assistants, /v1/threads et /v1/vector_stores

• Les objets associés à l’API Assistants sont supprimés de nos serveurs 30 jours après leur suppression via l’API ou le tableau de bord. Si vous ne les supprimez ni via l’API ni via le tableau de bord, ils sont conservés indéfiniment.

/v1/images

• La génération d’images est compatible avec la politique de non-conservation des données lorsque vous utilisez gpt-image-2.5-sunburst, gpt-image-2.5-sunburst-2026-09-08, gpt-image-2.5-flare, gpt-image-2.5-flare-2026-09-08, gpt-image-2, gpt-image-1.5 ou gpt-image-1-mini.

/v1/files

• Vous pouvez supprimer les fichiers manuellement via l’API ou le tableau de bord, ou programmer leur suppression automatique en définissant le paramètre expires_after. Pour en savoir plus, consultez la référence de l’API.

Anciennes règles de conservation de l’API Videos

Avant l’arrêt de l’API Videos le 24 septembre 2026, sa documentation prévoyait un délai de 48 heures pour télécharger les vidéos générées, suivi de 30 jours de conservation pour la surveillance des abus. Ces délais correspondent à la politique documentée avant l’arrêt de l’API et ne garantissent pas la possibilité de télécharger les vidéos après cet arrêt. Consultez l’avis d’arrêt de l’API Videos.

Images et fichiers fournis en entrée

Vous pouvez envoyer des images et des fichiers en entrée à /v1/responses (y compris avec l’outil Utilisation de l’ordinateur), à /v1/chat/completions et à /v1/images. Vous pouvez aussi envoyer des images à /v1/decisions. Dès leur envoi, les images et les fichiers sont analysés pour détecter la présence de matériel pédopornographique. Si le classifieur détecte du matériel potentiellement pédopornographique, l’image est conservée pour examen manuel, même si la politique de non-conservation des données, la surveillance modifiée des abus ou la conservation privée avec PSP est activée.

Recherche web

La recherche web avec accès direct à Internet n’est pas éligible à une utilisation dans le cadre de la loi HIPAA et n’est pas couverte par un BAA. La recherche web en mode hors ligne, qui utilise uniquement le cache (external_web_access: false), peut être couverte par un BAA si vous utilisez la clé API d’un projet pour lequel la ZDR est activée au sein d’une organisation appliquant la ZDR. Ces indications sur la loi HIPAA et le BAA s’appliquent uniquement à l’outil web_search de l’API Responses. Les variantes en préversion (web_search_preview) ignorent ce paramètre et se comportent comme si external_web_access était défini sur true. Nous recommandons d’utiliser web_search.

Contrôles de résidence des données

Les contrôles de résidence des données vous permettent de choisir, pour chaque projet, l’emplacement de l’infrastructure utilisée par OpenAI pour fournir ses services.

Contactez notre équipe commerciale pour vérifier si vous pouvez utiliser les contrôles de résidence des données. Une majoration de 10 % s’applique aux points de terminaison de résidence des données pour les modèles éligibles à la résidence des données sortis à partir du 5 mars 2026 inclus.

Comment fonctionne la résidence des données ?

Lorsque la résidence des données est activée sur votre compte, vous pouvez choisir l’une des régions répertoriées ci-dessous pour chaque nouveau projet que vous créez. Si vous utilisez les points de terminaison, les modèles et les versions de modèles pris en charge indiqués ci-dessous, le contenu client de ce projet (au sens de votre contrat de services) est stocké au repos dans la région choisie dans la mesure où le fonctionnement du point de terminaison nécessite un stockage persistant, comme pour /v1/batches.

Si la région choisie prend en charge le traitement régional, comme indiqué ci-dessous, les services y effectuent également l’inférence sur votre contenu client.

La résidence des données ne s’applique pas aux données système, qui peuvent être traitées et stockées en dehors de la région choisie. Les données système comprennent les données de compte, les métadonnées et les données d’utilisation qui ne contiennent pas de contenu client et que les services collectent pour leur gestion et leur fonctionnement. Il s’agit notamment des informations de compte ou des profils des utilisateurs finaux qui accèdent directement aux services (par exemple, les membres de votre personnel), des données d’analyse, des statistiques d’utilisation, des informations de facturation, des demandes d’assistance et des schémas de sorties structurées.

Sous-traitants ultérieurs et traitement régional des requêtes

OpenAI fait appel à des sous-traitants ultérieurs pour fournir ses services. Pour les requêtes envoyées à us.api.openai.com ou à eu.api.openai.com, OpenAI utilise Cloudflare Regional Services afin que la terminaison TLS et le déchiffrement HTTPS aient lieu dans la région de traitement choisie.

Limites

La résidence des données ne s’applique pas (1) à la transmission ou au stockage du contenu client en dehors de la région choisie lorsque cela résulte de l’emplacement de l’utilisateur final ou de l’infrastructure du client lors de l’accès aux services, (2) aux produits, services ou contenus proposés par des tiers via les services d’OpenAI, ni (3) aux données autres que le contenu client, telles que les données système.

Si la région choisie ne prend pas en charge le traitement régional, comme indiqué ci-dessous, OpenAI peut également traiter et stocker temporairement le contenu client en dehors de cette région pour fournir les services.

Exigences supplémentaires pour les régions autres que les États-Unis

Pour utiliser la résidence des données dans une région autre que les États-Unis, vous devez obtenir l’autorisation d’utiliser les contrôles de surveillance des abus et signer un avenant relatif aux modalités de conservation modifiées.

Le choix de la région Émirats arabes unis nécessite une autorisation supplémentaire. Contactez l’équipe commerciale pour obtenir de l’aide.

Configuration de la résidence des données

La résidence des données se configure pour chaque projet de votre organisation API.

Pour configurer le stockage régional, sélectionnez la région souhaitée dans la liste déroulante lors de la création d’un projet.

Pour chaque requête adressée à un projet dont la résidence des données est configurée, utilisez le préfixe de domaine indiqué dans le tableau ci-dessous.

Choix de la région de traitement pour chaque requête

Vous pouvez choisir le traitement régional pour une requête donnée sans créer de projet propre à la région. Utilisez le domaine préfixé avec une clé API provenant d’un projet dont la zone géographique est définie sur Global.

Les conditions d’éligibilité et les exigences relatives aux contrôles de conservation des données restent applicables. Le point de terminaison et le modèle choisis doivent également prendre en charge le traitement régional, comme indiqué dans le tableau ci-dessous.

L’exemple suivant utilise le même client et la même clé API d’un projet Global pour envoyer des requêtes à l’échelle mondiale, aux États-Unis et dans l’UE :

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28from openai import OpenAI

client = OpenAI()

# No processing constraint.
response = client.responses.create(
    model="gpt-5.6-terra",
    input="Reply with OK.",
)
print(response.output_text)

# US processing and storage.
response = client.with_options(
    base_url="https://us.api.openai.com/v1",
).responses.create(
    model="gpt-5.6-terra",
    input="Reply with OK.",
)
print(response.output_text)

# EU processing and storage.
response = client.with_options(
    base_url="https://eu.api.openai.com/v1",
).responses.create(
    model="gpt-5.6-terra",
    input="Reply with OK.",
)
print(response.output_text)

1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22require "openai"

client = OpenAI::Client.new

response = client.responses.create(
  model: "gpt-5.6-terra",
  input: "Reply with OK."
)
puts(response.output_text)

response = client.with_options(data_residency: :us).responses.create(
  model: "gpt-5.6-terra",
  input: "Reply with OK."
)
puts(response.output_text)

# EU processing requires a key from an EU-region project.
response = client.with_options(data_residency: :eu, api_key: ENV.fetch("OPENAI_EU_API_KEY"), organization: nil, project: nil).responses.create(
  model: "gpt-5.6-terra",
  input: "Reply with OK."
)
puts(response.output_text)

Quels modèles et fonctionnalités sont éligibles à la résidence des données ?

Les modèles et services d’API suivants sont actuellement éligibles à la résidence des données dans les régions indiquées ci-dessous.

Utilisez Prise en charge par région pour comparer les fonctionnalités régionales et déplier la liste des services disponibles dans chaque région. Consultez Points de terminaison de l’API, outils et modèles pris en charge pour obtenir la liste complète des modèles et le détail par service. La prise en charge du stockage régional ne garantit pas celle du traitement régional.

En Australie, en Inde et au Japon, les organisations pour lesquelles la politique de non-conservation des données est activée peuvent utiliser gpt-6-luna pour le traitement régional. Seule l’offre Standard facturée à l’usage est disponible dans ces régions. Utilisez un projet dans la région choisie. Les API Responses et Chat Completions acceptent du texte et des images en entrée et produisent du texte en sortie. Les outils hébergés ne sont pas disponibles pour le traitement régional dans ces trois régions.

Le mode Rapide prend en charge la résidence des données dans l’UE pour GPT-6.1 Sol, GPT-6.1 Terra et GPT-6 Luna. Il n’est pas disponible avec la résidence des données dans l’UE pour GPT-6 Astra ou GPT-6 Sol. GPT-6.1 Sol, GPT-6.1 Terra, GPT-6 Sol et GPT-6 Luna prennent en charge la résidence des données dans l’UE avec les modes de traitement Standard, Flex et Batch. Le mode Ultrafast de GPT-6.1 Sol prend en charge la résidence des données aux États-Unis et dans l’UE, ainsi que le traitement mondial. GPT-6 Astra Ultrafast prend uniquement en charge la résidence des données aux États-Unis et le traitement mondial.

Limites par point de terminaison

/v1/decisions

L’API Decisions est disponible dans toutes les régions prises en charge par l’API. Le traitement régional est pris en charge aux États-Unis et en Europe (EEE et Suisse). La disponibilité de l’API dans une région ne garantit pas que l’inférence y soit effectuée.

• Dans les régions qui ne prennent pas en charge le traitement régional, la mise en cache prolongée des prompts peut nécessiter qu’OpenAI traite et stocke temporairement le contenu client en dehors de la région pour fournir les services.

/v1/chat/completions

• Il est impossible de définir store=true dans les régions autres que les États-Unis.
• Dans les régions qui ne prennent pas en charge le traitement régional, la mise en cache prolongée des prompts peut nécessiter qu’OpenAI traite et stocke temporairement le contenu client en dehors de la région pour fournir les services.

/v1/responses

• Dans les régions qui ne prennent pas en charge le traitement régional, la mise en cache prolongée des prompts peut nécessiter qu’OpenAI traite et stocke temporairement le contenu client en dehors de la région pour fournir les services.

/v1/live/sessions

Les sessions GPT-Live sont éligibles à la politique de non-conservation des données. Lorsque cette politique est activée, store est interprété comme false, même si une requête le définit sur true.

Le stockage des sessions est désactivé par défaut. Pour les projets où il est activé, store: true conserve l’enregistrement de la session terminée pendant 30 jours afin que vous puissiez le télécharger ou l’utiliser pour forker la session. Les sessions stockées et leur index expirent après 30 jours. Pour télécharger un enregistrement ou forker une session, votre politique de gestion des données doit autoriser le stockage persistant. Ces opérations ne sont pas disponibles avec la politique de non-conservation des données.

Définir store: false sur un fork empêche le stockage de la nouvelle session. Ce réglage ne supprime pas l’enregistrement source et sa lecture nécessite toujours une autorisation. L’API ne fournit aucun point de terminaison public permettant de supprimer une session stockée.

GPT-Live prend en charge la résidence des données aux États-Unis et en Europe. Les modèles et outils auxquels GPT-Live délègue des opérations côté serveur ont leurs propres contrôles de données. Consultez les entrées de cette page correspondant aux points de terminaison et aux fonctionnalités que vous utilisez.

/v1/realtime

Pour /v1/realtime, le traçage ne respecte pas actuellement les exigences de résidence des données dans l’UE.

Gestion des clés d’entreprise (EKM)

La gestion des clés d’entreprise (EKM) vous permet de chiffrer votre contenu client chez OpenAI avec des clés gérées par votre propre système externe de gestion des clés (KMS).

Une fois configurée, l’EKM s’applique à tout état de l’application créé lorsque vous utilisez la plateforme. Consultez l’article du centre d’aide sur l’EKM pour comprendre son fonctionnement et savoir comment l’intégrer au service de votre fournisseur de KMS.

Limites de l’EKM

OpenAI prend en charge le chiffrement avec vos propres clés (BYOK) via des comptes externes dans AWS KMS, Google Cloud (GCP) et Azure Key Vault. Si votre organisation utilise un autre service de gestion des clés, vous devez synchroniser ces clés avec l’un des fournisseurs de KMS cloud pris en charge pour pouvoir les utiliser avec OpenAI.

L’EKM ne prend pas en charge les produits suivants. Si vous tentez d’utiliser les points de terminaison correspondants dans un projet où l’EKM est activée, l’API renvoie une erreur.

• Assistants (/v1/assistants)
• Ajustement fin pour la vision