Quand « supprimer la conversation » ne suffit pas

Supprimer une conversation dans une IA ne garantit pas qu'elle soit effacée. En 2025, dans le litige opposant le New York Times à OpenAI, un tribunal a ordonné à OpenAI de préserver tous les journaux de sortie de ChatGPT — y compris les conversations que des utilisateurs avaient supprimées et celles ouvertes en « temporary chat ». Autrement dit : une obligation légale peut suspendre les politiques d'effacement. La seule donnée qu'on est certain de ne pas voir conservée est celle qu'on n'a jamais envoyée.

Ce qu'a ordonné le tribunal

Le 13 mai 2025, une juge a ordonné à OpenAI de « préserver et isoler toutes les données de journaux de sortie qui seraient autrement supprimées », et ce de façon prospective jusqu'à nouvel ordre. Concrètement, cela couvrait même le contenu que les utilisateurs avaient choisi de ne pas conserver — en supprimant des conversations ou en utilisant un chat temporaire. OpenAI s'y est publiquement opposé, qualifiant l'ordonnance d'atteinte à la vie privée et de rupture avec les normes établies. La conservation imposée par cette ordonnance a, depuis, été levée — mais le précédent, lui, reste : un tiers peut être contraint de garder ce que vous pensiez avoir effacé.

« Supprimé » ne veut pas dire « effacé »

Sur la plupart des services, « supprimer » retire l'élément de votre vue et lance un effacement différé côté serveur. Mais entre votre clic et l'effacement réel, plusieurs choses peuvent intervenir : sauvegardes, journaux techniques, et — comme ici — obligations légales de conservation (« litigation hold ») qui suspendent toute suppression. Ce qui semble parti de votre interface peut rester, segregé, sur des serveurs tiers.

Pourquoi c'est structurel, pas un cas isolé

Ce mécanisme ne dépend pas d'un fournisseur particulier. Dès qu'une donnée est confiée à un service tiers, elle entre dans le périmètre d'obligations qui vous échappent :

• des obligations de conservation liées à un litige peuvent geler toute suppression ;
• des sauvegardes et journaux techniques survivent à un « delete » d'interface ;
• des règles de rétention varient selon le pays et le type de compte.

La parade : ne jamais envoyer la donnée sensible

Si la conservation échappe à votre contrôle une fois la donnée transmise, la seule garantie solide est en amont : ne pas transmettre la donnée sensible. Tout ce qui n'a jamais quitté votre navigateur ne peut être ni conservé, ni produit, ni exposé par un tiers.

1. 1Partez du principe que tout prompt peut être conservé, quels que soient vos réglages.
2. 2Retirez la donnée sensible avant l'envoi plutôt que de compter sur une suppression future.
3. 3Gardez la correspondance jeton↔valeur en local, pour rester maître de l'original.

C'est la logique d'ONYRI Sanitize : le moteur détecte les données sensibles et les remplace par des jetons réversibles avant l'envoi ; la détection et le mapping jeton↔valeur restent dans votre navigateur, et seul un texte anonymisé atteint l'IA. Qu'un log soit conservé ou non, il ne contient pas votre information réelle.