Comment sécuriser votre compte ChatGPT pour protéger vos données privées

Chaque jour, des milliers d'identifiants OpenAI se retrouvent en vente sur le dark web à cause de malwares spécialisés dans le vol de cookies de session. Contrairement à une idée reçue, un mot de passe complexe ne suffit plus à protéger vos secrets industriels ou vos échanges intimes avec l'intelligence artificielle. Prendre 4 minutes pour configurer correctement la sécurité de votre compte change radicalement votre exposition aux risques.

Activer la double authentification pour verrouiller l'accès

Pour sécuriser compte ChatGPT de manière optimale, la première étape consiste à ajouter une barrière que les pirates ne peuvent pas franchir avec un simple mot de passe volé. L'activation de la double authentification (2FA) oblige à saisir un code à usage unique généré sur votre smartphone à chaque nouvelle tentative de connexion. Ce verrou bloque les tentatives d'accès malveillantes, même si vos identifiants ont été interceptés lors d'une campagne de phishing IA sophistiquée.

Pour l'activer, rendez-vous dans les paramètres de votre compte OpenAI, cliquez sur l'onglet 'Sécurité' puis activez l'option d'authentification à deux facteurs. Utilisez une application reconnue comme Google Authenticator ou Microsoft Authenticator plutôt que les SMS, plus faciles à détourner par clonage de carte SIM. Les statistiques de cybersécurité montrent que cette simple mesure bloque plus de 99% des cyberattaques automatisées visant les comptes d'utilisateurs.

Couper l'entraînement des modèles pour protéger vos données privées

Par défaut, OpenAI utilise vos prompts et vos fichiers importés pour entraîner ses algorithmes. Si vous partagez des rapports financiers, des lignes de code propriétaires ou des détails médicaux, ces informations intègrent la base globale de l'outil. Heureusement, vous pouvez désactiver cette option pour empêcher une IA d'utiliser ses données de manière inappropriée.

Allez dans les 'Paramètres', puis 'Contrôles des données', et décochez 'Améliorer le modèle pour tout le monde'. Bonne nouvelle, cette protection n’a pas de contrepartie visible : vos conversations restent dans l’historique de la barre latérale, et seules les nouvelles cessent de servir à l’entraînement. Les offres professionnelles, ChatGPT Business (anciennement Team) et Enterprise, ajoutent des engagements de confidentialité inscrits au contrat. De plus, sachez que même après désactivation, vos conversations restent stockées pendant 30 jours sur les serveurs d'OpenAI pour surveiller d'éventuels abus avant d'être définitivement supprimées.

Surveiller et déconnecter les sessions actives suspectes

Nous nous connectons souvent à ChatGPT depuis plusieurs appareils : l'ordinateur du bureau, la tablette du salon ou le smartphone de passage. Chaque connexion génère un cookie de session qui reste actif pendant parfois plusieurs semaines. Si l'un de ces appareils est compromis, un attaquant peut accéder directement à votre compte sans avoir besoin de taper vos identifiants.

Il est indispensable de faire le ménage régulièrement. Dans l'onglet de sécurité de votre compte, vous trouverez la liste complète des appareils actuellement connectés avec leur localisation géographique approximative. Si vous observez une connexion suspecte ou provenant d'un lieu inhabituel, vous devez déconnecter instantanément tous les appareils suspects d'un seul clic. Cette action invalide immédiatement tous les jetons de session actifs à travers le monde.

La fausse sécurité des mots de passe enregistrés sur navigateur

Beaucoup d'utilisateurs pensent être protégés car leur navigateur web génère et stocke des mots de passe complexes. C'est une grave erreur de jugement. En réalité, les gestionnaires de mots de passe intégrés aux navigateurs web sont la cible prioritaire des infostealers, ces logiciels malveillants discrets qui aspirent vos données d'identification locales en moins de 12 secondes chrono.

Si votre ordinateur est infecté, le pirate récupère l'intégralité de vos accès en clair, y compris votre compte ChatGPT. Les données ainsi dérobées alimentent parfois des campagnes de harcèlement ou de chantage, voire des tentatives d'usurpation d'identité où des pirates exploitent ces informations dérobées pour mener une arnaque clone vocal ultra-réaliste auprès de vos proches ou collaborateurs. Utilisez plutôt un gestionnaire de mots de passe indépendant, chiffré de bout en bout avec une clé maîtresse forte.

Se méfier des extensions de navigateur tierces

Le catalogue d'extensions pour Chrome ou Firefox regorge d'outils promettant d'intégrer ChatGPT à vos e-mails, de rédiger des réponses automatiques ou d'optimiser vos prompts. Si certaines sont légitimes, d'autres cachent du code malveillant conçu spécifiquement pour détourner vos jetons de connexion.

Avant d'installer une extension, vérifiez toujours le nombre de téléchargements, les avis récents et l'identité du développeur. Si une extension demande des permissions excessives, comme lire et modifier toutes vos données sur les sites visités, refusez l'installation. Une seule extension compromise suffit à contourner toutes les protections que vous aurez mises en place sur votre compte.

Vérifier une réponse de ChatGPT avant de s’en servir

ChatGPT peut se tromper avec aplomb, jusqu’à inventer un chiffre ou citer une source qui n’existe pas. La CNIL recommande de contrôler que les résultats sont exacts et de ne jamais reproduire telles quelles les sorties de ces outils sans relecture humaine.

Une routine de vérification qui prend deux minutes :

1. Demandez la source, puis ouvrez-la vous-même. Une référence citée peut être fausse ou ne pas dire ce que la réponse lui prête.
2. Recoupez chaque chiffre, date ou nom propre sur un site officiel : service-public.fr pour une démarche, le site de l’organisme concerné pour un tarif.
3. Reposez la question autrement. Si un point factuel change d’une réponse à l’autre, il ne vaut rien.
4. Pour la santé, le droit ou l’argent, servez-vous de la réponse comme d’une liste de questions à poser à un professionnel, pas comme d’une décision.

Ce qu’il ne faut jamais écrire dans ChatGPT

La CNIL conseille de ne jamais partager d’informations confidentielles, qu’il s’agisse de données personnelles ou de données d’entreprise, dans un service d’IA générative. L’ANSSI va dans le même sens dans ses recommandations d’avril 2024 : ne surtout pas envoyer de données sensibles à des outils grand public comme ChatGPT, Gemini ou DeepL.

Concrètement, gardez hors de vos messages :

• les numéros de pièce d’identité, de sécurité sociale ou de carte bancaire, les IBAN ;
• les mots de passe et codes de connexion, même « pour tester » ;
• les résultats médicaux et les informations sur la santé d’un proche ;
• les documents de travail qui contiennent des noms de clients ou de collègues.

Besoin de faire relire un courrier ? Remplacez les noms, adresses et montants par des mentions génériques avant de le coller, puis remettez-les à la main.

Pour une question ponctuelle, le mode de discussion temporaire limite les traces : OpenAI indique que ces échanges ne servent pas à entraîner ses modèles et sont supprimés de ses systèmes sous 30 jours. Cela ne rend pas pour autant une donnée sensible anodine.

Sources

• CNIL (Commission Nationale de l'Informatique et des Libertés) — Ressources et recommandations sur la protection des données personnelles et l'intelligence artificielle.
• Cybermalveillance.gouv.fr — Plateforme nationale d'assistance aux victimes de cybermalveillance et de sensibilisation aux risques numériques.