ChatGPT Computer History : OpenAI suit vos activités macOS

OpenAI donne à ChatGPT une mémoire de votre ordinateur, avec des lacunes de sécurité

Le 13 août 2026, OpenAI a déployé pour les utilisateurs macOS de ChatGPT une nouvelle fonctionnalité appelée Computer History. Activée de manière opt-in via l'application de bureau ChatGPT pour Mac, cette fonction crée une chronologie consultable et génère des mémoires persistantes à partir de l'activité de l'utilisateur à travers les applications et sites web qu'il a approuvés. L'objectif affiché est de permettre à ChatGPT et à Codex, l'agent de codage autonome d'OpenAI, de bénéficier d'un contexte enrichi et continu sur ce que l'utilisateur a fait sur son Mac, sans avoir à réexpliquer le contexte de travail à chaque nouvelle conversation ou session de codage.

Concrètement, Computer History capture des événements d'interaction : les applications ouvertes et actives, les pages web visitées, les documents consultés, les actions effectuées dans diverses applications professionnelles et de productivité. La fonctionnalité se distingue explicitement de ce qu'elle ne capture pas — et OpenAI y insiste dans sa communication : pas de captures d'écran, pas d'enregistrements vidéo de l'écran, pas d'entrée microphone, pas d'audio système. La navigation privée est également exclue du périmètre de collecte. Ces guardrails ont été mis en avant par OpenAI pour rassurer les utilisateurs et prévenir les comparaisons les plus directes avec des logiciels de surveillance, mais ils n'ont pas suffi à éteindre la controverse dès les premières heures du déploiement.

Le problème central identifié par les chercheurs en sécurité et relayé par plusieurs médias spécialisés — dont Digital Trends et 9to5Mac — concerne précisément le stockage des données collectées. Les fichiers contenant l'historique d'activité de l'utilisateur sont conservés localement sur le Mac, ce qui est en soi une bonne pratique de minimisation des données. Mais ces fichiers ne sont pas chiffrés. OpenAI l'indique elle-même dans sa documentation de manière transparente mais préoccupante : ces fichiers ne sont pas chiffrés, et d'autres programmes s'exécutant sous le même compte utilisateur macOS peuvent potentiellement y accéder. Si un logiciel malveillant de type information stealer, une application tierce compromise ou même une application légitime présentant une vulnérabilité tourne dans le même contexte utilisateur, rien ne l'empêche techniquement de lire, copier ou exfiltrer l'intégralité de l'historique Computer History accumulé.

Cette caractéristique rappelle douloureusement l'histoire de Microsoft Recall, la fonctionnalité controversée lancée en 2025 sur Windows 11 Copilot+ PCs. Recall prenait des captures d'écran régulières de l'activité utilisateur et stockait initialement ces données dans une base SQLite en clair. Dès les premières semaines, des chercheurs en sécurité avaient démontré qu'un malware pouvait exfiltrer l'intégralité de l'historique en quelques secondes. Microsoft avait dû suspendre le déploiement, refondre complètement l'architecture avec du chiffrement Windows Hello et une isolation via Virtual Secure Mode, avant de relancer Recall en octobre 2025. Computer History d'OpenAI reproduit apparemment une partie des mêmes erreurs architecturales fondamentales, même si la nature des données collectées diffère — événements d'interaction plutôt que captures d'écran.

La fonctionnalité est réservée aux abonnés ChatGPT Pro, Business et Enterprise. Pour le plan Business, les administrateurs d'espace de travail doivent expressément autoriser l'accès à Computer History avant que leurs membres puissent l'activer individuellement. Pour les particuliers abonnés Pro, l'activation est directement disponible dans les préférences de l'application macOS. Computer History est présentée comme la version finalisée et permanente de Chronicle, une fonctionnalité expérimentale qu'OpenAI avait testée dans un cercle plus restreint au printemps 2026, avant de l'ouvrir plus largement sous ce nouveau nom.

Du point de vue géographique, le déploiement initial exclut les utilisateurs de l'Espace Économique Européen (EEE), du Royaume-Uni et de la Suisse. Cette exclusion temporaire est directement liée aux exigences du RGPD européen et du UK GDPR : le traitement de données d'activité aussi granulaires à des fins d'enrichissement d'un modèle d'IA conversationnelle soulève de nombreuses questions relatives à la base légale du traitement, au principe de minimisation des données et aux droits des personnes concernées — notamment le droit à l'effacement et à la portabilité. OpenAI a indiqué que l'accès sera progressivement étendu à ces zones dans les semaines à venir, sans fournir de calendrier précis.

En dehors de la question du chiffrement, des experts en vie privée et des chercheurs en sécurité ont mis en lumière une ambiguïté architecturale supplémentaire. Bien qu'OpenAI affirme que le traitement de l'historique est principalement local, les données de contexte générées par Computer History peuvent être transmises aux serveurs d'OpenAI lors des inférences — c'est-à-dire quand l'utilisateur pose une question à ChatGPT ou demande à Codex de compléter du code. L'utilisateur ne dispose d'aucun mécanisme de vérification indépendant lui permettant de contrôler précisément quelles données de son historique Computer History sont envoyées à chaque requête. Dans un contexte professionnel manipulant des informations confidentielles, cette opacité est source de risques concrets.

Les utilisateurs qui activent Computer History disposent de plusieurs contrôles granulaires : sélection précise des applications et sites web autorisés à contribuer à l'historique, possibilité de mettre en pause la collecte à tout moment, accès à une timeline personnelle pour inspecter les événements enregistrés, et suppression de tout ou partie de l'historique. Ces contrôles sont jugés insuffisants par les défenseurs de la vie privée, qui estiment que la granularité de la collecte combinée à l'absence de chiffrement du stockage local crée un risque systémique inacceptable, particulièrement dans des environnements professionnels où des informations confidentielles, des données de clients ou des secrets d'affaires transitent en permanence par les applications du système.

La course à l'IA contextuelle et ses implications pour la protection des données

Computer History s'inscrit dans une tendance de fond qui traverse l'ensemble de l'industrie IA depuis 2025 : la quête du contexte long et persistant. Les assistants IA de dernière génération — ChatGPT, Claude, Gemini, Copilot — ont atteint leurs limites en termes de fenêtre de contexte dans une seule conversation. La prochaine frontière est celle de la mémoire persistante et du contexte multimodal étendu : comprendre non seulement ce que l'utilisateur dit dans une conversation donnée, mais aussi ce qu'il fait sur son ordinateur, dans ses applications, dans sa vie numérique au quotidien. Computer History est la traduction opérationnelle de cette ambition chez OpenAI.

Cette évolution est techniquement séduisante et potentiellement très productive pour l'expérience utilisateur dans des contextes appropriés. Un développeur qui reprend un projet après une semaine d'absence n'aurait plus à réexpliquer à Codex dans quel état il avait laissé son code, quels fichiers il modifiait et quelles erreurs il cherchait à résoudre. Un consultant qui prépare une présentation complexe pourrait demander à ChatGPT de synthétiser ses recherches récentes sans avoir à recopier tous ses documents de référence. Mais cette promesse de productivité s'accompagne d'une collecte d'informations d'une granularité inédite, bien supérieure à ce que permettaient les historiques de conversation traditionnels, et dont les implications en matière de sécurité et de vie privée ne sont pas encore pleinement mesurées.

Le précédent Microsoft Recall est particulièrement instructif à plusieurs égards pour anticiper la trajectoire de Computer History. Recall avait été suspendue puis profondément refondue après que des chercheurs en sécurité eurent démontré la facilité d'exploitation de son stockage non chiffré. OpenAI a partiellement intégré les leçons de cet épisode — notamment l'exclusion explicite des captures d'écran et de l'audio, qui avaient concentré les critiques les plus vives sur Recall. Mais OpenAI n'a pas appliqué la correction la plus fondamentale : le chiffrement robuste du stockage local, couplé à une isolation stricte empêchant les autres processus d'accéder aux données sans autorisation explicite de l'utilisateur. On peut s'attendre à une pression croissante, notamment de la part des régulateurs européens une fois le déploiement en EEE approché, pour corriger ce point.

Pour les RSSI et les DPO des entreprises utilisant ChatGPT Business ou Enterprise, Computer History doit faire l'objet d'une analyse de risque dédiée avant tout déploiement. Les questions à traiter incluent notamment : quelle est la classification des données susceptibles de transiter par les applications couvertes par Computer History sur les machines des collaborateurs ? Existe-t-il un risque de violation de la confidentialité client ou d'exposition de secrets d'affaires si l'historique est compromis sur le poste d'un employé ? La base légale du traitement est-elle compatible avec les obligations RGPD et les politiques de traitement des données personnelles de l'organisation ? En attendant que ces questions trouvent des réponses satisfaisantes et qu'OpenAI apporte les améliorations architecturales nécessaires — en particulier le chiffrement du stockage local — la recommandation prudente est de maintenir Computer History désactivée dans les environnements professionnels sensibles, en utilisant les contrôles administratifs disponibles dans la console Business/Enterprise.

Ce qu'il faut retenir

• ChatGPT Computer History enregistre l'activité applicative sur macOS pour enrichir le contexte de ChatGPT et Codex — fonctionnalité opt-in lancée le 13 août 2026 pour les abonnés Pro, Business et Enterprise uniquement.
• Les fichiers d'historique ne sont pas chiffrés : OpenAI le confirme elle-même, exposant potentiellement les données à tout programme tournant sous le même compte macOS, y compris les malwares de type stealer.
• En attendant une mise à jour corrigeant cette lacune de sécurité critique, maintenir Computer History désactivée dans les environnements professionnels et intégrer ce sujet dans l'analyse de risque RGPD de l'organisation.