C’est une première pour les chatbots IA. Claude peut désormais réclamer une vérification de l’identité de l’utilisateur. Il faudra alors présenter un passeport, un permis de conduire ou une carte d’identité avec photo. Les photocopies, les captures d’écran ou « photos d’une photo » ne sont pas acceptées. Un selfie pourra aussi être demandé.

La demande de vérification de l’identité, repérée par Decrypt, a commencé à apparaitre chez de nouveaux abonnés de Claude. Ce qui ne manque pas d’étonner, sachant que pour le moment du moins, aucun législateur ou régulateur n’a exigé une telle opération. Dans une fiche d’assistance mise en ligne le 14 avril, Anthropic explique que « la vérification de l’identité nous aide à prévenir les abus, à appliquer nos politiques d’utilisation et à respecter nos obligations légales ». 

Une vérification de l’identité inédite pour un bot

La vérification de l’identité concerne « certains cas d’usage » non précisés, et lors de l’accès à « certaines fonctionnalités », le tout dans le cadre des vérifications régulières d’intégrité de la plateforme « ou d’autres mesures de sécurité et de conformité ». 

En cas d’échec de la vérification, il est toujours possible de contacter l’entreprise qui examinera alors le dossier. Persona Identities est le prestataire chargé de la vérification ; ce sous-traitant travaille aussi pour le compte de Roblox, DoorDash, LinkedIn, mais aussi… OpenAI, dans certains cas, pour contrôler l’âge des utilisateurs de ChatGPT.

• ChatGPT estime l’âge de ses utilisateurs pour plus ou moins lacher la bride

En février dernier, des chercheurs en sécurité ont découvert qu’une interface web appartenant à Persona était accessible publiquement. Ce frontend contenait 2 456 fichiers (du code et des outils internes) hébergés sur un serveur autorisé par le gouvernement américain, isolé de l’environnement de l’entreprise. 

Pas de données confidentielles ici, mais les fichiers exposés ont permis de mesurer l’ampleur des capacités du système Persona : il réalise jusqu’à 269 types de vérifications possibles, il compare les selfies à des listes de surveillance, détecte les profils à risque et calcule un score de risque. On a également appris à cette occasion que Persona conservait les données des utilisateurs jusqu’à 3 ans. 

Après avoir supprimé l’accès au frontend et assuré qu’aucune donnée personnelle n’avait fuité, l’entreprise a expliqué qu’elle ne travaillait avec aucune agence fédérale états-unienne, et qu’aucun de ses clients n’exploitait la totalité des 269 types de vérifications. 

L’ombre de Peter Thiel

Ce frontend avait été découvert à l’occasion de la mise en place par Discord de son système de vérification de l’âge. La plateforme a depuis révoqué le sous-traitant, suite à une autre polémique : Persona est en effet financé par Peter Thiel, cofondateur de Palantir. Une entreprise dont les outils sont très populaires chez les forces de l’ordre comme l’ICE, qui fait la chasse aux immigrés en situation irrégulière.

• Discord temporise sur la vérification d’âge

Anthropic n’a pas ces états d’âme, et rappelle que Persona traite les données de vérification « selon nos instructions ». Ces informations, chiffrées en transit et au repos, n’en restent pas moins collectées et stockées par Persona. Anthropic peut y accéder, ainsi qu’aux dossiers de vérification si nécessaire pour examiner un appel, par exemple. Les données sont conservées et supprimées « conformément aux limites de conservation » établies par Anthropic et à la loi applicable.

L’entreprise précise aussi, et c’est important vu le contexte, que les données d’identité ne sont pas utilisées pour entraîner ses modèles IA, mais « uniquement pour confirmer votre identité et pour respecter nos obligations légales et de sécurité ». Ces informations ne sont partagées avec personne, sauf en cas de demande légale valide. Enfin, Anthropic affirme ne collecter que les données minimales requises pour vérifier l’identité.

L’opacité avec laquelle Anthropic demande la vérification de l’identité, ainsi que le choix de ce sous-traitant, ne manquent pas d’inquiéter certains. ChatGPT ou Gemini n’en sont pas encore là, même si le premier peut effectuer des vérifications d’âge. Quant au deuxième, son opérateur Google connait déjà beaucoup de ses utilisateurs. Mais Anthropic pourrait bien être précurseur.