Grok est-il chiffré ? (et pourquoi ce n'est pas la même chose que privé)

La réponse tient en deux temps. Oui, la connexion à Grok est presque certainement chiffrée. Comme tout service web sérieux, xAI utilise HTTPS/TLS, le chiffrement du transport. Mais ce chiffrement protège le tuyau, pas votre vie privée face au fournisseur. Chiffrement en transit ne veut pas dire chiffrement de bout en bout. Grok n'est pas privé vis-à-vis de xAI. La société peut lire, stocker, relire et, selon vos réglages, entraîner ses modèles sur vos échanges. TLS empêche un tiers du réseau de vous espionner. Il n'empêche pas xAI d'utiliser ce que vous envoyez. La parade est simple : gardez les données sensibles hors du prompt, anonymisez-les avant l'envoi.

Chiffré en transit : ce que ça protège vraiment

Le chiffrement en transit est celui d'HTTPS et de TLS. Il protège vos données pendant qu'elles voyagent entre votre appareil et le serveur. Le NCSC, le centre britannique de cybersécurité, le décrit ainsi. Ce chiffrement garde le chemin réseau contre l'interception et la falsification. Un pirate sur le même Wi-Fi ne peut pas lire votre trafic. Un intermédiaire réseau non plus.

C'est réel et utile. Mais son périmètre s'arrête au bord du serveur. Le NCSC parle de la protection sur le chemin réseau. Il ne parle pas de ce qui arrive une fois les données reçues et traitées par le service. Voilà le point que la question « Grok est-il chiffré ? » laisse dans l'ombre.

Chiffré ne veut pas dire privé face à xAI

Le chiffrement de bout en bout est une tout autre garantie. IBM l'explique clairement. Les données sont chiffrées sur l'appareil de l'expéditeur. Seul le destinataire prévu peut les déchiffrer. Aucun intermédiaire ne lit le contenu, pas même les serveurs de l'application. Le TLS ordinaire ne fait pas ça. Le serveur qui reçoit déchiffre le message. Il accède donc au contenu en clair.

Un chatbot est le cas type. Grok doit lire votre prompt pour y répondre. Le contenu arrive donc en clair côté xAI. L'ICO, le régulateur britannique des données, souligne cette limite. Une fois arrivées, les données sont en général stockées en clair sur le système du destinataire, sauf chiffrement supplémentaire. Et si l'application traite réellement les données, il est très difficile de les garder inaccessibles au fournisseur. C'est exactement la situation d'un assistant IA.

L'ICO ajoute un cadrage utile sur le cloud. Utiliser un service en ligne, c'est confier vos données personnelles à un fournisseur. Ce fournisseur en devient responsable. Donc qui peut y accéder et les traiter chez lui est une question de vie privée à part entière. Elle est distincte de la question du chiffrement de la connexion.

Ce que xAI dit de la conservation de vos données

Passons à Grok et à xAI. Selon la politique publiée par xAI, les conversations d'un utilisateur connecté sont conservées. Supprimer une conversation, ou utiliser le mode Private Chat, la retire des systèmes de xAI sous environ 30 jours. Des exceptions existent. Les données dé-identifiées, ou celles à garder pour des raisons de sécurité ou de conformité légale, peuvent rester plus longtemps.

xAI propose aussi des réglages qui réduisent l'exposition. Un mode Private Chat, ou temporaire, garde une conversation hors de l'historique et hors de l'entraînement. Un réglage Data Controls gouverne l'usage de votre contenu pour améliorer le modèle. Les rapports divergent sur le défaut exact, opt-in ou opt-out pour l'entraînement. Nous ne trancherons pas ici. Les noms des réglages changent aussi avec le temps.

La parade : anonymiser avant l'envoi

Le raisonnement mène à une conclusion nette. Le chiffrement protège le tuyau, pas votre vie privée face au modèle. Les réglages de conservation aident, mais ils changent et restent sous le contrôle de xAI. La seule méthode fiable est plus simple. Ne mettez pas la donnée sensible dans le prompt. Anonymisez-la avant l'envoi. Ainsi le fournisseur ne la reçoit jamais, quels que soient ses réglages de rétention ou d'entraînement.

Concrètement, gardez trois catégories hors du prompt. Les noms et coordonnées de personnes. Les identifiants et secrets techniques, comme une clé API. Les détails financiers, comme un RIB ou un montant. Si vous devez décrire un cas réel, remplacez chaque valeur par un jeton. Le modèle raisonne sur la structure, sans voir les vraies données.

1. 1Repérez les données sensibles dans votre texte : noms, identifiants, secrets, montants.
2. 2Remplacez-les par des jetons réversibles, côté navigateur.
3. 3Envoyez seulement le texte anonymisé à Grok.
4. 4Restaurez les vraies valeurs dans la réponse, en local.

C'est le rôle d'ONYRI Sanitize. Le moteur détecte les données sensibles — noms, identifiants, clés, montants — et les remplace par des jetons réversibles avant l'envoi. La détection et le mapping restent dans votre navigateur. Seul un texte anonymisé atteint le modèle. Grok n'y trouve que des jetons, jamais vos vraies valeurs. Le chiffrement de la connexion protège le tuyau ; l'anonymisation, elle, protège votre contenu même du fournisseur.