La Suède bannit ChatGPT et Claude de son administration pour le RGPD

Depuis lundi 26 octobre 2026, les agents du gouvernement suédois ne peuvent plus ouvrir ChatGPT ni Claude sur leurs postes de travail professionnels. La décision, révélée le 23 octobre par Sveriges Radio / Ekot, vise le Regeringskansliet (la chancellerie du gouvernement suédois), mais aussi deux autres administrations. Motif officiel : ces services d'IA sont utilisés sans aucun contrat encadrant le traitement des données.

Microsoft Copilot, lui, reste autorisé. Ce détail n'est pas un hasard : il résume tout ce que cette affaire a à apprendre aux entreprises et collectivités françaises qui laissent leurs équipes copier-coller des données dans ChatGPT ou Claude sans jamais avoir vérifié qui signe un contrat, où sont stockées les données, et ce qu'il advient de ce qu'on y tape.

01Ce que Stockholm a décidé, concrètement

Le calendrier est serré. L'information sort le 23 octobre 2026 via Ekot, le service d'actualités de Sveriges Radio, et la mesure entre en vigueur dès le lundi suivant, le 26 octobre. Entre l'annonce et l'application, trois jours ouvrés. Le blocage ne touche pas qu'un ministère isolé : le Regeringskansliet (l'équivalent des services du Premier ministre), le Skatteverket (l'administration fiscale) et la Statens institutionsstyrelse (l'agence qui gère les établissements pour jeunes en difficulté et en addiction) appliquent la même restriction.

Mikael Wettercrantz, directeur de la numérisation (digitaliseringsdirektör) du Regeringskansliet, a justifié la mesure en suédois par cette phrase, rapportée par Ekot : « AI-tjänster som används utan avtal kan få konsekvenser för informationssäkerheten », soit en français : « les services d'IA utilisés sans contrat peuvent avoir des conséquences sur la sécurité de l'information ». Pas de posture anti-IA affichée, donc, mais un problème contractuel précis : aucun accord ne lie l'administration suédoise à OpenAI ou à Anthropic sur le traitement de ses données.

Un audit interne qui remonte à plus tôt dans l'année

Selon Gulf News, la décision fait suite à un audit interne mené plus tôt dans l'année par le Trafikverket, l'administration suédoise des transports. Cet audit avait identifié des usages jugés « problématiques » d'outils d'IA, notamment le traitement de données sensibles sans garanties de protection adéquates. Le signal est donc parti d'un seul service, avant de remonter jusqu'au sommet de l'administration.

02Pourquoi Copilot reste autorisé, et pas ChatGPT ni Claude

Le détail le plus instructif de cette affaire tient dans ce que l'administration suédoise a laissé passer. Selon Notebookcheck.se, Microsoft Copilot reste autorisé, mais seulement après avoir fait l'objet d'une revue de sécurité et sous des contrôles renforcés. DeepSeek, de son côté, faisait déjà l'objet de restrictions antérieures au sein du Regeringskansliet. ChatGPT et Claude, eux, n'avaient jamais été soumis à cet examen : ils étaient simplement accessibles, comme n'importe quel site web, sur les postes professionnels.

Un chatbot sans contrat de traitement des données n'est pas un outil professionnel, c'est une fuite potentielle en libre-service.

Ce tableau dit une chose simple : ce n'est pas la technologie qui a été jugée dangereuse, c'est l'absence de cadre contractuel autour d'elle. Copilot a survécu parce qu'un audit a pu vérifier ce qu'il fallait vérifier. ChatGPT et Claude ont été coupés parce que, visiblement, personne n'avait fait cette démarche avant de laisser des milliers d'agents publics y taper des informations sensibles.

03Les trois angles morts juridiques des IA grand public

TechRadar Pro détaille les craintes évoquées par les responsables suédois, et elles ne sont pas propres à la Suède. Trois angles morts reviennent systématiquement dès qu'une organisation utilise la version grand public d'un chatbot IA plutôt qu'une offre entreprise encadrée.

Le réentraînement sur vos données

Premier risque : que les données saisies dans l'interface soient conservées par l'éditeur pour entraîner de futurs modèles. Sans engagement contractuel explicite, rien ne garantit qu'un compte personnel ChatGPT ou Claude échappe à cette logique, contrairement aux offres entreprise qui, elles, le précisent noir sur blanc.

L'absence d'accord de traitement

Deuxième risque, le plus direct : l'absence d'accord encadrant le traitement et le stockage des données. C'est exactement le motif cité par Mikael Wettercrantz. Sans ce document, une organisation ne peut tout simplement pas démontrer qu'elle maîtrise ce qui arrive aux informations qu'elle confie à l'outil.

L'hébergement hors Espace économique européen

Troisième risque : le traitement dans des centres de données situés hors de l'Espace économique européen, en infraction potentielle avec le RGPD. Pour une administration qui manipule des dossiers fiscaux ou des données sur des mineurs en difficulté, comme la Statens institutionsstyrelse, ce point seul suffit à justifier un blocage de précaution.

04Le même angle mort existe dans les entreprises françaises

Remplacez « Regeringskansliet » par n'importe quelle PME, collectivité ou cabinet français, et le problème reste identique. La majorité des salariés qui utilisent ChatGPT ou Claude au travail le font avec un compte personnel, sans que leur organisation ait jamais négocié de contrat de traitement des données (DPA) avec OpenAI ou Anthropic. Le RGPD impose pourtant qu'un sous-traitant de données, ce qu'est un éditeur d'IA dès qu'on lui soumet des données personnelles de clients ou de salariés, soit encadré par un tel accord.

C'est précisément ce qu'OpenAI et Anthropic tentent de corriger avec leurs offres de zero data retention, que nous avions déjà décryptées : ce que la Zero Data Retention change vraiment pour les pros, puis son extension aux modèles frontier dans OpenAI Zero Data Retention étendu aux modèles frontier le 19 août 2026. Ces engagements existent justement pour répondre au type de craintes qui a fait tomber la décision suédoise, mais ils ne s'appliquent qu'aux comptes professionnels sous contrat, pas aux comptes gratuits ou personnels que la plupart des salariés utilisent encore au quotidien.

L'autre pan du problème, le filigrane et la traçabilité des contenus générés, touche aussi les obligations réglementaires européennes : voir notre décryptage sur le filigrane des textes de Claude et l'AI Act. Entre le RGPD sur les données d'entrée et l'AI Act sur les contenus de sortie, les entreprises françaises accumulent des obligations qu'elles ne couvrent, dans les faits, qu'à moitié.

05Ce qu'il faut vérifier dans votre organisation

La leçon suédoise se résume à un principe simple : un outil d'IA grand public, utilisé sans contrat ni audit, n'est pas une solution professionnelle, même si tout le monde s'en sert depuis des mois. Trois vérifications concrètes permettent de sortir de cet angle mort sans attendre une décision venue de la direction.

Vérifier l'existence d'un DPA

Un accord de traitement des données (Data Processing Agreement) doit exister entre votre organisation et l'éditeur de l'outil d'IA utilisé, au même titre qu'avec n'importe quel prestataire cloud. Sans ce document signé, impossible de démontrer une conformité RGPD en cas de contrôle.

Distinguer compte personnel et compte entreprise

Les engagements contractuels, zero data retention compris, ne s'appliquent qu'aux offres entreprise. Un salarié qui colle des données clients dans son compte ChatGPT personnel échappe à toute protection, même si son employeur a par ailleurs négocié un contrat professionnel avec OpenAI.

Cartographier les usages réels, pas les usages déclarés

C'est un audit interne, celui du Trafikverket, qui a déclenché toute l'affaire suédoise. Peu d'organisations françaises savent réellement ce que leurs équipes saisissent dans quels outils : un état des lieux honnête, même sommaire, vaut mieux qu'une politique IA jamais vérifiée sur le terrain.

Chris Waoo

Consultant SEO · fondateur de Cat's Eye Web

Écrit sur le SEO technique, l'IA et Google Discover à partir de tests terrain. Créateur de l'outil d'audit Cat's Eye. @ChrisWaoo