Les applications de petite amie IA sont-elles sûres ? Confidentialité, fuites et solutions

Une application de petite amie IA entend des choses que la plupart des gens ne disent jamais à voix haute : la solitude, les fantasmes, les inquiétudes pour la santé, le nom d'un patron détesté. Ce texte est stocké sur les serveurs d'une entreprise. Une partie est lue par des modérateurs, réinjectée dans des modèles ou partagée avec des partenaires publicitaires, et une partie a déjà fuité.

Rien de tout cela ne signifie que vous ne pouvez pas utiliser ces applications. Cela signifie que vous devriez considérer chaque message comme susceptible d'être lu un jour par un inconnu, avec votre adresse e-mail attachée, et configurer votre compte de façon à ce qu'il soit impossible de remonter jusqu'à vous si cela arrive.

Alors, les applications de petite amie IA sont-elles sûres ? Ci-dessous : ce qu'a révélé l'évaluation indépendante la plus approfondie de ces applications, ce que les régulateurs et les fuites de données ont montré depuis, ce que les applications elles-mêmes disent faire de vos conversations, et la configuration qui limite les dégâts.

Les applications de petite amie IA sont-elles sûres ?

Assez sûres si vous partez du principe que vos conversations pourraient fuiter et que vous n'y mettez pas votre vraie identité ; pas sûres si vous les traitez comme un journal intime. Les applications conservent l'historique complet des conversations, plusieurs s'en servent pour entraîner des modèles, et au moins deux services de compagnons ont exposé des messages et des photos d'utilisateurs. La suite de ce guide présente les faits et la configuration qui limite les dégâts.

Ce que Mozilla a constaté en examinant 11 chatbots romantiques

En février 2024, l'équipe *Privacy Not Included de la Mozilla Foundation a publié une évaluation de 11 chatbots IA romantiques et de compagnie, à l'occasion de la Saint-Valentin. Mozilla a depuis mis fin au guide *Privacy Not Included et ses anciennes pages redirigent désormais ailleurs ; le rapport subsiste donc sous forme de copie archivée¹ et dans la presse. Chacune des 11 applications a reçu l'avertissement « *Privacy Not Included », la mention de Mozilla pour une catégorie parmi les pires qu'elle ait examinées.

D'après le résumé des conclusions par Infosecurity Magazine², ces applications cumulaient plus de 100 millions de téléchargements sur Google Play, et :

• 90 % vendaient les données des utilisateurs, les partageaient à des fins de publicité ciblée, ou n'en disaient pas assez dans leur politique de confidentialité pour l'exclure.
• 54 % ne permettaient pas aux utilisateurs de supprimer leurs données personnelles.
• 73 % ne publiaient rien sur leur gestion des failles de sécurité.
• 64 % ne donnaient aucune information claire sur le chiffrement.
• 45 % autorisaient les mots de passe faibles.

Le chercheur de Mozilla Misha Rykov a été direct : « Les petites amies IA ne sont pas vos amies. » La directrice du guide, Jen Caltrider, a déclaré que l'une des choses les plus effrayantes dans cette catégorie était « le potentiel de manipulation de leurs utilisateurs ».

Traqueurs, mots de passe et entraînement

Le compte rendu de l'étude par The Next Web³ ajoute les détails qui ont marqué. Une application, Romantic AI, a envoyé au moins 24 354 traqueurs publicitaires en moins d'une minute d'utilisation. Dix des 11 ne respectaient pas les normes de sécurité minimales de Mozilla, qui exigent notamment un mot de passe robuste ; certaines acceptaient des mots de passe comme « 11111111 ». Mozilla a indiqué que Replika enregistrait les textes, photos et vidéos publiés par les utilisateurs et partageait « assurément » — et vendait « peut-être » — des données comportementales à des annonceurs. Une seule application sur les 11, Genesia AI, offrait un moyen réaliste d'empêcher que vos conversations servent à l'entraînement de l'IA.

Cet examen date maintenant de près de trois ans et les politiques évoluent : voyez-y un portrait des habitudes du secteur plutôt qu'un verdict sur telle ou telle application aujourd'hui. Nous examinons plus bas ce que disent deux politiques actuelles.

Les autorités de régulation ont commencé à agir

L'Italie a bloqué Replika en 2023 et a sanctionné son éditeur en 2025

Le 3 février 2023, l'autorité italienne de protection des données, la Garante, a ordonné à Luka Inc., la société américaine à l'origine de Replika, de cesser de traiter les données des utilisateurs italiens⁴. La Garante a estimé que l'application ne comportait aucune vérification réelle de l'âge (l'inscription demandait seulement un nom, une adresse e-mail et un genre), qu'elle présentait des risques pour les mineurs et les personnes émotionnellement vulnérables, et qu'elle traitait les données de manière illicite au regard du RGPD.

Deux ans plus tard, la Garante a achevé la procédure. Par une décision datée du 10 avril 2025 et annoncée le 19 mai 2025⁵, elle a infligé à Luka une amende de 5 millions d'euros. Elle a constaté qu'à la date du blocage de 2023, l'entreprise n'avait identifié aucune base juridique pour le traitement des données des utilisateurs, disposait d'une politique de confidentialité inadéquate et n'avait mis en place aucune vérification de l'âge, alors qu'elle affirmait exclure les mineurs. La vérification de l'âge utilisée aujourd'hui par Luka a, elle, été jugée encore déficiente à plusieurs égards. La Garante a aussi ouvert une enquête distincte sur la manière dont le modèle d'IA générative qui alimente Replika est entraîné, notamment sur les catégories de données utilisées et leur éventuelle anonymisation. Le résumé du Comité européen de la protection des données⁶ énumère les articles du RGPD concernés, notamment les règles sur la transparence et sur la protection de la vie privée dès la conception.

Une plainte auprès de la FTC et une étude de la FTC aux États-Unis

Fin janvier 2025, le Tech Justice Law Project, la Young People's Alliance et Encode ont déposé une plainte auprès de la Federal Trade Commission⁷ pour lui demander d'enquêter sur Replika. La plainte porte surtout sur le marketing et la conception, et non sur les données : elle dénonce des allégations de santé non étayées, de faux témoignages et des fonctionnalités destinées à favoriser la dépendance émotionnelle. TIME⁸ a rapporté qu'elle décrit aussi des invitations à passer à l'offre payante qui apparaissent à des moments chargés d'émotion ou de sexualité dans une conversation. Il s'agit d'une requête, pas d'une conclusion, et Replika n'a pas répondu aux demandes de commentaire de TIME.

Le 11 septembre 2025, la FTC a envoyé des injonctions à sept entreprises qui exploitent des chatbots de compagnie⁹, dont Character.AI, Meta, OpenAI, Snap et xAI. Elle leur a notamment demandé comment elles traitent les informations personnelles et si elles utilisent ou partagent celles obtenues lors des conversations des utilisateurs avec les chatbots. Il s'agit d'une étude, pas d'une mesure d'exécution, mais cela montre où les autorités voient le risque. Notre guide sur les lois encadrant les compagnons IA traite du volet vérification de l'âge et législations des États.

Des applications de petite amie IA ont-elles été piratées ?

Oui. Muah.ai a perdu des prompts liés à 1,9 million d'adresses e-mail en 2024, et deux autres applications de compagnie ont laissé 43 millions de messages sur un serveur ouvert en 2025.

Muah.ai, 2024

Muah.ai vendait des compagnons IA « non censurés ». En octobre 2024, 404 Media a rapporté¹⁰ qu'un pirate s'était emparé d'une importante base de données des interactions des utilisateurs avec le site, qu'il décrivait comme « une poignée de projets open source scotchés ensemble ». Les prompts, qui décrivent en détail les fantasmes sexuels des utilisateurs, étaient liés à des adresses e-mail, dont beaucoup, selon 404 Media, ressemblaient à des comptes personnels avec de vrais noms. Le média a aussi trouvé de nombreux prompts cherchant à créer des jeux de rôle d'abus sexuels sur mineurs, ce qui est illégal.

Have I Been Pwned, le service de notification des fuites de données, recense cette fuite¹¹ en septembre 2024, avec 1,9 million d'adresses e-mail exposées avec des prompts d'IA et des fétichismes sexuels. Le service l'a classée comme sensible : seul le propriétaire d'une adresse peut donc vérifier si elle y figure. Uncensored.now détaille ce que conservent les chats IA NSFW, et la fuite de Muah.ai (notre site).

Chattee Chat et GiMe Chat, 2025

En octobre 2025, Malwarebytes a rendu compte¹² de recherches de Cybernews sur deux applications de compagnie d'un développeur de Hong Kong, Imagime Interactive. Un serveur sans aucune authentification avait exposé 43 millions de messages et plus de 600 000 images et vidéos provenant de plus de 400 000 utilisateurs, ainsi que des historiques d'achats, des adresses IP et des identifiants d'appareil. Les noms et les e-mails n'y figuraient pas, mais les identifiants d'appareil et les adresses IP peuvent être recoupés avec d'anciennes fuites pour identifier des personnes. Personne n'a eu besoin de pirater quoi que ce soit : les données étaient tout simplement laissées en accès libre.

Le schéma est le même dans les deux cas. Les entreprises étaient petites, l'ingénierie sommaire, et les données les plus sensibles qu'une personne puisse produire étaient stockées à côté d'éléments permettant de l'identifier.

Les applications de petite amie IA utilisent-elles vos conversations pour entraîner l'IA ?

Certaines le disent clairement : Candy AI peut utiliser vos données pour entraîner ses modèles, et Replika utilise de « petites parties » de messages anonymisés pour ses propres systèmes. La plupart des applications de compagnie conservent tout l'historique de vos conversations, à la fois pour que le personnage puisse se « souvenir » de vous et parce que ces journaux ont de la valeur. La suite dépend de l'entreprise, et vous ne le savez qu'en lisant la politique de confidentialité. Voici ce que disent aujourd'hui deux des applications que nous testons.

Replika

La politique de confidentialité de Replika¹³ (dernière mise à jour le 28 octobre 2026) indique que de « petites portions » de messages et de contenus peuvent être anonymisées et utilisées en interne pour entraîner ses systèmes de sécurité et améliorer le chatbot, et que ces données ne servent pas à entraîner les grands modèles de langage de tiers. Elle partage des identifiants d'appareil, des données d'activité et d'achat avec des partenaires publicitaires, dont Meta, Google et AppsFlyer, et précise que, pour les utilisateurs américains, cela constitue une « vente » de données personnelles, à laquelle vous pouvez vous opposer via sa page « Your Privacy Choices » ou un signal Global Privacy Control. Elle affirme ne jamais partager vos conversations avec ces partenaires publicitaires. L'historique des textes est conservé 24 mois, et les photos, vidéos et enregistrements vocaux 12 mois, tant que le compte est ouvert ; les données de profil sont supprimées dans les 60 jours suivant la fermeture du compte, mais les documents financiers sont conservés 10 ans. Notre test de Replika porte sur l'application elle-même.

Candy AI

L'avis de confidentialité de Candy AI¹⁴ (révisé le 19 octobre 2026 ; exploitant : EverAI Limited, à Malte) indique qu'elle peut utiliser vos données pour « entraîner et développer nos modèles d'IA et nos technologies de modération », et que la préparation des jeux de données d'entraînement peut inclure une relecture humaine d'interactions dépersonnalisées avec les compagnons IA. Ses prestataires de modération et de modèles de langage « peuvent recevoir le contenu de vos messages ». Les données du compte sont conservées trois ans après votre dernière activité et les données financières dix ans. Consultez notre test de Candy AI pour le reste.

Deux choses sont à retenir. D'abord, « anonymisé » et « dépersonnalisé » portent beaucoup de poids : une conversation où vous mentionnez votre ville, votre métier et votre ex par son nom est difficile à anonymiser. Ensuite, les traces de paiement survivent à tout le reste. Même après la suppression d'un compte, le fait que votre carte ait réglé cette entreprise reste archivé pendant dix ans.

Comment utiliser une application de petite amie IA sans vous exposer

Séparez le compte de votre identité

• Utilisez une adresse e-mail que vous n'employez pour rien d'autre. La fuite de Muah.ai a fait des dégâts parce que les prompts étaient liés à de vraies adresses e-mail. Une adresse neuve, sans votre nom, rompt ce lien.
• Utilisez un mot de passe long et unique, généré par un gestionnaire de mots de passe. Mozilla a constaté que bon nombre de ces applications acceptent des mots de passe faibles. Évitez si possible de vous connecter avec Google ou Apple, car cela rattache le compte à votre identité principale.
• Donnez au personnage un faux vous. N'utilisez pas votre vrai nom, votre employeur, votre école, votre rue, ni les noms de personnes réelles de votre entourage. L'application n'en a pas besoin pour fonctionner.
• N'envoyez jamais votre visage ni de photos permettant de vous identifier. Les photos et les messages vocaux sont conservés, et lors de la fuite de Chattee, des centaines de milliers d'images se trouvaient sur un serveur ouvert.
• Ne mentionnez pas vos informations de santé. La politique de Replika elle-même demande aux utilisateurs de ne pas partager d'informations de santé ni de détails sur leur vie sexuelle dans les conversations. Appliquez ce conseil à toutes les applications.

Réfléchissez à votre moyen de paiement

Votre relevé bancaire comme les documents financiers de l'entreprise mentionnent le service. Payer via les achats intégrés d'Apple ou de Google garde les données de votre carte hors de portée du développeur de l'application, même si la boutique conserve la trace du paiement. Une carte prépayée est une autre option, mais le Consumer Financial Protection Bureau signale¹⁶ qu'une carte prépayée non enregistrée peut offrir moins de protections en cas de perte ou de vol, et qu'elle peut ne pas fonctionner du tout en ligne. Les abonnements et les packs de jetons sont traités dans notre guide sur le coût des applications de petite amie IA.

Désactivez ce que vous pouvez

Cherchez dans les paramètres de l'application et dans sa politique de confidentialité une option de refus de la publicité ou de la « vente ou du partage » des données, ainsi que tout refus de l'entraînement des modèles. Activez Global Privacy Control dans votre navigateur si vous utilisez la version web ; Replika, par exemple, indique le respecter. Sur votre téléphone, refusez à l'application l'accès aux contacts, à la localisation et à la photothèque, et désactivez le suivi publicitaire au niveau du système.

Supprimez correctement vos données en partant

Résilier un abonnement ne supprime rien. Supprimez votre historique de conversations, puis le compte, depuis l'application, et si vous voulez une confirmation écrite, envoyez une demande de suppression au contact confidentialité indiqué dans la politique.

Si vous vivez en Californie, le California Consumer Privacy Act¹⁷ vous donne le droit de savoir ce qu'une entreprise détient sur vous, de le faire supprimer, de vous opposer à sa vente ou à son partage, et de limiter l'utilisation des informations sensibles, ce qui inclut expressément votre vie sexuelle et votre orientation sexuelle. Les entreprises disposent de 45 jours calendaires pour répondre à une demande de suppression, prolongeables une fois de 45 jours supplémentaires. Dans l'UE et au Royaume-Uni, l'article 17 du RGPD¹⁸ vous donne un droit à l'effacement « dans les meilleurs délais » dans la plupart des cas. Attendez-vous à des exceptions : les deux textes permettent aux entreprises de conserver les documents qu'elles sont légalement tenues de détenir, ce qui explique que les données de paiement survivent souvent.

Si vous partez à cause de la facturation, notre guide sur la résiliation d'un abonnement de petite amie IA vous explique comment procéder dans le bon ordre pour ne pas être débité à nouveau.

Si vous pensez que vos données ont fuité

Vérifiez votre adresse e-mail sur Have I Been Pwned ; pour les fuites sensibles comme celle de Muah.ai, le site ne vous répondra qu'après que vous aurez vérifié que l'adresse est bien la vôtre. Changez le mot de passe de ce compte, ainsi que partout où vous l'avez réutilisé. Préparez-vous à recevoir des e-mails d'extorsion. La FTC met en garde¹⁵ contre des escrocs qui prétendent détenir des enregistrements de votre navigation sur des sites pour adultes, citent parfois un vrai mot de passe issu d'une ancienne fuite pour paraître crédibles, et menacent de l'envoyer à vos amis et à votre famille si vous ne payez pas. Son conseil : ne payez rien, supprimez le message, changez le mot de passe qu'ils mentionnent et signalez-le sur ReportFraud.ftc.gov.

En bref

Les applis de petite amie IA reposent sur vos mots les plus intimes, et tout indique pour l'instant que beaucoup d'entre elles les protègent mal : sécurité faible, pistage intensif, conservation prolongée et, dans quelques cas, serveurs ouverts à tous. Choisissez une appli dont vous avez réellement lu la politique de confidentialité, donnez-lui le moins possible d'éléments sur votre vraie identité, payez d'une façon qui ne vous gêne pas de voir sur un relevé, et supprimez correctement le compte quand vous avez terminé. Partez du principe que tout ce que vous écrivez peut être lu par quelqu'un d'autre, et écrivez en conséquence.