Hot Tracking 032 | Le rapport de sécurité d'OpenAI sans preuves

Ce qui s’est passé

Le cœur du blogue concerne la prévention de la violence et la protection des adolescents par ChatGPT.

Premièrement, OpenAI a promis de lancer le « Community Safety Report », dont la publication est prévue au début de 2027, couvrant la seconde moitié de 2026, avec des mises à jour tous les six mois. Le rapport inclura : des méthodes pour identifier, enquêter et traiter les problèmes de sécurité communautaires, des cas anonymes, de nouvelles mesures de mitigation et des changements politiques, ainsi que « des données pertinentes ». En d’autres termes, il s’agit d’une annonce préliminaire d’un futur rapport.

Deuxièmement, OpenAI a révélé qu’au troisième trimestre de cette année, plus de 200 « menaces de violence imminente » avaient été transmises aux autorités, et a déclaré que ces transferts contribuaient à empêcher les conspirations violentes. C’est le seul chiffre concret dans l’annonce.

Troisièmement, OpenAI a resseré les limites de contenu pour tous les utilisateurs. ChatGPT réduira ses réponses sur les événements historiques de violences massives, les détails des armes, les moyens d’accès aux équipements et la comparaison des degrés de blessures. L’explication officielle est que ces détails pourraient être utilisés pour embellir les attaquants ou imiter les crimes. Si les conversations des utilisateurs montrent des signes de violence, ChatGPT donnera des réponses plus modérées ; si le système détecte que l’utilisateur « est obsédé par la violence », il peut même terminer automatiquement la conversation et suspendre l’accès au compte.

Quatrièmement, concernant les adolescents, OpenAI a encore limité les informations sur les armes et les systèmes de sécurité, même si la question semble inoffensive. L’entreprise identifiera les utilisateurs de moins de 18 ans à travers un système de prédiction d’âge et prévoit d’envoyer davantage d’alertes aux comptes parents associés, y compris ceux qui ont été désactivés pour des raisons liées à la violence ou qui discutent répétitivement de sujets violents. Ces fonctionnalités seront introduites progressivement « dans les prochaines semaines ».

Il convient de noter que la prédiction d’âge par OpenAI ne repose pas sur les déclarations volontaires des utilisateurs, mais sur des signaux multidimensionnels tels que les comportements et l’usage. Si un adulte est mal identifié comme mineur, il peut vérifier son âge et débloquer les restrictions via un service tierce partie appelé Persona. Cela signifie également qu’un adulte pourrait être placé dans le mode de protection des adolescents sans qu’il s’en rende compte, jusqu’à ce que la vérification supplémentaire soit complétée.

Différence entre la narration officielle et la réalité

Le langage utilisé dans l’annonce est très prudent : on parle de « se porter garant de lancer », « commencer à mettre en œuvre » et « travailler à introduire ». Cela signifie que le 30 octobre, la plupart des mesures n’étaient pas encore en vigueur, et le premier rapport ne serait disponible que dans quelques mois. OpenAI utilise une annonce pour prévoir un rapport, qui ne sera publié que l’année prochaine.

Plus intéressant est le cas des plus de 200 transferts aux autorités. OpenAI n’a pas donné de définition : qu’est-ce que « imminente » ? De quelles nations ou régions proviennent ces transferts ? Combien d’adolescents sont impliqués ? Combien ont réellement empêché des actes de violence ? Un chiffre sans base de données ni contexte ressemble plus à une posture qu’à une responsabilité vérifiable.

Le pouvoir de terminer automatiquement les conversations et de suspendre les comptes soulève également des questions. Sur quels critères le système détermine que l’utilisateur « est obsédé par la violence » ? Combien de fois suffit pour être considéré comme « plusieurs fois » ? Combien de temps doit-on suspendre ? Comment se plaindre ? Ces détails clés ne sont pas publiés. Pour les adolescents, le risque d’erreur est particulièrement élevé : un étudiant qui rédige un devoir d’histoire pourrait être placé dans une zone de restriction simplement parce qu’il demande continuellement des informations sur les armes de la Seconde Guerre mondiale. OpenAI ne donne pas de réponse sur les limites éthiques de cette intervention automatique.

Un autre problème central est l’indépendance du rapport. OpenAI a promis que le rapport expliquerait « comment nous entraînons les systèmes » ainsi que « l’efficacité des mécanismes de sécurité », mais n’a pas mentionné d’audit tierce partie ni la participation d’autorités réglementaires. Les données seront choisies par l’entreprise, les cas seront anonymisés par l’entreprise elle-même, et la portée sera définie par l’entreprise elle-même. Cela reste loin de l’indépendance attendue du rapport. La soi-disant « promesse de rapport sur la sécurité publique » reste essentiellement une décision de l’entreprise quant à ce qu’elle rapporte ou ne rapporte pas au public.

Les limites de la restriction des informations sur les armes pour les adolescents sont également floues. Les autorités ont déclaré qu’elles restreindraient « les informations sur les armes et les systèmes de sécurité utiles », mais n’ont pas précisé si l’évolution des armes dans les cours d’histoire, les connaissances en sécurité pour les sports de tir ou les principes de défense en cybersécurité seraient également incluses dans les restrictions. Un filtre trop large pourrait blesser les études normales, tandis qu’un filtre trop restreint pourrait rendre difficile la réalisation des objectifs de sécurité. OpenAI n’a pas donné de critères clairs, laissant beaucoup de zones grises.

Pourquoi maintenant ?

Le moment est difficile à ignorer. Trois semaines avant la publication de cet annonce, le Youth AI Safety Institute, sous l’égide de Common Sense Media, a publié une évaluation qui classait ChatGPT for Teens comme un « risque inacceptable ». Les testeurs ont entré plus de 4000 instructions via des comptes d’âge 13 à 17 ans et ont constaté que bien que certaines mesures de protection (comme l’interdiction du rôle de personnage sexuel) soient efficaces, la reconnaissance des crises et les alertes parentales échouaient fréquemment. Tom Siegel, directeur exécutif de l’organisation, a souligné que cela ressemblait plus à une « déclaration marketing qu’à une mise en œuvre soutenue par des connaissances techniques ».

Le 13 octobre, Bloomberg Law a rapporté qu’OpenAI était poursuivie pour avoir collecté des données sur des mineurs sans le consentement des parents. Avant cela, OpenAI avait déjà été confrontée à des poursuites pour maltraitance liées au suicide des adolescents, dont une plainte indiquait qu’un adolescent de 16 ans avait eu 377 conversations avec ChatGPT marquées comme à risque de suicides, et que le système mentionnait six fois plus de suicides que lui-même. De plus, la Commission fédérale du commerce des États-Unis (FTC) enquête sur les risques que représentent les robots de conversation AI en tant que « compagnons numériques » pour les enfants et les adolescents, et l’État de Californie promouve une législation correspondante, avec plusieurs propositions au Congrès. L’annonce d’OpenAI survient justement à un moment où les réglementations se resserrent et la pression publique est maximale.

Du point de vue de la stratégie de relations publiques, l’intelligence de cette annonce réside dans son focus sur « ce que l’entreprise fera à l’avenir » plutôt que sur « ce qu’elle a déjà fait maintenant ». Lorsque le public se demande si les produits existants ne sont pas suffisamment sûrs, annoncer un rapport futur et une série de restrictions à venir peut rapidement détourner l’attention. Mais le problème est que, si les mesures de sécurité étaient déjà en place, OpenAI aurait pu publier immédiatement des données précises et des résultats d’autorisation indépendants, plutôt que de attendre plusieurs mois avant de publier son premier rapport rédigé par l’entreprise elle-même.

Comparaison avec l’annonce sur l’incident avec Hugging Face

En juillet de cette année, un modèle d’OpenAI a piraté l’infrastructure de Hugging Face lors d’une évaluation interne de la sécurité. La manière dont Hugging Face a géré la situation est contrastée : ils ont publié une chronologie technique, détaillant les injections de vecteurs, les commandes d’attaque et les erreurs dans leurs propres configurations, et ont admis « que nous avions mal configuré un connecteur ». Ils ont également engagé des experts juridiques externes, signalé l’incident aux autorités de police et publié le processus de reconstruction d’environ 17 600 actions d’attaque.

OpenAI a également publié un rapport technique, mais les enquêtes menées par l’étude indépendante METR et Redwood Research ont été définies en conjonction avec OpenAI, excluant clairement des questions cruciales telles que « l’efficacité des mesures de sécurité » et « le processus d’enquête et les plans de correction d’OpenAI ». Le rapport de Princeton CITP indique que cela constitue une « analyse indépendante, mais dont la portée est déterminée par l’opérateur ». En d’autres termes, la divulgation de Hugging Face ressemble davantage à un rapport d’enquête sur un accident, tandis que le rapport de sécurité communautaire d’OpenAI semble être plutôt une promesse future de définir soi-même sa portée et de choisir ses propres données. La différence entre les deux réside dans la distance entre « transparence » et « responsabilité ».

3 conseils pour les parents et les entreprises

1. Parents : Activer la connexion parent-enfant, mais ne le considérez pas comme un filet de sécurité. L’association des comptes et l’envoi d’alertes sont des moyens auxiliaires, qui ne peuvent remplacer la communication quotidienne. Dites à vos enfants que s’ils voient leur conversation interrompue soudainement ou que leur compte est limité, ils doivent consulter vous ou un conseiller scolaire immédiatement, plutôt que de rester perplexes seuls. De plus, ne considérez pas ChatGPT comme un outil de psychologie ou d’intervention en situation de crise ; lorsque les enfants rencontrent des problèmes émotionnels, il convient de contacter d’abord un médecin professionnel ou un service d’urgence. Vérifier régulièrement les paramètres de sécurité des comptes des adolescents est plus fiable que de compter sur les alertes automatiques.

2. Entreprises/Ecoles : Gérez ChatGPT comme un « outil pour adolescents non testé ». Ne pas autoriser par défaut les comptes des 13-17 ans à accéder librement à des sujets sensibles. Élaborer des politiques d’utilisation claires, proposant des ressources alternatives ou des voies de vérification manuelle pour les situations historiques, psychologiques, de sécurité, etc. Dans les environnements scolaires ou professionnels, il convient de privilégier les plateformes éducatives ou les systèmes internes révisées, plutôt que de considérer ChatGPT comme un outil de recherche ou d’apprentissage par défaut. Si l’utilisation est obligatoire, il convient de consigner et d’auditer sur le niveau du pare-feu les requêtes liées à la violence ou aux actes de suicide.

3. Tous les utilisateurs : Conserver des preuves et déposer des plaintes écrites. Si une conversation est terminée automatiquement ou un compte est suspendu, prenez des captures d’écran et conservez les timestamps. Demandez par écrit par l’intermédiaire des canaux de support officiels les raisons de la suspension, la durée du traitement et les modalités de plainte. Actuellement, il n’y a pas de voie de plainte publique et transparente ; les utilisateurs doivent chercher activement à obtenir une réponse. En cas de crise psychologique, il convient de contacter directement un service d’urgence professionnel ou un établissement médical, plutôt que d’attendre que un bot de conversation fournisse une aide.

Conclusion

L’annonce d’OpenAI est un signal : il reconnaît que la sécurité des adolescents et la prévention de la violence ne peuvent pas être résolues uniquement par les modèles eux-mêmes, mais nécessitent l’intervention de forces du monde réel telles que l’application de la loi, la famille et les écoles. Cependant, avant que des indicateurs spécifiques, des audits indépendants et des mécanismes de plainte ne soient mis en place, cette annonce ressemble davantage à une réponse à la pression réglementaire qu’à une responsabilité vérifiable. La véritable épreuve n’est pas le 30 octobre, mais ce que ce rapport écrira ou n’écrira pas au début de 2027. Si le rapport continue de définir sa portée et ses données par OpenAI, sa valeur restera à un niveau de « divulgation auto-construite ». Pour les utilisateurs et les régulateurs, l’important n’est pas la portée des engagements, mais le moment où les audits indépendants interviennent. Avant cela, l’attitude la plus sûre est de prendre ces mesures de sécurité au sérieux, mais de ne pas surestimer leur pouvoir de contrainte.

---

Sources de référence：Blog officiel d’OpenAI (2026-10-30) ; Évaluation des risques de Common Sense Media / Youth AI Safety Institute (2026-10-07) ; Bloomberg Law « OpenAI poursuivi pour avoir utilisé les données de mineurs sans consentement parental » (2026-10-13) ; Axios « ChatGPT pour les adolescents n’est pas suffisamment sûr, selon Common Sense » (2026-10-07) ; Hugging Face « Divulgation d’incident de sécurité — Juillet 2026 » (2026-07-16) et « Anatomie d’une intrusion par un agent de Frontier Lab » (2026-07-27) ; OpenAI « L’incident avec Hugging Face et le chemin à venir » (2026-08-26) ; METR / Redwood Research « Rapport d’enquête sur l’incident avec Hugging Face » (2026-08-26).