Posez la question sur un forum et vous obtenez deux réponses assurées : « bien sûr qu'ils vendent tout » et « ce serait illégal ». Les deux sont fausses, et l'écart entre elles est là où se trouve l'information utile.
« Vendre » recouvre trois choses différentes
Vendre le contenu de vos conversations. Remettre des journaux de conversation à un tiers contre de l'argent est rare, serait juridiquement risqué dans la plupart des marchés, et ferait la une dès le jour de la fuite. Les éditeurs le démentent haut et fort, et il n'existe aucune preuve publique qu'une application de compagnon grand public le fasse.
Partager des données d'usage avec des annonceurs. C'est le cas courant. Du code publicitaire ou d'analyse intégré à une application ou à un site - un kit de développement logiciel, ou « SDK » - rapporte ce que vous faites, quand, et sur quel appareil. Selon la loi californienne sur la vie privée, transmettre des informations personnelles à des tiers pour de la publicité comportementale inter-contextes relève du « partage », et les échanger contre quoi que ce soit de valeur peut relever de la « vente ». Une application peut donc dire en toute vérité n'avoir jamais vendu vos conversations tout en vous vendant, au sens juridique.
Transmettre des données à des prestataires de services. La société qui héberge les serveurs, le fournisseur de modèle qui génère les réponses, le prestataire de paiement qui débite votre carte. Ces transferts sont nécessaires au fonctionnement du produit et ne sont pas une vente, mais ce sont quand même des copies de vos données dans les systèmes de quelqu'un d'autre.
Il existe une quatrième voie que l'on oublie : le changement de propriétaire. Presque toutes les politiques disent que vos données passent à l'acquéreur si l'entreprise est vendue. L'application de compagnon Soulmate a changé de mains peu avant sa fermeture en 2023 - voir quand votre compagnon IA change du jour au lendemain.
Ce qu'a trouvé le seul audit systématique
En février 2024, la fondation Mozilla a examiné 11 chatbots IA romantiques pour son guide Privacy Not Included, dont Replika, Chai et EVA AI. À eux tous, ils totalisaient environ 100 millions de téléchargements sur Google Play. Chacun d'eux a reçu l'étiquette d'avertissement de Mozilla sur la vie privée.
Part des 11 applications examinées par Mozilla en février 2024 qui correspondaient à chaque constat. Source : Mozilla Foundation, Privacy Not Included.
Les chiffres sur les traceurs étaient le point le plus frappant. Mozilla a compté en moyenne 2 663 traceurs durant la première minute d'utilisation sur l'ensemble des applications - une moyenne tirée très haut par une seule application, Romantic AI, qui en a déclenché 24 354 en une minute. La suivante, EVA AI, en a déclenché 955.
Deux réserves avant de conclure. C'était un instantané du début 2024, et les politiques changent. Et plusieurs applications qui dominent aujourd'hui la catégorie ne figuraient pas dans l'échantillon. L'intérêt de l'audit tient moins aux verdicts sur telle ou telle application qu'à ce qu'il montre des réglages par défaut de la catégorie.
Lire une politique de confidentialité pour obtenir la réponse
Inutile de tout lire. Cherchez-y une poignée d'expressions et lisez le paragraphe autour de chacune.
| Si la politique dit | Cela veut généralement dire | Faut-il s'en inquiéter ? |
|---|---|---|
| « Nous ne vendons pas vos informations personnelles » | Pas de vente au sens strict. Vérifiez « partager » séparément | Seulement si « partager » apparaît aussi |
| « Partenaires publicitaires », « publicité ciblée » | Des traceurs construisent un profil publicitaire à partir de votre usage | Oui - refusez quand c'est possible |
| « Nos affiliés » | D'autres sociétés du même propriétaire, parfois de nombreuses applications | Cela dépend de qui est le propriétaire |
| « Pour améliorer nos services », « entraîner » | Vos conversations peuvent servir à entraîner des modèles | Oui - cherchez un moyen de refuser |
| « Fusion, acquisition ou vente d'actifs » | Un acquéreur reçoit vos données si l'entreprise est vendue | Courant, mais gardez-le en tête |
| « Lorsque nous estimons une divulgation nécessaire » | Communication aux autorités sans décision de justice | Oui, si rien de plus précis n'est dit |
Un lien en pied de page intitulé « Do Not Sell or Share My Personal Information » ou « Your Privacy Choices » est un indice utile en soi. La Californie l'exige des entreprises qui vendent ou partagent des informations personnelles : sa présence admet donc qu'un partage a lieu - et offre un bouton pour l'arrêter.
Un contrôle de cinq minutes à faire ce soir
- Cherchez dans la politique les mots vend, partag, publicit, entraîn et affili. Cinq recherches, cinq paragraphes.
- Regardez les étiquettes des boutiques. La section « Données utilisées pour vous suivre » d'Apple et la section « Sécurité des données » de Google Play sont remplies par le développeur : ce sont des déclarations, pas des audits - mais une application qui admet un suivi à cet endroit ne sera pas meilleure dans la pratique.
- Activez le Global Privacy Control dans votre navigateur si vous utilisez la version web. En Californie, la loi oblige les entreprises à le traiter comme un refus de vente et de partage ; ailleurs, ne comptez pas dessus comme unique protection.
- Refusez la demande de suivi sur iPhone, et réinitialisez votre identifiant publicitaire sur Android.
- Regardez si l'application affiche de la publicité. Si oui, votre attention et vos données participent à son financement - voir comment les applications de compagnon IA gagnent de l'argent.
Là où la loi aide, et là où elle s'arrête
En France, le RGPD vous donne des droits concrets sur ce que l'application détient : l'accès à vos données (article 15) et leur effacement (article 17). Écrivez d'abord à l'organisme, au délégué à la protection des données ou au contact vie privée de l'application, et gardez la preuve de votre demande et des captures d'écran. L'organisme dispose d'un mois pour répondre, délai qui peut aller jusqu'à trois mois pour une demande complexe, avec explication. S'il ne répond pas, répond de façon incomplète ou refuse, vous pouvez alors déposer une plainte auprès de la CNIL, en ligne ou par courrier (CNIL, 3 place de Fontenoy, 75007 Paris), en français, avec les coordonnées de l'organisme et la preuve de vos démarches. La CNIL prévient que les délais de traitement peuvent être longs.
Les autorités européennes s'en servent : l'autorité italienne de protection des données a infligé à l'éditeur de Replika une amende de 5 millions d'euros en 2025, en partie pour une politique de confidentialité qui n'expliquait pas ce qui était fait des données des utilisateurs. Aux États-Unis, la Californie, ainsi qu'une liste croissante d'États dotés d'une loi générale sur la vie privée, ouvrent des droits comparables.
Le cadre juridique des compagnons IA, présenté dans le droit des compagnons IA en France et en Europe, porte surtout sur l'information des utilisateurs et la gestion des situations de crise, et ajoute peu sur les données. L'exception principale est étroite et américaine : la loi de l'Utah sur les chatbots de santé mentale leur interdit de vendre ou de partager les informations de santé des utilisateurs et de cibler des publicités d'après ce qu'ils écrivent.
La réponse honnête
La plupart des applications de compagnon ne vendent pas vos conversations. Beaucoup laissent en revanche des sociétés de publicité et d'analyse observer la façon dont vous les utilisez, et presque toutes gardent le droit d'en faire plus que ce qu'elles font aujourd'hui. La différence entre une application soigneuse et une négligente se voit dans sa politique et ses réglages, et il faut cinq minutes pour la trouver. Ce sont cinq minutes bien employées avant de taper quoi que ce soit que vous ne voudriez pas voir dans la base de données de quelqu'un d'autre - et nos quatre contrôles de confidentialité couvrent le reste.