ChatGPT Ads et RGPD : ce qu'autorise vraiment l'intérêt légitime

Depuis l'ouverture européenne de la publicité dans ChatGPT, le 24 août 2026, la discussion se concentre sur une seule question : OpenAI a-t-il le droit d'afficher des annonces à des utilisateurs européens sans leur consentement ? La réponse est intéressante, elle est documentée, et nous la traitons intégralement plus bas. Mais elle a un défaut majeur pour un dirigeant de PME : c'est une question sur laquelle vous n'avez aucune prise et aucune responsabilité. Si la base légale retenue par OpenAI est contestée, c'est OpenAI qui sera poursuivi, pas vous.

La conformité qui vous engage commence de l'autre côté de l'annonce. Elle commence au moment où un visiteur clique et arrive sur votre site, où votre mesure se déclenche, où vos données partent vers un serveur américain. Là, vous n'êtes plus spectateur : vous êtes responsable de traitement, et l'autorité compétente est la CNIL.

Cet article a été écrit en lisant la documentation officielle d'OpenAI ligne à ligne — centre d'aide, politiques publicitaires, addendum de protection des données, documentation développeur du pixel et de l'interface de conversions. Il en ressort un constat que la presse française n'a pas relevé et qui devrait pourtant ouvrir toute discussion sur le sujet : installé exactement comme la documentation le décrit, le pixel de mesure d'OpenAI démarre avec le consentement positionné sur « oui ». C'est un réglage parfaitement légal aux États-Unis. En France, c'est précisément le manquement qui a coûté 150 millions d'euros à une enseigne l'an dernier.

Deux points de cadrage ne sont pas redémontrés ici. Ce qui change concrètement pour un annonceur français est traité dans notre article sur l'arrivée de ChatGPT Ads en France, et la grille tarifaire officielle dans combien coûte la publicité sur ChatGPT. Ici, on parle uniquement de droit et de mise en œuvre.

La confusion vient de ce que l'expression « publicité dans ChatGPT » recouvre deux traitements de données sans aucun rapport juridique entre eux. Ils n'ont ni le même responsable, ni la même base légale, ni la même autorité de contrôle, ni le même risque. Les distinguer est le préalable à toute décision.

Commençons par régler la question qui fait débat, puisqu'elle conditionne la suite. Deux affirmations contradictoires circulent dans la presse spécialisée : « OpenAI s'appuie sur l'intérêt légitime » et « OpenAI a fait le choix du consentement ». Les deux sont exactes. Elles ne portent simplement pas sur la même phase.

Au lancement, dans l'Espace économique européen et en Suisse, les annonces ne sont pas personnalisées. Le centre d'aide d'OpenAI l'écrit sans ambiguïté : les annonces personnalisées ne sont pas disponibles initialement dans l'Espace économique européen ni en Suisse. Une annonce non personnalisée, sélectionnée sur le contexte de la conversation en cours, relève d'un traitement pour lequel l'intérêt légitime peut être invoqué. La personnalisation, elle, viendra dans un second temps et supposera de demander explicitement l'accord des utilisateurs. Le premier camp décrit la phase actuelle, le second décrit la phase suivante.

Le tableau ci-dessous sépare ce qui est effectivement utilisé de ce qui ne l'est pas, tel que la documentation utilisateur le décrit.

Beaucoup d'articles affirment que ChatGPT « est soumis au règlement sur les services numériques ». C'est une déduction, pas un fait vérifié — et elle est fausse dans sa version forte.

Le régime le plus exigeant de ce règlement, celui qui impose notamment la tenue d'un registre public des publicités, l'audit indépendant annuel, l'évaluation des risques systémiques et l'accès des chercheurs agréés aux données, ne s'applique qu'aux très grandes plateformes et aux très grands moteurs de recherche formellement désignés par la Commission européenne. Au 26 août 2026, la liste officielle des services désignés, vérifiée directement sur le site de la Commission, ne comporte ni OpenAI ni ChatGPT. Les vingt fournisseurs qui y figurent ont été désignés entre avril 2023 et janvier 2026.

Ce n'est pas une situation stable. ChatGPT a très largement dépassé le seuil de 45 millions d'utilisateurs mensuels dans l'Union : la fonction de recherche de ChatGPT dépassait les 120 millions d'utilisateurs européens mensuels sur le semestre arrêté fin septembre 2025, et les chiffres publiés depuis sont plus élevés encore. Une désignation en tant que très grand moteur de recherche est attendue et discutée publiquement depuis plusieurs mois. Mais tant qu'elle n'est pas prononcée, les obligations correspondantes ne sont pas juridiquement exigibles.

Ce qui est en revanche déjà observable, c'est qu'OpenAI a mis en place, de sa propre initiative ou par anticipation, plusieurs mécanismes qui correspondent trait pour trait aux exigences de transparence publicitaire du règlement : les annonces sont clairement étiquetées comme sponsorisées, visuellement séparées de la réponse, et un menu « à propos de cette annonce » permet de savoir pourquoi elle est affichée. Le registre public des publicités, lui, n'existe pas.

Pour vous, la conséquence est concrète et un peu contre-intuitive. S'il existait un registre public des publicités, vos annonces y seraient consultables par vos concurrents, avec leur contenu et leurs paramètres de diffusion. C'est déjà le cas pour la publicité diffusée sur les grandes plateformes sociales, comme le savent tous ceux qui pratiquent la veille décrite dans notre article sur l'optimisation des campagnes Facebook Ads. Sur ChatGPT, ce n'est pas le cas aujourd'hui, mais une désignation ferait basculer cette situation en quelques mois. Toute stratégie créative qui reposerait sur la discrétion de vos campagnes a donc une durée de vie limitée, et il vaut mieux le savoir avant de la construire.

Nous arrivons au seul passage de cet article qui peut vous coûter de l'argent si vous l'ignorez.

Pour mesurer les conversions issues de vos annonces, OpenAI fournit un pixel de mesure : un script à insérer dans l'en-tête de vos pages. Ce pixel dépose un cookie propriétaire, déclenche automatiquement un événement d'affichage de page, et transmet ensuite les événements que vous configurez. Rien d'inhabituel jusque-là : Google et Meta fonctionnent sur le même principe.

La documentation développeur d'OpenAI décrit bien un mécanisme de consentement. Elle précise ensuite, en une phrase, comment il est initialisé : le pixel initialise le consentement à « vrai » par défaut, sauf si vous le positionnez explicitement à « faux » ou s'il trouve un refus déjà enregistré.

Autrement dit : copiez-collez le script tel qu'il est documenté, publiez, et le pixel mesure dès la première page vue — avant toute bannière, avant tout choix de l'internaute.

// Ordre correct pour un site accessible depuis la France
oaiq("consent", false);        // AVANT l'initialisation
oaiq("init", { pixelId: "VOTRE-ID" });

// Puis, uniquement si l'utilisateur a accepté :
oaiq("consent", true);

Les grandes régies ont toutes fini par construire un dispositif technique qui transporte le choix de l'internaute jusqu'à leurs serveurs. Google impose son mode consentement de deuxième génération à tout annonceur ciblant l'Espace économique européen depuis le 6 mars 2024. Meta propose un mécanisme d'usage limité des données. Ces dispositifs ne rendent pas un site conforme à eux seuls, mais ils donnent une structure : un vocabulaire de signaux, une intégration native avec les plateformes de gestion du consentement, une documentation dédiée à l'Europe.

OpenAI, à ce jour, fournit un interrupteur binaire et une phrase de responsabilisation. La documentation de l'interface serveur le dit sans détour : avant de collecter ou de transmettre le cookie, respectez les exigences de consentement applicables à votre site, et cessez de l'envoyer si l'utilisateur retire son accord. La totalité de la charge de conformité est renvoyée à l'annonceur, sans outillage.

La mesure des conversions ne se limite pas au pixel navigateur. OpenAI propose une interface serveur à serveur, présentée comme plus fiable parce qu'elle n'est affectée ni par les bloqueurs de publicité ni par les refus de traceurs. Cette phrase mérite d'être relue lentement : un canal présenté comme insensible aux refus de traceurs est aussi un canal qui contourne la mécanique par laquelle l'internaute exprime son choix, si vous ne recâblez pas ce choix vous-même côté serveur.

Voici ce que cette interface accepte, d'après la documentation développeur.

C'est l'erreur de qualification la plus probable, et la plus lourde de conséquences.

Par réflexe, une PME range tout prestataire technique dans la case « sous-traitant » : l'hébergeur, l'outil d'emailing, le CRM, la solution d'analyse d'audience. Elle signe un contrat au titre de l'article 28 du RGPD, l'archive, et considère le sujet clos. Appliquer ce réflexe à ChatGPT Ads serait une erreur.

OpenAI a publié un addendum de protection des données spécifique à ses outils publicitaires, entré en vigueur le 19 août 2026, cinq jours avant l'ouverture européenne. Son article premier est sans ambiguïté : sauf pour un périmètre restreint, chaque partie agit en tant que responsable de traitement indépendant pour les données personnelles traitées via ces outils. Le texte prend même la peine de fermer les portes de sortie : les parties ne sont ni responsables conjoints, ni responsables communs, ni sous-traitants l'une de l'autre.

L'exception concerne le rapprochement d'audiences, pour lequel OpenAI redevient sous-traitant et où l'addendum classique s'applique. Un même outil, deux régimes juridiques selon la fonctionnalité activée : c'est une subtilité qu'un contrat signé sans lecture ne fera pas apparaître.

Il existe une question qui précède toutes les précédentes et que personne ne pose. La politique publicitaire d'OpenAI, dans sa version française mise à jour le 10 août 2026, restreint fortement les catégories éligibles pendant la phase de test. La lire prend dix minutes et évite de construire un plan média sur une activité qui n'a tout simplement pas le droit d'être promue.

Deux restrictions sont explicitement géographiques et frappent de plein fouet des secteurs très représentés dans le tissu économique français : les annonces pour des services de santé en dehors des États-Unis sont généralement interdites, et les annonces pour des services financiers en dehors des États-Unis sont généralement interdites. Les dérogations au cas par cas prévues pour les annonceurs approuvés sont, à la lecture du texte, réservées au marché américain.

La page officielle de disponibilité du gestionnaire de campagnes, revérifiée le 26 août 2026, classe chaque pays en « disponible » ou « bientôt disponible ». Neuf pays sont ouverts : États-Unis, Royaume-Uni, Canada, Australie, Nouvelle-Zélande, Japon, Corée, Mexique, Brésil. La France et l'intégralité des marchés européens, Suisse comprise, restent classés « bientôt disponible ».

Ce classement contient un enseignement que la couverture médiatique a manqué. Le Royaume-Uni est ouvert. Or le Royaume-Uni applique un régime de protection des données très proche du nôtre, hérité du RGPD, et une réglementation des traceurs équivalente. La ligne de partage n'est donc pas la protection des données : c'est l'appartenance à l'Union européenne et à son édifice réglementaire numérique — règlement sur les services numériques, règlement sur les marchés numériques, règlement sur l'intelligence artificielle. Ce n'est pas le RGPD seul qui retarde l'ouverture française, c'est l'empilement.

Ce retard vous donne quelque chose de rare : du temps, et une visibilité sur ce qui vous attend. Ceux qui l'emploieront à préparer la mesure plutôt qu'à recopier des taux sectoriels — dont nous avons montré dans notre bilan des six mois américains qu'ils ne reposent sur rien — seront prêts le jour de l'ouverture, sans précipitation ni improvisation juridique.

Voici l'ordre dans lequel s'y prendre.

1. Vérifier l'éligibilité de votre activité sur la politique publicitaire en vigueur. Si vous relevez de la santé, de la finance ou du juridique, l'ensemble du sujet est reporté et rien d'autre n'est à faire.
2. Décider de votre base légale pour la mesure côté site, et l'écrire. En pratique, pour un traceur publicitaire, c'est le consentement.
3. Câbler le pixel dans le bon ordre : consentement à faux, puis initialisation, puis passage à vrai après acceptation. C'est la seule ligne de code qui vous expose réellement.
4. Relever les cookies effectivement déposés dans l'inspecteur du navigateur et les déclarer sous leur vrai nom dans votre bandeau et votre politique de confidentialité.
5. Cartographier les champs transmis, en particulier la correspondance avancée automatique et l'intégration serveur, et retirer tout ce qui n'est pas indispensable à la mesure.
6. Qualifier OpenAI en destinataire tiers dans votre registre, et non en sous-traitant, en mentionnant le transfert et son fondement.
7. Brancher l'indicateur d'opposition de votre base clients sur le flux de conversions, faute de quoi l'engagement contractuel pris auprès d'OpenAI n'est pas tenable.

Aucune de ces sept étapes ne dépend de l'ouverture du gestionnaire de campagnes. Toutes peuvent être faites maintenant, et elles servent également vos campagnes existantes : le chantier est le même que celui décrit dans notre guide de la cybersécurité en entreprise, à savoir la maîtrise documentée des flux de données sortants.

Le dispositif européen mis en place par OpenAI est, au lancement, plus protecteur que la norme du marché publicitaire : annonces non personnalisées, pas de reciblage, historiques et mémoires exclus, aucune donnée vendue, sujets sensibles écartés, mineurs exclus de l'affichage. Sa contrepartie honnête est que le réglage de personnalisation ne supprime pas les annonces, et que l'exclusion des mineurs repose elle-même sur une forme de profilage.

Le régime le plus exigeant du règlement sur les services numériques ne s'applique pas encore à ChatGPT, qui ne figure pas sur la liste officielle des services désignés au 26 août 2026. Il s'appliquera probablement, et l'une de ses conséquences — la publication d'un registre des annonces — mérite d'être anticipée par tout annonceur.

Mais l'essentiel tient en une phrase. La conformité qui peut vous coûter de l'argent ne se joue pas dans ChatGPT, elle se joue sur votre site : dans l'ordre de trois lignes de code, dans le nom d'un cookie, dans une case de votre registre et dans un indicateur d'opposition de votre base clients. Les sanctions de septembre 2025 ont rappelé le prix de ces détails, et aucune d'elles ne portait sur une question philosophique de base légale.

Une dernière remarque, qui prépare la suite. La séparation stricte entre la publicité et la réponse, qu'OpenAI présente comme une garantie de confiance, a une contrepartie mesurable : acheter un emplacement ne vous fait pas entrer dans la réponse. La visibilité organique dans les IA et l'achat d'espace sont deux mécaniques disjointes, qui ne s'arbitrent pas l'une contre l'autre — un sujet que nous traitons dans notre guide complet du référencement dans les IA génératives et dans notre méthode de réduction du coût d'acquisition en approche hybride.

Vous préparez l'ouverture française de ChatGPT Ads et vous voulez que votre chaîne de mesure soit conforme avant la première impression, plutôt qu'après un contrôle ? Parlons-en directement — ou appelez le 06 18 85 20 10 pour un premier échange sans engagement.