Classement Surfshark : Meta AI et Muse dominent la collecte de données des IA

Le classement etabli par Surfshark, mis a jour en septembre 2026, compare treize applications d'intelligence artificielle disponibles sur l'App Store iOS. Il repose sur les fiches de confidentialite que les editeurs remplissent eux-memes auprès d'Apple, qui recensent 35 types de donnees repartis en seize categories. Meta AI arrive en tete avec 33 types declares, suivi de pres par Muse, le nouvel agent de Meta lance debut septembre aux Etats-Unis, avec 31 types. Google Gemini complete le trio de tete avec 24 types. Pour un responsable informatique francais qui evalue des outils d'IA generative, ce decompte n'est pas une preuve de conformite ou de non-conformite au RGPD, mais il signale des ecarts de pratiques qui meritent d'etre verifies contractuellement avant tout deploiement en entreprise.

Un classement domine par les produits de Meta

Avec 33 types de donnees sur 35 recenses par l'App Store, soit pres de 95 % du total, Meta AI reste l'application la plus gourmande du panel. Muse, l'agent lance par Meta, le suit directement avec 31 types, ne s'en distinguant que par deux categories : les « autres donnees » et l'analyse de l'environnement. Les treize applications etudiees collectent en moyenne 14,5 types de donnees, avec des ecarts considerables selon les acteurs.

Depuis la precedente edition realisee en mars 2026, le classement a peu bouge. Gemini et DeepSeek ont chacun gagne un type de donnees, l'audio, pour atteindre respectivement 24 et 14 types. ChatGPT reste stable a 17 types, un niveau deja atteint au printemps mais qui represente une hausse de 70 % par rapport aux 10 types releves lors de l'edition 2025. Meta AI et Claude conservent, eux, des scores inchanges.

Pourquoi un agent comme Muse collecte davantage qu'un chatbot classique

Surfshark explique l'ecart entre Muse et les chatbots traditionnels par la nature meme des agents. Pour executer des taches a la place de l'utilisateur, comme le prevoit Muse, ces outils doivent se connecter a d'autres applications et services : agenda, messagerie, outils financiers. Cette logique les rend, selon l'editeur, potentiellement plus intrusifs que de simples interfaces de conversation. L'etude releve egalement que Meta utilise par defaut les echanges avec Muse pour entrainer ses modeles, une desactivation manuelle dans les reglages etant la seule option pour s'y opposer.

Ce fonctionnement illustre une tension que les directions informatiques devront integrer a mesure que les agents se generalisent : l'etendue des acces accordes (calendriers, boites mail, comptes bancaires) augmente la surface d'exposition des donnees de l'entreprise, independamment de la qualite du chiffrement ou de l'hebergement.

Localisation precise et donnees sensibles : ce que revele le detail du classement

Qui collecte une position precise

Huit applications sur treize collectent la localisation de leurs utilisateurs, mais seules quatre d'entre elles recuperent une position precise : Gemini, Meta AI, Muse et Perplexity. Copilot a fait le chemin inverse depuis l'edition precedente et se contente desormais d'une localisation approximative.

Les categories de donnees sensibles au sens d'Apple

Les informations qualifiees de sensibles par Apple, qui recouvrent l'origine ethnique, l'orientation sexuelle, la grossesse, le handicap, les opinions politiques, les convictions religieuses ou les donnees genetiques et biometriques, ne sont declarees que par trois applications : Meta AI, Muse et Gemini. Ces categories recoupent en grande partie les categories particulieres de donnees visees par l'article 9 du RGPD, dont le traitement est soumis a des conditions renforcees dans l'Union europeenne. Copilot est par ailleurs la seule application du panel a declarer des donnees utilisees pour le pistage, c'est-a-dire le croisement avec des donnees tierces a des fins publicitaires ou de partage avec des courtiers en donnees, selon la definition retenue par Apple.

A l'autre bout du classement, Duck.ai presente un profil distinct : ses six types de donnees, issus pour l'essentiel des diagnostics et des statistiques d'usage, ne sont jamais rattaches a l'identite de l'utilisateur. Pour une meme donnee, l'usage declare differe egalement d'un editeur a l'autre : ChatGPT et DeepSeek indiquent n'utiliser l'audio que pour le fonctionnement du service, alors que Gemini, Meta AI et Muse se reservent d'autres usages, comme la personnalisation du produit ou l'analyse.

Surfshark rappelle toutefois que ce decompte repose sur des fiches remplies par les developpeurs eux-memes, qu'il ne concerne que les versions iOS, et qu'il additionne des types de donnees sans ponderer leur sensibilite ni leur usage reel, deux criteres qui pourraient modifier la hierarchie observee. L'etude complete precise sa methodologie.

Muse encore absent d'Europe, mais la logique agentique s'installe

Muse n'a pas encore ete deploye en Europe. Meta a pourtant etoffe son offre outre-Atlantique avec Muse for Small Business, une declinaison destinee aux TPE et PME, lancee le 29 septembre aux Etats-Unis et au Canada. Le meme jour, OpenAI a devoile les dots, des agents concus pour travailler en continu et connectes a plus de 4 000 applications, une approche comparable a celle de Muse. Tous les services tiers ne s'ouvrent pas a ces nouveaux intermediaires : Amazon a par exemple bloque l'acces de Muse a sa boutique en ligne, en invoquant ses conditions d'utilisation.

Le succes commercial de l'agent ne s'en trouve pas affecte pour l'instant : l'application a depasse les 3 millions de telechargements en trois semaines et a pris a ChatGPT la tete des applications gratuites de l'App Store americain. Pour les entreprises francaises, l'absence de deploiement europeen de Muse laisse du temps pour anticiper, mais la trajectoire du secteur, avec des agents toujours plus connectes a des services externes, pose la question en des termes identiques pour tous les editeurs qui suivront cette voie.

Ce que cela change pour les DSI francais et la conformite RGPD

Le classement Surfshark ne mesure pas la conformite au RGPD : il recense des declarations faites a Apple selon une taxonomie americaine, pas les bases legales de traitement, les finalites precises ni les destinataires des donnees au sens du droit europeen. Il reste toutefois un indicateur utile pour une direction informatique qui doit choisir un outil conversationnel ou agentique pour ses equipes. Trois points de vigilance se degagent directement des donnees publiees :

• Le nombre de types de donnees collectes ne dit rien de leur duree de conservation, de leur localisation de traitement ni des garanties contractuelles offertes a l'entreprise cliente : ces elements se verifient dans la documentation contractuelle de l'editeur (DPA, clauses contractuelles types), pas dans une fiche App Store.
• Le recueil par defaut des echanges pour l'entrainement des modeles, releve pour Muse, illustre un reglage qui, transpose a un contexte professionnel europeen, devrait faire l'objet d'une verification explicite du parametrage avant tout usage impliquant des donnees de collaborateurs ou de clients.
• L'extension des acces a des services tiers (agenda, messagerie, outils financiers), propre aux agents de type Muse ou dots, multiplie les points d'entree vers des donnees d'entreprise et complique l'exercice de cartographie des traitements exige par le RGPD.

Face a ce type d'enjeu, certains editeurs francais structurent leurs offres autour d'une reduction de l'exposition des donnees envoyees aux modeles tiers. Moon AI, plateforme editee par Stellarr Studio SAS, propose par exemple Moon Blur, un mecanisme qui remplace les donnees personnelles par des jetons avant l'envoi aux modeles externes, puis les retablit au retour de la reponse. Ce procede etant reversible, il s'agit d'une pseudonymisation au sens de l'article 4-5 du RGPD, et non d'une anonymisation : les requetes continuent de partir vers les fournisseurs des modeles tiers une fois pseudonymisees. L'application et le stockage de Moon AI sont heberges chez OVHcloud, a Strasbourg et Roubaix, ce qui ne signifie pas que les donnees ne quittent jamais le territoire francais lorsque la requete est traitee par un modele externe. Ce type de mecanisme reste une mesure technique parmi d'autres, et non une garantie de conformite au RGPD en soi.

Questions frequentes

Le classement Surfshark prouve-t-il qu'une IA viole le RGPD ?

Non. Le classement mesure des types de donnees declares par les editeurs a Apple, selon une taxonomie propre a l'App Store, et non les bases legales ou les finalites de traitement retenues par chaque entreprise au regard du droit europeen. Il sert d'indicateur de comparaison, pas de verdict de conformite.

Pourquoi Muse collecte-t-il plus de donnees que ChatGPT ou Claude ?

Selon Surfshark, c'est la fonction d'agent de Muse qui explique l'ecart : pour executer des taches a la place de l'utilisateur, il doit se connecter a des services tiers comme l'agenda, la messagerie ou des outils financiers, ce qui elargit mecaniquement le volume de donnees accessibles.

Muse est-il disponible pour les entreprises francaises ?

Non, Muse n'a pas encore ete deploye en Europe. Meta a en revanche lance une version destinee aux petites et moyennes entreprises aux Etats-Unis et au Canada le 29 septembre 2026.

Comment une DSI peut-elle limiter l'exposition des donnees envoyees a des modeles tiers ?

Au-dela des parametres d'opt-out proposes par certains editeurs, les entreprises peuvent verifier les clauses contractuelles de traitement, limiter les acces accordes aux agents aux seules applications necessaires, et recourir a des mecanismes de pseudonymisation des donnees personnelles avant leur envoi aux modeles, en gardant a l'esprit qu'un tel procede reste reversible et ne constitue pas une anonymisation.