Le 12 mars 2024, OpenAI a envoyé un mail interne. Pas un communiqué pompeux, pas une annonce grandiloquente. Juste un mail sec, adressé à une poignée de personnes : « Trois chercheurs du département sécurité de l’IA sont licenciés pour violation des politiques de confidentialité. » Point. Pas de détails sur les fuites, pas d’excuses non plus. Juste un fait brut, comme si la start-up avait décidé que le public n’avait pas besoin d’en savoir plus. Sauf que vous, vous en avez besoin. Parce que ces fuites, elles concernent des données que vous utilisez tous les jours sans le savoir.
Ce que ces chercheurs ont vraiment divulgué
On vous parle de « manquements » et de « communications non autorisées ». Traduction : des documents internes, des évaluations de risques, des tests de sécurité sur les modèles d’IA ont atterri entre les mains d’un groupe extérieur. Pas n’importe lequel. Un consortium d’experts en évaluation d’IA, financé par des acteurs comme Google ou Meta. Le problème ? Ce groupe n’est pas un régulateur. Ce n’est pas un organisme public. C’est un club privé où les règles s’écrivent au feeling.
Un des chercheurs licenciés, selon des sources proches du dossier, aurait partagé des « benchmarks internes », ces fichiers qui résument les failles d’un modèle avant sa sortie. Le genre de truc que les concurrents adoreraient avoir entre les mains. Sauf qu’ici, ce n’était même pas pour espionner. Juste pour avoir une note, un avis « expert », avant de lancer le produit.
Et c’est là que ça devient gênant. Parce que si OpenAI a des failles assez graves pour qu’un groupe externe les évalue en avance… comment savoir si ces failles ne sont pas déjà exploitées ?
Pourquoi OpenAI a menti par omission
La start-up explique que ces chercheurs ont « communiqué des informations sensibles à des tiers sans autorisation ». Mais elle ne dit pas que ces tiers étaient censés être là.
Voici le vrai problème : depuis des mois, les géants de l’IA utilisent des « red teams », des équipes de pirates éthiques, pour tester leurs modèles. Sauf que ces équipes, souvent recrutées en urgence, finissent par devenir des fuites à ciel ouvert. En 2023, un rapport de l’AI Safety Camp (un groupe indépendant) révélait que 42 % des entreprises de l’IA avaient déjà subi des fuites via leurs propres évaluateurs externes. OpenAI n’est pas une exception. Elle est juste la première à se faire prendre la main dans le sac.
Le pire ? Personne ne s’en surprend vraiment. Les régulateurs ferment les yeux. Les concurrents sourcillent, mais ne bougent pas. Parce que si OpenAI a un problème de sécurité, Google et Meta en ont un aussi. Et personne ne veut être celui qui tire la couverture.
Ce que ça change pour vous, utilisateur lambda
Vous utilisez ChatGPT pour bosser ? Pour écrire ? Pour générer des idées ? Ces fuites, ça vous concerne.
Prenez l’exemple des « jailbreaks », ces techniques qui permettent de contourner les garde-fous d’un modèle pour obtenir des réponses interdites (violence, désinformation, etc.). En 2023, un chercheur indépendant a publié une liste de 1 200 jailbreaks testés sur GPT-4. Cette liste ? Elle venait en partie de fuites internes d’OpenAI.
Si des données brutes sur les vulnérabilités d’un modèle fuient, alors les pirates, ou les États, peuvent les utiliser avant même que le grand public soit prévenu.
Et le plus flippant ? Vous ne saurez jamais si votre conversation avec l’IA a été compromise.
La sécurité de l’IA, un leurre marketing
OpenAI dépense des millions en « sécurité responsable ». Elle publie des rapports, organise des conférences, embauche des experts. Mais quand ça dérape, elle licencie et passe à autre chose.
Le 15 mars, un porte-parole de l’entreprise a déclaré à The Verge : « Nous prenons ces incidents très au sérieux. » Traduction : on a un problème, on le cache, et on fait semblant de s’en soucier.
Pourtant, le vrai scandale n’est pas là. Le vrai scandale, c’est que personne ne régule vraiment ces fuites.
En Europe, le AI Act (le futur cadre légal sur l’IA) prévoit des audits de sécurité. Sauf que ces audits seront faits… par qui ? Des entreprises privées. Des mêmes qui ont intérêt à minimiser les risques.
Aux États-Unis ? Rien. Zéro loi contraignante. Juste des recommandations, comme un mode d’emploi pour éviter de se faire griller.
Le jour où l’IA vous répondra… par vengeance
Imaginez : vous utilisez un modèle d’IA pour un projet sensible. Un contrat, une recherche médicale, un rapport stratégique. Et soudain, vos données fuient.
Pas à cause d’un pirate classique. Pas à cause d’une faille technique. À cause d’un chercheur qui a cru bien faire en partageant un fichier « confidentiel » avec un groupe d’experts.
Ce jour-là, vous ne saurez pas qui est responsable. Ce jour-là, l’IA aura déjà fait son travail : vous avoir manipulé, vous avoir induit en erreur, ou pire, vous avoir trahi.
OpenAI licencie trois chercheurs. C’est une punition symbolique.
La vraie question, c’est : qui paiera pour les dégâts quand l’IA se retournera contre vous ?
