Les applis de santé mentale avec IA sont-elles sûres ? Une liste de vérification avant de te confier

Tu confies à une appli de santé mentale des choses que tu ne dirais peut-être qu’à très peu de monde. Comment tu as dormi, ce qui te fait peur, qui te met en colère, ce qui s’est passé il y a des années. Mieux vaut savoir où vont ces mots avant de les écrire.

Ce guide est une liste pratique de vérification de la confidentialité pour les applis de santé mentale avec IA, et pour toute appli de bien-être à laquelle tu penses faire confiance. Il explique pourquoi ce type de données demande plus de soin, ce qui a déjà mal tourné, dix questions à poser et comment vérifier les réponses en une dizaine de minutes.

Pourquoi la confidentialité compte davantage ici

Les informations sur ta santé mentale font partie des données les plus sensibles qui existent. Si elles fuitent ou sont transmises, elles peuvent changer le regard des autres sur toi et, dans certains endroits, ton travail ou ton assurance. Même quand rien de dramatique n’arrive, voir ce que tu ressens servir à te suivre et à te cibler n’est pas ce que la plupart des gens avaient accepté en installant une appli.

La loi ne protège pas toujours aussi bien qu’on le croit. Aux États-Unis, la loi sur la confidentialité des données de santé HIPAA couvre surtout les médecins, les hôpitaux et les assureurs, pas les applis que tu télécharges toi-même. Dans l’Union européenne et au Royaume-Uni, les données de santé sont une catégorie spéciale du RGPD, avec des règles plus strictes sur les cas où elles peuvent être utilisées. Le pays où se trouve l’entreprise de l’appli, et celui où elle dit traiter tes données, comptent.

Ce qui a déjà mal tourné

Ce n’est pas une inquiétude théorique.

En 2022, l’équipe Privacy Not Included de Mozilla a examiné 32 applis populaires de santé mentale et de prière, et en a marqué 28 de son avertissement sur la confidentialité, en disant que cette catégorie était pire que toutes celles qu’elle avait examinées. Quand elle a regardé de nouveau en 2023, 19 des 32 applis portaient encore cet avertissement. Certaines s’étaient améliorées, environ un tiers, mais d’autres avaient empiré.

En 2023, la Federal Trade Commission (FTC) des États-Unis a finalisé une ordonnance contre la société de conseil en ligne BetterHelp. La FTC a affirmé que BetterHelp avait partagé des adresses e-mail, des adresses IP et des réponses à son questionnaire de santé avec des plateformes comme Facebook et Snapchat à des fins publicitaires, alors qu’elle avait promis de ne les utiliser que dans des buts limités. L’ordonnance exigeait 7,8 millions de dollars de remboursements et lui interdisait de partager des données de santé pour la publicité. BetterHelp a contesté la version de la FTC.

Rien de tout cela ne veut dire que chaque appli est négligente. Certaines s’en sont bien sorties lors de ces examens. Cela veut dire que tu ne peux pas le supposer, et qu’il est raisonnable de vérifier.

Une liste de vérification de la confidentialité : dix questions à poser

1. A-t-elle besoin de savoir qui tu es ?

Certaines applis demandent ton nom, ton e-mail, ton numéro de téléphone ou l’accès à tes contacts. Demande-toi si le service en a vraiment besoin. Moins une appli en sait sur ton identité, moins il y a de choses qui peuvent être reliées à toi si quelque chose tourne mal.

2. Ce que tu écris est-il chiffré ?

Cherche un chiffrement à la fois en transit, entre ton téléphone et l’entreprise, et au repos, là où tes mots sont stockés. « Nous prenons la sécurité au sérieux » n’est pas une réponse. Une déclaration claire sur ce qui est chiffré, si.

3. Tes données sont-elles vendues ou partagées pour de la publicité ?

Cherche dans la politique de confidentialité les mots « vendre », « partager », « publicité », « partenaires » et « tiers ». Les signaux d’alerte sont les formules vagues comme « nous pouvons partager des informations avec des partenaires de confiance » sans liste de qui ils sont, ou toute mention de réseaux publicitaires.

4. Tes mots servent-ils à entraîner des modèles d’IA ?

Avec les applis d’IA, c’est une question plus récente. Certains services utilisent les conversations pour améliorer ou entraîner leurs modèles, parfois par défaut. Cherche une déclaration claire dans un sens ou dans l’autre, et la possibilité de refuser.

5. Quelles entreprises sont derrière ?

Presque toutes les applis dépendent d’autres entreprises pour l’hébergement, les modèles d’IA, l’e-mail ou les statistiques d’usage. Une politique de confidentialité digne de confiance les nomme et dit ce que fait chacune. Si elle parle seulement de « prestataires », tu ne sais pas qui détient tes données.

6. Peux-tu voir ce qu’elle a appris sur toi ?

Les applis d’IA retiennent de plus en plus de choses sur toi pour personnaliser leurs réponses. Cela peut être vraiment utile. Il est aussi important de pouvoir voir ce qui est retenu, le corriger quand c’est faux et supprimer ce que tu ne veux pas voir gardé.

7. Peux-tu récupérer une copie et tout supprimer ?

Cherche un moyen d’exporter tes données et un moyen de supprimer ton compte depuis l’appli, sans avoir à écrire à quelqu’un et à attendre. Regarde ce que dit la politique sur la durée de conservation des copies de sauvegarde après ta suppression.

8. Les statistiques d’usage sont-elles facultatives ?

Beaucoup d’applis mesurent la façon dont on les utilise. Ce n’est pas sinistre en soi, mais cela ne devrait pas inclure ce que tu écris, et idéalement tu devrais pouvoir le désactiver.

9. Une personne lit-elle tes messages ?

Certains services ont des employés ou des sous-traitants qui relisent les conversations, pour la sécurité ou la qualité. Cela peut être légitime, mais tu devrais savoir quand cela arrive et pourquoi.

10. Est-elle honnête sur ce qu’elle n’est pas ?

Une appli sûre est claire sur ses limites : elle n’est pas une thérapie, pas un dispositif médical et pas un service de crise, et elle t’oriente vers une vraie aide quand tu as besoin de plus que ce qu’elle peut donner. Méfie-toi de toute appli qui promet de soigner ou de diagnostiquer.

Comment lire une politique de confidentialité en dix minutes

Pas besoin de lire chaque mot. Ouvre la politique et cherche une poignée de termes :

• « vendre » et « publicité », pour savoir si tes données peuvent être vendues ou servir à des annonces.
• « partager » et « tiers », pour savoir qui d’autre les reçoit.
• « entraîner » et « améliorer », pour savoir si tes mots alimentent des modèles d’IA.
• « conserver » et « supprimer », pour savoir combien de temps les données sont gardées et ce qui se passe quand tu pars.
• « anonymisées » ou « agrégées », qui cachent parfois un partage derrière des mots rassurants.

Vérifie ensuite deux choses en haut ou en bas : la date de la dernière mise à jour de la politique, et l’entreprise et le pays dont elle relève. Une politique qui n’a pas été mise à jour depuis des années, ou qui ne nomme pas l’entreprise, est une raison d’être prudent.

Au-delà de la confidentialité : ce qu’elle dit est-il sûr ?

La confidentialité est une moitié de la sécurité. L’autre moitié, c’est ce que l’appli te dit. L’IA peut avoir l’air sûre d’elle et se tromper, et aucune appli ne devrait être ton seul soutien quand les choses sont graves. Nos guides sur le fonctionnement des applis de santé mentale avec IA et sur la question de savoir s’il est sain de se confier à une IA abordent ce versant. Si tu es en danger, notre page d’aide liste des services qui répondent jour et nuit.

Comment Chirpi répond à cette liste

Nous préférons que tu nous vérifies plutôt que de nous croire sur parole, alors voici comment Chirpi répond aux questions ci-dessus.

• Qui tu es : Chirpi ne sait jamais qui tu es. Tu te connectes avec Apple ou Google, et nous ne gardons qu’une version brouillée de cette connexion, impossible à inverser. Aucun nom, aucun e-mail et aucun numéro de téléphone ne sont gardés.
• Chiffrement : ce que tu écris est chiffré en transit et au repos.
• Ce qu’il apprend : tu peux lire tout ce que Chirpi a appris sur toi, corriger ce que tu veux, le supprimer, ou le garder en demandant à Chirpi de ne jamais l’évoquer.
• Partir : tu peux récupérer une copie de tout, tes mots compris, et supprimer ton compte depuis les réglages à tout moment.
• Statistiques d’usage : les données d’usage ne contiennent jamais tes mots et restent désactivées tant que tu ne les actives pas.
• Personnes : aucune personne ne lit tes messages. Avant de répondre à un message, une vérification automatique cherche des signes que tu pourrais être en danger, pour que Chirpi te montre où trouver de l’aide.
• Ce qu’il n’est pas : Chirpi n’est pas une thérapie ni un service de crise, et il le dit clairement.

Les détails, y compris les entreprises qui nous aident à faire fonctionner Chirpi, sont sur notre page de confidentialité.

Chirpi arrive sur iPhone et Android. Les sept premiers jours sont offerts, sans carte.

Informations générales de bien-être, pas un avis médical. Si c'est difficile pour toi en ce moment, voici où trouver de l'aide.

Brice Macias

Brice a fondé Chirpi après avoir traversé des moments difficiles et vu sa famille les traverser aussi. Il a appris que la plupart d’entre nous veulent surtout être écoutés, et avoir un endroit où aller. Chirpi est né de ces deux choses.

Sources

1. Mozilla Foundation (2022). Top mental health and prayer apps fail spectacularly at privacy, security. Privacy Not Included.
2. Mozilla Foundation (2023). Shady mental health apps inch toward privacy and security improvements, but many still siphon personal data. Privacy Not Included.
3. US Federal Trade Commission (2023). FTC gives final approval to order banning BetterHelp from sharing sensitive health data for advertising, requiring it to pay $7.8 million.