Voici les 5 signes discrets qui trahissent une IA peu sûre pour vos données

Comment savoir si un outil d'IA n'est pas sûr pour vos données ? Il laisse presque toujours des indices. Certains sont visibles. D'autres sont discrets. Voici les cinq signes qui trahissent une IA peu sûre, du moins au plus grave. Pour chacun, je montre comment le repérer et le risque concret. Et il existe une parade qui tient quel que soit l'outil : anonymiser les données sensibles avant l'envoi.

Le classement en un coup d'œil

Un point d'abord. Aucun de ces signes ne prouve, à lui seul, une mauvaise intention. Mais chacun agrandit le risque. Plus un outil en cumule, moins vos données sont sûres. Lisez ces signaux comme un test rapide, avant de coller la moindre donnée sensible.

Voici le classement, du moins au plus grave :

1. 1Il entraîne ses modèles sur vos saisies par défaut. Le réglage d'entraînement est activé au départ ; à vous de le couper.
2. 2Sa politique de confidentialité reste vague, ou il s'octroie une licence large sur votre contenu.
3. 3Il n'offre pas d'opt-out, ou un opt-out qui ne vaut que pour l'avenir.
4. 4Il cache où il héberge et traite vos données. Pas de résidence des données, pas de juridiction claire.
5. 5Il réclame des permissions excessives. Une extension ou une appli qui lit tout ce que vous tapez.
6. 6La parade transverse — ONYRI Sanitize : anonymisez les données sensibles dans le navigateur avant l'envoi. Un outil montrant n'importe lequel de ces signes ne reçoit alors que des jetons.

Signes 1 à 3 : ce que l'outil fait de vos données

Premier signe : l'outil entraîne ses modèles sur vos saisies par défaut. Comment le repérer ? Ouvrez les réglages de données. Cherchez un interrupteur d'entraînement déjà activé. Chez OpenAI, par exemple, les versions grand public de ChatGPT utilisent vos conversations pour améliorer les futurs modèles par défaut. Cela couvre les comptes Free, Plus et Pro personnels. Pour couper cela, désactivez « Improve the model for everyone » dans les Contrôles des données. Les offres ChatGPT Team, Enterprise, Edu et l'API n'entraînent pas sur vos données par défaut, et un contrat de traitement (DPA) les accompagne. Le risque est simple. Vos mots nourrissent un modèle que vous ne pilotez pas. Notre guide pour savoir si un outil d'IA est sûr détaille ce contrôle.

Deuxième signe : une politique de confidentialité vague, ou une licence large sur votre contenu. Un mot d'ordre : lisez les termes. Certains fournisseurs s'accordent des droits très étendus sur ce que vous saisissez. Les analyses du secteur parlent de droits irrévocables, perpétuels, mondiaux et gratuits. Le fournisseur peut alors utiliser, reproduire, modifier, distribuer et afficher votre contenu — y compris pour entraîner ses modèles. La Federal Trade Commission américaine (FTC) a mis en garde en février 2024. Changer discrètement ses conditions pour utiliser les données autrement peut être trompeur ou déloyal. Une entreprise qui a collecté des données sous un engagement ne peut pas le renier seule. Une mise à jour silencieuse, sans avis clair ni consentement, ne suffit pas.

Troisième signe : pas d'opt-out, ou un opt-out qui ne vaut que pour l'avenir. Vérifiez deux choses. D'abord, un refus est-il possible ? Ensuite, agit-il sur le passé ? En général, se retirer ne regarde que l'avenir. Cela empêche vos futurs échanges de servir à l'entraînement. Mais cela n'efface pas les conversations passées. Et cela ne retire pas les données déjà utilisées dans un entraînement terminé. La raison est technique. « Désapprendre » est très difficile pour un modèle. Supprimer une ligne dans une base est simple. Retirer un exemple précis des paramètres d'un modèle entraîné ne l'est pas. Une fois la donnée absorbée, elle est presque impossible à retirer. La FTC a d'ailleurs visé des entreprises qui réécrivent leurs règles en douce. Elle a accusé une société de tests génétiques d'un partage illégal. Cette société aurait élargi le partage de données à des tiers de façon rétroactive. Le tout sans prévenir ni obtenir le consentement des personnes déjà inscrites.

Signes 4 et 5 : où vont vos données, et qui les lit

Quatrième signe : un hébergement et une juridiction opaques. Cherchez une chose simple. Où vos données sont-elles stockées et traitées ? Le RGPD encadre les transferts de données personnelles hors de l'Espace économique européen. Un transfert n'est licite qu'avec un mécanisme prévu. Ce peut être une décision d'adéquation de la Commission européenne. Ou des clauses contractuelles types. Ou des règles d'entreprise contraignantes. Le but : que la protection du RGPD suive la donnée. Le RGPD n'oblige pas à garder les données en Europe. Mais il régule et documente chaque transfert. Une organisation doit savoir où résident les données et sur quelle base elles voyagent. Donc un outil qui cache où il héberge vos données pose problème. Sans résidence ni juridiction annoncées, impossible de vérifier la moindre garantie.

Cinquième signe, le plus grave : des permissions excessives. Regardez ce que l'outil réclame. Une extension ou une appli qui « lit et modifie toutes vos données sur les sites visités » voit beaucoup. Cette permission large la laisse observer chaque page chargée. Elle peut injecter du code. Elle peut lire les champs de formulaire, les identifiants enregistrés et les cookies de session. Autrement dit, une extension trop permissive capte en silence tout ce que vous tapez ou voyez. Y compris ce que vous collez dans un outil d'IA. Le risque n'est pas théorique. Une étude évaluée par des pairs, « A Study on Malicious Browser Extensions in 2025 », le documente. Des extensions malveillantes servent au hameçonnage, à l'espionnage, au spam et à la fraude au paiement. Les chercheurs ont même contourné la revue de sécurité de Chrome et de Firefox pour publier des extensions malveillantes fonctionnelles. Preuve que le contrôle des boutiques garde des failles.

Comment vous en servir

Vous connaissez les cinq signes. Voici comment agir. Fuir tout outil imparfait n'est pas réaliste. Le meilleur réflexe est transverse. Retirez les données sensibles avant qu'elles ne partent. C'est le rôle d'ONYRI Sanitize. L'outil détecte les données sensibles et les remplace par des jetons réversibles, dans votre navigateur. Un outil qui présente n'importe lequel de ces cinq signes ne reçoit alors que des jetons. Pas les noms réels, ni les identifiants, ni les montants, ni les clés d'API. Même un outil qui entraîne sur vos saisies ne voit jamais la vraie donnée. Notre guide pour savoir si un outil d'IA est sûr complète cette liste de contrôle.

• Lisez les réglages de données. Coupez tout entraînement activé par défaut.
• Cherchez une politique claire, pas une licence large sur votre contenu.
• Vérifiez qu'un opt-out existe — et ce qu'il couvre vraiment.
• Demandez où vos données sont hébergées et sous quelle juridiction.
• Contrôlez les permissions d'une extension avant de l'installer.
• Et surtout, anonymisez les données sensibles avant l'envoi.

C'est tout l'intérêt d'ONYRI Sanitize. Le moteur remplace les données sensibles par des jetons réversibles avant l'envoi. La détection et le mapping jeton↔valeur restent dans votre navigateur. Seul un texte anonymisé atteint l'outil. Même une IA peu sûre n'y trouve que des jetons — jamais vos informations réelles.