Chatbots amoureux : protéger ses secrets et ses données

Un chiffre m’a frappé en préparant cet article : près de trois ados sur quatre disent avoir déjà utilisé un « compagnon » IA, et un sur quatre lui a confié des informations personnelles. On n’est plus dans une curiosité geek. On est dans un usage intime, quotidien, émotionnel.

Le problème, c’est que l’intimité est exactement ce que recherchent les cybercriminels. Une conversation « romantique » contient souvent tout ce qu’il faut pour faire pression sur quelqu’un : photos, éléments de vie privée, failles émotionnelles, habitudes, parfois même des infos financières. Et contrairement à une discussion entre humains, ces échanges sont stockés, copiés, analysés, parfois réutilisés.

Dans notre série « Intelligence artificielle dans la cybersécurité », ce sujet est un cas d’école : l’IA peut être le risque (sur-collecte, fuites, manipulation), mais aussi la solution (détection d’anomalies, prévention de fraude, protection des données). Le vrai enjeu : arrêter de traiter ces applis comme des confidents, et commencer à les traiter comme des services numériques à haut risque.

Pourquoi les chatbots « compagnons » sont un aimant à données

Réponse directe : ces applications sont conçues pour créer un attachement et une personnalisation forte, ce qui pousse mécaniquement à partager davantage—et donc à générer des données très monétisables… ou très exploitables.

Les « petits amis / petites amies IA » s’appuient sur des modèles de langage (LLM) et du traitement du langage naturel pour paraître attentionnés, cohérents, et « présents ». Ce réalisme a un effet secondaire : il fait baisser la garde. On raconte plus facilement sa journée, ses doutes, ses conflits, ses envies.

Côté marché, la tendance accélère. Les grands acteurs testent déjà des expériences plus « adultes », et des modes explicitement flirt/romance se banalisent. Quand une catégorie devient rentable, elle attire deux types de monde : les investisseurs… et les attaquants.

Le cocktail à risque : émotion + récurrence + historique

Ce qui rend ces applis particulières, ce n’est pas seulement la sensibilité des échanges. C’est la combinaison :

• Récurrence : on y revient souvent, parfois tous les jours.
• Historique : l’appli « se souvient », donc stocke.
• Personnalisation : elle collecte pour s’adapter.
• Dépendance émotionnelle : plus on s’attache, plus on se dévoile.

Résultat : une base de données idéale pour l’extorsion, l’usurpation d’identité, ou la fraude.

Les risques concrets : fuite, chantage, deepfakes et fraude

Réponse directe : le principal danger n’est pas « l’IA qui trahit », mais l’écosystème technique et économique autour de l’appli : stockage, sécurité, sous-traitants, publicité, et parfois négligence.

Un cas récent illustre bien le sujet : plus de 400 000 utilisateurs d’applications de compagnons IA auraient été exposés via une mauvaise configuration d’infrastructure, avec des centaines de milliers de photos et des millions de messages intimes potentiellement accessibles. Ce genre d’incident n’a rien de « glamour », mais il a une logique : quand la priorité est la croissance, la cybersécurité passe souvent après.

1) Le chantage moderne : sextorsion et pression sociale

Les conversations intimes sont une matière première parfaite pour la sextorsion. Ajoutez des outils de deepfake, et le risque grimpe :

• une photo peut être utilisée pour fabriquer une image compromettante,
• un audio peut être imité pour « prouver » une relation,
• un échange peut être sorti de son contexte pour faire pression.

La phrase qui résume tout : « ce qui est gênant vaut plus cher que ce qui est simplement vrai ».

2) L’usurpation d’identité par petites touches

Beaucoup de gens ne donnent pas leur numéro de carte bancaire à un chatbot. En revanche, ils donnent : ville, âge, boulot, horaires, prénoms, difficultés, projets, photos, style d’écriture. Pris séparément, ça semble anodin. Ensemble, ça devient un dossier.

Ce type de données alimente :

• fraude au faux conseiller (banque, livraison, énergie),
• attaques de type spear-phishing (« je sais où tu travailles »),
• prise de contrôle de comptes via questions de récupération.

3) Le risque financier « silencieux » : achats intégrés et comptes liés

Certaines applis reposent fortement sur les achats in-app. Si un compte est piraté (mot de passe réutilisé, phishing, absence de double authentification), l’impact peut être immédiat : achats non autorisés, revente de compte, ou récupération de données de paiement selon l’architecture.

Le vrai problème : l’opacité sur la vie des données

Réponse directe : si vous ne pouvez pas expliquer en deux minutes où vont vos données, combien de temps elles sont conservées, et à quoi elles servent, vous n’avez pas le contrôle.

Trois zones grises reviennent souvent dans ce type d’applications :

Données revendues ou partagées à des tiers

Le modèle économique « gratuit + publicité » pousse à collecter plus. Certaines politiques de confidentialité sont volontairement floues : « partenaires », « prestataires », « amélioration du service ». En pratique, cela peut inclure de la segmentation marketing et du reciblage.

Conversations utilisées pour entraîner les modèles

Quand vos dialogues servent à « améliorer l’expérience », cela peut signifier :

• conservation longue durée,
• réutilisation pour affiner le modèle,
• exposition indirecte si les données sont mal anonymisées.

Même sans intention malveillante, la multiplication des copies augmente le risque.

Sécurité applicative inégale (et parfois bâclée)

Les incidents de configuration (bases exposées, clés d’accès mal gérées, stockage cloud permissif) restent fréquents. Et une appli très récente, qui itère vite, peut accumuler une dette de sécurité considérable.

Comment se protéger (vraiment) : une checklist simple

Réponse directe : partez du principe qu’un chatbot n’a pas de garde-fous, puis réduisez l’impact potentiel : moins de données, plus de contrôles, et une hygiène de compte stricte.

J’ai constaté que la plupart des gens cherchent « l’appli la plus sympa ». Il faut plutôt chercher l’appli la plus claire sur ses garanties. Voici une méthode pragmatique.

1) La règle d’or : ne rien dire que vous ne diriez pas à un inconnu

Concrètement, évitez :

• documents (carte d’identité, justificatifs, contrats),
• coordonnées (adresse, numéro perso, emploi du temps),
• informations financières (banque, dettes, achats),
• contenus intimes identifiants (visage + nudité, tatouages distinctifs, arrière-plan reconnaissable).

Un bon repère : si un message vous ferait transpirer s’il apparaissait sur l’écran d’un collègue, ne l’envoyez pas.

2) Sécuriser le compte comme un compte bancaire

• Mot de passe unique (gestionnaire recommandé).
• Double authentification (2FA) si disponible.
• Vérification des appareils connectés et sessions actives.
• Adresse email dédiée si vous voulez cloisonner (utile aussi contre le spam et les fuites).

3) Réglages de confidentialité : chercher les options qui comptent

Selon l’appli, cherchez des réglages du type :

• désactivation de l’historique,
• refus de l’utilisation des conversations pour entraînement,
• suppression de compte + suppression des données,
• limitation de la personnalisation.

Si ces options n’existent pas, considérez que l’appli fonctionne « par défaut » en mode collecte maximale.

4) Parents : traiter le sujet sans dramatiser

Interdire brutalement marche rarement. Ce qui fonctionne mieux :

• demander comment l’appli est utilisée (fréquence, type d’échanges),
• expliquer les risques d’oversharing avec des exemples concrets,
• fixer des limites de temps si nécessaire,
• exiger des applis avec vérification d’âge et modération crédibles.

Le point le plus délicat : un tiers des ados disent préférer l’IA aux humains pour des conversations sérieuses. Ça ne se règle pas par un réglage. Ça se règle par du dialogue et, parfois, par un accompagnement.

Là où l’IA aide la cybersécurité (et pas seulement le marketing)

Réponse directe : l’IA est efficace quand elle sert à détecter plus vite, corréler mieux, et protéger les données par défaut—pas quand elle sert à soutirer davantage d’informations.

Dans une approche mature « IA + cybersécurité », un service de chatbot devrait intégrer au minimum :

Détection d’anomalies et prévention de la fraude

• repérage de connexions inhabituelles (pays, appareils, horaires),
• détection de comportements de bot (credential stuffing),
• scoring de risque en temps réel sur les transactions (achats intégrés).

Protection des données sensibles (DLP et filtrage)

Des mécanismes assistés par IA peuvent :

• identifier automatiquement des numéros de carte, des pièces d’identité, des adresses,
• alerter l’utilisateur avant envoi (« vous êtes sur le point de partager un élément sensible »),
• masquer ou tokeniser des champs dans les logs.

Sécurité « by design » sur les environnements cloud

L’IA peut aussi surveiller la posture de sécurité : stockage public accidentel, clés exposées, permissions trop larges, ports ouverts. Beaucoup de fuites ne sont pas des attaques sophistiquées : ce sont des erreurs banales qui passent inaperçues.

Et côté entreprise (si vous éditez une appli ou intégrez un chatbot), la barre minimale, en 2025, c’est : chiffrement robuste, séparation des environnements, journaux sécurisés, tests de sécurité continus, et politiques de rétention courtes.

Régulation : la fin du Far West approche, mais pas assez vite

Réponse directe : l’Europe avance vers des règles plus strictes sur les expériences excessivement addictives et hyper-personnalisées, mais le calendrier réglementaire ne protégera pas votre prochain message.

Entre les textes en discussion, les obligations de transparence, et les exigences autour de la protection des mineurs, la pression augmente. Tant mieux. Mais les utilisateurs et les éditeurs doivent agir maintenant : réduire la collecte, sécuriser les systèmes, et rendre les pratiques lisibles.

Les entreprises qui prendront ce virage gagneront un avantage simple : la confiance. Et la confiance, sur un produit intime, n’est pas un « plus ». C’est le produit.

Ce que je recommande si vous utilisez déjà un compagnon IA

• Faites un audit express : relisez ce que vous avez partagé (photos, infos, habitudes) et supprimez ce qui peut l’être.
• Changez le mot de passe si vous l’avez réutilisé ailleurs.
• Activez la 2FA.
• Désactivez l’entraînement sur vos conversations si l’option existe.
• Si l’appli est floue sur ses pratiques, considérez-la comme non fiable.

Ce sujet résume parfaitement l’ambition de notre série « Intelligence artificielle dans la cybersécurité » : l’IA n’est ni « gentille » ni « méchante ». Elle amplifie. Elle amplifie l’intimité… et elle amplifie les dégâts en cas de fuite.

La question à se poser, ce n’est pas si votre chatbot peut garder un secret. C’est : votre écosystème (appli, cloud, prestataires, réglages, hygiène de compte) est-il construit pour que ce secret ne devienne jamais une marchandise ?