Meta AI, Gemini, ChatGPT : le classement des chatbots qui dévorent le plus vos données

Vous posez une question à un chatbot. Vous lui confiez un brouillon, une question médicale, un souci conjugal, parfois votre RIB pour comprendre un prélèvement. La conversation est privée, pensez-vous. Elle ne l'est pas. Une étude publiée le 16 avril 2026 par Surfshark, reprise par Les Echos, a mesuré ce que les dix chatbots IA les plus téléchargés collectent réellement. Résultat : 100 % d'entre eux aspirent vos données. Et l'écart entre le moins vorace et le plus vorace est vertigineux.

Le podium tient en trois chiffres : Meta AI coche 33 catégories de données personnelles sur 35 possibles, Google Gemini 23, ChatGPT 17. Claude, lui, reste à 13. Autrement dit, parler à Meta AI dans WhatsApp revient à confier au réseau social de Mark Zuckerberg près de trois fois plus d'informations sur vous que ce que Claude demande pour répondre à la même question.

Ce que "collecter des données" veut vraiment dire

Les 35 catégories utilisées par l'étude correspondent à la nomenclature officielle d'Apple pour les fiches de confidentialité de l'App Store. On y trouve des éléments que l'on imagine bien, comme l'adresse email, le numéro de téléphone ou l'historique des messages. Mais aussi des rubriques qui surprennent : localisation précise, contacts du carnet d'adresses, données de santé, informations financières, habitudes de navigation hors de l'application, contenu utilisateur (vos prompts, donc), identifiants publicitaires, coordonnées de paiement.

L'étude note deux tendances lourdes :

• 70 % des applications suivent désormais la localisation de leurs utilisateurs, contre 40 % un an plus tôt ;

• La catégorie "contenu utilisateur" (vos questions, vos échanges, les fichiers joints) est devenue la norme chez tous les acteurs. Ce que vous tapez dans la zone de saisie n'est pas une discussion privée : c'est un actif stocké, analysé, parfois utilisé pour entraîner le modèle suivant.

Pourquoi Meta AI aspire tout

Le cas Meta AI est particulier. L'application n'a pas été lancée comme un outil autonome mais greffée sur WhatsApp, Instagram et Messenger, trois applications que Meta exploite depuis des années pour son modèle publicitaire. Le chatbot hérite donc de toute la plomberie de collecte préexistante. Votre liste de contacts, votre historique d'achat, vos interactions sociales, votre géolocalisation : Meta avait déjà ces données avant que vous ne posiez votre première question au chatbot. En y ajoutant le contenu des conversations, le groupe américain obtient le profil le plus complet de la catégorie.

Google Gemini suit une logique proche mais moins poussée : intégration au compte Google, accès optionnel à Gmail, Drive, Agenda si vous l'activez. ChatGPT, lui, a élargi sa collecte cette année : d'une dizaine de catégories en 2025, l'application est passée à 17 avec le déploiement des fonctions mémoire et agent. Claude, publié par Anthropic, affiche le profil le plus sobre parmi les grands modèles, avec 13 catégories centrées sur le fonctionnement du service.

Ce que dit le RGPD

En Europe, toute collecte de données personnelles doit reposer sur une base légale claire (article 6 du RGPD) et respecter le principe de minimisation (article 5) : on ne récolte que ce qui est strictement nécessaire à la finalité annoncée. La CNIL, dans ses recommandations publiées pour les opérateurs de chatbots, rappelle que l'éditeur doit informer l'utilisateur, lui permettre d'exercer ses droits (accès, rectification, effacement, opposition) et encadrer strictement la réutilisation des conversations pour l'entraînement de l'IA.

La théorie est claire. La pratique l'est moins. OpenAI a déjà été sanctionné par l'autorité italienne de protection des données qui lui a infligé 15 millions d'euros fin 2024. L'autorité irlandaise de protection des données a quant à elle demandé à Meta en juin 2024 de suspendre l'entraînement de son IA sur les données des utilisateurs européens, et le dossier reste en cours d'examen. L'IA Act européen, entré en vigueur le 1er août 2024, ajoute des obligations de transparence pour les modèles génératifs ; ses dispositions s'appliquent toutefois par paliers jusqu'en 2027, et les premières sanctions à l'échelle européenne n'ont pas encore été prononcées.

Les quatre gestes qui changent vraiment quelque chose

Premier levier : choisir son chatbot en connaissance de cause. Si vous avez le choix entre deux modèles équivalents pour une tâche donnée, prendre le moins gourmand (Claude, ou DeepSeek selon les cas) réduit mécaniquement l'exposition. Pour un simple résumé de texte ou une traduction, un petit modèle sobre fait aussi bien qu'un chatbot branché sur vos contacts.

Deuxième levier : désactiver l'entraînement sur vos conversations. La plupart des éditeurs proposent cette option, mais elle est cachée dans les paramètres.

• Sur ChatGPT, rendez-vous dans "Paramètres > Contrôles des données > Améliorer le modèle pour tout le monde" et décochez.

• Sur Gemini, "Activité Gemini Apps" permet d'empêcher l'enregistrement.

• Sur Claude, les conversations des comptes gratuits et Pro ne sont pas utilisées pour l'entraînement par défaut.

Troisième levier : ne jamais y coller ce qui ne doit pas en sortir. Numéro de sécurité sociale, RIB, mot de passe, photo d'identité, diagnostic médical nominatif, correspondance professionnelle confidentielle : un chatbot grand public n'est pas le bon canal. Les fuites arrivent. En 2023, des salariés de Samsung ont collé du code source interne dans ChatGPT, ce qui a conduit le groupe à interdire l'outil à ses employés quelques semaines plus tard par crainte que ces contenus soient réutilisés pour entraîner le modèle. La même année, un bug technique de ChatGPT a par ailleurs exposé brièvement les titres de conversations et des informations de paiement d'une partie des abonnés payants. Dans ses recommandations aux opérateurs de chatbots, la CNIL demande aux éditeurs de mettre explicitement en garde leurs utilisateurs contre le partage de données sensibles dans ce type d'outil.

Quatrième levier : exercer vos droits RGPD. Chaque éditeur d'IA dispose d'un formulaire pour demander l'effacement des données vous concernant, y compris des conversations passées. OpenAI propose une page dédiée aux demandes de confidentialité, Anthropic et Google également. La procédure prend quelques minutes et l'entreprise a un mois pour répondre.

Le droit européen existe, la CNIL publie des guides, les recours sont ouverts. La première ligne de défense reste personnelle : savoir à qui l'on parle et ce que l'on confie.