Bluesky : un million de publications réunies pour des usages d’IA

Bluesky attire des utilisateurs à la recherche d’une alternative plus ouverte à X, anciennement Twitter. Cette promesse se heurte toutefois à une réalité moins intuitive : l’ouverture technique qui facilite la création d’applications et de nouveaux services facilite aussi la copie à grande échelle des publications visibles publiquement. Fin novembre 2024, la mise en ligne d’un jeu de données d’un million de publications Bluesky a ainsi ravivé le débat sur le consentement et l’entraînement des intelligences artificielles.

L’épisode ne révèle pas une intrusion dans les systèmes de Bluesky ni le piratage de conversations privées. Il porte sur la réutilisation, par un tiers, de données accessibles via l’infrastructure publique du réseau. Cette distinction technique est essentielle, mais elle ne suffit pas à dissiper le malaise : publier un message pour participer à une discussion n’implique pas forcément, aux yeux de son auteur, d’alimenter un corpus destiné à la recherche ou au développement d’outils d’IA.

Ce qui s’est passé avec le jeu de données Bluesky

Un chercheur en intelligence artificielle, Daniel van Strien, a rassemblé des publications provenant de Bluesky au moyen du Firehose, le flux de données de la plateforme. Le corpus, mis à disposition sur Hugging Face, contenait un million de publications ainsi que des informations associées à celles-ci. Le chercheur a expliqué viser le développement de modèles d’IA et l’analyse de tendances sur les médias sociaux, notamment autour de la modération de contenu et des schémas de publication.

Le chiffre d’un million mérite d’être interprété correctement. Il désigne des publications, non un million de personnes ni un million de comptes. Il ne permet donc pas, à lui seul, de mesurer le nombre d’utilisateurs concernés. Il donne en revanche une idée de l’échelle atteignable lorsqu’un flux de contenus publics peut être collecté de façon automatisée.

Cette affaire doit donc être lue avec précision. Elle ne prouve pas que Bluesky aurait vendu les messages de ses membres, ni que le réseau les aurait lui-même utilisés pour entraîner une intelligence artificielle. Elle montre qu’un acteur extérieur a pu transformer des publications publiques en un ensemble de données susceptible d’être exploité dans des travaux liés à l’IA.

Le Firehose de Bluesky, qu’est-ce que c’est ?

Le Firehose peut être compris comme un flux continu d’activité du réseau. Il permet à des logiciels de suivre les publications et événements publics qui circulent sur Bluesky. Cette capacité n’est pas un détail secondaire de la plateforme : elle est liée à son protocole technique, l’Authenticated Transfer Protocol, généralement appelé AT Protocol.

Bluesky repose sur une vision plus ouverte et plus interopérable des réseaux sociaux que les plateformes traditionnelles. Au lieu de conserver toutes les données et toutes les fonctions dans un environnement totalement fermé, ce modèle permet à des développeurs externes de bâtir des services autour du réseau : moteurs de recherche, outils d’analyse, fils d’actualité personnalisés, interfaces alternatives ou systèmes de modération.

Cette architecture a des atouts concrets. Elle peut favoriser l’innovation, réduire la dépendance à une seule application et rendre le fonctionnement du réseau plus auditable. Mais elle rend également la collecte de messages publics plus directe. Un développeur n’a pas nécessairement besoin de reproduire le comportement d’un utilisateur devant son écran pour observer un volume important de publications : le flux technique est précisément conçu pour être traité par des programmes.

Le terme « API », souvent employé dans ce débat, désigne une interface qui permet à des logiciels de communiquer entre eux. Le Firehose est un cas particulier : au lieu de répondre à une demande ponctuelle, il diffuse un flux d’événements qui peut être suivi en continu. C’est ce qui le rend précieux pour un service de recherche ou de modération, mais aussi puissant pour qui souhaite constituer un grand corpus.

Pourquoi un million de messages intéressent les développeurs d’IA

Les modèles d’intelligence artificielle, en particulier ceux qui traitent le langage, nécessitent de grandes quantités de textes pour apprendre des régularités. Des messages issus d’un réseau social peuvent intéresser les chercheurs parce qu’ils reflètent des formulations courtes, des sujets d’actualité, des échanges spontanés, des langues variées et des manières concrètes d’interagir en ligne.

Dans le cas évoqué ici, les usages annoncés dépassaient le seul entraînement d’un modèle conversationnel. Un corpus de publications peut aussi servir à étudier la circulation de sujets, à repérer des motifs de publication ou à développer des outils de classification et de modération. Par exemple, un système peut apprendre à distinguer certains types de contenus à partir d’exemples annotés ou analysés.

Cela ne signifie pas qu’un tel corpus est automatiquement adapté à tous les usages, ni qu’il rend un modèle fiable. Les réseaux sociaux sont remplis d’abréviations, de citations, d’ironie, d’erreurs et de contenus sortis de leur contexte. Une base de données peut reproduire les biais et les comportements de la population qui s’exprime sur une plateforme. En IA, la provenance des données, leur qualité et leur contexte comptent autant que leur volume.

La polémique vient aussi de la difficulté à fixer une frontière compréhensible par le public. Un internaute peut accepter que son message soit indexé pour être retrouvé dans Bluesky, ou consulté par d’autres membres. Il peut en revanche refuser qu’il soit aspiré avec des centaines de milliers d’autres afin d’alimenter une expérimentation, un produit de modération ou un modèle commercial.

Bluesky n’entraîne pas ses propres IA, mais ne contrôle pas tout

Face aux réactions des utilisateurs, Bluesky a affirmé ne pas former de modèles d’intelligence artificielle à partir des contenus publiés par ses membres. C’est un point central : le réseau distingue sa propre politique d’usage des données de celle que pourraient adopter des acteurs extérieurs.

La société a cependant reconnu une limite structurelle. Les choix de consentement appliqués dans l’écosystème de Bluesky ne peuvent pas, à eux seuls, s’imposer à des tiers une fois que des données publiques ont été récupérées. Elle a indiqué échanger avec des ingénieurs et des juristes afin d’identifier des solutions.

Le problème n’est donc pas seulement contractuel. Il est aussi technique. Lorsqu’une publication publique a été copiée par un programme externe, la plateforme d’origine ne maîtrise plus automatiquement les duplications, archives ou jeux de données qui en ont été tirés. Retirer un contenu de son profil peut le rendre inaccessible sur le réseau, sans garantir l’effacement de toutes les copies déjà constituées ailleurs.

L’ouverture de Bluesky face au modèle plus fermé de X

La controverse met en lumière deux philosophies opposées de la donnée sociale. Bluesky s’appuie sur une infrastructure pensée pour l’interopérabilité et l’accès de développeurs indépendants. X a suivi une trajectoire différente après son rachat par Elon Musk en octobre 2022, en faisant payer l’accès à son API et en renforçant les contraintes économiques pesant sur la collecte automatisée.

Faire payer une API ne constitue pas, en soi, une garantie de respect de la vie privée. Cela peut néanmoins augmenter fortement le coût d’une extraction massive et permettre à la plateforme de contrôler davantage les usages déclarés par les clients qui accèdent à ses données. À l’inverse, l’accès ouvert réduit certaines barrières techniques, au bénéfice de l’innovation comme de la réutilisation à grande échelle.

Il ne s’agit pas de conclure qu’un réseau fermé protège nécessairement mieux ses membres, ou qu’un réseau ouvert les expose inévitablement. Les deux modèles posent des questions différentes : qui peut accéder aux données, à quelles conditions, avec quels contrôles, et quels recours existent lorsqu’un utilisateur s’y oppose ?

Données publiques, vie privée et consentement : ce que l’affaire soulève

Le fait qu’un message soit public ne fait pas disparaître tous les enjeux de protection des données. Une publication peut contenir ou révéler des informations concernant une personne identifiable : opinion politique, lieu fréquenté, profession, situation familiale, centres d’intérêt ou habitudes. Dans l’Union européenne, le caractère public d’une information n’exonère pas automatiquement une organisation de ses obligations au regard du Règlement général sur la protection des données, le RGPD.

Toutefois, l’application de ces règles à un corpus collecté sur un réseau mondial est complexe. Il faut notamment identifier qui traite les données, dans quel pays, à quelles fins et sur quelle base juridique. Pour un utilisateur, exercer un droit d’accès, d’opposition ou d’effacement devient difficile s’il ignore qu’un tiers a aspiré ses publications ou ne sait pas joindre l’organisation concernée.

La question du droit d’auteur est elle aussi distincte de celle des données personnelles. Tous les messages ne sont pas automatiquement protégés de la même manière. Des publications originales peuvent relever du droit d’auteur, tandis que de très courtes formules factuelles n’atteignent pas nécessairement le niveau d’originalité requis. Dans tous les cas, les conditions d’utilisation d’une plateforme, la loi applicable et la nature exacte du réemploi doivent être examinées séparément.

Sur le plan éthique, la principale attente concerne la transparence. Les internautes devraient pouvoir comprendre simplement si leurs publications sont collectées, par qui, pour quel projet, selon quelles règles et avec quelle possibilité de refus. La difficulté est particulièrement forte pour les usages d’IA : une fois les données intégrées à une chaîne de traitement ou à un jeu de données partagé, retracer chaque message et répondre à chaque demande individuelle peut devenir très complexe.

Que peuvent faire les utilisateurs de Bluesky ?

À ce stade, les membres de Bluesky ne disposent pas d’un moyen leur garantissant que leurs publications publiques ne seront jamais récupérées par un développeur extérieur. Cette limite invite à adopter une règle prudente, valable au-delà de Bluesky : considérer qu’un message posté dans un espace social public peut être lu, enregistré, archivé et analysé par des tiers.

Quelques précautions restent utiles :

• éviter de publier des informations sensibles, même lorsqu’elles semblent anodines prises isolément ;
• distinguer ce qui relève d’une prise de parole publique de ce qui devrait rester dans une messagerie ou un espace privé ;
• relire les paramètres et les règles de la plateforme, sans supposer qu’ils s’appliquent automatiquement aux copies déjà réalisées hors de son écosystème ;
• vérifier, avant de partager un contenu personnel, si l’on accepterait qu’il soit repris dans une base de données très large.

Ces conseils ne transfèrent pas la responsabilité sur les utilisateurs. La protection des données relève aussi des plateformes, des développeurs, des responsables de traitements et des autorités compétentes. Ils rappellent simplement qu’une publication sociale peut changer de contexte beaucoup plus vite que son auteur ne l’imagine.

Ce qu’il faut surveiller après cette polémique

La réponse de Bluesky sera observée sur deux terrains. Le premier est technique : la plateforme peut-elle imaginer des mécanismes qui préservent les possibilités offertes aux développeurs tout en donnant davantage de contrôle aux personnes publiant du contenu ? Le second est juridique et politique : quelles règles pourront encadrer la réutilisation de données publiques pour l’IA, notamment lorsqu’un jeu de données passe d’un pays, d’un chercheur ou d’une plateforme à l’autre ?

L’enjeu dépasse largement Bluesky. Les réseaux sociaux constituent depuis longtemps des réservoirs de textes, d’images et de comportements qui intéressent les acteurs de l’intelligence artificielle. La nouveauté est que le public comprend de mieux en mieux la valeur de ces traces numériques et demande des garanties plus précises.

Pour les plateformes, l’équilibre est délicat. Fermer entièrement l’accès peut limiter l’innovation et renforcer le pouvoir des acteurs dominants. Laisser les flux entièrement exploitables sans information claire peut, à l’inverse, fragiliser la confiance des communautés. L’affaire du million de publications Bluesky rappelle qu’en matière d’IA, la question n’est pas seulement de savoir si les données sont accessibles. Elle est aussi de décider qui peut les réutiliser, dans quel but et avec quel consentement.