Zero Data Retention (ZDR) : votre entreprise en a-t-elle vraiment besoin pour utiliser l'IA ?
TLDR : Le Zero Data Retention (ZDR) garantit que vos données ne sont jamais stockées par le fournisseur d'IA après le traitement de votre requête. C'est devenu un critère décisionnel pour quatre cas : données de santé, NDA stricts, secteurs régulés, et données personnelles RGPD sensibles. Pour le reste, ça reste du confort. Cet article donne le framework pour décider, les providers qui proposent un vrai ZDR en 2026, et pourquoi le ZDR seul ne suffit pas à garantir la souveraineté de vos données.
Le ZDR, c'est quoi exactement ?
Le Zero Data Retention est un engagement contractuel et technique du fournisseur d'IA : vos données passent par ses serveurs pour générer une réponse, et elles sont effacées immédiatement après. Aucun stockage, aucune copie, aucun log persistant.
Trois niveaux de confidentialité coexistent dans le marché. Niveau 1 : opt-out training. Le fournisseur n'utilise pas vos données pour entraîner ses modèles, mais il les conserve dans ses logs pour la durée standard (souvent 30 jours). Niveau 2 : pas de log applicatif. Le fournisseur ne garde pas vos prompts dans ses logs, sauf cas d'abus détecté. Niveau 3 : ZDR contractuel. Aucune donnée n'est conservée, même pas en mémoire transitoire au-delà du traitement de la requête. Le ZDR vrai est rare et payant. Beaucoup d'acteurs marketent du Niveau 1 en l'appelant ZDR. Lisez toujours la politique de rétention officielle, pas la page produit.
Sans ZDR, votre prompt est routé vers un serveur GPU, le modèle génère une réponse, les deux sont écrits dans des logs (sécurité, debug, abus) conservés 30 à 90 jours. Avec ZDR strict, le prompt est traité en mémoire vive uniquement, la réponse est générée, les deux sont effacés dès la réponse retournée. La nuance importante : même en ZDR, certains fournisseurs gardent des métadonnées techniques (timestamp, nombre de tokens, identifiant d'organisation). Le ZDR n'efface pas non plus l'historique de vos propres conversations dans l'interface que vous utilisez.
Quand votre entreprise en a vraiment besoin
Vous devez exiger du ZDR si vous répondez OUI à une de ces quatre questions.
1. Manipulez-vous des données de santé identifiables ?
Dossier médical, identifiant patient, antécédents, résultats d'analyses. La conformité HIPAA aux US et la directive RGPD spéciale données sensibles en Europe imposent une rétention minimale chez le sous-traitant. Sans ZDR, vous transférez la responsabilité juridique vers un sous-traitant que vous ne contrôlez pas.
2. Avez-vous signé des NDA stricts avec vos clients ?
Beaucoup de contrats enterprise B2B contiennent une clause no third-party processing without prior consent. Si votre client n'a pas signé un Data Processing Agreement avec OpenAI, et que vous envoyez ses données dans ChatGPT pour écrire un email, vous êtes en breach. Le ZDR documenté contractuellement permet de défendre le sous-traitement.
3. Travaillez-vous dans un secteur régulé ?
Banque, assurance, juridique, défense, recherche pharma, services aux administrations publiques. Les régulateurs imposent une chaîne de sous-traitance traçable. ACPR, AMF, CNIL, EBA, EMA, FDA, tous regardent la rétention des sous-traitants IA depuis 2025.
4. Manipulez-vous des données personnelles sensibles RGPD ?
Origine raciale, opinions politiques, religion, orientation sexuelle, données biométriques, données pénales. L'article 9 du RGPD interdit le traitement par défaut. Le ZDR contractuel est l'un des rares moyens de prouver que le sous-traitant ne conserve pas ces données.
Si vous répondez NON aux quatre questions, vous n'avez probablement pas besoin du ZDR. Pour brainstorming marketing, génération de descriptions e-commerce, aide à la rédaction d'articles blog, traduction de contenu public, ou réponses service client sans données sensibles, un opt-out training simple suffit. Vous payez souvent 30 à 50 pour cent plus cher pour du ZDR strict, sans bénéfice réel.
Quels providers proposent du vrai ZDR en 2026
Provider | ZDR disponible | Niveau requis | Notes
Anthropic (Claude API) | Oui | Enterprise / Commercial Org | API par défaut déjà solide
OpenAI (Azure) | Oui | Microsoft Enterprise Agreement | Seuil ~500K USD de volume annuel
OpenAI (ChatGPT Plus/Business) | Non | N/A | Passer par l'API pour données sensibles
Mistral AI | Oui | Enterprise via La Plateforme | Option européenne la plus mature, RGPD by design
OpenRouter | Oui (par provider) | Filtrer sur ZDR providers | Llama, DeepSeek, GLM, Qwen sur serveurs ZDR
LLM Bay (France) | Oui | Par défaut | Hébergement 100% local, secteurs souverains
Infomania (Suisse) | Oui | Par défaut | Data residency suisse plus ZDR
Vercel AI Gateway | Oui | Plans Pro / Enterprise | Abstrait le choix du provider
À éviter pour des données vraiment sensibles : les interfaces grand public (ChatGPT Free et Plus, Claude Free et Pro, Gemini standard). Aucune ne propose du ZDR sur l'abonnement utilisateur.
Le ZDR seul ne suffit pas
Le ZDR couvre uniquement la rétention côté fournisseur du modèle. La souveraineté de vos données dépend d'une chaîne complète. La checklist : un ZDR contractuel signé (le contrat, pas la page marketing), l'interface stocke ou non vos chats (ChatGPT Plus stocke tout par défaut), les outils connectés respectent la même politique, vos équipes sont formées au tri des données, un système de logs internes côté entreprise pour auditer en cas de fuite.
Le ZDR est un prérequis nécessaire mais pas suffisant. La vraie souveraineté est une politique d'entreprise, pas un bouton à activer.
Chez Kreante, agence low-code et IA basée à Miami, on commence toujours un projet IA sensible par un audit de maturité IA. C'est la Phase 01 de notre framework AI-Native, construit à partir de centaines de projets clients. L'audit pose trois questions concrètes : quelles données vont passer dans l'IA, quel niveau de confidentialité contractuel l'entreprise s'est engagée à respecter, et quels outils sont déjà utilisés en interne sans contrôle (Shadow AI).
Un cabinet d'avocats parisien qui manipule des dossiers contentieux va sur Mistral Enterprise ou LLM Bay avec ZDR signé. Un e-commerce LATAM qui veut générer des descriptions produits peut rester sur ChatGPT Business avec opt-out training. Le ZDR n'est pas une réponse binaire. C'est un curseur à positionner en fonction de la réalité de vos données.
Foire aux questions
Le ZDR est-il obligatoire pour être conforme RGPD ? Non, pas directement. Le RGPD impose la minimisation des données et le droit à l'effacement, mais pas la rétention zéro. Le ZDR simplifie la mise en conformité car il rend le droit à l'effacement automatique.
Quelle différence entre ZDR et hébergement européen ? L'hébergement européen garantit que vos données restent physiquement sur le territoire de l'UE. Le ZDR garantit que vos données ne sont pas conservées du tout. Deux dimensions différentes et complémentaires.
Le ZDR coûte combien plus cher ? Anthropic facture le ZDR contractuel uniquement aux Enterprise Agreements. Mistral et les providers européens ZDR ont un premium de 20 à 50 pour cent versus leur offre standard.
Peut-on faire du ZDR en self-hosting ? Oui, l'option la plus radicale. Faire tourner un modèle open source sur vos propres serveurs garantit le ZDR par construction. Inconvénient : les modèles puissants ont besoin de hardware coûteux et la maintenance est lourde.
Comment vérifier qu'un fournisseur respecte vraiment son engagement ZDR ? Trois leviers. Demandez un contrat ZDR signé. Demandez un rapport SOC 2 Type II ou ISO 27001 qui audite la politique de rétention. Si vraiment exposé demandez un pentest tiers.
Conclusion
Le ZDR est un outil puissant pour les entreprises qui en ont besoin, et un coût inutile pour celles qui n'en ont pas besoin. Avant de vous engager, posez-vous les quatre questions du framework. Si vous répondez OUI à une, exigez du ZDR contractuel. Sinon, un opt-out training standard suffit.
Pour faire le point sur votre usage IA actuel et savoir où vous vous situez en termes de souveraineté, réservez un audit gratuit avec Kreante. 60 minutes, en français, sans engagement.
Insights & Tips