L'essentiel au 19 octobre 2026
- Ce qui est nouveau : les annonceurs peuvent créer des « audiences personnalisées » à partir de listes d'e-mails, de téléphones (en clair ou hachés SHA-256) ou d'identifiants GAID (aide OpenAI).
- Où : actif aux États-Unis « pour l'instant » (Next). Pour l'EEE et la Suisse, OpenAI écrit d'éviter ces audiences tant que la personnalisation publicitaire n'y est pas disponible.
- Le précédent qui compte en France : la CNIL a sanctionné de 3,5 M€ une société qui transmettait à un réseau social les e-mails et téléphones des membres de son programme de fidélité (décision SAN-2025-017).
- Angle PME : aucun chiffre sur les PME régionales concernées n'existe ; nous n'en inventons pas.
Ce que montrent l'enquête de 404 Media et la documentation d'OpenAI
Selon 404 Media (15 octobre 2026, article en partie payant), OpenAI laisse n'importe quel annonceur diffuser des publicités dans les sessions de ChatGPT, ciblées sur des groupes de personnes d'après leur e-mail, leur numéro de téléphone ou l'identifiant unique de leur téléphone. Le ciblage peut aussi s'appuyer sur ce que les utilisateurs écrivent, ce qu'ils peuvent considérer comme privé. Le média rappelle que ces échanges peuvent être relus par des humains. Nous n'avons pas pu lire l'article en entier : les éléments ci-dessous viennent de l'extrait accessible, de l'article de Next et des pages d'aide d'OpenAI. La page d'aide « Set up custom audiences for your campaign » précise le fonctionnement. Les listes peuvent contenir des e-mails, des numéros de téléphone, leurs versions hachées en SHA-256 ou des GAID, mélangés dans un même fichier. Les fichiers téléversés sont supprimés après traitement, « usually no later than 24 hours after upload ». Les audiences d'inclusion ou d'ajustement d'enchères exigent au moins 25 000 utilisateurs appariés ; en dessous, une liste ne sert qu'à exclure. Les annonceurs, d'après OpenAI, ne voient pas les personnes appariées.| Point | Ce que disent les sources | Statut |
|---|---|---|
| Types de données | E-mail, téléphone, versions SHA-256, GAID (aide OpenAI) | Documenté par OpenAI |
| Conservation du fichier | Supprimé après traitement, en général sous 24 h | Déclaré par OpenAI |
| Seuil d'inclusion | 25 000 utilisateurs appariés minimum | Documenté par OpenAI |
| Ciblage actif en France ? | Non, « pour l'instant » seulement aux États-Unis | Selon Next, non daté |
| EEE / Suisse | « Avoid custom audiences while ads personalization is unavailable there » | Documenté par OpenAI |
| Hachage des e-mails en clair | OpenAI n'a pas répondu à 404 Media sur ce point | Inconnu |
| Option de refus pour l'utilisateur | Non évoquée par Next | Inconnu |
Sources : pages d'aide OpenAI et article de Next du 16 octobre 2026. « Non évoquée » ne veut pas dire « inexistante ».
Pourquoi une PME des Hauts-de-France est concernée avant l'arrivée de l'option
La publicité est arrivée dans ChatGPT en France le 24 août 2026, comme nous l'avons détaillé dans notre article sur l'Ads Manager et dans celui sur l'intérêt légitime et le consentement. À ce stade, c'était de la publicité contextuelle. Les audiences personnalisées sont un autre objet : elles exigent de remettre des données de clients ou de prospects à un tiers. Pour mémoire, l'annonce d'OpenAI sur l'extension européenne a posé le cadre de départ ; rien de ce que nous avons lu ne date l'arrivée du ciblage par listes dans l'Union. Trois situations concrètes méritent d'être anticipées dès maintenant. Une agence qui gère vos campagnes sur d'autres réseaux sociaux peut vous proposer « la même chose sur ChatGPT » avec votre fichier clients ; un outil de CRM ou de marketing automation peut ajouter un connecteur d'export ; et un salarié curieux peut tester la fonction avec la base d'un magasin. Dans les trois cas, la décision de téléverser un fichier est un traitement de données personnelles dont votre entreprise est responsable. Notre article sur l'IA utilisée hors de tout cadre dans les PME décrit comment ce type de pratique s'installe sans que la direction le sache.Le précédent CNIL : 3,5 millions d'euros pour un fichier de fidélité transmis à un réseau social
La page de la CNIL (publiée le 22 janvier 2026, décision du 30 décembre 2025) décrit une société qui, depuis février 2018, transmettait à un réseau social les adresses e-mail et/ou numéros de téléphone des membres de son programme de fidélité pour cibler des publicités. Les contrôles datent de janvier 2023 ; la décision a été prise avec 16 homologues européens ; plus de 10,5 millions de personnes sont concernées. La société n'est pas nommée. L'amende est de 3,5 M€. Ce que la CNIL a retenu est instructif pour toute PME qui envisagerait la même chose avec un autre support publicitaire :- Pas de base légale valable. Le formulaire d'adhésion ne mentionnait pas la transmission au réseau social, et l'information disponible ailleurs était insuffisante ou difficile d'accès : le consentement n'était pas valablement recueilli.
- Information incomplète. La finalité de publicité ciblée et la durée de conservation manquaient ; une mention renvoyait au « Privacy Shield », qui n'est plus en vigueur.
- Pas d'analyse d'impact (AIPD) malgré un volume important de données et un croisement de données.
- Sécurité et cookies : règles de mots de passe insuffisantes et onze cookies soumis à consentement déposés avant tout choix.
L'angle Hauts-de-France : un tissu de petites structures, des fichiers clients partout
Selon le panorama Dé·crypte de la CCI Hauts-de-France (édition 2024-2025, données Insee 2020), la région compte 410 838 établissements marchands hors agriculture, dont 282 714 (68,8 %) sans salarié. Le commerce de détail est le premier secteur, avec 82 789 établissements (20,2 %). Ces chiffres datent de 2020 et ne disent rien de l'usage de la publicité dans ChatGPT : ils rappellent seulement que la grande majorité des entreprises de la région sont de très petites structures, où le fichier clients est souvent un tableur ou un outil de fidélité géré par le dirigeant, sans délégué à la protection des données. C'est précisément le profil du dossier sanctionné : un programme de fidélité, des e-mails et des téléphones collectés pour un usage (relation commerciale), réutilisés pour un autre (ciblage chez un tiers). Nous n'avons trouvé aucune donnée sur le nombre d'entreprises des Hauts-de-France qui achètent déjà de la publicité dans ChatGPT, et nous ne la devinons pas. Le risque est surtout préventif : savoir avant qu'une agence ou un outil ne le fasse à votre place.Que faire cette semaine : six vérifications
- Écrire une règle simple : aucun fichier clients ou prospects n'est téléversé vers une plateforme publicitaire, ChatGPT compris, sans validation écrite du dirigeant et du DPO ou du référent RGPD.
- Interroger vos prestataires (agence, CRM, outil d'e-mailing) : proposent-ils des exports vers des audiences publicitaires, lesquelles, et sur quelle base légale ?
- Relire vos formulaires d'inscription et de fidélité : mentionnent-ils clairement un partage avec des plateformes publicitaires, avec une case dédiée ? Si non, ne partez pas du principe que l'ancien consentement couvre ce nouvel usage.
- Vérifier votre registre de traitements et décider si une AIPD est nécessaire avant tout croisement de données à grande échelle.
- Prévoir un canal d'opposition simple (lien, adresse) pour les personnes qui ne veulent pas être ciblées, avant toute campagne.
- Informer vos équipes sur leur propre usage : l'enquête rappelle que les conversations peuvent servir au ciblage ; voir notre guide pour désactiver l'entraînement des IA sur vos données et notre point sur les obligations de transparence de l'AI Act.
Ce qu'on ne sait pas encore
- La date d'arrivée du ciblage par listes dans l'Union européenne : aucune date n'est donnée dans les sources lues.
- Le traitement des e-mails fournis en clair : OpenAI n'a pas répondu à 404 Media sur le hachage de ces données.
- Les mécanismes de refus pour l'utilisateur final : Next n'en mentionne pas ; nous n'avons pas pu lire la partie payante de 404 Media.
- L'exclusion éventuelle des offres professionnelles (Business, Enterprise) du ciblage par conversations : non précisée.
- L'impact local : aucune donnée sur les entreprises des Hauts-de-France concernées.
FAQ : ciblage publicitaire de ChatGPT et fichiers clients
Le ciblage par e-mail ou téléphone est-il actif en France sur ChatGPT ?
D'après Next (16 octobre 2026), il n'est actif qu'aux États-Unis pour l'instant. OpenAI recommande en outre d'éviter les audiences personnalisées pour l'EEE et la Suisse tant que la personnalisation publicitaire n'y est pas disponible.
Une PME peut-elle téléverser son fichier clients dans ChatGPT Ads ?
Techniquement, OpenAI accepte des listes d'e-mails, de téléphones et d'identifiants. Juridiquement, cela suppose une base légale valable et une information claire. La CNIL a sanctionné de 3,5 M€ un cas comparable sur un autre support. Demandez l'avis de votre DPO avant tout envoi.
Hacher les e-mails en SHA-256 suffit-il pour être en règle ?
Non, pas à soi seul. Le RGPD traite en principe une donnée pseudonymisée comme une donnée personnelle. La page de la CNIL sur la sanction ne dit pas que le hachage résoudrait le défaut de base légale ni d'information.
Le consentement à recevoir des e-mails commerciaux autorise-t-il le ciblage publicitaire sur une plateforme ?
D'après l'analyse du Journal du Net du 18 février 2026, non : ce sont deux traitements distincts, le second impliquant un tiers. Le recueil doit être séparé, par exemple par une case dédiée. L'intérêt légitime reste discuté, sous conditions, selon cette même analyse.
Mes conversations ChatGPT peuvent-elles servir à cibler des publicités ?
Selon 404 Media et Next, le ciblage peut s'appuyer sur le contexte des conversations, en plus des listes. Où et comment cela s'applique en Europe n'est pas établi par les sources lues. Vous pouvez limiter l'usage de vos données via les réglages du compte.
Sources : Next · 404 Media · OpenAI, audiences personnalisées · OpenAI, ciblage · CNIL, sanction 3,5 M€ · Journal du Net · CCI Hauts-de-France
