Scandale ChatGPT : vos prompts privés exposés dans Google Search Console !

Des prompts privés de ChatGPT repérés dans Google Search Console

Une découverte surprenante secoue la communauté tech : des requêtes privées destinées à ChatGPT ont été enregistrées et exposées dans la Google Search Console de plusieurs sites. Autrement dit, les instructions et les questions posées à l’IA d’OpenAI sont apparues comme des termes de recherche, accessibles au propriétaire du site via ses rapports Search Console. Cette fuite soulève d’importantes questions de confidentialité et montre que les appels à l’API de ChatGPT ont utilisé Google Search comme intermédiaire sans que les utilisateurs ne s’en rendent compte.

Comment la fuite a été détectée

Quelques administrateurs web, en consultant les termes de recherche qui leur rapportaient du trafic, ont remarqué des entrées atypiques :

Des formules longues ressemblant à des consignes techniques (« Write a Python script to scrape… »).
Des questions très détaillées sur des sujets confidentiels (« Plan marketing Q4 2025 for a small e-commerce… »).
Des prompts humoristiques ou personnels (« Raconte une blague sur les licornes et l’IA »).

À la lecture de ces données, ils ont compris que ces termes n’étaient pas de véritables requêtes Google, mais provenaient d’appels automatisés vers ChatGPT qui utilisaient Google Search comme passerelle pour exécuter la recherche web demandée par l’IA.

Les conséquences pour la vie privée

Ces prompts peuvent contenir des informations sensibles :

Plans d’entreprise, données stratégiques ou brainstorming non publiés.
Informations personnelles partagées dans la conversation avec l’IA.
Segments de code, mots de passe ou configurations techniques.

En retrouvant ces prompts dans la Search Console, un administrateur malveillant pourrait extraire des secrets de fabrication, des projets confidentiels ou des données personnelles qui n’auraient jamais dû transiter par un moteur de recherche. Ce mécanisme compromet la confidentialité des utilisateurs de ChatGPT utilisant l’option « Recherche sur le web ».

Le fonctionnement technique en cause

Pour améliorer la pertinence de ses réponses, ChatGPT peut, dans certaines versions, interroger des sources en ligne. Au lieu d’utiliser une API spécialisée ou un index interne, l’IA envoyait ces requêtes via Google Search, comme un internaute :

L’utilisateur formule un prompt avec la mention « search the web for… ».
Le système redirige la requête vers Google Search, générant une URL standard.
Cette requête apparaît alors comme un terme de recherche dans la Search Console du site cible.

En clair, chaque prompt devient un mot-clé traçable. Google Analytics et Search Console récupèrent ces mots-clés pour afficher les performances SEO, sans distinguer une requête humaine d’un appel automatisé.

Réactions et avertissements des experts

Plusieurs spécialistes en cybersécurité et en protection des données tirent la sonnette d’alarme :

Violation de la confidentialité : l’utilisateur pense échanger en privé avec une IA, mais ses entrées sont stockées dans un service tiers.
Non-conformité RGPD : la collecte non déclarée de ces données peut enfreindre les obligations relatives à la vie privée des utilisateurs.
Risque pour les entreprises : des informations stratégiques divulguées peuvent nuire à la compétitivité et à la réputation.

Certains conseils juridiques préconisent de revoir immédiatement les types de requêtes autorisées au sein des IA connectées au web, et d’informer les utilisateurs de la possibilité de logs de recherche externes.

Que faire pour protéger ses prompts ?

Pour limiter la fuite de vos instructions privées, voici quelques recommandations :

Désactiver la fonction « Recherche sur le web » lorsqu’elle n’est pas absolument nécessaire.
Utiliser une API dédiée à l’IA, qui ne passe pas par Google Search pour effectuer les recherches.
Déployer un moteur de recherche interne ou un proxy externe conçu pour filtrer et anonymiser les termes de recherche.
Surveiller régulièrement la Google Search Console pour identifier toute requête suspecte.

La maîtrise de vos données passe aussi par la façon dont vous configurez et utilisez vos outils IA. Un paramètre à négliger peut suffire à exposer vos plus précieux prompts à la vue de tous.

Vers une transparence accrue

Ce problème montre l’urgence d’une meilleure transparence dans les offres d’IA intégrant la recherche en ligne. Les fournisseurs doivent clarifier les architectures techniques et offrir des options explicites pour protéger la confidentialité. De leur côté, les webmasters et utilisateurs doivent rester vigilants quant aux traces laissées par chaque appel automatisé.