Pourquoi anonymiser ?

Un incident technique, un bug, une attaque

Aucune politique ne protège d'une erreur d'ingénierie ou d'une intrusion réussie. Deux cas suffisent à illustrer le propos.

Le 20 mars 2023, un bug dans la bibliothèque Redis utilisée par OpenAI a exposé les titres de conversations ChatGPT à d'autres utilisateurs pendant environ neuf heures. Pour environ 1,2 % des abonnés ChatGPT Plus actifs pendant cette fenêtre, des informations de paiement partielles (nom, e-mail, quatre derniers chiffres de la carte, date d'expiration) étaient également visibles depuis des comptes tiers. OpenAI a publié un post-mortem public reconnaissant l'incident.

En janvier 2025, des chercheurs de Wiz Research ont découvert qu'une base de données ClickHouse de DeepSeek était joignable sur Internet sans authentification. Plus d'un million de lignes de journaux étaient exposées, incluant des historiques de conversations, des clés API et des métadonnées d'infrastructure interne.

Dans les deux cas, les données ont fuité sans procès, sans injonction et sans intention malveillante de la part de l'entreprise. Un bug, une configuration oubliée, et le périmètre contractuel perd son sens.

Vos données utilisées pour l'entraînement

« Si c'est gratuit, c'est vous le produit. » Le vieil adage du web commercial s'applique aussi aux LLM. Faire tourner l'inférence sur un grand modèle coûte cher : chaque réponse mobilise des GPU en temps réel et le fournisseur paie cette facture à chaque requête. Pourtant, OpenAI, Google et d'autres proposent des paliers gratuits très généreux. Les raisons commerciales classiques (acquisition d'utilisateurs, effet de standard de fait) n'expliquent qu'une partie de ce modèle économique. Ces paliers gratuits alimentent aussi la collecte de données d'entraînement.

Sur les paliers gratuits grand public, vos conversations peuvent servir à améliorer le modèle de plusieurs façons : les retours explicites (pouce levé ou baissé, reformulation, régénération) servent de signal d'apprentissage par renforcement, les échanges peuvent être relus par des annotateurs humains pour identifier les modes d'échec, et le corpus complet des conversations peut servir de matière première pour construire les jeux de données des itérations suivantes.

Les offres payantes (API, ChatGPT Enterprise, Claude Team, etc.) excluent en général vos données de l'entraînement par défaut. Sur les paliers gratuits, en revanche, l'option de désinscription est souvent enfouie dans les paramètres, parfois désactivée par défaut, et la politique peut évoluer au fil du temps.

Une injonction judiciaire

Même quand le fournisseur veut supprimer vos données, un tribunal peut l'en empêcher.

Le 13 mai 2025, dans le cadre de son procès contre OpenAI, le New York Times a obtenu de la Magistrate Judge Ona T. Wang une ordonnance de conservation : OpenAI a été tenu de conserver chaque conversation ChatGPT et chaque appel API de ses clients, y compris ceux que l'entreprise aurait normalement supprimés selon sa propre politique. OpenAI s'est opposé publiquement à l'ordonnance en déposant une demande de reconsidération, rejetée en première instance, puis en interjetant appel devant le District Judge Sidney Stein, qui a rejeté l'appel en juin 2025. L'ordonnance a finalement été levée le 26 septembre 2025 (clôture formelle le 9 octobre), les utilisateurs de l'EEE, de Suisse et du Royaume-Uni ayant été exemptés de la mesure.

L'affaire ne s'est pas arrêtée là. Le 7 novembre 2025, la même Magistrate Judge a ordonné à OpenAI de remettre 20 millions de journaux ChatGPT pseudonymisés au New York Times à titre d'élément de preuve. OpenAI a déposé une demande de reconsidération, qui a été rejetée, puis a fait appel. Le 5 janvier 2026, le District Judge Stein a confirmé la décision, entérinant l'obligation de remise.

Cet épisode a deux conséquences pratiques. D'abord, la politique de confidentialité d'un fournisseur n'est jamais définitive : une décision judiciaire à laquelle vous n'êtes pas partie peut la réécrire, forcer la rétention, ou contraindre la remise massive de conversations à un tiers. Ensuite, la fenêtre d'exposition de vos données à une fuite ou à une attaque future s'élargit mécaniquement, et avec elle la probabilité qu'une autorité publique (américaine ou, par commission rogatoire internationale, étrangère) y accède.

Le cadre américain : CLOUD Act, FISA 702, décret 12333

Trois textes structurent l'accès américain aux données des fournisseurs, et aucun d'eux n'est le Patriot Act. Le Patriot Act (2001) revient souvent dans ce débat, mais ce n'est plus le bon texte à citer. Sa disposition de surveillance la plus connue, la Section 215, a été restreinte par le USA FREEDOM Act en 2015, puis a été laissée expirer par le Congrès en mars 2020.

• Le CLOUD Act (2018) oblige tout fournisseur sous juridiction américaine à remettre les données qu'il contrôle, peu importe où ces données sont physiquement stockées. Un centre de données en Irlande ou en France ne met pas les données hors d'atteinte dès lors que l'entreprise est américaine.
• FISA Section 702 est le fondement légal de programmes de surveillance de masse comme PRISM, révélés en 2013 par Edward Snowden. Il autorise la collecte de communications via les principaux fournisseurs américains.
• Le décret 12333 est le cadre plus large de la surveillance par l'exécutif américain, sans supervision judiciaire directe.

Schrems II : la CJUE tranche

En juillet 2020, la Cour de justice de l'Union européenne a invalidé le Privacy Shield, l'accord qui encadrait les transferts de données entre l'UE et les États-Unis. Le raisonnement, en bref : FISA 702 et le décret 12333 sont trop permissifs pour être compatibles avec le RGPD et n'offrent aucun recours judiciaire effectif aux citoyens européens. Plus de 5 300 entreprises s'appuyaient sur le Privacy Shield pour leurs transferts transatlantiques. Un second accord, le Data Privacy Framework (2023), l'a remplacé, mais il repose sur les mêmes fondations juridiques américaines et sa pérennité est contestée.

Microsoft Irlande : la juridiction l'emporte sur la géographie

Entre 2013 et 2018, les autorités américaines ont demandé à Microsoft, via un mandat émis sous le Stored Communications Act, la remise des données d'un client stockées sur ses serveurs en Irlande. Microsoft a résisté jusqu'à la Cour suprême. La procédure n'a jamais été tranchée sur le fond, parce que le Congrès a adopté le CLOUD Act en mars 2018 pour clarifier la réponse : oui, les entreprises américaines doivent fournir les données où qu'elles soient stockées.

Conséquence directe : l'hébergement européen par un fournisseur américain n'offre aucune étanchéité juridique face aux États-Unis. Le marketing « vos données restent en Europe » masque cette asymétrie.

Le cadre européen : un RGPD qui n'a pas encore tenu sur les LLM

Le RGPD reste un outil solide sur le papier, mais son application aux LLM en est à ses premiers pas. Le Garante, l'autorité italienne de protection des données, a ouvert une enquête contre OpenAI dès mars 2023. En décembre 2024, il a infligé à OpenAI une amende de 15 millions d'euros pour traitement sans base légale, manquements à la transparence et absence d'un mécanisme de vérification de l'âge. Mais en mars 2026, le tribunal de Rome a annulé cette décision dans son intégralité. À ce jour, aucune autorité européenne n'a sécurisé en dernier ressort une sanction contre un grand LLM pour une violation du RGPD liée à la phase de collecte d'entraînement.

Surveillance de masse

Une conversation avec un LLM ressemble techniquement à un e-mail ou à une discussion : du texte horodaté, attaché à un compte identifiable. Elle relève du même périmètre de collecte que les autres communications électroniques couvertes par FISA 702, renouvelé pour deux ans en avril 2024 par RISAA, et dont le renouvellement est de nouveau en débat au Congrès en avril 2026. Des rapports déclassifiés du PCLOB documentent plusieurs centaines de milliers de sélecteurs (identifiants de cible) actifs chaque année, et la collecte « about » (suspendue en 2017, puis ré-autorisée) élargit mécaniquement le périmètre à des communications qui ne sont ni adressées à la cible, ni envoyées par elle, mais qui la mentionnent.

Profilage et ciblage politique

L'inquiétude n'est pas spéculative ; elle repose sur des cas documentés de surveillance ciblée dans d'autres couches d'Internet.

• Angela Merkel, octobre 2013 : les révélations Snowden documentent la surveillance par la NSA du téléphone portable de la chancelière allemande, listée comme cible depuis 2002.
• Associated Press, 2012-2013 : le Department of Justice a saisi en secret, en avril-mai 2012, les relevés de plus de vingt lignes téléphoniques d'AP, dans le cadre d'une enquête sur des fuites.
• Pegasus / NSO, 2021 : la coalition Forbidden Stories documente l'usage du logiciel espion Pegasus contre environ 180 journalistes ciblés, ainsi que des militants, avocats, diplomates et chefs d'État dans plus de 20 pays.

Ciblage commercial et courtiers en données

Le risque diffère des deux précédents : il ne demande ni juge, ni mandat. Il repose sur l'écosystème commercial qui entoure les fournisseurs, et se déploie en trois temps.

D'abord, une structure d'incitation. Plusieurs grands acteurs du LLM ont des intérêts adjacents dans la publicité ciblée : Google en fait son cœur de métier, Microsoft (gros actionnaire d'OpenAI) opère Bing Ads, Meta pousse son propre écosystème d'IA générative au sein d'un groupe dont la quasi-totalité du chiffre d'affaires vient du ciblage publicitaire.

Ensuite, l'état actuel des preuves. Aucune preuve aujourd'hui qu'un fournisseur ait revendu des conversations LLM à des courtiers en données. L'argument ne repose donc pas sur une pratique avérée mais sur un risque structurel : des données qui entrent dans un système, détenues par un acteur qui a un intérêt économique à les exploiter, peuvent en ressortir plus tard par des canaux qui n'étaient pas ceux annoncés au départ.

Enfin, la porosité documentée entre l'écosystème publicitaire et la surveillance. Un rapport du directeur du renseignement national daté de janvier 2022 et déclassifié en juin 2023 reconnaît que les agences de renseignement américaines achètent régulièrement des données commerciales auprès de courtiers en données, notamment des données de localisation et de navigation. Ce qui est collecté pour vendre de la publicité peut donc être racheté pour surveiller, sans mandat ni notification.

Pourquoi l'anonymisation casse ce graphe

Une donnée personnelle envoyée en clair devient un nœud dans un graphe potentiel : on peut la croiser avec des réseaux sociaux, des fuites antérieures, des registres publics ou des bases commerciales, pour ré-identifier, enrichir ou cibler. Un jeton de remplacement n'a aucune valeur d'agrégation. Anonymiser avant d'envoyer coupe la racine commune de chaque chaîne d'usage secondaire décrite plus haut.

À une extrémité du spectre, un fournisseur américain hébergé aux États-Unis cumule les trois risques ci-dessus : le CLOUD Act, FISA 702 et le décret 12333 s'appliquent sans filtre, les transferts depuis l'UE reposent sur le Data Privacy Framework contesté, et une décision judiciaire américaine peut imposer la conservation indéfinie des conversations.

Déplacer physiquement les serveurs en Europe ne change presque rien sur le plan juridique. Dès lors que l'entité exploitante est sous juridiction américaine, le CLOUD Act s'applique, peu importe où sont les disques durs.

Changer de juridiction en passant à un fournisseur européen (Mistral, OVHcloud AI, Scaleway, Aleph Alpha) fait tomber par défaut le risque CLOUD Act, sauf si le fournisseur possède une filiale américaine sous contrôle. Le RGPD s'applique pleinement et les autorités européennes peuvent sanctionner. Cela ne rend pas le fournisseur aveugle au contenu : il garde un accès technique complet, la protection reste contractuelle et étatique.

Enfin, faire tourner le modèle en local sur votre propre infrastructure (Ollama, vLLM, llama.cpp ou équivalent) supprime le tiers de l'équation : aucun fournisseur n'a accès technique au contenu, par construction. C'est la protection maximale côté confidentialité. La contrepartie, c'est que toute la responsabilité bascule sur vous : sécurité physique et logique, chiffrement au repos, gestion des accès, mises à jour, journalisation.

Le choix du fournisseur reste important pour beaucoup de choses : latence, coût, qualité du modèle, conformité RGPD globale, écosystème d'intégration. Mais pour le risque spécifique de fuite de données personnelles, l'anonymisation neutralise ce choix. Si seuls des jetons quittent votre infrastructure, un fournisseur américain ne reçoit rien d'exploitable sur vos données sensibles.

Quand c'est une obligation légale

Dans plusieurs métiers, envoyer des données personnelles à un LLM non souverain n'est pas une question de confort, c'est une impossibilité réglementaire.

• Finance : MiFID II, secret bancaire, obligations de confidentialité client.
• Avocats : secret professionnel absolu (article 66-5 de la loi française du 31 décembre 1971). Une consultation client envoyée brute et identifiable à un LLM américain peut constituer une faute déontologique.
• Médecine : secret médical (article L.1110-4 du Code de la santé publique), HIPAA aux États-Unis. Un dossier patient ne peut pas transiter par un service tiers sans garanties techniques lourdes.
• Défense et secteurs stratégiques : régimes spécifiques (classification, CUI aux États-Unis, Diffusion Restreinte en France).

Ce que les grandes entreprises ont déjà tranché

Faute de protection technique disponible en 2023, plusieurs grands groupes ont simplement interdit à leurs employés d'utiliser les LLM cloud.

• Samsung, avril 2023 : plusieurs incidents internes au cours desquels des ingénieurs avaient collé du code source et des notes de réunion dans ChatGPT. En mai 2023, l'entreprise a interdit l'usage des LLM génératifs sur les appareils professionnels.
• Secteur bancaire américain, printemps 2023 : JPMorgan Chase, Bank of America, Citigroup, Goldman Sachs, Deutsche Bank et Wells Fargo ont bloqué ou restreint l'usage de ChatGPT pour leurs employés.

La protection technique fonctionne autrement. Si les données personnelles ne quittent jamais votre infrastructure et que seul un jeton est envoyé au modèle :

• aucune injonction ne peut contraindre un tiers à divulguer ce qu'il ne détient pas,
• aucune modification d'un accord international ne vous touche,
• aucune politique de rétention d'un fournisseur n'est en jeu,
• le fournisseur peut être piraté, racheté ou disparaître : vos données n'y étaient pas.

C'est la différence entre « nous promettons de ne pas regarder » et « nous sommes techniquement incapables de regarder ». Le second est toujours plus solide que le premier.