GitHub a désactivé en urgence une fonctionnalité qui permettait l’insertion, par Copilot, de « conseils » dans les pull requests des utilisateurs. Quelques jours plus tôt, la plateforme avait annoncé l’extension de l’utilisation faite des données des utilisateurs pour l’entraînement de ses modèles, avec une approbation tacite par défaut et une désactivation manuelle (opt-out).

Glisser des conseils en forme de pubs dans le code des demandes de tirage (pull requests), il fallait y penser. GitHub l’a fait, de façon fort maladroite, et vient de rétropédaler en urgence face à la fronde des utilisateurs. La plateforme invoque une erreur de paramétrage, liée à une autre de ses modifications récentes : la possibilité de collecter les données issues des interactions de l’utilisateur avec Copilot.

« Copilot a intégré une pub à ma PR »

Lundi 30 mars, plusieurs développeurs s’insurgent sur les réseaux sociaux : en lisant les demandes de tirage réalisées au sein de leurs équipes, ils réalisent que le code a fait l’objet d’une édition réalisée par l’agent IA Copilot intégré à la plateforme. « Déployez rapidement des agents de codage Copilot depuis n’importe quel endroit de votre machine macOS ou Windows grâce à Raycast », écrit l’IA de Microsoft, avec émoticône en forme d’éclair et lien vers le site de l’éditeur concerné.

Quelles que soient les qualités intrinsèques de Raycast, difficile de ne pas interpréter ce message comme une incitation à installer le logiciel, et donc comme une publicité. « C’est horrible. Je savais que ce genre de conneries finirait par arriver, mais je ne m’attendais pas à ce que ce soit si tôt », s’émeut le développeur australien Zach Manson, capture d’écran à l’appui, qui rappelle ensuite la fameuse citation de Cory Doctorow sur la théorie de la merdification.

« Au départ, les plateformes conviennent à leurs utilisateurs ; ensuite, elles abusent de ces usagers pour améliorer l’expérience de leurs clients professionnels ; enfin, elles abusent de leurs clients professionnels pour récupérer toute la valeur pour elles-mêmes. »

GitHub rétropédale en urgence

Sentant la bronca venir, GitHub n’a pas tardé à réagir. La plateforme nie toute velléité publicitaire et invoque plutôt l’erreur technique liée à une fonctionnalité présentée comme acceptable, les conseils produits. C’est Martin Woodward, vice-président en charge des relations avec les développeurs, qui est monté au créneau sur X lundi en fin de journée, en répondant à un compte qui s’alarmait de ce changement :

« Nous l’avons déjà désactivé. En fait, il s’agissait de conseils produits, ce qui était acceptable pour les demandes de fusion initiées par Copilot. Mais lorsque nous avons ajouté la possibilité d’utiliser Copilot sur _n’importe quelle_ demande de fusion en le mentionnant, le comportement est devenu problématique. Nous avons donc désactivé complètement les conseils produits suite aux retours reçus. »

Quelques heures plus tard, il livre une explication de texte légèrement plus détaillée et promet que GitHub n’a jamais eu et n’a toujours pas l’intention d’intégrer de publicité sur sa plateforme :

« Notre objectif était de partager des utilisations innovantes de l’agent de codage Copilot. Dans ce cas précis, nous avions mis en avant notre intégration avec Raycast parmi un ensemble plus large de conseils produits. Cependant, cette suggestion est apparue plus fréquemment que prévu, au même titre que d’autres suggestions de fonctionnalités. Nous avons donc supprimé les conseils relatifs à l’agent Copilot de toutes les pull requests. »

Il situe par ailleurs la date d’introduction de ce comportement problématique au 24 mars, à l’occasion « d’un déploiement qui a étendu la capacité de Copilot à contribuer à toute demande de fusion lorsqu’un développeur en fait la demande ».

GitHub renforce l’intégration de Copilot (et son accès aux données)

Le 24 mars, c’est précisément la date à laquelle GitHub a annoncé une mise à jour de ses conditions d’utilisation, pour étendre les possibilités d’entrainement de Copilot.

Ces nouvelles conditions, qui entreront en vigueur le 24 avril prochain, prévoient que « les données d’interaction (notamment les entrées, les sorties, les extraits de code et le contexte associé) des utilisateurs de Copilot Free, Pro et Pro+ seront utilisées pour entraîner et améliorer nos modèles d’IA, sauf s’ils s’y opposent ».

L’entreprise indique explicitement que les utilisateurs de comptes Copilot Business et Copilot Enterprise sont exclus de ce périmètre, mais pour les autres, il faudra une modification manuelle du paramètre en question pour refuser ce nouveau comportement. Autrement dit, Microsoft procède selon une logique d’opt-out (le consentement est donné par défaut, et il faut signaler son refus), là où le caractère personnel des informations concernées aurait pu (ou dû) motiver un opt-in, c’est-à-dire un consentement explicite avant activation.

L’option correspondante est dès à présent disponible dans le menu Settings, à la rubrique Copilot / Features. Pour celles et ceux qui voudraient faire d’une pierre deux coups, l’écran dédié permet au passage de réduire la fréquence des allusions permanentes à Copilot dans l’interface de GitHub.

Pour justifier sa décision, GitHub estime s’aligner avec les standards de l’industrie et promet que leur consentement permettra aux utilisateurs de contribuer à l’amélioration de la qualité de ses modèles.

La plateforme précise par ailleurs le périmètre des données concernées par ces possibilités d’entrainement. Elle affirme ainsi pouvoir collecter les éléments suivants :

• Sorties acceptées ou modifiées par vos soins
• Entrées envoyées à GitHub Copilot, y compris les extraits de code présentés au modèle Contexte du code autour de la position de votre curseur
• Commentaires et documentation que vous rédigez
• Noms de fichiers, structure du dépôt et habitudes de navigation
• Interactions avec les fonctionnalités de Copilot (chat, suggestions intégrées, etc.)
• Vos commentaires sur les suggestions (appréciations : « J’aime »/« Je n’aime pas »)

Le contenu des tickets, des discussions ou des dépôts privés échappe en revanche à la collecte à des fins d’entrainement.

La plateforme promet enfin que ces données ne seront pas vendues à des tiers, mais se réserve la possibilité d’en faire profiter d’autres entités du groupe Microsoft :

« Les données utilisées dans le cadre de ce programme peuvent être partagées avec les filiales de GitHub, qui font partie de notre groupe, notamment Microsoft. Ces données ne seront pas partagées avec des fournisseurs de modèles d’IA tiers ni avec d’autres prestataires de services indépendants. »

Dans la conversation qui s’est enclenchée sur la FAQ dédiée, certains utilisateurs suggèrent que GitHub récompense cette exploitation sous forme de tokens gratuits. D’autres réclament la possibilité de retrouver une version de la plateforme complètement expurgée de Copilot.