Envoyer son CV à ChatGPT, est-ce sûr ?

Réponse courte : ce n’est généralement pas dangereux, et ce n’est jamais neutre. Votre CV est le fichier de données personnelles le plus dense que vous possédiez, et le coller dans une fenêtre de discussion en dépose une copie à un endroit que vous ne contrôlez plus.

Cela ne fait pas de ChatGPT un mauvais outil. Cela en fait un outil avec des conditions qu’il vaut mieux lire une fois avant de les appliquer au document le plus sensible de votre recherche d’emploi. Cet article explique ce qui arrive vraiment au fichier, le réglage qui change le plus la réponse, ce qu’un CV contient qu’un document ordinaire n’a pas, et comment obtenir la même adaptation sans le transmettre.

Ce que contient réellement un CV

On voit son CV comme un document professionnel. Pour un juriste en protection des données, c’est un dossier. Un seul fichier réunit votre nom complet, votre adresse personnelle, votre numéro de téléphone privé, votre adresse e-mail personnelle, chaque employeur et chaque date sur une décennie, votre formation, et souvent votre photo et votre date de naissance.

Entre de mauvaises mains, cela suffit pour une usurpation d’identité crédible et pour un hameçonnage ciblé qui cite le nom de votre véritable responsable. Dans l’Union européenne, une partie peut aussi relever de l’article 9 du RGPD, par exemple si votre CV mentionne une activité syndicale, une interruption liée à la santé ou un bénévolat religieux.

C’est la vraie raison de ralentir. Non parce que ChatGPT serait malveillant, mais parce que le fichier vaut plus qu’il n’en a l’air.

Le réglage qui change la réponse

Le fait le plus important à propos de ChatGPT et de vos données, c’est que la réponse dépend du produit, et que presque personne ne sait lequel il utilise.

Sur les offres grand public, Free et Plus, OpenAI peut utiliser vos conversations pour améliorer ses modèles tant que vous ne désactivez pas cette option. Le réglage se trouve dans les Paramètres, section Contrôles des données. Le désactiver n’efface pas ce que vous avez déjà envoyé : il vaut donc mieux le faire avant de coller un CV, pas après.

Sur l’API, ainsi que sur les offres Team et Enterprise, la valeur par défaut est inverse : les contenus ne servent pas à l’entraînement sauf demande explicite. OpenAI indique conserver les entrées et sorties d’API pendant une fenêtre limitée à des fins de lutte contre les abus, puis les supprimer, sauf obligation légale contraire.

Cette distinction fait toute la différence, et elle est invisible depuis la fenêtre de discussion. Le même modèle, atteint par deux chemins, arrive avec deux réponses par défaut différentes sur votre parcours professionnel.

La même logique vaut pour tous les assistants

ChatGPT est cité dans les recherches, mais rien ici n’est propre à OpenAI. Tous les grands assistants fonctionnent sur ces deux niveaux, et le niveau compte davantage que la marque.

Deux conclusions. D’abord, c’est l’offre grand public qui concentre l’ambiguïté, chez tous : « est-ce sûr » revient donc surtout à savoir par quelle porte vous êtes entré. Ensuite, l’API est systématiquement le réglage le plus strict, l’inverse de ce que la plupart supposent.

Les politiques évoluent : voyez ce tableau comme une invitation à vérifier, pas comme une vérité figée. La question à chercher est toujours la même : ce produit utilise-t-il mes saisies pour l’entraînement par défaut, et où se trouve le réglage.

Les trois risques qui comptent

L’entraînement. Si votre conversation peut servir à améliorer un modèle, votre parcours entre dans un corpus d’entraînement. En pratique, le risque qu’un modèle récite votre adresse à un inconnu est faible, et il n’est pas nul. Celui-ci dépend entièrement de vous, via le réglage ci-dessus.

La conservation et la relecture humaine. Même entraînement désactivé, les conversations sont stockées. Les fournisseurs relisent un échantillon pour détecter les abus. C’est raisonnable de leur part, et cela signifie tout de même qu’un humain peut lire ce que vous avez envoyé.

La compromission de compte. Ce risque est le plus sous-estimé. Votre historique n’est privé que dans la limite de votre mot de passe. Un mot de passe réutilisé sur un service d’IA expose désormais dix ans d’historique professionnel, pas seulement une conversation.

Ce qui ne pose pas de problème, et ce qui en pose

Tout ne nécessite pas le fichier complet. Le partage honnête ressemble à ceci.

• Sans problème : faire reformuler une puce, vérifier si une phrase sonne passive, générer des questions d’entretien à partir d’une offre publique, faire expliquer un intitulé de poste inconnu.
• À peser : coller un parcours complet avec employeurs et dates, même sans coordonnées.
• À éviter : téléverser le PDF finalisé avec adresse, téléphone et date de naissance, sur un compte où l’entraînement est resté actif.

Si vous l’utilisez quand même, masquez d’abord

L’essentiel de la valeur vient du contenu, pas des identifiants. Vous pouvez retirer beaucoup sans rien perdre d’utile.

• Remplacez votre nom par un marqueur, par exemple « la candidate ».
• Supprimez entièrement adresse, téléphone et date de naissance. Aucun conseil sur un CV n’en dépend.
• Remplacez les noms d’employeurs par des descriptions, par exemple « une agence de 40 personnes », sauf si la marque est justement le sujet.
• Gardez les réalisations, les chiffres et les dates. C’est ce dont le modèle a besoin pour être utile.

Un CV masqué donne à peu près la même qualité de retour pour une fraction de l’exposition. Cela prend deux minutes.

L’alternative : même modèle, autres conditions

Il existe une troisième voie à laquelle on pense rarement, parce que le marché s’est construit autour d’outils dans le navigateur. Vous pouvez faire tourner l’adaptation sur votre propre machine et joindre le modèle avec votre propre clé d’API.

Ce seul changement vous fait passer des conditions grand public aux conditions d’API, où les contenus ne servent pas à l’entraînement par défaut, quel que soit le fournisseur. Il supprime aussi la base de données intermédiaire : aucun créateur de CV ne détient une copie de votre fichier, puisque le fichier ne quitte jamais votre ordinateur.

C’est ainsi que fonctionne CVumi. C’est une application de bureau pour Windows et macOS. Votre profil principal, vos documents et vos candidatures passées restent dans un dossier que vous choisissez sur votre machine. Quand une étape d’IA se lance, la requête part de votre ordinateur vers le fournisseur, sous votre propre clé, et revient. Aucun serveur CVumi ne stocke votre CV, parce qu’aucun serveur CVumi ne se trouve sur le trajet.

Vous choisissez le fournisseur : Anthropic, OpenAI, Google, xAI ou Perplexity. Vous n’êtes lié ni aux conditions, ni aux tarifs, ni aux pannes d’une seule entreprise, et si l’une change une règle qui vous déplaît, vous changez de clé plutôt que d’outil. C’est un paiement unique : 69 EUR pour une licence standard couvrant trois appareils, ou 34 EUR avec une adresse universitaire, plus ce que votre propre fournisseur facture pour les jetons réellement consommés.

La conclusion honnête

Envoyer son CV à ChatGPT n’est pas une erreur. Le faire sans savoir sur quelle offre on se trouve, avec l’entraînement resté actif, à partir du PDF non masqué dont l’en-tête porte votre adresse : voilà ce qu’il faut corriger.

Si vous ne changez qu’une chose aujourd’hui, ouvrez les contrôles des données et désactivez l’entraînement avant la prochaine session. Si vous en changez deux, cessez de téléverser le fichier et travaillez là où il se trouve déjà.

Pour le tableau d’ensemble, voyez les créateurs de CV par IA sont-ils sûrs et comment garder vos documents de candidature entièrement privés.