Le 29 septembre 2026, l'équipe de recherche de l'espagnol IMDEA Networks a publié une analyse systématique de la vie privée intitulée « Prompt like a Butterfly, Sting like a Tracker ». Les clients web et mobiles de neuf services conversationnels grand public — ChatGPT, Claude, Grok, DeepSeek, Gemini, Perplexity, Copilot, Mistral et Meta AI — ont été examinés par des analyses statiques et dynamiques. La conclusion est nette : plusieurs fournisseurs transmettent à des services tiers de publicité et de suivi les titres, les prompts, voire les captures d'écran issus des conversations, accompagnés d'identifiants persistants tels que les identifiants publicitaires, les adresses e-mail hachées et les cookies de suivi.
Quatre constats de l'étude
Premièrement, la portée est plus large qu'on ne l'imagine. L'étude a observé 124 domaines tiers appartenant à 44 organisations, dont 34 sont des services de publicité et de suivi ; quasiment chaque service testé contacte au moins un traqueur tiers. Deuxièmement, ce ne sont pas que des métadonnées qui fuient : des « dérivés de conversation » comme les titres, les prompts et les captures d'écran sont envoyés à des tiers, souvent avec des identifiants persistants permettant de rattacher durablement les conversations à des profils d'utilisateurs. Troisièmement, les fenêtres de consentement aux cookies et les abonnements payants n'offrent qu'une protection limitée — les fuites continuent, que l'on ait cliqué sur le dialogue de consentement ou payé un abonnement. Quatrièmement, les liens de partage de certains fournisseurs sont publics par défaut, sans contrôle d'accès ; grâce à des « jetons canaris », les chercheurs ont confirmé que des conversations partagées ont ensuite été effectivement consultées depuis des infrastructures tierces distribuées.
Pourquoi ce type de recherche apparaît maintenant
Le contexte : les grands fournisseurs de modèles font de la publicité un nouveau modèle économique. L'étude cite Reuters, selon qui OpenAI s'est associé début 2026 à l'entreprise ad-tech Criteo pour tester la publicité auprès des utilisateurs gratuits de ChatGPT aux États-Unis. Dès que la fenêtre de chat affiche des publicités, l'infrastructure de suivi classique d'Internet suit naturellement dans la conversation. Les chercheurs ont aussi évalué ces pratiques au regard du RGPD et de la directive ePrivacy, et ont procédé à une divulgation responsable auprès des fournisseurs concernés et des autorités européennes de protection des données.
Ce que cela signifie pour les utilisateurs ordinaires
Il faut changer d'hypothèse de départ : l'historique des conversations n'est pas « connu de vous et de l'IA seulement » — sur certains services, titres et prompts alimentent l'écosystème publicitaire, d'où une vigilance accrue pour les conversations sensibles (santé, salaire, projets d'entreprise). Deuxièmement, manier les liens de partage avec prudence : un permalien public peut être lu intégralement par les traqueurs, vérifiez donc les permissions avant de partager. Troisièmement, payer n'achète pas d'exemption de vie privée — l'étude précise que les niveaux d'abonnement n'offrent qu'une protection limitée. Des controverses similaires sur la confidentialité des historiques de chat ont déjà éclaté : dès lors que les données de conversation deviennent un actif, ce ne sont plus seulement les fournisseurs de modèles qui se les disputent.
