X

Les conversations avec Grok ne sont pas chiffrées de bout en bout et sont stockées sous une forme que l'entreprise peut lire.

La FAQ de SpaceXAI indique qu'un nombre limité d'employés autorisés peuvent examiner les conversations avec Grok (pour améliorer les modèles, enquêter sur les abus et respecter des obligations légales).

Le chat chiffré de X (XChat) stocke les clés privées des utilisateurs sur les serveurs de X, chiffrées par un code PIN à quatre chiffres, et des chercheurs en sécurité et des cryptographes déconseillent de s'y fier tant qu'il n'a pas été audité de façon indépendante.

X est un réseau social financé par la publicité, et son propriétaire, SpaceXAI, entraîne et exploite aussi l'IA Grok à l'aide des publications publiques et des données d'interaction des utilisateurs de X.

La retouche d'images de Grok a été largement utilisée pour créer, à partir de leurs photos, des images sexualisées de personnes réelles, dont des femmes et, dans certains cas, des enfants, ce qui a donné lieu à des enquêtes de la Commission européenne et de l'Ofcom britannique.

À la mi-janvier 2026, X a indiqué avoir empêché Grok, sur X, de modifier des images de personnes réelles pour les montrer en tenue dénudée, et avoir bloqué géographiquement ce type de génération là où il est illégal. Selon la presse, l'appli et le site Grok autonomes n'étaient pas concernés au départ. Les deux enquêtes étaient toujours en cours lors de la dernière vérification.

Forbes a découvert que plus de 370 000 conversations Grok partagées avec le bouton « partager » avaient été indexées par Google et d'autres moteurs de recherche ; les utilisateurs n'étaient pas clairement avertis que le partage les rendait consultables publiquement.

Un bug de l'API de Twitter, corrigé en janvier 2022, a permis à des attaquants de relier des adresses e-mail et des numéros de téléphone à des comptes ; Twitter a confirmé que des données concernant 5,4 millions de comptes avaient été compilées de cette façon. En janvier 2023, une liste d'adresses e-mail de plus de 200 millions d'utilisateurs a été publiée en ligne, que des chercheurs ont reliée à la même faille, même si Twitter a déclaré n'avoir trouvé aucune preuve que ces données provenaient de l'exploitation de ses systèmes.

La Data Protection Commission irlandaise a ouvert en décembre 2022 une enquête sur les jeux de données concernant 5,4 millions d'utilisateurs.

Twitter a corrigé le bug de l'API en janvier 2022, mais les données aspirées avaient déjà été collectées.

Twitter a accepté de payer une amende civile de 150 millions de dollars pour mettre fin aux poursuites de la FTC et du ministère de la Justice lui reprochant d'avoir utilisé des numéros de téléphone et des adresses e-mail fournis pour sécuriser les comptes afin de cibler leurs titulaires avec de la publicité.

Selon la FTC, cette pratique a duré de 2013 à 2019 et a touché plus de 140 millions d'utilisateurs. L'accord a pris la forme d'une ordonnance approuvée par un tribunal, déposée par le ministère de la Justice au nom de la FTC ; Twitter n'a pas reconnu de faute.

X collecte vos publications, vos messages privés (y compris leur contenu pour les messages non chiffrés), vos interactions et des données sur votre appareil ; SpaceXAI collecte vos requêtes à Grok, les fichiers que vous envoyez et les informations de votre compte, et utilise les publications publiques et les données d'interaction de X. Les deux sociétés peuvent se partager des données en tant qu'entités affiliées.

Grok propose un mode chat privé dont les conversations ne servent pas à l'entraînement et sont effacées dans les 30 jours, ainsi qu'un réglage « Improve the model » pour refuser l'entraînement.

En 2024, X a activé par défaut un réglage qui lui permettait d'utiliser les publications publiques pour entraîner Grok. La Data Protection Commission irlandaise a saisi la Haute Cour, et X a accepté de cesser de traiter, pour l'entraînement de Grok, les publications d'utilisateurs de l'UE/EEE collectées entre le 7 mai et le 1er août 2024 ; le régulateur a ouvert une enquête formelle au titre du RGPD sur cette pratique en avril 2025.

Vous pouvez télécharger une archive de vos données X et désactiver votre compte.

X publie des rapports de transparence, y compris sur les demandes des autorités, même s'il les a interrompus après 2022 avant de publier un rapport mondial en 2024.

En tant qu'entreprise américaine, X peut être contraint par le droit américain, notamment le CLOUD Act, de remettre les données qu'il détient, où qu'elles soient stockées.