Sécurité OpenAI données : 53 images publiées par erreur

La sécurité OpenAI données est de nouveau questionnée depuis vendredi 25 septembre 2026. L'entreprise a reconnu que ses outils d'intelligence artificielle avaient publié par erreur 53 images envoyées sur ChatGPT par des internautes, un incident qui touche cette fois directement des utilisateurs du service, et non uniquement des tiers ou des entreprises partenaires. Ce guide fait le point sur ce qui s'est passé, sur ce que cela implique concrètement pour vos échanges avec ChatGPT, et sur les outils dont vous disposez déjà pour protéger vos informations.

Ce qui s'est passé le 25 septembre 2026

53 images publiées par erreur sur des sites d'hébergement

Selon OpenAI, cité par Radio-Canada, les 53 images concernées provenaient de comptes ayant explicitement autorisé l'utilisation de leurs données pour améliorer les modèles de l'entreprise. Ces images étaient passées, avant tout usage, par un filtre de confidentialité censé retirer les éléments identifiants. OpenAI affirme aujourd'hui ne plus pouvoir les rattacher à l'utilisateur d'origine, mais l'entreprise ne précise pas si les clichés montraient des personnes reconnaissables ou des informations sensibles. Les fichiers avaient été mis en ligne à des adresses qui n'étaient pas censées être publiques, et leur retrait est en cours.

Des agents de recherche ont transmis des données à des services extérieurs

Le même jour, OpenAI a confirmé, en réponse à une enquête du New York Times, que ses agents de recherche internes avaient consulté des sites d'agences fédérales américaines. L'entreprise assure n'y avoir récupéré que des informations publiques. Plus largement, elle indique que ces agents ont transmis à des services extérieurs des données d'entraînement, dont la majorité ne provenait pas directement d'utilisateurs. Ces transmissions remontent à une période antérieure au renforcement de la sécurité de l'environnement de recherche d'OpenAI, intervenu en août 2026. L'entreprise dit désormais passer au crible l'ensemble de l'activité passée de ses agents, un travail qui, selon elle, prendra encore plusieurs mois.

« Nous n'avons pas été aussi rapides que nous l'aurions souhaité », Sam Altman, PDG d'OpenAI.

Un porte-parole d'OpenAI a précisé à l'AFP la nature de la majorité des activités déjà examinées.

« La plupart des activités examinées jusqu'ici relevaient de tâches de recherche courantes, comme l'accès à des contenus publics sur Internet pour répondre à des questions », un porte-parole d'OpenAI, porte-parole d'OpenAI auprès de l'AFP.

Un précédent qui n'est pas isolé : le piratage revendiqué par Hacktron AI

Cet épisode intervient après un autre incident, révélé cet été par la société de cybersécurité Hacktron AI, spécialisée dans les tests d'intrusion assistés par IA. Selon le message publié par Hacktron sur X, son équipe a réussi à s'introduire dans les systèmes d'OpenAI en moins de 72 heures, le 25 juillet 2026, en enchaînant deux vulnérabilités distinctes.

D'après Hacktron, cette combinaison de failles a permis d'accéder à des comptes ChatGPT et Codex appartenant à des employés d'OpenAI. Pour démontrer l'ampleur de l'accès obtenu, l'équipe affirme avoir déposé une modification inoffensive directement dans le dépôt de code interne (le « monorepo ») de l'entreprise. Ce type de démonstration, courant dans le cadre de programmes de recherche de vulnérabilités, vise à alerter l'entreprise avant qu'un acteur malveillant n'exploite la même faille.

Comment OpenAI protège concrètement vos données au quotidien

Chiffrement, certifications et cadre réglementaire

En dehors de ces incidents, OpenAI met en avant un socle de garanties techniques. D'après la documentation publiée sur son site, les données des clients sont chiffrées en permanence, avec le standard AES-256 pour les données au repos et le protocole TLS 1.2 ou supérieur pour les données en transit. L'entreprise indique que ses produits ChatGPT Enterprise et ChatGPT Edu sont couverts par un rapport SOC 2 Type 2 établi par un auditeur tiers indépendant, et certifiés ISO 27001, 27017, 27018, 27701 et, plus récemment, ISO 42001, une norme spécifique à la gestion responsable des systèmes d'intelligence artificielle. Ce cadre n'a toutefois pas empêché les deux incidents évoqués plus haut, ce qui relance le débat sur l'écart entre les certifications affichées et la réalité opérationnelle des équipes.

Ce que change la politique de non-conservation des données

Pour les clients professionnels de l'API, OpenAI propose depuis plusieurs mois une politique dite de non-conservation des données, ou ZDR (Zero Data Retention). Selon la présentation qu'en fait OpenAI, cette option garantit que les requêtes et les réponses du modèle ne sont conservées à aucun moment après le traitement d'une demande, et que le contenu des clients reste inaccessible au personnel de l'entreprise. OpenAI a aussi présenté fin septembre 2026 un « Traitement privé de sécurité », conçu pour repérer des schémas d'utilisation abusive sur plusieurs échanges liés, sans donner au personnel accès au contenu sous-jacent. Quand le stockage est assuré par l'infrastructure d'OpenAI, l'entreprise précise que le contenu est chiffré avec des clés contrôlées par le client lui-même, que ses équipes ne possèdent pas.

En dehors de ce dispositif, les journaux liés à la surveillance des abus sont conservés jusqu'à 30 jours par défaut selon la documentation technique d'OpenAI, sauf obligation légale de conservation plus longue. Les clients autorisés peuvent demander une surveillance modifiée des abus ou la politique ZDR pour exclure leur contenu de ces journaux.

Vos droits sur vos propres données personnelles

Que vous utilisiez ChatGPT à titre personnel ou via un compte professionnel, la politique de confidentialité d'OpenAI, applicable en Europe comme aux États-Unis, reconnaît un socle de droits : accès à ses données, rectification, suppression, limitation du traitement, portabilité vers un tiers, retrait du consentement et dépôt de plainte auprès d'une autorité de protection des données. En Europe, c'est OpenAI Ireland Limited, basée à Dublin, qui est désignée responsable du traitement. Ces droits peuvent s'exercer via le portail privacy.openai.com ou par courriel à [email protected], et le délégué à la protection des données de l'entreprise est joignable à [email protected].

Ce que révèle l'enquête des autorités canadiennes

Ces incidents récents s'ajoutent à un contentieux plus ancien. Le Commissariat à la protection de la vie privée du Canada a publié en mai 2026 les conclusions d'une enquête conjointe sur OpenAI OpCo, LLC. Les autorités canadiennes y constatent que, lors du développement et du déploiement des modèles GPT-3.5 et GPT-4, OpenAI n'a pas atténué de façon adéquate les atteintes à la vie privée résultant de la collecte, de l'utilisation et de la communication de renseignements personnels, au regard des lois canadiennes applicables. OpenAI s'est défendue en avançant que ses modèles reposent sur des ensembles de données non structurés et non indexés par identifiant, et que le texte est transformé par segmentation en jetons avant tout traitement, ce qui limiterait selon l'entreprise le caractère intrusif du traitement.

Comparer les niveaux de protection selon le produit utilisé

Que faire concrètement si vous utilisez ChatGPT

• Vérifiez, dans les paramètres de votre compte, si l'option de partage de vos conversations pour améliorer les modèles est activée, et désactivez-la si vous ne souhaitez pas y contribuer.
• Évitez d'envoyer à ChatGPT des documents contenant des données sensibles (numéros d'identité, dossiers médicaux, contrats confidentiels) tant que l'examen interne des activités des agents de recherche d'OpenAI, annoncé pour durer plusieurs mois, n'est pas achevé.
• Si vous êtes une entreprise cliente de l'API, envisagez d'activer la politique de non-conservation des données (ZDR), qui exclut vos contenus des journaux de surveillance des abus.
• Consultez le portail de confiance d'OpenAI (trust.openai.com) pour vérifier les certifications SOC 2, ISO 27001 et ISO 42001 réellement en vigueur sur le produit que vous utilisez.
• Faites valoir votre droit d'accès ou de suppression de vos données via privacy.openai.com ou par courriel à [email protected].
• Signalez tout comportement anormal ou toute suspicion de fuite au délégué à la protection des données d'OpenAI, joignable à [email protected].

Questions frequentes

Combien d'images ont été exposées par erreur ?

Selon les informations confirmées par OpenAI le 25 septembre 2026, 53 images envoyées par des utilisateurs de ChatGPT ont été publiées par erreur sur des sites d'hébergement à des adresses qui n'étaient pas censées être publiques. Leur retrait était en cours au moment de l'annonce.

OpenAI a-t-il accédé à des sites gouvernementaux américains ?

Oui. OpenAI a confirmé, en réponse à une enquête du New York Times, que ses outils avaient consulté des sites d'agences fédérales américaines. L'entreprise affirme n'y avoir récupéré que des informations publiques, sans préciser lesquelles ni dans quel but précis ces consultations ont eu lieu.

Qu'est-ce que la politique de non-conservation des données (ZDR) ?

C'est une option destinée aux clients professionnels de l'API OpenAI. Elle garantit qu'aucune requête ni réponse n'est conservée après le traitement d'une demande, et que le contenu reste inaccessible au personnel d'OpenAI. Elle nécessite une autorisation préalable de l'entreprise et l'acceptation de conditions supplémentaires.

Le piratage de Hacktron AI a-t-il touché mes données personnelles ?

D'après le message publié par Hacktron AI sur X, l'intrusion réalisée en juillet 2026 a donné accès à des comptes ChatGPT et Codex appartenant à des employés d'OpenAI, et non directement aux comptes des utilisateurs grand public. L'équipe dit avoir démontré l'impact via une modification inoffensive du code interne de l'entreprise, sans exploiter la faille à d'autres fins.

Comment supprimer mes données de ChatGPT ?

Vous pouvez exercer votre droit de suppression via le portail privacy.openai.com ou par courriel à l'adresse [email protected]. Ce droit fait partie du socle prévu par les politiques de confidentialité européenne et américaine d'OpenAI, aux côtés du droit d'accès, de rectification et de portabilité de vos renseignements personnels.