L’essentiel
- OpenAI ouvre en aperçu Private Safety Processing, un dispositif qui repère les abus sur plusieurs conversations liées sans conserver le contenu du client.
- En rétention zéro, le contenu reste sur l’infrastructure du client ; une variante en préparation le stocke chez OpenAI, chiffré avec des clés que l’éditeur ne détient pas.
- Anthropic conserve trente jours les sessions de ses « modèles couverts », avec revue humaine possible et journal inaltérable.
La confirmation est arrivée cette semaine, accompagnée de son propre démenti. OpenAI maintient la rétention zéro de données (ZDR, aucune conservation des échanges après traitement) sur ses modèles de pointe, et ses équipes de sécurité expliquent dans le même document qu’une conversation isolée ne suffit plus à repérer un abus. Ne rien garder et surveiller quand même : les deux engagements se regardent en chiens de faïence.
Deux façons de payer la même sécurité
La rétention zéro, telle qu’OpenAI la décrit, tient en une phrase : les prompts et les réponses ne sont pas conservés après traitement, aucun employé n’y accède, et les données des clients entreprise ne servent pas à l’entraînement sauf accord explicite.
Anthropic a pris l’engagement inverse en juillet, pour ses « modèles couverts » : la classe Mythos et les modèles de capacité comparable, Fable en tête. Les sessions y sont conservées trente jours, le temps d’analyser d’éventuels détournements. Une revue humaine reste possible, mais par un chemin d’accès contrôlé, réservé à un petit groupe de relecteurs approuvés, chaque consultation étant inscrite dans un journal inaltérable que ces relecteurs ne peuvent ni effacer ni modifier.
D’un côté, la sécurité se paie en données confiées et en regard humain rendu traçable. De l’autre, elle se paie en confiance accordée à un système automatisé dont personne ne vérifiera le travail. La facture n’est pas la même.
Microsoft a déjà tranché de son côté : sur Azure, un client qui traite des données très sensibles peut demander une « surveillance des abus modifiée », qui supprime à la fois le stockage et la relecture humaine de ses prompts. Sa documentation assume la contrepartie qu’OpenAI laisse dans l’ombre : privée de regard humain, la détection perd en précision.
Surveiller un agent sur plusieurs sessions sans lire une ligne
Techniquement, tout se joue sur un changement d’échelle. Jusqu’ici, les systèmes de sécurité compatibles ZDR évaluaient chaque interaction séparément. Private Safety Processing étend l’analyse aux interactions liées, pour faire apparaître ce qu’un échange seul ne montre pas.
Le modèle de menace visé, lui, est décrit sans détour : un attaquant qui découpe sa demande en morceaux anodins pour se faire écrire un logiciel malveillant, des tests répétés des garde-fous, une coordination entre plusieurs comptes, une demande malveillante déguisée en projet de recherche. Et le cas qui occupe tout le secteur : un agent qui continue d’agir après qu’on lui a demandé de s’arrêter.
Quand le dispositif se déclenche, OpenAI ne reçoit pas la conversation, mais un signal réduit au strict minimum, qui indique le type d’activité repérée. C’est sur ce seul signal que l’entreprise décide si une sanction s’impose, avant de contacter le client pour obtenir du contexte. Les employés n’accèdent pas au contenu, même signalé.
La clé reste chez vous, la zone d’ombre aussi
En déploiement ZDR, le contenu ne quitte pas l’infrastructure que le client contrôle. OpenAI prépare une variante où ce contenu est stocké sur sa propre infrastructure, chiffré avec des clés détenues par le client : sans copie de ces clés, personne chez l’éditeur ne peut ouvrir le coffre.
Reste que le chiffrement protège des yeux, pas de l’analyse. Le dispositif s’applique au contenu quel que soit son lieu de stockage : un système automatisé le lit donc bel et bien, pour en tirer un verdict. La confidentialité promise porte sur l’accès humain, pas sur l’inspection.
La comparaison devient alors inconfortable. Anthropic rend le regard humain traçable, avec un journal que le relecteur ne peut pas trafiquer. OpenAI le rend inutile, mais ne publie ni le contenu exact des signaux, ni les seuils qui les déclenchent, ni l’équivalent d’un journal auditable côté client. Pour contester une décision, il vous faudra reconstituer le dossier depuis vos propres systèmes, puis accepter de partager vos données pour éclairer l’enquête. L’asymétrie a changé de camp, elle n’a pas disparu.
La confidentialité passe en clause de contrat
Le passage le plus offensif de l’annonce ne parle pas de technique. OpenAI y rappelle que certains déploiements récents de modèles de pointe ont obligé les clients à laisser leur fournisseur conserver des contenus sensibles, et que cette exigence entre en conflit avec les obligations de sécurité de nombreuses organisations. La cible n’est pas nommée, mais personne ne s’y trompe.
Pour une direction technique qui négocie un accès API, l’annonce se traduit en questions à poser par écrit :
- que contient exactement le signal remonté, et qui tranche sur la sanction ?
- quelle preuve vous est fournie le jour où un usage légitime est bloqué ?
- le dispositif couvre-t-il votre déploiement, ou reste-t-il réservé à une poignée de clients en aperçu ?
Cette dernière question n’est pas rhétorique : Private Safety Processing est présenté comme un aperçu ouvert à des clients sélectionnés. Une promesse d’architecture, pas encore une garantie contractuelle vérifiable par un tiers.
Les deux entreprises ont pourtant compris la même chose : plus les agents travaillent longtemps et seuls, plus la sécurité réclame du contexte, donc de la mémoire. Anthropic l’assume et encadre le regard qu’elle s’autorise ; OpenAI déporte la mémoire chez le client et confie le jugement à un classifieur (un modèle entraîné à trier automatiquement les comportements suspects). Le prochain gros contrat entreprise dira lequel des deux montages les acheteurs jugent le moins risqué. Et ce choix se jouera moins sur la cryptographie que sur ce que chacun accepte de rendre vérifiable.
Mon avis
Le premier bénéficiaire de Private Safety Processing, c’est le service commercial d’OpenAI, et l’argument va porter : un acheteur entreprise signe une clause, pas une architecture, et « nous ne gardons rien » se valide plus vite en comité que « nous gardons trente jours sous journal inaltérable ». Je trouve pourtant le montage d’Anthropic plus honnête, parce qu’il nomme qui regarde et laisse une trace opposable. Chez OpenAI, la surveillance n’a pas disparu, elle est devenue invisible, donc difficilement contestable. Le jour où un signal automatisé coupera l’accès d’un client sans qu’il puisse voir sur quoi la décision repose, on se rappellera que la confidentialité et le droit de contester ne sont pas le même produit.
