Le cadenas de WhatsApp s’arrête au chat IA, et Meta devrait le dire

Un même cadenas peut-il signifier deux choses différentes au sein d’une même application ? Sur WhatsApp, apparemment oui, et nous soupçonnons que beaucoup de gens ne s’en rendent pas compte.

Le sujet revient dans l’actualité après que The Times of India a publié un article explicatif intitulé « Les chats IA de WhatsApp ne sont pas tous chiffrés de bout en bout ». D’autres pages consultées pour notre enquête disent la même chose: NewsBytes résume que les chats avec des assistants IA, dont Meta AI et des agents tiers, n’offrent pas le même chiffrement de bout en bout que les conversations personnelles. Votre discussion avec un ami reste protégée. Les vérificateurs de faits se sont aussi employés à démonter un message en chaîne affirmant que Meta AI lit toutes vos conversations privées; selon Snopes, le chiffrement de bout en bout reste la norme par défaut pour les messages privés.

Les deux affirmations sont donc vraies, et c’est précisément là le problème.

L’alerte est fausse, mais la confusion est légitime

Soyons justes d’abord: Meta AI ne lit pas discrètement votre groupe de famille. Selon les vérificateurs de faits, elle ne voit que ce que vous lui envoyez directement ou les messages où quelqu’un la mentionne. C’est une distinction réelle et importante, et la panique virale mérite le démenti qu’elle a reçu.

Mais un mythe démonté ne fait pas un produit clair. Dès que vous écrivez à une IA dans WhatsApp, vous quittez le terrain sur lequel le cadenas a bâti sa réputation. La documentation que nous avons consultée est sans détour: Meta AI ne lit pas vos chats chiffrés, mais, comme le formule Vucense, tout ce que vous lui envoyez n’est pas chiffré de bout en bout. La plupart des utilisateurs entendent « WhatsApp est chiffré » et en concluent, selon nous, que tout ce qui se trouve dans l’application est couvert. Rien dans cette représentation ne les prépare à une fenêtre de discussion qui obéit à d’autres règles.

À notre avis, c’est à Meta de combler cet écart, pas à l’utilisateur. Une marque construite pendant près d’une décennie sur une seule promesse ne peut pas se voir adjoindre discrètement un astérisque.

Private Processing est ingénieux, mais c’est une promesse à vérifier

La réponse de Meta s’appelle Private Processing. Selon le centre d’aide de WhatsApp lui-même, les requêtes et les messages sont envoyés chiffrés entre votre appareil et Private Processing, Meta et WhatsApp ne peuvent pas les lire, et rien n’est conservé une fois la requête terminée. Le livre blanc de Meta décrit un système reposant sur des serveurs et sur des environnements d’exécution de confiance (Trusted Execution Environments), dans le but de garantir que les messages partagés ne sont accessibles ni à Meta, ni à WhatsApp, ni à quiconque. Le système serait « conçu pour préserver le même niveau de confidentialité que celui offert par le chiffrement de bout en bout ». Notez la formulation: « but » et « conçu pour ». Ce sont des déclarations d’intention pour une architecture différente, et cela mérite selon nous un examen attentif plutôt qu’une confiance aveugle.

Il existe aussi Incognito Chat avec Meta AI, qui, d’après le centre d’aide, ne conserve pas les messages une fois que vous quittez la discussion. C’est un effort sérieux, et s’il fonctionne comme décrit, il fait mieux que la plupart des chatbots. Mais c’est la description que Meta fait de son propre système. La documentation ne mentionne aucun audit indépendant; la lecture honnête est donc: prometteur, pas prouvé.

Voici ce qui nous gêne. Savoir si une fonction d’IA donnée s’appuie sur Private Processing, ou si un bot est un agent tiers, n’est pas quelque chose que l’utilisateur moyen peut déterminer d’un coup d’œil. Le centre d’aide affirme assurer une transparence lorsque les expériences d’IA utilisent Private Processing. Une transparence enfouie dans une page d’assistance n’est pas une étiquette.

Ce que Meta devrait faire, et ce que vous pouvez faire en attendant

Meta devrait faire la chose ennuyeuse: un indicateur permanent, en langage clair, dans chaque chat IA, précisant exactement quelle protection s’applique. Pas « chiffré » comme une impression vague, mais une phrase qu’un non-spécialiste comprend. Les bots tiers, surtout, méritent un traitement visiblement différent de celui de l’assistant de Meta.

Pour les utilisateurs, notre recommandation est simple, et prudente par conception:

• Considérez tout chat IA comme non privé par défaut, même s’il peut être techniquement protégé.
• N’y mettez ni informations de santé, ni d’argent, ni de vie sentimentale, sauf si vous avez lu ce qui s’applique à cette fonction précise.
• N’oubliez pas les sauvegardes: comme le note Firstpost, les sauvegardes de discussions nécessitent une protection distincte, et l’application continue de collecter des données de compte et des données techniques.

De plus en plus de gens posent aux chatbots des questions sensibles; Meta le dit elle-même en présentant Incognito Chat. C’est précisément pourquoi une communication floue est un mauvais pari. Le cadenas a gagné la confiance conversation après conversation. La dépenser pour une fonction qui marche autrement, sans le dire haut et fort, c’est le meilleur moyen de la brûler.

Verdict: WhatsApp reste un endroit sûr pour parler à des personnes. Parler à une IA y est une autre activité, et tant que Meta ne l’indique pas ainsi, mieux vaut agir comme si c’était le cas.