Un deuxième e-mail, et l’incident paraît clos : OpenAI promet une option de retrait distincte pour les sessions Daybreak Blue. Le fond du dossier reste pourtant intact. Des données de cybersécurité qui échappaient à l’entraînement vont y entrer, y compris chez les utilisateurs qui avaient désactivé le réglage correspondant.
Une exclusion qui allait de soi, et qui saute
À partir du 29 novembre, OpenAI utilisera les données des sessions Daybreak Blue pour entraîner ses modèles. L’information vient d’un e-mail adressé aux membres du programme Trusted Access, dans lequel la société confirme le changement.
Jusqu’ici, ces sessions étaient exclues de l’entraînement, même quand l’utilisateur avait désactivé l’option « améliorer le modèle pour tout le monde ». L’exclusion ne dépendait donc pas d’un choix de l’utilisateur : elle faisait partie de l’offre. Ce socle disparaît.
Un point reste inchangé : les interactions signalées lors des contrôles de sécurité peuvent être exploitées à des fins de sécurité. Cette réserve existait avant et ne dépend d’aucun réglage.
Un second e-mail, quelques heures plus tard
OpenAI a ensuite envoyé un second message pour promettre une option de retrait (opt-out) séparée, propre à ces sessions. Le calendrier est parlant : une règle de confidentialité annoncée un jour, amendée presque aussitôt.
On peut y voir une entreprise qui écoute. On peut aussi y lire l’inverse : la première version du texte a été rédigée sans se demander si la clientèle visée l’accepterait. Or cette clientèle n’est pas banale. Les membres de Trusted Access manipulent des sujets sensibles, des failles, des configurations, parfois des systèmes de tiers. Des données de cette nature ne se traitent pas comme une conversation ordinaire.
Pour l’instant, cette option de retrait n’existe que sur le papier. Les sources ne précisent ni sa date de mise en service, ni son mode par défaut, ni son éventuel effet sur ce qui a déjà été collecté. Tant que ces trois points restent ouverts, la garantie reste une intention.
Navier-Stokes, Codex et le soupçon
Une affaire récente nourrit la méfiance. Les mathématiciens Tristan Buckmaster et Levent Alpöge avaient déposé dans Codex, l’outil de programmation d’OpenAI, des ébauches de travail sur les équations de Navier-Stokes. Peu après, OpenAI a présenté sa propre démonstration, en affirmant que leurs contenus n’avaient pas pesé sur son résultat.
Rien ne prouve le contraire, et l’enjeu est ailleurs : le soupçon a suffi. Quand une entreprise héberge vos brouillons et conçoit en même temps des modèles qui travaillent sur les mêmes problèmes, la seule preuve acceptable est contractuelle et vérifiable. Une dénégation ne rassure personne, car elle ne peut pas être contrôlée de l’extérieur.
Transposé à la sécurité informatique, le risque est plus concret encore. Une session où un analyste décrit la faille d’un client, teste une chaîne d’exploitation ou commente une architecture contient un savoir-faire monnayable. Qu’il serve ensuite à affiner un modèle généraliste, c’est le but déclaré du changement.
Quatre semaines pour faire le tri
La date est connue, ce qui laisse le temps d’agir plutôt que de subir. Plusieurs vérifications s’imposent à qui utilise Daybreak Blue dans son travail :
- demander par écrit si l’option de retrait annoncée sera active à la date d’entrée en vigueur, et si elle vaut par défaut ou seulement sur demande ;
- savoir si le retrait couvre les sessions antérieures ou uniquement celles à venir ;
- relire les clauses de confidentialité signées avec vos propres clients : certaines interdisent peut-être de confier leurs données à un service qui entraîne ses modèles dessus ;
- éviter, d’ici là, d’y déposer des éléments qui engageraient un tiers (identifiants, cartographies de réseau, détails de vulnérabilités non corrigées).
Même avec un retrait activé, la réserve liée aux revues de sécurité demeure. Une session signalée peut être relue et exploitée. Cela se comprend côté éditeur, mais aucun réglage ne rend la conversation totalement étanche.
La confiance se mesure au délai de correction
Le problème dépasse OpenAI. Les éditeurs de modèles ont un besoin croissant de données spécialisées, difficiles à obtenir ailleurs : du code, des raisonnements d’experts, et ici des traces de travail en cybersécurité. Chaque domaine fermé à l’entraînement est une réserve qui attire. Le choix d’OpenAI tranche d’ailleurs avec la règle affichée par Anthropic pour ses offres professionnelles : les données de son API et de Claude for Work ne servent pas à l’entraînement, sauf accord explicite du client.
La confiance tient moins à la rédaction de la politique initiale qu’à la vitesse à laquelle l’éditeur corrige quand les utilisateurs protestent. Ici, il a fallu un deuxième e-mail. La prochaine fois, ce sera peut-être un changement discret dans des conditions d’utilisation que personne ne relit. Une équipe sérieuse prévoit donc dès maintenant un plan de sortie : quelles données restent chez elle, lesquelles passent par un outil, et lesquelles ne passent jamais.
Vous avez aimé celui-ci ?
La newsletter du vendredi réunit les articles de la semaine, avec leurs sources.
Offert à l'inscriptionMa configuration Claude Code, avec mes skills, mes sous-agents et mes hooks, prêts à copier.
Sources
Ils m’ont fait confiance
« Il ne se contente pas de corriger les symptômes, il cherche à comprendre l'origine des problèmes et à sécuriser les modifications effectuées. J'ai réellement le sentiment d'avoir trouvé un développeur qui comprend à la fois la technique et les enjeux globaux du projet. »
Évaluation client · projet WordPress · septembre 2026
5,0/5 sur 22 évaluations
Faire appel à mes services →
