Computer History : ChatGPT journalise le poste de travail

2026-08-17 · 5 min de lecture · Cybersécurité

Depuis le 13 août 2026, l'application ChatGPT sur macOS peut enregistrer clics et saisies clavier pour en faire des mémoires. Les fichiers produits ne sont pas chiffrés, et l'activation au Québec déclenche une obligation d'ÉFVP.

Computer History est une fonction de l'application de bureau ChatGPT sur macOS qui enregistre les événements d'interaction d'un poste de travail (clics, saisies au clavier, raccourcis, changements d'application) et les transforme en mémoires réutilisables par l'assistant. OpenAI l'a inscrite à son journal des versions le 13 août 2026, en remplacement de l'aperçu de recherche Chronicle. La fonction est désactivée par défaut et réservée aux forfaits Pro, Business et Enterprise.

La collecte passe par le cadre d'accessibilité de macOS, pas par la capture d'écran. La documentation d'OpenAI précise que la fonction ne prend aucune capture d'écran, aucun enregistrement vidéo, aucun son système et aucune entrée microphone, et qu'elle exclut la navigation privée. Les fichiers d'événements temporaires restent sur le poste jusqu'à 48 heures avant suppression, mais le traitement qui produit les mémoires s'effectue sur les serveurs d'OpenAI. La fonction n'est offerte ni dans l'Espace économique européen (EEE), ni en Suisse, ni au Royaume-Uni, sans échéancier annoncé.

Que journalise exactement Computer History ?

Les mémoires produites par Computer History sont écrites en clair sur le poste, dans le répertoire ~/.codex/memories/extensions/skysight/. La documentation officielle d'OpenAI indique que d'autres programmes exécutés sous le même compte utilisateur macOS peuvent y accéder. Contrairement aux fichiers d'événements, ces mémoires persistent localement jusqu'à suppression explicite par l'utilisateur.

Sur les espaces Business et Enterprise, deux contrôles distincts s'appliquent : l'administrateur accorde l'accès à l'échelle de l'organisation, puis chaque membre active la fonction individuellement. Sur un forfait Pro, l'utilisateur active seul. Cette asymétrie compte quand un employé utilise un abonnement personnel sur un poste professionnel, une situation qui relève de la shadow IA.

Pourquoi des fichiers non chiffrés changent le calcul de risque

La documentation d'OpenAI reconnaît deux expositions. D'abord, les fichiers de mémoire ne sont pas chiffrés par la fonction : tout logiciel exécuté sous le même compte utilisateur macOS peut les lire, y compris un maliciel déjà installé, sans avoir à compromettre ChatGPT lui-même. Ensuite, la documentation indique que la fonction augmente le risque d'injection de requête à partir du contenu des applications et des sites web. Une instruction dissimulée dans un document ou une page consultée peut donc influencer ce que l'assistant retient.

Un troisième point relève du droit plutôt que de la technique. OpenAI recommande de suspendre la collecte pendant les échanges avec des tiers, sauf consentement de tous les participants : un poste équipé enregistre les saisies effectuées dans les outils de messagerie et de visioconférence, donc des propos de personnes qui n'ont jamais accepté la collecte.

Les 5 vérifications avant d'autoriser la fonction dans un parc macOS

Confirmer le statut administrateur : vérifier sur Business et Enterprise que l'accès n'a pas été accordé lors du déploiement initial, puis documenter la décision.
Chiffrer le disque au repos : FileVault ne protège pas contre un processus actif sous la même session, mais couvre le vol ou la perte du poste.
Définir des listes d'exclusion dès l'activation : écarter les outils de paie, les dossiers clients, les gestionnaires de mots de passe et les applications de messagerie.
Traiter le répertoire de mémoires comme un actif sensible : l'inscrire à l'inventaire et dans les règles de détection du poste de travail.
Prévoir la purge : désigner qui peut effacer la chronologie, à quelle fréquence, et systématiser l'opération au départ d'un employé.

Ce que la Loi 25 exige avant d'activer la fonction au Québec

L'article 3.3 de la Loi sur la protection des renseignements personnels dans le secteur privé impose une évaluation des facteurs relatifs à la vie privée (ÉFVP) pour tout projet d'acquisition, de développement ou de refonte d'un système d'information impliquant des renseignements personnels. Cette obligation est en vigueur depuis septembre 2023. Activer une fonction qui journalise les saisies clavier d'un employé entre dans ce périmètre, et une organisation sans démarche d'ÉFVP formalisée pour l'IA part de zéro sur ce dossier.

La Commission d'accès à l'information (CAI) ajoute trois attentes dans ses orientations sur l'IA en milieu de travail : transparence sur la nature et la portée de l'outil, proportionnalité de la collecte, évaluation d'impact préalable au déploiement. Les sanctions administratives prévues par la loi atteignent 10 millions de dollars ou 2 % du chiffre d'affaires mondial selon la CAI, le montant le plus élevé s'appliquant.

L'indisponibilité de la fonction dans l'EEE, en Suisse et au Royaume-Uni mérite d'être lue comme un signal. Ces trois territoires appliquent le Règlement général sur la protection des données (RGPD) ou son équivalent post-Brexit. Le Québec reçoit la fonction sans blocage géographique, ce qui déplace entièrement la charge de l'analyse juridique vers l'organisation qui l'active.

Questions fréquentes

Computer History prend-il des captures d'écran du poste ?

Non. La documentation d'OpenAI publiée en août 2026 indique que la fonction enregistre des événements d'interaction (clics, saisies, raccourcis, changements d'application) via le cadre d'accessibilité de macOS, sans capture d'écran, sans enregistrement vidéo, sans son système et sans entrée microphone. La navigation privée est exclue de la collecte.

Les données servent-elles à entraîner les modèles d'OpenAI ?

OpenAI indique ne pas conserver les fichiers d'événements après traitement, sauf obligation légale, et ne pas les utiliser pour l'entraînement. La nuance tient à l'usage : lorsqu'une mémoire remonte comme contexte dans une conversation, le contenu de cette conversation peut alimenter l'entraînement selon les réglages de contrôle des données du compte.

Un employeur québécois peut-il activer la fonction sans avertir ses employés ?

Non. L'article 3.3 de la loi québécoise sur le secteur privé impose une ÉFVP avant le déploiement, et la CAI recommande la transparence sur la nature et la portée de l'outil. Une journalisation des saisies clavier sans information préalable des personnes concernées expose l'organisation à une plainte.

Pourquoi la fonction n'est-elle pas offerte en Europe ?

OpenAI n'a publié ni motif ni échéancier. L'exclusion couvre l'Espace économique européen, la Suisse et le Royaume-Uni, trois territoires régis par le RGPD ou son équivalent. Ce périmètre couvre les juridictions les plus contraignantes sur la surveillance des postes de travail.

Sources

OpenAI, documentation officielle « Computer History » : https://learn.chatgpt.com/docs/customization/computer-history
Commission d'accès à l'information du Québec, « Principaux changements apportés par la Loi 25 » : https://www.cai.gouv.qc.ca/protection-renseignements-personnels/sujets-et-domaines-dinteret/principaux-changements-loi-25
LégisQuébec, Loi sur la protection des renseignements personnels dans le secteur privé (P-39.1), article 3.3 : https://www.legisquebec.gouv.qc.ca/fr/document/lc/P-39.1
9to5Mac, « ChatGPT for Mac adds opt-in Computer History feature, replacing Chronicle », 13 août 2026 : https://9to5mac.com/2026/08/13/chatgpt-for-mac-adds-opt-in-computer-history-feature-replacing-chronicle/
The Next Web, « OpenAI's new ChatGPT feature logs your keystrokes and stores them in plain text », août 2026 : https://thenextweb.com/news/openai-chatgpt-computer-history-mac-keystrokes

Voir tous les articles