L'expansion de l'intelligence artificielle a transformé la vie quotidienne, de la programmation à la rédaction d'e-mails et à la gestion d'informations complexes. Selon OpenAI, ChatGPT a atteint 900 millions d'utilisateurs actifs hebdomadaires au début de cette année, ce qui témoigne de l'ampleur de sa pénétration. Cependant, cette croissance suscite des préoccupations fondamentales concernant le traitement des informations personnelles et confidentielles que les utilisateurs saisissent sur la plateforme.
Le chercheur en sécurité informatique de ESET Amérique Latine, Mario Micucci, avertit que la perception selon laquelle les conversations sur ChatGPT disparaissent une fois la fenêtre fermée est erronée. En réalité, l'information passe par trois étapes principales :
Stockage et historique : les messages envoyés sont conservés sur les serveurs d'OpenAI. Cela permet d'accéder à l'historique depuis différents appareils et de maintenir le contexte de la conversation. Dans certaines situations, les données peuvent être archivées jusqu'à 30 jours, principalement pour des tâches de sécurité et de surveillance d'éventuels abus.
Entraînement des modèles : OpenAI utilise par défaut les conversations des versions gratuite et Plus pour perfectionner ses modèles. Ce n'est pas le cas pour les comptes Business, Enterprise, Edu, Healthcare, ni pour l'utilisation de l'API, où l'entraînement avec les données des utilisateurs est désactivé par défaut.
Ce point représente le principal défi en matière de confidentialité, car des fragments d'informations confidentielles pourraient finir par être traités pour améliorer l'intelligence artificielle. “Les modèles de langage peuvent mémoriser des fragments de leurs données d'entraînement et, dans certaines circonstances, cette information peut être extraite par des techniques spécialisées”, explique Micucci.
Revue humaine : pour garantir la qualité et la sécurité des réponses, un échantillon de dialogues anonymisés est examiné par du personnel qualifié. Ces spécialistes lisent des fragments de conversations pour détecter d'éventuels contenus offensants ou dangereux. Ainsi, non seulement les algorithmes peuvent accéder à ce qui est écrit, mais aussi de vraies personnes, bien que dans le cadre de protocoles d'anonymisation.
Risques pour la confidentialité et menaces externes
Le plus grand danger, selon Micucci, réside dans le fait que l'intelligence artificielle “apprenne” des modèles des textes partagés et les reproduise dans de futures réponses de manière générale. “Saisir des informations confidentielles peut exposer à la perte de contrôle sur des informations sensibles et à des risques de mémorisation ou d'extraction de données déjà documentées dans des recherches sur les modèles de langage”, souligne-t-il.
Pour cette raison, il est recommandé que les documents stratégiques, le code propriétaire, les identifiants, les données clients ou les documents internes ne soient utilisés que dans des outils d'IA validés par l'entreprise et avec des contrôles stricts de confidentialité.
ESET alerte également sur la menace externe croissante que représentent les cybercriminels intéressés par les identifiants d'accès à ChatGPT. La plateforme, en raison de son utilité et de la quantité de données sensibles qu'elle gère, devient une cible attrayante pour l'espionnage industriel et le vol d'identité. En 2024, plus de 225 000 enregistrements de connexion ChatGPT ont été mis en vente sur des forums du Dark Web. Ce phénomène, facilité par des logiciels malveillants de type infostealer, met en évidence que le risque ne réside pas seulement dans ce qui est écrit, mais aussi dans qui peut accéder à l'historique si un compte est compromis.
Comment protéger vos données
Pour atténuer ces risques, ESET propose ces mesures pratiques :
1. Anonymisation et gestion du comportement : La première défense est le bon sens. Il ne faut jamais entrer des informations que l'on ne partagerait pas publiquement. Il est conseillé de remplacer les noms de clients par des alias, d'omettre des valeurs financières spécifiques et d'éviter d'inclure des fragments de code avec des clés d'accès ou des vulnérabilités. Une fois traitées par l'intelligence artificielle, la suppression complète de ces données est techniquement complexe.
2. Protection des comptes : L'utilisation de mots de passe robustes et uniques pour chaque compte, ainsi que l'activation de l'authentification à deux facteurs (2FA) disponible sur OpenAI, Google ou Anthropic, est essentielle. De plus, maintenir à jour le système d'exploitation et l'antivirus aide à prévenir le vol d'identifiants par des programmes malveillants.
3. Contrôle de la confidentialité et configuration : Il n'est pas recommandé d'accepter la configuration par défaut. Il est préférable d'explorer le menu des “Contrôles de données” de ChatGPT pour désactiver l'historique des conversations et l'entraînement des modèles. Dans le cas de Gemini, vous pouvez gérer l'activité dans “Activité dans les apps de Gemini” pour définir quelles informations Google stocke. Ces actions réduisent considérablement l'exposition des données personnelles.
L'utilisation d'intelligence artificielle comme ChatGPT offre des avantages évidents en matière de productivité et d'efficacité, mais exige des utilisateurs qu'ils adoptent une posture active de protection de leurs données. Opter pour des configurations plus strictes et maintenir des pratiques sécurisées constitue la meilleure défense contre les nouveaux scénarios de risque numérique.