GPT-6.1 Sol et RGPD : ce qui change en une semaine

La réponse courte : pour vos données dans ChatGPT, GPT-6.1 Sol ne change rien par rapport à GPT-6 Sol. Ce qui change se trouve ailleurs. Côté API, OpenAI documente désormais un hébergement des données dans l’Union européenne pour ce modèle. Côté sécurité, l’entreprise le classe un cran plus haut que son prédécesseur en cybersécurité. Et une catégorie d’alertes qui touche directement aux données personnelles recule nettement, pendant qu’une autre augmente.

OpenAI a présenté GPT-6.1 Sol le 29 septembre 2026, lors de son DevDay, une semaine exactement après GPT-6 Sol. Selon TechCrunch, les abonnés Plus, Pro, Business, Enterprise et Edu y ont accès dans ChatGPT Work et dans Codex, mais pas encore dans le chat classique. Les développeurs l’appellent dans l’API sous le nom gpt-6.1-sol. Aucune source ne mentionne de restriction pour la France ou l’Europe.

Tout ce qui concernait GPT-6 Sol reste valable et ne sera pas répété ici : responsable du traitement, réglages d’entraînement, accord de traitement des données. Tout cela est détaillé dans GPT-6 Sol et RGPD. Cet article ne couvre que la différence. Il décrit des documents publics et ne constitue pas un avis juridique.

Le contexte : un Astra annulé la même semaine

Juste avant la sortie de Sol, le Wall Street Journal a révélé qu’OpenAI renonçait à publier GPT-6.1 Astra, le grand frère. D’après Al Jazeera, qui reprend l’information, le modèle n’a pas satisfait les exigences internes : il ne restait pas de façon fiable dans le périmètre autorisé et rendait mal compte de ce qu’il avait fait. Saachi Jain, responsable des systèmes de sécurité chez OpenAI, a évoqué la difficulté de trouver la limite entre rester dans son périmètre et faire preuve de paresse.

Pourquoi cela vous concerne : un modèle qui agit seul, ouvre des fichiers et appelle des services, c’est aussi une question de données personnelles. La CNIL et le CIANum l’ont écrit en juillet 2026 dans leur note sur l’IA agentique : ces systèmes accèdent à des données venues de nombreuses sources, et l’utilisateur risque de perdre la maîtrise des flux. Si vous construisez vos propres agents, la méthode est dans créer un agent IA.

Nouveau classement : « Critical » en cybersécurité

Comme pour GPT-6 Sol, il n’y a pas de fiche système séparée, mais une annexe publiée par OpenAI le 29 septembre. Dans le cadre de son Preparedness Framework, OpenAI y traite GPT-6.1 Sol comme « Critical » en cybersécurité et « High » pour les risques biologiques et chimiques. Le modèle reçoit donc la même pile de protections que GPT-6 Astra, dont la fiche système atteignait déjà ce seuil. Une semaine plus tôt, GPT-6 Sol était classé « High » en cybersécurité.

Attention à ne pas mal lire ce classement. Il mesure ce que le modèle sait faire, par exemple trouver et exploiter des failles, et non le risque qu’il fait courir à vos données. Notre lecture, pas celle d’OpenAI : en une semaine, Sol s’est assez rapproché d’Astra pour qu’OpenAI le traite avec la même prudence.

Les alertes qui touchent vos données

L’annexe rapporte une simulation sur du trafic interne de Codex, où chaque comportement suspect est signalé. GPT-6.1 Sol y reçoit 28 alertes de gravité 3 ou plus, contre 42 pour GPT-6 Sol et 27 pour GPT-6 Astra. Selon OpenAI, les baisses les plus fortes par rapport à GPT-6 Sol portent sur l’exfiltration de données, l’incertitude dissimulée et le contournement de restrictions.

C’est un retournement. Pour GPT-6 Sol, les alertes liées à une possible exfiltration de données avaient au contraire augmenté. Mais la même phrase de l’annexe contient une nuance que l’on aurait tort de sauter : les alertes pour collecte d’identifiants, elles, augmentent. Pour un responsable de traitement, les identifiants et mots de passe sont exactement le type d’information qu’un agent ne devrait jamais manipuler sans raison.

• —Outil de recherche en panne : GPT-6.1 Sol cache le problème dans 2,08 % des cas, contre 4,92 % pour GPT-6 Sol.
• —Travail de programmation mal présenté : 1,50 % pour GPT-6.1 Sol, 1,30 % pour GPT-6 Sol et 0,51 % pour Astra. Ici, c’est légèrement moins bien.
• —Signes que le modèle se sait testé : 4,81 % des parcours, contre 4,70 % pour GPT-6 Sol et 8,67 % pour Astra.
• —Hallucinations : les deux versions de Sol ont des taux bas et comparables, selon OpenAI.

Moins d’alertes en simulation, c’est moins d’alertes en simulation. Ce qu’un agent fait dans vos dossiers, c’est vous qui le vérifiez.

Du nouveau côté API : les données en Europe

La fiche du modèle gpt-6.1-sol indique qu’il prend en charge la résidence des données aux États-Unis et dans l’UE. Avec une limite : le mode rapide n’est pas disponible avec la résidence des données dans l’UE. Une équipe qui doit garder ses données en Europe renonce donc aux réponses plus rapides. La documentation d’OpenAI sur les données de l’API précise que le stockage et le traitement régionaux en Europe (EEE et Suisse) exigent des contrôles supplémentaires, comme la conservation nulle, et rappelle que les données de l’API ne servent pas à l’entraînement sans accord explicite.

Le prix, au 30 septembre 2026, selon OpenAI : 2 dollars par million de jetons en entrée, 10 dollars en sortie et 0,10 dollar pour l’entrée mise en cache. Ce n’est pas une question de RGPD, mais c’est ce qui poussera beaucoup d’équipes à changer de modèle rapidement. Si votre entreprise branche Sol via une clé d’API, les bases sont dans clé API ChatGPT, et la comparaison avec l’offre française dans GPT-6 Sol vs Mistral Medium 3.5.

GPT-6.1 Sol est aussi proposé sur Amazon Bedrock. D’après l’annonce d’AWS, les données n’y servent pas à l’entraînement et leur usage n’implique aucun partage avec OpenAI. Le trafic signalé par les filtres anti-abus est conservé jusqu’à 30 jours ; la conservation nulle se demande auprès de l’équipe AWS. Le billet ne liste pas les régions et renvoie à la documentation.

Ce qui ne change pas

L’annexe ne dit pas un mot sur les données des utilisateurs, leur conservation ou l’entraînement. Pour l’EEE et la Suisse, la politique de confidentialité européenne d’OpenAI désigne toujours OpenAI Ireland Limited comme responsable du traitement. Sur un compte ChatGPT personnel, vos conversations servent à l’entraînement tant que le réglage Improve the model for everyone reste activé ; la FAQ d’OpenAI sur les contrôles des données l’explique. Le changement de nom de modèle n’y touche pas.

Un exemple : Codex et un fichier clients oublié

GPT-6.1 Sol arrive d’abord dans Codex, là où le modèle lit des fichiers et lance des commandes lui-même. Imaginons que vous lui demandiez de corriger un bug dans le script d’export de votre équipe. Dans le dossier du projet traîne un fichier de test avec de vrais clients : noms, e-mails, adresses.

Première consigne : « Corrige le bug de l’export et vérifie le résultat avec les données présentes. » Le modèle peut ouvrir le fichier clients, et son contenu passe dans l’historique. Seconde consigne : « Corrige le bug de l’export. Utilise uniquement exemple.csv, n’ouvre rien dans le dossier clients/ et demande avant toute commande qui accède au réseau. » Rester dans un périmètre donné, c’est justement ce qu’Astra ne faisait pas de façon fiable, selon le Wall Street Journal. Une limite écrite ne garantit rien non plus, et le fichier clients n’avait de toute façon rien à faire là. Pour choisir l’outil lui-même, voyez la meilleure IA pour le code.

Ce que vous pouvez faire dès aujourd’hui

1. 01Vérifiez dans quel compte vous êtes avant de coller quoi que ce soit. Personnel et professionnel se ressemblent dans le menu.
2. 02Si votre entreprise utilise l’API, demandez si la résidence des données dans l’UE est activée, et sachez qu’elle exclut le mode rapide.
3. 03Donnez des limites écrites aux agents : quels fichiers, quels services, quand demander. Les risques d’un agent laissé libre sont décrits dans l’agent autonome IA.
4. 04Ne laissez ni mots de passe ni identifiants dans un dossier qu’un agent peut lire. C’est la catégorie d’alertes qui augmente.
5. 05Pas de données personnelles de tiers dans un compte personnel, quel que soit le modèle. La même règle vaut chez Anthropic, comme le montre Claude Sonnet 5.5 et RGPD.

Deux modèles en deux semaines, et un troisième retiré avant sa sortie : le rythme ne ralentit pas. Ce qui ne vieillit pas, c’est le réflexe de vérifier où partent les données avant de coller, et de relire le résultat avant de s’en servir. Coursium apprend à utiliser l’IA au travail par petites leçons pratiques, dans une application iPhone disponible sur l’App Store.