☕️ OkCupid épinglé pour un transfert de photos d’utilisateurs vers une société d’IA

Un traceur caché de Claude surprend les utilisateurs malgré la position anti-surveillance d'Anthropic

Anthropic a discrètement supprimé de Claude Code un traceur qui surveillait les utilisateurs chinois de l'outil, après qu'un développeur web connu sous le pseudonyme « Thereallo » a mis au jour ce dispositif la semaine dernière. En étudiant les questions de confidentialité liées à Claude Code, il a découvert que l'entreprise utilisait une technique de « stéganographie de prompt » pour dissimuler du code capable d'identifier les utilisateurs basés en Chine, en s'appuyant sur des marqueurs abrégés repérant leur fuseau horaire, l'usage d'un proxy et un possible lien avec des laboratoires d'IA chinois qu'Anthropic soupçonne de mener des attaques par distillation. Sur X, l'ingénieur d'Anthropic Thariq Shihipar a confirmé que ce code avait été ajouté à titre expérimental en mars, dans le but de prévenir les abus de comptes par des revendeurs non autorisés et de protéger les modèles contre le vol par distillation. Le Washington Post avait effectivement révélé que des revendeurs proposaient un accès à des modèles gratuits pour seulement 1 dollar par mois, et des abonnements payants normalement facturés jusqu'à 100 dollars pour à peine 12 dollars. Cette affaire fragilise la crédibilité d'Anthropic, une entreprise qui s'est publiquement positionnée contre la surveillance intrusive et pour la protection de la vie privée des utilisateurs. Le chercheur ayant révélé le dispositif l'a qualifié de « violation grave de la confiance des utilisateurs », soulignant le décalage entre le discours de la société et cette pratique de traçage cachée, mise en œuvre sans notification claire des personnes concernées. Cet épisode s'inscrit dans un contexte de tensions croissantes entre laboratoires d'IA occidentaux et chinois, sur fond d'accusations de distillation, une technique permettant d'entraîner des modèles moins coûteux en s'appuyant sur les sorties de modèles propriétaires plus puissants. Face à la revente frauduleuse d'accès à ses services et à la crainte de voir ses modèles copiés, Anthropic avait choisi une réponse technique discrète plutôt que transparente, un choix qui pourrait relancer le débat sur l'équilibre entre sécurité commerciale et respect des engagements affichés en matière de confidentialité.

Perplexity dans la tourmente : des données personnelles d’utilisateurs auraient fuité vers Meta et Google

Un utilisateur de l'Utah, qui souhaite conserver l'anonymat, a porté plainte contre Perplexity AI, accusant le moteur de recherche basé sur l'intelligence artificielle d'avoir transmis ses conversations privées à Meta et Google sans son consentement. Selon son avocat, l'utilisateur recourait régulièrement à Perplexity pour obtenir des conseils fiscaux, juridiques et financiers, des échanges qu'il considérait confidentiels. Des outils de tracking intégrés à la plateforme auraient permis à des tiers d'accéder à ces données sensibles, à l'insu des utilisateurs. Cette affaire soulève une question centrale pour l'ensemble du secteur des assistants IA : que deviennent les conversations des utilisateurs lorsqu'ils confient à ces outils des informations personnelles, médicales ou financières ? Contrairement à un moteur de recherche classique où l'on tape des mots-clés, Perplexity incite à formuler des questions détaillées, souvent très révélatrices de la situation personnelle de l'utilisateur. Partager ce type de données avec des régies publicitaires comme Meta ou Google représente une violation grave de la confiance placée dans ces plateformes, avec des implications directes sur la vie privée de millions de personnes. Perplexity, fondée en 2022 et valorisée à plusieurs milliards de dollars, s'est rapidement imposée comme un concurrent sérieux face à Google Search et ChatGPT. La startup avait déjà fait l'objet de critiques pour ses pratiques de scraping agressif et des accusations de plagiat envers des médias. Cette plainte s'inscrit dans un contexte plus large de régulation croissante des pratiques des entreprises d'IA autour de la collecte et du partage de données personnelles, notamment en Europe avec le RGPD et aux États-Unis où plusieurs États renforcent leurs législations sur la vie privée.

💬 Perplexity, c'est le genre de produit qu'on conseille à ses proches parce que "c'est mieux que Google" — sauf qu'on vient de découvrir que des conversations sur ses impôts ou sa situation juridique partaient peut-être chez Meta. Le problème, c'est que les gens posent des vraies questions à ces outils, pas des mots-clés détachés de tout contexte, et la différence est énorme côté données. Faut arrêter de traiter les assistants IA comme des moteurs de recherche glorifiés : dès qu'on y colle du contexte personnel, c'est une autre catégorie de risque.

Les joueurs de Pokémon GO ont-ils entraîné une IA utilisée par l’armée américaine ?

Depuis 2016, les joueurs de Pokémon GO ont effectué plus de 30 milliards de scans en réalité augmentée de lieux réels dans le cadre de missions in-game : filmer un monument, tourner autour d'une statue ou d'une fontaine pour débloquer des récompenses. Ces vidéos, collectées par Niantic, la société fondée en spin-off de Google, ont alimenté un système de positionnement visuel (VPS) capable de localiser précisément des appareils sans recourir au GPS. Or, fin 2024, Niantic Spatial, la branche dédiée à la cartographie spatiale, a annoncé un partenariat avec Vantor, une entreprise spécialisée en navigation dans des environnements où le signal GPS est brouillé ou indisponible. Vantor compte parmi ses clients la NGA (National Geospatial-Intelligence Agency) et l'armée américaine, et se présente ouvertement comme un acteur des secteurs de la défense et du renseignement. C'est le site néerlandais Trouw qui a mis en lumière cette chaîne de continuité technologique, sans affirmer pour autant que des scans de joueurs pilotent aujourd'hui des drones militaires. L'affaire soulève une question de fond sur le consentement éclairé des utilisateurs. En acceptant les conditions d'utilisation de Pokémon GO, des millions de joueurs ont contribué, souvent sans en avoir conscience, à construire une carte 3D du monde réel d'une précision inégalée. Ce type de système VPS est stratégiquement précieux dans des contextes de guerre électronique, où le brouillage GPS est une tactique courante. Si le lien entre les scans des joueurs et les drones militaires reste à ce stade hypothétique, la plausibilité technologique de cette connexion suffit à alimenter une controverse légitime sur l'usage détourné de données récoltées dans un cadre ludique. En mars 2025, Niantic a revendu sa branche jeux à Scopely, filiale du fonds saoudien Savvy Games, en conservant ses actifs de cartographie au sein de la nouvelle entité indépendante Niantic Spatial. L'entreprise assure que depuis ce transfert, les données de Pokémon GO ne sont plus partagées avec Niantic Spatial, et que les scans avaient été fournis volontairement par les joueurs ayant activé la fonction. Vantor confirme de son côté ne pas utiliser les données Pokémon GO dans le cadre actuel du partenariat, mais refuse de préciser si les modèles déjà entraînés incorporent ces données historiques. Ce silence partiel illustre une zone grise réglementaire plus large : la réutilisation de données grand public à des fins militaires ou de sécurité nationale, sans mécanisme d'information ou d'opposition pour les utilisateurs d'origine.

💬 30 milliards de scans collectés en échange de Poké Balls, et personne n'a signé pour alimenter un VPS de navigation militaire. Ce que tu dois retenir, c'est pas la théorie du drone Pokémon GO (c'est du scénario pour l'instant), c'est que Vantor refuse de préciser si les modèles déjà entraînés incorporent ces données historiques. Ce silence, c'est à peu près la réponse.

Doctolib réfute livrer « les infos de ses utilisateurs » aux grands acteurs de l’IA

Le Canard Enchaîné a affirmé, dans son édition du 2 juin 2026, que Doctolib transmettait les données de ses utilisateurs à Microsoft, Anthropic et Google dans le but d'entraîner leurs grands modèles de langage. L'article vise notamment l'assistant de consultation que la licorne française commercialise depuis 2024 auprès des professionnels de santé. Ce service écoute les consultations médicales, avec l'accord du patient, pour générer automatiquement comptes-rendus et courriers. Or, les documents contractuels de Doctolib consultés par la rédaction de Next confirment que Microsoft Azure, Anthropic et Google Irlande figurent bien dans la liste des « sous-traitants ultérieurs » de l'entreprise, avec pour service déclaré la « fourniture du modèle de LLM » et pour finalité l'« analyse et création de contenu à des fins d'automatisation de tâches ». Doctolib dément catégoriquement que ces données médicales servent à entraîner les modèles de ses fournisseurs. Selon un porte-parole de l'entreprise, Microsoft, Anthropic et Google interviennent exclusivement comme prestataires techniques, sur instructions strictes de Doctolib, dans un cadre contractuel qui leur interdit d'utiliser les données à d'autres fins que la fourniture du service. En clair : les LLM américains sont bien mobilisés pour faire tourner les fonctionnalités de transcription et de synthèse, mais les notes médicales ne serviraient pas à affiner leurs poids. Sur le plan du stockage, Doctolib assure que les données sont hébergées sur des serveurs européens certifiés Hébergement de Données de Santé. Le Canard Enchaîné objecte toutefois que la justice américaine peut contraindre ces entreprises à transmettre des données outre-Atlantique, indépendamment de leur localisation physique. Cette controverse s'inscrit dans un débat plus large sur la souveraineté numérique des données de santé en France. Doctolib, qui traite des dizaines de millions de consultations, est une infrastructure critique du système de soins français, et toute ambiguïté sur le traitement de ses données sensitives déclenche une réaction immédiate. La tension entre innovation IA et protection des données médicales est structurelle : utiliser des LLM de pointe implique presque inévitablement de s'appuyer sur les infrastructures des géants américains, Microsoft, Google ou Anthropic, faute d'alternatives européennes comparables. Le RGPD et la certification HDS imposent des garanties, mais le Cloud Act américain crée un angle mort juridique que ni les certifications ni les contrats ne peuvent complètement combler. L'affaire illustre la fragilité des engagements de confidentialité dès lors que les données de santé transitent, même partiellement, par des acteurs soumis au droit américain.

💬 La distinction que fait Doctolib entre "faire tourner" et "entraîner" un LLM, elle est réelle. Mais ça n'enlève pas le truc qui gratte : tes comptes-rendus médicaux passent par des serveurs d'entreprises soumises au Cloud Act, et aucun label HDS ne te protège de ça. C'est une impasse structurelle, pas une faute de Doctolib spécifiquement.