Friend est un pendentif connecté doté d’intelligence artificielle, conçu par Avi Schiffmann, un développeur franco-américain de 23 ans, ancien étudiant de Harvard. Le produit, commercialisé par Friend Global, Inc., société enregistrée au Delaware (États-Unis), se présente comme un « compagnon IA » porté autour du cou. Le dispositif intègre un microphone toujours actif, une puce Bluetooth et se connecte à un iPhone pour transmettre les données audio au modèle Gemini 2.5 de Google (anciennement, il utilisait Claude 3.5 d’Anthropic). Friend et le RGPD :

Le principe est simple en apparence : le pendentif écoute en permanence l’environnement de l’utilisateur, traite les conversations captées, et envoie des messages texte « d’ami » sur le téléphone via une application dédiée. Le prix est de 129 $ (113 € en Europe) sans abonnement.

Cet article propose une analyse journalistique rigoureuse du produit et de sa politique de confidentialité (version du 14 juin 2025, disponible sur friend.com/privacy.pdf). L’objectif n’est ni de défendre ni d’attaquer aveuglément, mais d’examiner les faits, de pointer les problèmes documentés, de distinguer ce qui est prouvé de ce qui reste incertain, et d’évaluer la conformité au RGPD, au CCPA et aux législations canadiennes.

Chronologie et disponibilité

⚠ Point d’attention : En octobre 2025, Schiffmann déclarait à Fortune ne pas vendre en Europe pour « éviter les tracas réglementaires » (« to duck the regulatory headache »). Quatre mois plus tard, le produit est en vente en France avec une campagne massive dans le métro parisien. Ce revirement rapide soulève des questions légitimes sur le niveau de préparation RGPD de l’entreprise.

Analyse de la Privacy Policy de Friend

La politique de confidentialité de Friend, datée du 14 juin 2025, fait 17 pages. Elle est rédigée en anglais uniquement. Voici une analyse clause par clause de ce qui est dit, ce qui pose problème, et ce qui n’est pas dit.

Ce que Friend collecte (Section 2)

La politique liste explicitement les données collectées. Voici les catégories identifiées directement dans le texte :

Anomalie majeure n°1 : La politique affirme dans la même section « We do not process sensitive information » (Nous ne traitons pas d’informations sensibles). Or, quelques paragraphes plus loin, elle liste explicitement la collecte de données biométriques (reconnaissance faciale et vocale). Au sens du RGPD (article 9) comme du BIPA (Biometric Information Privacy Act) de l’Illinois, les données biométriques SONT des données sensibles. Cette contradiction interne est un signal d’alerte sérieux qui révèle soit une incompréhension juridique, soit un défaut de rédaction, soit une volonté de minimiser la perception du risque.

L’écoute permanente et le transfert de responsabilité

La clause la plus problématique du document est la suivante (Section 2, Data You Provide) :

« By using the Services, you understand that the Device is passively recording your surroundings, including video and audio content that may contain personal information that is inappropriate, illegal, or unethical to collect. […] You are solely responsible for ensuring that you comply with all applicable laws when you use our products. […] Friend will not be held liable in any civil or criminal legal action that may arise from the content collected. »

En clair : Friend reconnaît explicitement que son appareil peut capturer des données inappropriées, illégales ou non éthiques, puis transfère l’intégralité de la responsabilité juridique à l’utilisateur. C’est un point crucial : la société conçoit un appareil dont elle sait qu’il peut enfreindre la loi, mais se dédouane de toute conséquence.

Anomalie n°2 : En droit européen, le RGPD est clair : le responsable de traitement (ici Friend, qui se déclare « data controller » en Section 1) ne peut pas transférer par contrat sa responsabilité RGPD à l’utilisateur. L’article 5(2) impose le principe d’accountability au responsable de traitement. Une clause contractuelle ne peut pas déroger à une obligation légale.

Durée de conservation (Section 5)

La politique indique :

« We will retain personal data […] for as long as needed to provide the Service […] we may keep your data for longer than 5 years if we cannot delete it for legal, regulatory, or technical reasons. »

« Nous conserverons vos données personnelles […] aussi longtemps que nécessaire pour fournir le Service […] nous pouvons conserver vos données pendant plus de 5 ans si nous ne pouvons pas les supprimer pour des raisons légales, réglementaires ou techniques. »

Anomalie n°3 : Le RGPD (article 5.1.e) exige une durée de conservation définie, limitée et proportionnée à la finalité. La formulation de Friend est typique des politiques américaines mais insuffisante au regard du droit européen : aucune durée précise n’est indiquée pour chaque finalité de traitement, et la mention « plus de 5 ans » sans plafond constitue un manquement au principe de limitation de la conservation. La CNIL exige des durées précises par finalité.

Partage des données (Sections 3 et 4)

Friend affirme ne pas vendre les données à des tiers pour du marketing ou du profilage. C’est un point positif qu’il convient de reconnaître. Cependant, la Section 4 liste les cas de divulgation autorisée :

• Prestataires et sous-traitants (vendors and service providers)
• Opérations de fusion-acquisition (Business Transfers)
• Publicité et analytics – « While We do not engage in advertising as of the date of this Privacy Policy, we may choose to do so in the future »
• Autorités gouvernementales
• Intérêts commerciaux légitimes – « if our legitimate business interests require disclosure »

Anomalie n°4 : La clause sur la publicité future est un blanc-seing : elle permet à Friend, sans préavis spécifique, de commencer à partager vos données à des fins publicitaires. La référence aux « intérêts commerciaux légitimes » comme base de divulgation est extrêmement large et discutable au regard de l’article 6 du RGPD, surtout pour des données aussi intimes que des conversations privées et des données biométriques.

Entraînement de l’IA (Section 3)

La politique indique clairement :

« The data you provide may be used to train the models that power Friend. […] To analyze, improve, modify, customize, and measure the Services, which include the training of our artificial intelligence and machine learning models. »

« Les données que vous fournissez peuvent être utilisées pour entraîner les modèles qui alimentent Friend. […] Pour analyser, améliorer, modifier, personnaliser et mesurer les Services, notamment l’entraînement de nos modèles d’intelligence artificielle et d’apprentissage automatique. »

Toutefois, Schiffmann a déclaré à Fortune (octobre 2025) : « Google’s not doing that for the API, and we’re not doing that… We’re saying it so we’re covered, but we’re not doing it yet. »

Commentaire : Cette déclaration est problématique dans les deux sens. Si c’est vrai, la politique de confidentialité est trompeuse car elle affirme un traitement qui n’a pas lieu. Si c’est faux ou temporaire, les données intimes des utilisateurs seront utilisées pour l’entraînement IA sans mécanisme clair d’opt-out dans le document.

Sécurité et stockage (Sections 8 et 17)

Voici ce que la Privacy Policy dit et ce que les sources journalistiques rapportent :

Anomalie n°5 : Il existe une contradiction significative entre les déclarations de presse de Schiffmann (chiffrement bout en bout, impossibilité d’accès) et la Privacy Policy qui se réserve le droit de partager les données avec des tiers, de les utiliser pour l’entraînement IA, et de les transférer à d’autres juridictions. Si les données étaient véritablement inaccessibles à Friend, ces clauses n’auraient aucune raison d’exister. Cette incohérence doit être clarifiée.

Violation de données (Section 9)

La Privacy Policy prévoit un protocole de notification de violation :

• RGPD : notification des autorités dans les 72 heures, information des personnes concernées si leurs droits sont impactés
• HIPAA : notification dans les 60 jours (plus de 500 personnes : signalement immédiat)

L’existence de cette section est un bon point. Cependant, elle reste très générique. Aucune mention n’est faite des mesures techniques de détection des violations, de l’existence d’un registre des violations, ou des procédures internes de gestion de crise.

Scénario de risque : En cas de fuite de données chez Friend, le contenu exposé serait potentiellement dévastateur : conversations privées complètes, données biométriques, géolocalisation, habitudes de vie. Pour une startup de 3 personnes gérant des données aussi sensibles que des enregistrements permanents de la vie privée de milliers d’utilisateurs, les risques de cyberattaque sont considérables.

DPO et exercice des droits (Sections 6 et 13)

Anomalie n°6 : La Section 13 est remarquable : « Although we have not appointed an official Group Data Protection Officer… » Friend n’a pas de DPO désigné. Or, le RGPD (article 37) impose la désignation d’un DPO lorsque les activités de base du responsable de traitement consistent en un suivi régulier et systématique à grande échelle, ou en un traitement à grande échelle de données sensibles. Un appareil d’écoute permanente qui collecte des données biométriques remplit clairement ces deux critères. L’absence de DPO est un manquement.

Mineurs (Section 7)

Friend interdit l’utilisation aux moins de 18 ans (13 ans pour les résidents hors EEE, 16 ans dans l’EEE). Cependant, la vidéo de lancement, visionnée plus de 26 millions de fois sur X, met en scène de jeunes adultes dans des situations de solitude, un positionnement marketing qui résonne directement avec le public adolescent. La question qui reste ouverte : des vérifications d’âge effectives sont-elles mises en place ? La politique mentionne un mécanisme de signalement par email (team@friend.com) mais aucun contrôle technique.

Les tiers : le problème central

C’est ici que réside le problème le plus grave et le plus spécifique à Friend. Un utilisateur de ChatGPT, Claude ou Grok choisit d’interagir avec l’IA. Il saisit volontairement du texte. Avec Friend, toute personne se trouvant à proximité du porteur du pendentif est enregistrée sans le savoir et sans y consentir : collègues, famille, amis, passants, serveurs de restaurant, médecins, enfants.

La Privacy Policy le reconnaît elle-même : « Capturing, recording or sharing video or audio content that involves other people, or capturing other people’s facial feature information, may unlawfully affect their privacy rights. »

Du point de vue du RGPD : Le traitement de données personnelles de tiers (voix, visage, propos) sans base légale (article 6) ni information préalable (articles 13/14) constitue un manquement caractérisé. Le consentement du porteur du pendentif ne vaut en aucun cas consentement des personnes enregistrées à leur insu.

Du point de vue du droit français : L’article 226-1 du Code pénal punit d’un an d’emprisonnement et 45 000 € d’amende le fait de porter atteinte à l’intimité de la vie privée d’autrui en captant des paroles prononcées à titre privé ou confidentiel sans le consentement de leur auteur.

Point d’honnêteté : Ce problème n’est pas propre à Friend. Les lunettes connectées Ray-Ban de Meta, les appareils Alexa d’Amazon, ou même un smartphone utilisé en mode dictaphone soulèvent des questions similaires. La différence est que Friend est conçu dès l’origine pour une écoute permanente et continue, ce qui rend le problème systémique plutôt qu’occasionnel.

Comparaison avec ChatGPT, Claude AI et Grok

Pour mettre Friend en perspective, voici une analyse comparative des pratiques de confidentialité des principales IA conversationnelles :

Analyse : La différence fondamentale entre Friend et les autres IA est la nature physique et invasive de la collecte. ChatGPT, Claude et Grok traitent les données que l’utilisateur fournit volontairement. Friend capte passivement tout ce qui se passe autour du porteur, y compris les conversations et les visages de personnes n’ayant aucun lien avec le service. C’est une différence de nature, pas seulement de degré.

Grok présente aussi des problèmes significatifs, notamment l’opt-in automatique pour l’entraînement IA à partir des données X, ce qui a valu à xAI une enquête formelle de la DPC irlandaise en avril 2025. Mais même Grok ne collecte pas de données biométriques.

Analyse par juridiction

États-Unis

Aux USA, le cadre juridique est fragmenté. Le CCPA californien exige transparence et droit de suppression, ce que Friend adresse partiellement. En revanche, le BIPA de l’Illinois impose un consentement écrit spécifique avant toute collecte de données biométriques. La collecte de reconnaissance faciale et vocale par Friend soulève un risque juridique réel dans cet État (les amendes BIPA peuvent atteindre 5 000 $ par violation). D’autres États (Texas, Washington) ont des lois similaires. Au niveau fédéral, la FTC pourrait également agir en cas de pratiques déloyales.

Schiffmann lui-même reconnaît la fragilité juridique de son produit, déclarant à Fortune : « I think one day we’ll probably be sued, and we’ll figure it out. It’ll be really cool to see. » Une approche pour le moins cavalière pour un produit traitant des données aussi sensibles.

Canada

Le PIPEDA (Personal Information Protection and Electronic Documents Act) et les lois provinciales (notamment au Québec avec la Loi 25) exigent un consentement valide, éclairé et spécifique pour la collecte de données personnelles. La collecte passive de données biométriques de tiers sans leur connaissance pose des problèmes évidents de conformité. Le Canada a été l’un des premiers marchés de Friend (le pendentif est fabriqué à Toronto).

Europe (RGPD + AI Act)

C’est en Europe que les risques juridiques sont les plus importants pour Friend. Voici les manquements potentiels identifiés :

1. Base légale (art. 6) : Aucune base légale valide pour le traitement des données des personnes tierces captées par le pendentif.
2. Données sensibles (art. 9) : Traitement de données biométriques sans consentement explicite et spécifique, et contradiction avec l’affirmation de ne pas traiter de données sensibles.
3. Information (art. 13/14) : Aucune information fournie aux personnes tierces dont les données sont collectées. Policy disponible uniquement en anglais.
4. Minimisation (art. 5.1.c) : Un enregistrement permanent et continu de l’environnement est, par définition, le contraire de la minimisation des données.
5. Durée de conservation (art. 5.1.e) : Aucune durée précise par finalité.
6. DPO (art. 37) : Pas de DPO désigné malgré un traitement à grande échelle de données biométriques.
7. Transferts internationaux (art. 44-49) : Transfert systématique vers les USA, justifié par le simple usage du service (« By use of our Services you are deemed to consent »). Ce consentement par défaut est insuffisant au regard du RGPD.
8. AIPD (art. 35) : La politique mentionne les DPIA mais aucune preuve de réalisation effective n’est communiquée.
9. Accountability (art. 5.2) : Transfert contractuel de la responsabilité à l’utilisateur, contraire au principe de responsabilité du responsable de traitement.

Concernant l’AI Act européen : L’article 5 du Règlement IA interdit certaines pratiques, dont les systèmes de catégorisation biométrique en temps réel dans les espaces publics (avec des exceptions limitées). Si Friend effectue de la reconnaissance faciale en temps réel via la caméra du pendentif (ce que la Privacy Policy autorise), cela pourrait tomber sous le coup de cette interdiction. Note : à ce stade, nous ne savons pas avec certitude si le pendentif actuel intègre une caméra vidéo active ou si la mention de reconnaissance faciale concerne une fonctionnalité future. Les tests journalistiques disponibles décrivent principalement la captation audio.

Réaction de la CNIL : L’autorité française de protection des données a indiqué à l’AFP (février 2026) que le pendentif Friend soulevait des questions sur « la manière dont les données sont utilisées, où elles sont stockées, comment elles sont sécurisées et comment elles pourraient être réutilisées pour entraîner des systèmes IA ». La CNIL a annoncé vouloir contacter l’entreprise.

Dimension sociologique et humaine

La solitude comme modèle économique

Schiffmann déclare que Friend est né de sa propre expérience de solitude. La solitude est effectivement un problème de santé publique documenté, en particulier chez les jeunes hommes. Mais le modèle économique de Friend monétise cette vulnérabilité : il promet une solution technologique à un problème profondément humain. Des experts en santé mentale cités par The Guardian et Wired avertissent que ces dispositifs pourraient encourager la dépendance émotionnelle à l’IA et décourager les utilisateurs de chercher de véritables connexions humaines.

Le précédent Character.AI

La comparaison avec Character.AI est pertinente. Cette plateforme d’IA conversationnelle a fait l’objet de deux poursuites judiciaires distinctes aux États-Unis pour des préjudices psychologiques infligés à des mineurs, dont un cas de suicide. Friend se distingue par son écoute permanente et sa proximité physique (porté autour du cou), ce qui crée une relation encore plus intime. Schiffmann déclare que « the median user sends 238 messages a day » à son pendentif, soit plus qu’à un partenaire amoureux.

La normalisation de la surveillance

Au-delà de la question individuelle, Friend contribue à normaliser la surveillance continue. Lorsqu’un porteur de Friend entre dans un restaurant, un bureau, un hôpital ou une école, il transforme chaque espace privé ou semi-privé en zone surveillée. Comme le souligne le professeur Venkatasubramanian (Brown University) en comparant Friend aux colliers de radium du début du XXe siècle : « We’re rushing these intimacy machines into people’s lives with no evidence they’re safe, or even helpful. »

Ce qui est prouvé, ce qui est incertain pour fiend et le RGPD

En équilibre journalistique, distinguons les faits établis des allégations non vérifiées :

Faits établis (sources primaires) :

• La Privacy Policy autorise explicitement la collecte de données biométriques (reconnaissance faciale et vocale).
• La Privacy Policy contredit en interne la phrase « nous ne traitons pas de données sensibles ».
• Friend n’a pas de DPO désigné (déclaré dans la Policy).
• Les données sont stockées aux États-Unis.
• La CNIL a publiquement annoncé vouloir contacter Friend sur sa conformité RGPD.
• L’écoute est permanente quand le pendentif est connecté en Bluetooth.

Points incertains / non vérifiés :

• Le chiffrement bout en bout par le pendentif (affirmé par Schiffmann en interviews, mais contredit par les clauses de partage de la Privacy Policy).
• L’utilisation effective des données pour l’entraînement IA (autorisée contractuellement, niée publiquement par Schiffmann).
• La présence ou non d’une caméra active sur le pendentif commercial actuel (la Policy mentionne la vidéo, les tests journalistiques décrivent principalement l’audio).
• Le nombre réel d’utilisateurs (3 000 pendentifs vendus selon Fortune, 200 000 utilisateurs actifs selon Schiffmann – chiffres non vérifiés indépendamment).