ChatGPT Computer History : clics, clavier et ce que risquent les PME

Le jeudi 13 août 2026, OpenAI a activé « Computer History », une fonction de son application ChatGPT pour macOS qui enregistre les clics, la saisie au clavier, les raccourcis et les changements d'application de l'utilisateur, puis les transforme en souvenirs consultables par ChatGPT et par Codex. L'entreprise la présente comme un moyen de « reprendre là où vous vous êtes arrêté ». La presse spécialisée y voit surtout l'équivalent du Recall de Microsoft — mais fondé sur un journal d'événements plutôt que sur des captures d'écran. La fonction n'est pas disponible dans l'Espace économique européen, en Suisse ni au Royaume-Uni. Autrement dit : elle ne tourne pas encore sur les Mac des entreprises des Hauts-de-France. Ce n'est pas une raison pour l'ignorer, car le droit français a déjà tranché sur ce type d'outil — et l'exclusion géographique n'est pas une protection technique. L'annonce a été faite le 13 août par un message d'OpenAI sur X et documentée dans la fiche officielle « Computer History ». Elle a été détaillée en français le 14 août par Next, dont le sous-titre résume l'affaire d'une formule : « un keylogger plutôt que des captures d'écran ». Le mot n'est pas anodin : en droit français, il désigne précisément un dispositif que la CNIL considère comme interdit sur les postes de travail.

Computer History en six chiffres et faits

13 août 2026 : date d'annonce par OpenAI
macOS uniquement, pour les abonnements ChatGPT Pro, Business et Enterprise, désactivé par défaut
EEE, Suisse et Royaume-Uni exclus du lancement initial
48 heures : durée de conservation annoncée des fichiers de journaux bruts temporaires
0 capture d'écran : la fonction s'appuie sur les événements d'accessibilité de macOS, pas sur des images, ni du son, ni de la vidéo
40 000 € : l'amende prononcée par la CNIL le 19 décembre 2024 contre une entreprise pour surveillance excessive de ses salariés

Ce que Computer History enregistre exactement

OpenAI décrit une mécanique en trois temps. La fonction « génère un flux d'événements d'interaction à partir des applications et des sites web autorisés » par l'utilisateur ; ces événements « peuvent inclure les clics, la saisie au clavier, les raccourcis clavier, les changements d'application et le contexte que macOS met à disposition via son système d'accessibilité » ; puis elle « transforme périodiquement ces événements en résumés textuels et en fichiers stockés en mémoire locale ». L'objectif affiché est utilitaire : poser des questions en langage naturel sur son travail récent, retrouver un document consulté la veille, identifier des routines et les convertir en compétences ou en automatisations. Deux précisions comptent pour un responsable informatique. D'abord, Computer History remplace « Chronicle Research Preview », une expérimentation lancée en avril pour Codex qui reposait, elle, sur des captures d'écran régulières — OpenAI précise qu'il s'agit d'« un système entièrement repensé et non d'un simple changement de nom ». Ensuite, et c'est le point le plus souvent manqué : les données ne restent pas sur la machine. L'entreprise indique que les fichiers de journaux sont traités « sur ses serveurs afin de générer des souvenirs ». Elle ajoute ne pas conserver ces fichiers d'événements après traitement, sauf obligation légale, et ne pas les utiliser pour l'entraînement — avec une nuance importante : les résultats produits, eux, peuvent servir à l'entraînement si l'utilisateur l'a autorisé dans ses réglages de contrôle des données. Un paramètre que nous avions détaillé dans notre guide sur la désactivation de l'entraînement IA.

ChatGPT can now remember your activity across the apps and websites on your computer.

With Computer History in the desktop app, future interactions feel more personalized and require less explanation.
— OpenAI (@OpenAI) August 13, 2026

L'annonce officielle d'OpenAI, le 13 août 2026 (X)

Pourquoi l'Europe est (provisoirement) hors du périmètre

OpenAI n'a pas publié de motivation détaillée sur l'exclusion de l'Espace économique européen, de la Suisse et du Royaume-Uni. Le schéma est cependant devenu familier : sur un traitement aussi large que l'activité complète d'un poste de travail, le RGPD impose une base légale solide, une minimisation stricte des données, une information claire des personnes et, très probablement, une analyse d'impact préalable. Les fonctions les plus intrusives arrivent donc en Europe plus tard, amputées, ou pas du tout. Les Hauts-de-France connaissent déjà ce décalage : c'est exactement ce qui s'était produit avec l'enregistrement d'appels sur iPhone, disponible ailleurs bien avant d'arriver en France. Le précédent le plus parlant reste toutefois celui de Microsoft. Windows Recall, dévoilé en 2024, devait enregistrer l'activité de l'ordinateur par captures d'écran successives pour la restituer à la demande. La fonction a été critiquée dès son annonce pour les questions de vie privée qu'elle soulève, notamment sur les données sensibles ; activée par défaut à l'origine, elle a été relancée en avril 2026 avec une architecture de sécurité revue et, cette fois, désactivée par défaut. OpenAI semble avoir tiré la leçon : Computer History arrive d'emblée en option, sur une seule plateforme, et hors d'Europe. C'est une prudence de lancement, pas un engagement permanent — rien n'indique que la restriction géographique soit définitive.

En droit français, ce dispositif porte un nom : keylogger — et il est interdit au bureau

C'est ici que le sujet cesse d'être une curiosité américaine. Le 9 juillet 2026, la CNIL a mis à jour sa fiche de référence sur le contrôle de l'activité des personnes employées. Elle y rappelle que tout dispositif de contrôle doit remplir trois conditions cumulatives : satisfaire aux tests de justification et de proportionnalité ; être soumis aux instances représentatives du personnel selon les règles en vigueur ; être porté à la connaissance des salariés ou agents préalablement à sa mise en place. Et elle prend, comme exemple type de dispositif interdit, précisément celui dont il est question ici.

Exemple d'un dispositif interdit car disproportionné : un logiciel d'enregistrement de frappe au clavier ou « keylogger » en anglais (dispositif qui enregistre l'ensemble des touches tapées sur un clavier) pour surveiller un salarié ou une salariée en télétravail est disproportionné : il ne permet pas de distinguer les informations professionnelles et personnelles et risque de capter des éléments relevant de leur vie privée tout en les plaçant sous une surveillance constante. — CNIL, fiche « Travail, ressources humaines : le contrôle de l'activité des personnes employées », mise à jour le 9 juillet 2026

La CNIL ajoute qu'« une surveillance constante est excessive » et qu'un outil déployé dans un but donné « ne doit pas poursuivre un autre objectif caché ». Elle s'appuie sur l'article L. 1121-1 du code du travail — aucune restriction aux libertés qui ne soit justifiée par la nature de la tâche et proportionnée au but recherché — et sur la jurisprudence constante de la Cour de cassation selon laquelle « le salarié a droit, même au temps et au lieu de travail, au respect de l'intimité de sa vie privée ». Pour les entreprises de 50 salariés et plus, la consultation du comité social et économique avant la mise en œuvre de toute nouvelle technologie de contrôle n'est pas une formalité : son absence suffit à rendre le dispositif illicite. Ce n'est pas de la doctrine théorique. Le 19 décembre 2024, la CNIL a prononcé une sanction de 40 000 euros contre une entreprise du secteur immobilier (délibération SAN-2024-021) pour surveillance disproportionnée de ses salariés, via un logiciel qui mesurait les périodes d'« inactivité » et réalisait des captures d'écran régulières de leurs ordinateurs, doublé d'une captation vidéo permanente. La délibération range explicitement les keyloggers et les captures d'écran à intervalles réguliers parmi les dispositifs de surveillance permanente disproportionnés, sauf circonstances exceptionnelles. Et la sanction administrative n'est que la moitié du risque : une preuve obtenue par un dispositif illicite est régulièrement écartée par le juge prud'homal, ce qui peut faire tomber un licenciement. Une nuance d'honnêteté s'impose : Computer History n'est pas un outil de surveillance patronale. C'est une fonction que l'utilisateur active lui-même, sur son propre compte, pour son propre bénéfice. La question juridique ne se pose donc pas dans les mêmes termes que pour un logiciel imposé par l'employeur. Mais dès lors qu'elle tourne sur un poste professionnel et journalise la saisie clavier dans les applications métier, l'employeur redevient responsable du traitement des données personnelles qui transitent — celles des clients, des patients, des candidats, des collègues — sans avoir rien décidé ni rien tracé.

Windows Recall : fonctionnement, données enregistrées et impacts sur la confidentialité — le précédent dont OpenAI s'inspire (YouTube, OptaNova)

Le risque immédiat n'est pas la fonction : c'est le shadow AI

Un dirigeant de PME pourrait s'arrêter là : fonction indisponible en Europe, sujet clos. Ce serait passer à côté du vrai problème. Le blocage annoncé par OpenAI est géographique et contractuel, pas technique. Un salarié équipé d'un Mac, abonné à ChatGPT Pro sur son compte personnel, en déplacement hors d'Europe ou derrière un VPN, se trouve dans une zone grise que l'entreprise ne maîtrise pas — et dont elle n'aura, par construction, aucune trace. Or l'usage non déclaré de l'IA au travail est massif. Selon une enquête Microsoft France / YouGov publiée en janvier 2026, 61 % des utilisateurs d'IA en entreprise recourent à des comptes personnels au moins une fois par semaine. L'étude Okta « AI Agents at Work 2026 » situe la France au niveau le plus prudent des sept pays étudiés, avec un taux de shadow AI d'environ 31 % — un chiffre qui reste considérable, et dont les écarts avec d'autres estimations (jusqu'à 68 % dans une étude Salesforce de 2024) traduisent surtout la difficulté à mesurer un phénomène que personne ne déclare. La logique de fond est toujours la même : le collaborateur avance plus vite que la politique interne. C'est exactement le mécanisme que nous décrivions à propos des 737 fausses extensions VPN du Chrome Web Store — un outil installé en trois clics, jamais inventorié, qui devient une porte d'entrée. Le sujet tombe au moment où la région structure justement sa politique en la matière. Réunie en séance plénière le jeudi 18 juin 2026, la Région Hauts-de-France a adopté sa feuille de route pour l'usage de l'intelligence artificielle, avec l'ambition affichée de faire du territoire « une véritable vallée européenne de l'IA ». Parmi ses six priorités figurent l'aide aux entreprises, « notamment les TPE-PME », et l'inscription de l'ensemble des actions « dans un cadre de vigilance sur l'éthique, les données, la cybersécurité, la souveraineté et la sobriété numérique ». Computer History est un cas d'école pour ce cadre de vigilance : une fonction utile, légale là où elle est proposée, et pourtant impossible à laisser entrer sans règles dans une entreprise qui manipule des données de clients.

Cinq vérifications à faire cette semaine dans une PME

Inventorier les applications IA installées sur les postes — application ChatGPT de bureau, extensions de navigateur, assistants intégrés aux suites bureautiques. On ne gouverne que ce qu'on a listé.
Vérifier les autorisations d'accessibilité de macOS (Réglages Système > Confidentialité et sécurité > Accessibilité) : c'est cette permission qui rend techniquement possible la lecture des frappes et des clics par une application tierce.
Écrire une règle simple et opposable : quels outils IA sont autorisés, sur quels comptes (professionnels, jamais personnels), pour quels types de données — et l'annexer à la charte informatique.
Passer par les comptes Business ou Enterprise plutôt que par des abonnements individuels : c'est la seule façon de disposer de réglages administrateur, de journaux et d'un cadre contractuel de traitement des données.
Préparer le volet social : toute fonction de journalisation d'activité déployée sur des postes professionnels relève du dialogue avec le CSE au-dessus de 50 salariés, et d'une information préalable des salariés dans tous les cas.

Injection de prompt : le risque qu'OpenAI reconnaît lui-même

Un dernier point, technique mais décisif, figure noir sur blanc dans la documentation d'OpenAI : la fonction « augmente les risques d'injection de prompt provenant du contenu des applications et des sites web ». La mécanique est simple à comprendre. À partir du moment où l'assistant lit et résume ce qui se passe dans les applications et les pages consultées, une instruction malveillante dissimulée dans un document, un e-mail ou une page web peut se retrouver interprétée comme une consigne. C'est la faille structurelle des agents IA, que nous avons détaillée dans notre dossier sur l'injection de prompt : le modèle ne distingue pas nativement une donnée d'une instruction. OpenAI signale aussi un effet plus prosaïque : la fonction consomme des jetons pour résumer l'activité et produire les fichiers qu'elle exploite ensuite. Sur une flotte de postes, ce coût n'est pas neutre. Pour les entreprises qui vont au-delà de l'usage individuel et commencent à déployer de vrais agents, la démarche à suivre reste celle que nous avons documentée dans notre guide de gouvernance de l'IA agentique pour les PME et ETI des Hauts-de-France, dans un environnement réglementaire durci depuis l'entrée en application des obligations de transparence de l'AI Act, le 2 août 2026.

Démonstration de Computer History et des nouveautés associées de ChatGPT (YouTube, en anglais)

Ce qu'il faut surveiller dans les prochains mois

Trois signaux méritent d'être suivis. Le premier est l'ouverture éventuelle de la fonction à l'Espace économique européen : OpenAI n'a annoncé aucun calendrier, mais l'histoire récente montre que ces exclusions sont rarement définitives — elles durent le temps de sécuriser un montage juridique. Le deuxième est le passage à Windows : Computer History est aujourd'hui limité à macOS, et rien n'indique que ce soit un choix pérenne. Le troisième est la réaction des autorités de protection des données européennes, qui avaient scruté Windows Recall de près et disposent, avec la formule employée par la documentation d'OpenAI elle-même — clics, saisie clavier, raccourcis — de tous les éléments pour qualifier le traitement. Pour une PME de la région, la bonne fenêtre pour poser ses règles est maintenant, tant que la fonction n'est pas là : après, il faudra les faire respecter.

Questions fréquentes

Computer History est-il disponible en France ?

Non. OpenAI indique que les utilisateurs situés dans l'Espace économique européen, en Suisse et au Royaume-Uni ne sont pas concernés par ce lancement initial. La fonction est par ailleurs limitée à l'application macOS et réservée aux abonnements ChatGPT Pro, Business et Enterprise, et elle est désactivée par défaut. Aucun calendrier d'ouverture à l'Europe n'a été communiqué.

Est-ce que ChatGPT capture mon écran ?

Non, et c'est la différence revendiquée avec Windows Recall. OpenAI précise que Computer History ne capture ni image, ni vidéo, ni son : la fonction s'appuie sur un flux d'événements d'interaction (clics, saisie au clavier, raccourcis, changements d'application) issu du système d'accessibilité de macOS, et sur les seules applications et sites que l'utilisateur a explicitement autorisés. Ces événements sont ensuite transformés en résumés textuels.

Mes données restent-elles sur mon ordinateur ?

Pas entièrement. Les résumés et fichiers générés sont stockés en mémoire locale et les journaux bruts temporaires sont conservés 48 heures au maximum, selon OpenAI. Mais l'entreprise indique aussi que les fichiers de journaux sont traités sur ses serveurs pour générer les souvenirs. Elle affirme ne pas les conserver après traitement, sauf obligation légale, et ne pas les utiliser pour l'entraînement de ses modèles — en revanche, les résultats produits peuvent l'être si l'utilisateur ne l'a pas désactivé dans ses réglages de contrôle des données.

Un employeur peut-il installer ce type d'outil pour surveiller ses salariés ?

Non, pas dans cette configuration. La CNIL cite le logiciel d'enregistrement des frappes au clavier comme exemple type de dispositif interdit car disproportionné : il ne permet pas de distinguer les informations professionnelles des informations personnelles et place les personnes sous surveillance constante. Un dispositif de contrôle n'est licite que s'il est justifié et proportionné, soumis aux instances représentatives du personnel (CSE dès 50 salariés) et porté à la connaissance des salariés avant sa mise en place. À défaut, le risque est double : sanction de la CNIL, et rejet par le juge des preuves obtenues par ce moyen.

Que faire concrètement si un salarié utilise ChatGPT sur son compte personnel au travail ?

Trois mesures, dans cet ordre. Inventorier : lister les applications et extensions IA réellement installées sur les postes, y compris celles qui n'ont jamais transité par le service informatique. Encadrer : écrire une règle courte précisant les outils autorisés, les comptes à utiliser (professionnels uniquement) et les catégories de données interdites de saisie. Basculer : proposer un accès Business ou Enterprise plutôt que d'interdire sans alternative — l'interdiction sèche est le premier moteur du shadow AI. Le CSIRT Hauts-de-France (0806 700 111) accompagne gratuitement les structures de la région sur ces sujets.

Sources