Une serrure ne se juge jamais dans l’absolu. Les organismes qui les certifient n’attribuent pas une note de qualité : ils indiquent combien de temps un modèle résiste à un outillage déterminé. Le logiciel a hérité de cette exigence sous le nom de modèle de menace, qui décrit qui attaque et ce qu’il cherche. C’est cette description qui manque presque toujours quand une fonction de confidentialité est annoncée au grand public.
Le 21 août 2026, Android Authority a publié un démontage du fichier d’installation de l’application ChatGPT pour Android, en version 1.2026.230. Karandeep Singh Oberoi y a repéré les traces d’un chantier inachevé : un code secret ou un doigt posé sur un capteur commanderait l’accès à des conversations choisies, lesquelles quitteraient la colonne de gauche comme l’historique et resteraient sourdes aux requêtes internes jusqu’à leur réouverture. Ces échanges ne seraient pas effacés, seulement soustraits au regard, et OpenAI n’a communiqué ni sur la fonction ni sur son lancement.
Reste à savoir de qui elle protégerait : la réponse tient dans ce que le code livre, dans la cloison mémoire qu’il annonce, dans l’écart entre un verrou d’application et un verrou cryptographique, dans le précédent de WhatsApp, dans le sort juridique d’une conversation conservée et dans les architectures qui traitent le problème à sa racine.
Trois phrases inertes dans un fichier d’installation
Trois libellés figurent dans le paquet, inactifs : « Protect chats with a PIN or fingerprint », « Lock a chat to keep its title and content out of view » et « It stays locked until you choose to make it a regular chat ». La source est précieuse et fragile : elle prouve qu’un chantier existe, jamais qu’il sera livré.
Qui redoute aujourd’hui qu’un échange soit lu n’a qu’une issue, le supprimer, sans espoir de le retrouver. Le verrou en ouvrirait une seconde : déverrouiller une conversation la ferait provisoirement réapparaître ; refermée, elle redeviendrait invisible, jusqu’à ce que l’utilisateur la transforme définitivement en conversation classique. Ce geste ne se déferait pas.
Une demande ancienne, une réponse polie
Sur le forum des développeurs d’OpenAI, la requête est ancienne : un fil « Private Chats with Face ID / Passcode for Shared Devices » remonte au 10 avril 2025, un autre, « Private Locked Conversations in ChatGPT », au 12 juin 2026, où le support a jugé la suggestion « thoughtful » et annoncé sa transmission à l’équipe produit. Plusieurs utilisateurs réclament depuis des mois le même verrou sur le web et le bureau ; le démontage n’en a rien trouvé.
Une cloison mémoire qui ne joue que dans un sens
Le point le plus intéressant du code n’est pas le cadenas, c’est ce qu’il ferait de la mémoire. Ce qu’un échange protégé apprendrait au modèle ne servirait qu’à nourrir d’autres échanges protégés, jamais le fil ordinaire. Les souvenirs déjà formés au moment du basculement, eux, survivraient au verrou et continueraient de figurer dans le profil du compte, là où une suppression franche les aurait emportés.
La réciproque n’est pas vraie, et la reprise rapide de la nouvelle l’escamote : une conversation verrouillée pourrait lire les souvenirs issus des échanges ordinaires. La cloison, semi-perméable, empêche un secret de remonter vers le compte mais laisse le profil l’alimenter : moins un coffre qu’une diode.
Ce que masquer veut dire, et ce que cela ne veut pas dire
Un mot a fait dériver la lecture de la nouvelle. La recherche dont parle le démontage est celle de l’application, cette barre qui interroge l’historique, et non celle de Google. Confondre les deux prête au verrou une portée qu’il n’a pas : il masque une conversation à qui tient le téléphone, pas au reste d’internet.
La comparaison avec les conversations temporaires mérite le même soin. On les dit volontiers jamais enregistrées ; la documentation d’OpenAI est plus prudente : elles n’apparaissent pas dans l’historique, ne créent ni n’utilisent de souvenirs et n’entraînent pas les modèles, mais une copie peut être conservée trente jours par sécurité.
Un verrou d’interface n’est pas un verrou cryptographique
Sur Android, présenter son doigt à un capteur ne produit aucun chiffrement. BiometricPrompt affiche une boîte de dialogue système et renvoie un succès ou un échec. Pour que le geste acquière une valeur cryptographique, il faut lui passer un CryptoObject adossé à une clé générée avec setUserAuthenticationRequired(true) dans l’Android Keystore, qui garde le matériel de clé hors du processus applicatif. Sans cela, le verrou n’est qu’un test conditionnel qui tombe avec l’application.
La comparaison avec les notes verrouillées d’Apple situe la fonction : celles-ci sont chiffrées de bout en bout côté iCloud, la clé dérivant du mot de passe ou de Face ID, quand une conversation ChatGPT vit en clair sur les serveurs d’OpenAI. Un verrou local ne change rien à ce que l’hébergeur détient.
Le cadenas est un signal avant d’être un masque
Le geste n’a rien d’inédit. Chat Lock, annoncé par WhatsApp le 15 mai 2023, sort une conversation de la liste principale, la range derrière la biométrie ou le code de l’appareil et masque son contenu dans les notifications. Meta le justifiait par une situation ordinaire, celle des gens qui prêtent leur téléphone à un proche : exactement le modèle de menace du verrou aperçu chez OpenAI.
La suite est instructive. Le dossier verrouillé restait visible dans la liste : le contenu disparaissait, l’existence du secret demeurait affichée. Meta a dû ajouter en novembre 2023 un code secret escamotant le dossier entier, accessible en tapant un mot convenu dans la recherche. Une entrée cadenassée ne protège pas d’un regard hostile : elle lui indique où chercher.
Ce que la recherche dit du contrôle coercitif
Dans un foyer où s’exerce un contrôle coercitif, la nuance décide de tout. Présentée à CHI 2026, l’étude « AI-Facilitated Coercive Control » de Haesoo Kim, Thomas Ristenpart et Nicola Dell montre que ChatGPT et Gemini refusent les demandes frontales d’un agresseur mais cèdent à des personas détournés. Ses auteurs recommandent l’inverse du masquage : rendre visible toute manipulation de réglages.
Ce que le droit fait d’une conversation conservée
Conservée mais invisible décrit un état d’interface, pas une catégorie juridique : au regard des recommandations de la CNIL du 7 février 2025, la conversation verrouillée reste une donnée personnelle traitée par son responsable, exportable et communicable sur réquisition. Le 5 décembre 2025, la juge Ona Wang a ordonné à OpenAI de remettre au New York Times vingt millions de conversations désidentifiées, quand le quotidien en réclamait six fois plus.
Le premier tribunal a tranché contre l’utilisateur
Sam Altman plaide depuis juillet 2025 pour un privilège de l’IA calqué sur le secret médical, aucune confidentialité légale ne couvrant un échange avec ChatGPT, y compris quand l’utilisateur s’en sert comme thérapeute. Le 17 février 2026, le juge Jed Rakoff a jugé dans United States v. Heppner que trente et un documents produits avec une version grand public d’un assistant n’étaient couverts par aucun secret professionnel : la politique de confidentialité annonçait la collecte des échanges et leur partage avec des tiers.
Le code et le doigt ne pèsent pas le même poids
Un code ou une empreinte digitale : la formule met sur le même plan deux régimes opposés. En France, l’article 434-15-2 du code pénal punit de trois ans d’emprisonnement et de 270 000 euros d’amende le refus de remettre la convention secrète de déchiffrement d’un moyen de cryptologie, peines aggravées si ce refus a empêché d’éviter une infraction.
L’assemblée plénière de la Cour de cassation a jugé le 7 novembre 2022, sur le pourvoi n° 21-83.146, qu’un code de déverrouillage peut constituer une telle convention dès lors que l’appareil embarque un moyen de cryptologie ; un code de conversation entrerait dans le même raisonnement, quand une empreinte ne se remet pas. Le neuvième circuit a jugé à l’inverse, dans United States v. Payne, que poser un doigt sous la contrainte n’est pas un acte testimonial.
Les angles morts que le verrou laisserait ouverts
Dans un espace de travail ChatGPT Business ou Enterprise, l’administrateur dispose d’une interface de conformité qui restitue conversations horodatées, fichiers et souvenirs, et s’intègre aux outils d’eDiscovery, dont Microsoft Purview. Un verrou d’application produirait là le pire des scénarios : un salarié croyant sa conversation verrouillée quand elle est archivée.
Le calendrier raconte une tension de gouvernance. Le 18 août 2026, OpenAI entamait le déploiement mondial de ChatGPT for Teens, expérience dédiée aux 13-17 ans adossée à une prédiction d’âge, où les parents reçoivent des alertes en cas de risque grave sans lire les conversations. Trois jours plus tard affleurait du code pour rendre des conversations invisibles.
L’échelle du problème et les réponses qui l’attaquent à la racine
Le précédent d’août 2025 rappelle ce que vaut une invisibilité qui repose sur un réglage. Une case à cocher, soumise à l’accord de l’intéressé, autorisait alors les moteurs à référencer un échange partagé, expurgé au préalable du nom et des identifiants directs. Près de 4 500 conversations ont fini dans l’index de Google, découverte rendue publique le 31 juillet 2025, et plusieurs milliers de comptes étaient concernés.
L’anonymisation a été jugée insuffisante par OpenAI : des détails sur la santé ou l’emploi trahissaient l’identité de certains utilisateurs. Dane Stuckey, son directeur de la sécurité de l’information, a retiré la fonction dès le lendemain, en reconnaissant qu’elle multipliait les partages accidentels de ce que personne n’entendait rendre public.
Un confident à l’échelle du milliard
The Information rapportait le 29 juillet 2026 que ChatGPT approchait le milliard d’utilisateurs hebdomadaires ; le Baromètre du numérique 2026 du CREDOC compte 48 % des Français de 12 ans et plus utilisateurs d’IA générative, dont 85 % chez les 18-24 ans. OpenAI a mesuré le 27 octobre 2025 ce que ces conversations contiennent : plus d’un million de personnes par semaine y tiennent des échanges portant des indicateurs d’intention suicidaire. La question n’est plus de cacher un échange à son entourage, mais de savoir quel régime de conservation s’applique au confident le plus consulté du pays.
Le chiffrement promis et les enclaves qui l’anticipent
Le chantier a pourtant été nommé. Le 18 août 2025, devant des journalistes, Sam Altman déclarait qu’OpenAI était « very serious » sur le chiffrement des conversations, en commençant par les temporaires, tout en ajoutant qu’aucun calendrier n’existait. L’obstacle est réel : le fournisseur d’un assistant est lui-même une extrémité de la communication, puisque le modèle doit lire le texte pour y répondre.
ExpressVPN, mieux connu pour son réseau privé virtuel, a annoncé le 31 mars 2026 ExpressAI, bâti sur le principe contraire du masquage : le texte quitte le terminal déjà chiffré, n’est lisible que dans une enclave matérielle, et l’enclave est détruite une fois la réponse rendue, sans rien laisser d’exploitable. Plusieurs modèles ouverts y sont proposés sous la même garantie, et un audit du cabinet Cure53 a validé l’architecture.
Proton met à disposition depuis le 14 août 2026 un outil gratuit, AI Paper Trail, qui mesure ce que ChatGPT et Claude ont retenu de leurs utilisateurs. À partir d’un historique exporté par l’intéressé, il rend un score d’exposition, un inventaire des informations personnelles déduites et un prix en euros pour le profil reconstitué, avec un résumé partageable sans élément sensible, le fichier soumis n’étant pas conservé. À défaut de verrou, ces recours existent déjà.
Le dispositif entrevu répond à une question réelle, et à une seule : celle du téléphone qu’on prête, du regard par-dessus l’épaule, du proche qui fouille. C’est un besoin ordinaire, que WhatsApp avait identifié dès 2023 et que les utilisateurs d’OpenAI réclament depuis 2025. Rien ne discrédite une fonction parce qu’elle vise petit.
Le problème tient au glissement de vocabulaire. Une conversation verrouillée n’est pas chiffrée, une conversation invisible n’est pas supprimée, une conversation retirée de la recherche reste lisible par l’hébergeur, par un administrateur d’entreprise, par un juge qui la réclame. Chacun de ces écarts paraît mineur ; ensemble, ils dessinent un dispositif dont la promesse dépasse la portée.
Aucune norme ne dit ce que vaut la confidentialité d’un échange avec une machine à qui des centaines de millions de personnes confient leur santé, leur travail et leurs pensées les plus sombres, et le droit qui s’invente par décisions isolées tranche pour l’instant contre l’utilisateur. Les architectures qui répondraient vraiment, enclaves éphémères, historiques en accès zéro, modèles locaux, ne sont pas hors de portée technique : elles le sont économiquement pour qui construit un profil. Le cadenas, lui, ne coûte presque rien.
Aller plus loin
Le démontage d’origine, ChatGPT could soon let you lock chats behind a PIN or fingerprint, donne les chaînes trouvées dans la version 1.2026.230, décrit le cloisonnement de la mémoire dans les deux sens et rappelle que rien n’établit que le code soit fonctionnel, précaution vite perdue.
La documentation officielle d’Android sur l’authentification biométrique avec BiometricPrompt montre pourquoi un cadenas d’application ne vaut pas un chiffrement : la boîte de dialogue système renvoie un simple succès, et seule une clé du magasin système lie ce geste à une opération cryptographique.
Le précédent le plus proche est décrit par son auteur dans l’annonce Chat Lock: Making your most intimate conversations even more private, où Meta justifie le dispositif par le téléphone qu’on prête à un proche. On y mesure ce qu’il ne faisait pas encore : masquer l’existence du dossier.
La demande des utilisateurs et la seule réaction officielle connue tiennent dans le fil Private Locked Conversations in ChatGPT du forum des développeurs d’OpenAI, ouvert le 12 juin 2026 : le support y juge la suggestion réfléchie et annonce sa transmission à l’équipe produit, sans engagement de calendrier.
Le texte qui rend un code juridiquement exigible en France se lit en une minute, et l’article 434-15-2 du code pénal punit le refus de remettre ou de mettre en œuvre la convention secrète de déchiffrement d’un moyen de cryptologie, avec cinq ans et 450 000 euros en cas d’aggravation.
Le raisonnement qui l’étend aux appareils du quotidien figure dans l’arrêt d’assemblée plénière du 7 novembre 2022, où la Cour de cassation juge qu’un code de déverrouillage peut constituer une convention secrète de déchiffrement dès lors que l’appareil embarque un moyen de cryptologie.
Le versant américain est disséqué dans l’analyse AI Privilege Waivers: SDNY Rules Against Privilege Protection for Consumer AI Outputs, qui restitue le raisonnement du juge Rakoff : la politique de confidentialité du service détruit l’attente de confidentialité, argument transposable au verrou.
La recherche universitaire fournit le contrepoint le plus dérangeant avec AI-Facilitated Coercive Control: An Experimental Study, présenté à CHI 2026 : quatre scénarios d’abus y sont testés sur des assistants grand public, et les auteurs recommandent de rendre visible toute modification de réglages opérée par un tiers.
Ce qu’une conversation conservée devient devant un tribunal apparaît dans OpenAI ordered to turn over 20 million ChatGPT chats to the New York Times, qui détaille les volumes en jeu et les douze semaines d’anonymisation invoquées par l’entreprise.
L’impasse du chiffrement d’un assistant est expliquée sans jargon dans Encrypted ChatGPT? : le fournisseur est lui-même une extrémité de la communication, et une enclave matérielle ne vaut que si sa configuration peut être vérifiée du dehors, ce qu’un code fermé interdit.
Lus ensemble, ces documents séparent deux choses que le vocabulaire des produits confond. Il y a le regard de l’entourage, contre lequel un cadenas d’interface accomplit un travail modeste mais utile, à condition qu’il ne signale pas lui-même l’existence du secret. Et il y a tout le reste, l’hébergeur, l’employeur, le procureur, le journal en procès, contre quoi seule compte la question de ce qui est conservé, et pour combien de temps. Un an après une promesse de chiffrement sans échéance, c’est la seconde question qui reste ouverte, et c’est à la première que le code répond.