Nous leur racontons les symptômes, les problèmes de travail, le brouillon d'une lettre de licenciement ou la dispute avec le partenaire. Les assistants IA ont mérité le statut de confident, et c'est pourquoi il est important de savoir qui d'autre participe à la conversation.
Un groupe de chercheurs espagnols est allé l'examiner.
Les auteurs, d'IMDEA Networks et de l'Université Carlos III de Madrid, ont analysé en mai 2026, depuis l'Espagne, neuf participants : ChatGPT, Claude, Grok, DeepSeek, Gemini, Perplexity, Microsoft Copilot, Mistral et Meta AI.
Ils ont testé les versions Web et les applications Android, et leur étude, acceptée lors du Privacy Enhancing Technologies Symposium (PETS), conclut quelque chose qui ne correspond pas à l'image du confident : tous les neuf contactent au moins un service de publicité ou de suivi tiers.
Que ressort-il de votre conversation et où va-t-il ?
Six des neuf versions Web (ChatGPT, Gemini, Claude, Grok, Perplexity et Mistral) et trois des huit applications Android révèlent des adresses de conversation, des titres, des messages ou des captures d'écran à des tiers, souvent accompagnés d'identifiants d'utilisateur persistants. Dit pour mieux le comprendre : une entreprise qui n'est pas celle de l'assistant peut découvrir que cette conversation existe et, parfois, de quoi il s'agit.
Tout le monde ne filtre pas de la même manière. Cinq clients web ont envoyé l'adresse de la conversation et trois, le titre que l'assistant lui-même lui a donné pour la résumer. Gemini, par exemple, envoie ce titre à Google Analytics. Perplexity a envoyé des invites à Wingify. Et Grok est le cas le plus frappant : selon l'étude, lors du partage d'une conversation, TikTok collecte des captures d'écran, et Meta et TikTok collectent le dernier message de l'utilisateur, ainsi que les adresses et les titres. Vos liens de discussion sont accessibles par défaut (avec la possibilité de le désactiver).
Au total, les auteurs dénombrent 124 domaines tiers qu'ils attribuent à 44 organisations, dont 34 à des fins publicitaires ou de suivi (Google Ads, Meta, TikTok ou Twitter Analytics, entre autres). Ils précisent qu'ils n'ont pas l'intention d'évaluer s'il y a non-respect de la loi et que leurs chiffres constituent un plancher mesuré à un moment précis.
Et ce n'est pas la première fois qu'une conversation avec un assistant se termine là où elle ne devrait pas : en décembre 2025, on a appris l'existence d'extensions de navigateur qui copiaient les conversations avec ChatGPT, Claude ou Gemini. La différence est qu'ici, vous n'avez rien à installer.
Rejeter les cookies : 80,8% toujours actifs
La première chose que l’on fait est de cliquer sur « Tout rejeter » et c’est le cas : 77,3 % des transmissions d’identifiants Web à des tiers mesurées par les chercheurs n’ont eu lieu qu’après avoir accepté des cookies non essentiels. Ce qu'il ne fait pas, c'est désactiver les trackers : une fois ceux-ci rejetés, 80,8 % des trackers tiers étaient toujours actifs, selon les auteurs.
Ne plaisantons pas avec les calculs : l'étude elle-même donne un autre chiffre dans une autre section, à savoir que dans quatre des neuf services gratuits, il existe des trackers qui continuent de collecter des données avec des cookies rejetés.
Payer ne résout pas le problème non plus : les comptes gratuits et les abonnements affichent des infrastructures de suivi presque identiques. Et il existe des assistants (Perplexity, Claude et Grok) qui vous permettent de les utiliser sans rien choisir dans la notice cookie. Les auteurs recommandent de rejeter les cookies non essentiels, de désactiver le partage de chat lorsque cela est possible et d'utiliser des navigateurs comme Brave, qui bloquent par défaut les publicités, les analyses et les trackers, bien qu'ils admettent qu'il s'agit de mesures partielles.
« Nous n'avons pas de publicité sur Gemini » : la réponse des entreprises
Google, OpenAI et Microsoft, interrogés sur l'étude, la rejettent. Google affirme que le rapport comprend mal le fonctionnement de ses produits : « Nous n'avons pas de publicité sur Gemini ». OpenAI répond qu'il utilise des outils d'analyse pour comprendre le trafic et diagnostiquer les erreurs, et que les données ne sont pas utilisées à des fins publicitaires ni partagées avec les annonceurs. Microsoft assure qu'après avoir examiné les accusations, il n'a constaté aucune violation de la loi applicable.
La chronologie des notifications, selon l'étude : le 13 avril, les auteurs ont informé les autorités de protection des données de l'Union européenne et du Royaume-Uni, et le 17 avril à xAI via les liens Grok.
L'Agence espagnole de protection des données (AEPD) a cité le travail le 27 mai et a encouragé sa présentation lors de la session plénière des autorités européennes les 8 et 9 juin. OpenAI a mis à jour la politique de confidentialité de ChatGPT le 15 août pour mentionner explicitement les trackers tiers, bien que les auteurs affirment ne pas pouvoir confirmer que cela était dû à leur travail. Et au 10 septembre, Grok disposait toujours de liens accessibles et d'aucune réponse officielle.
Perplexity, pour sa part, a cessé d'envoyer des adresses de conversation à des trackers comme Meta le 3 avril, peut-être, disent les auteurs, en réponse à un recours collectif déposé aux États-Unis le 31 mars, qui allègue que ses invites atteignent les plateformes publicitaires de Google et Meta.
ChatGPT a déjà des publicités en Espagne : est-ce pareil ?
Non. Mais on comprend qu’ils soient mitigés : l’étude commence par rappeler que des fournisseurs comme OpenAI adoptent des modèles économiques basés sur la publicité et que le tracking traditionnel s’étend à l’IA conversationnelle. Et les publicités ChatGPT sont arrivées en Espagne le 24 août, sur 31 marchés européens, pour les utilisateurs gratuits et ceux bénéficiant du forfait Go.
Selon OpenAI, les conversations restent confidentielles pour les annonceurs et, dans l'Espace économique européen, les annonceurs ne reçoivent que des données globales, telles que les vues ou les clics. Il s'agit de deux canaux différents : la publicité que vous voyez dans le chat et la page ou l'application avec ses trackers tiers, ce que mesure l'étude.
Les publicités personnalisées ne sont pas disponibles « dans un premier temps » en Europe. Il convient de prêter attention à cet adverbe.
