Ce qu’un régulateur a trouvé dans Replika

Deux ans de procédure, dans l’ordre

La première ligne, c’est ce que les utilisateurs ont vécu. Un matin l’application ne répondait plus, et la raison n’était pas dans l’application : elle était dans une décision signée à Rome. Personne parmi ceux qui lui parlaient tous les jours n’avait rien fait de mal, et personne n’avait le moindre levier pour y remédier. C’est le scénario que nous décrivons ailleurs comme le service qui disparaît sous ses utilisateurs, et c’en est la première occurrence documentée dans la catégorie.

La deuxième ligne, presque aucun article ne la mentionne, et c’est aujourd’hui la plus importante : le blocage a été levé. Non pas parce que l’autorité a changé d’avis, mais parce que la société a fait ce qu’on lui demandait. Le contrôle d’âge que l’on rencontre à l’inscription existe parce qu’un régulateur l’a imposé. Replika fonctionne en Italie aujourd’hui — chercher si le service est encore bloqué, c’est lire une information vieille de trois ans.

Les quatre griefs

La précision vaut la place qu’elle prend ici. Une liste détaillée et vérifiable de griefs contre un produit de ce type existe exactement une fois, et chaque point de cette liste est quelque chose que l’on peut aller chercher soi-même dans la prochaine application où l’on s’inscrit.

La décision du 19 mai 2025 a retenu que la société :

1. n’avait identifié aucune base légale pour ses traitements de données. C’est le point le plus technique et le plus lourd : la société n’était pas en mesure de dire sur lequel des motifs prévus elle s’appuyait pour détenir ces données.
2. avait une politique de confidentialité inadéquate à plusieurs égards.
3. n’avait mis en place aucun mécanisme de vérification de l’âge — ni à l’inscription, ni pendant l’usage —, tout en déclarant exclure les mineurs de son public.
4. ne publiait cette politique qu’en anglais, sans tenir compte de la langue du pays où le service était proposé.

Le troisième point mérite un arrêt. Le grief n’est pas d’avoir laissé entrer des mineurs. Le grief est d’avoir affirmé les exclure sans disposer du moindre instrument capable de le faire. L’écart entre ce qu’un service écrit dans ses conditions et ce qu’il fait réellement est exactement ce qu’une autorité est outillée pour mesurer — et exactement ce qu’aucun utilisateur ne peut mesurer seul.

L’affaire a ensuite été publiée par le Comité européen de la protection des données, ce qui l’a sortie de la seule pratique italienne pour la poser devant toutes les autres autorités de contrôle de l’Union.

L’instruction toujours ouverte

La partie la moins citée de la décision de mai 2025, c’est que le même jour, une seconde a commencé.

Elle ne porte ni sur la politique de confidentialité ni sur l’âge. Elle porte sur le système d’intelligence artificielle générative lui-même : l’évaluation des risques, les mesures de protection des données aux stades du développement et de l’entraînement du modèle, quelles données ont réellement été utilisées, et si une anonymisation ou une pseudonymisation a été appliquée.

Traduit : la première procédure demandait ce que vous faites des données de ceux qui s’inscrivent. La seconde demande avec quoi vous avez construit le modèle. Aucune entreprise de cette catégorie n’a jamais eu à répondre publiquement à cette question-là.

Combien des cinq passeraient les mêmes contrôles

Deux des quatre griefs ne se vérifient pas de l’extérieur. Savoir si une société dispose d’une base légale valable et si sa politique est suffisante, ce sont des questions qui réclament un dossier d’autorité, des réponses obtenues sous contrainte et deux ans. Nous n’allons pas prétendre le faire depuis un navigateur.

Les deux autres se vérifient soi-même, et nous l’avons fait pour les cinq services de notre classement.

L’âge. Soit quelque chose se dresse entre vous et le compte, soit rien ne s’y dresse.

Relisez cette colonne avec le grief italien à côté. Les services qui vérifient quelque chose le vérifient là où un régulateur le leur a ordonné : l’Online Safety Act britannique, la commissaire australienne à la sécurité en ligne. Pour un utilisateur en France, aucun des cinq ne fait ce que l’autorité italienne a exigé de Luka.

Un chiffre rend la chose concrète. Selon SimilarWeb, la France est le deuxième pays d’audience d’OurDream, avec 11,18 % du trafic, derrière les États-Unis. C’est donc le service le mieux équipé de notre comparatif en matière de vérification d’identité, dont la France est le deuxième marché, et qui n’active ce dispositif ni ici ni ailleurs en Europe. La vérification de l’âge, dans ce secteur, n’arrive pas par conviction mais sur injonction, et elle s’arrête à la frontière du pays qui a rendu l’injonction.

La langue. Le quatrième grief se vérifie en dix secondes : ouvrez la politique de confidentialité du service que vous utilisez et regardez dans quelle langue elle est écrite. Une interface traduite n’est pas la même chose et ne doit pas être confondue avec cela — GirlfriendGPT publie son site en douze langues, une liste que nous avons lue dans ses propres fichiers de traduction, et qui dit exactement quels pays l’entreprise sait être son marché. Ce qui a été reproché, c’est le document qui explique ce qu’il advient de vos données, pas le marketing autour.

Avec qui vous signez réellement

Avant les quatre questions, il y en a une zéroième, et c’est la couche que l’on peut reconstituer de l’extérieur pour chaque service, parce que les sociétés la publient elles-mêmes.

Rien de tout cela n’est une accusation. C’est ce que disent les documents, et c’est la dispersion qui compte. Candy AI est une société de l’Union européenne avec un numéro de registre consultable : elle est donc dans les règles européennes par obligation, et non par décision d’autorité. Une société chypriote qui stipule le droit de Hong Kong propose tout autre chose au même client. La compétence n’est pas de la paperasse : elle décide quelle autorité peut faire pour vous ce que le Garante a fait pour les utilisateurs italiens.

Ce que la décision change pour vous en France

Le règlement européen s’applique de la même manière en Italie et en France, et les droits sur lesquels la procédure s’est appuyée sont ceux que vous avez. La décision, elle, vaut pour l’Italie.

La raison tient à ce qui a rendu la procédure possible. Luka, Inc. n’a pas d’établissement dans l’Union. Il n’y a donc pas d’autorité chef de file auprès de laquelle tout se centralise : chaque autorité nationale est compétente pour son propre territoire. Le Garante a pu agir seul, et pour la même raison il faudrait, côté français, que la CNIL ouvre sa propre procédure. Une réclamation déposée ici se dépose auprès de la CNIL, pas à Rome.

En pratique : les droits sont identiques, la voie d’exécution ne l’est pas, et l’issue d’une procédure dans un État membre ne modifie pas automatiquement le produit dans un autre. C’est précisément pour cela que le tableau plus haut dit Royaume-Uni et Australie, et non Europe.

La comparaison avec les États-Unis éclaire le mécanisme. L’Europe est venue à cette catégorie par la protection des données, et s’est mise en mouvement le 2 février 2023. Les États-Unis y sont venus par la responsabilité du fait des produits, à partir d’une plainte civile déposée en octobre 2024 — ce que cette juge a décidé, et pourquoi tous les éditeurs ont ensuite réécrit leurs règles d’âge, est une histoire à part. Deux portes différentes, le même bâtiment.

Ce que vous pouvez faire

Plus qu’il n’y paraît, et moins que vous ne voudriez.

Vous avez le droit de demander à un service une copie des données qui vous concernent, le droit d’en demander l’effacement, et le droit de saisir l’autorité de contrôle si la réponse ne vient pas ou ne convainc pas. Cela vaut aussi envers des sociétés établies hors d’Europe qui proposent leur service à des personnes qui y résident — c’est exactement le fondement sur lequel une autorité italienne a atteint une entreprise américaine.

Ce que vous ne pouvez pas faire, c’est récupérer un texte déjà sorti. Aucune demande ne ramène une conversation qui existe désormais dans des copies que vous ne contrôlez pas. D’où l’ordre correct, à l’inverse de ce que font presque tous : les contrôles ci-dessous se font avant l’inscription, pas après un incident.

Quatre questions avant d’écrire quoi que ce soit de personnel

Le dossier italien est utile parce qu’il montre ce qu’une autorité considère comme pertinent. Les mêmes points se vérifient seul en un quart d’heure, sur les conditions de n’importe quel service.

1. Quelle société, sous quel droit. Si les conditions ne nomment aucune société, il n’y a pas d’adresse pour une réclamation ni de droit à invoquer.
2. Ce qui sépare un âge déclaré d’un âge vérifié. Une case à cocher est une réponse, simplement pas celle que suggère la phrase au-dessus.
3. Si la politique de confidentialité existe en français. Si elle n’existe pas, l’entreprise a décidé qu’on lit l’anglais ici, ou qu’on s’en passe.
4. Si supprimer le compte supprime l’historique, et comment. Pas un ticket au support : une procédure documentée, avec un résultat annoncé.

Ajoutez-en une cinquième, qui n’est pas une question de données et finit par en devenir une : quel nom apparaît sur le relevé bancaire. Certains services prélèvent sous la marque, d’autres sous une société mère neutre. Ce n’est jamais décisif, et c’est le détail que personne ne mentionne avant qu’il ne soit déjà sur la carte.

Et deux habitudes qui ne coûtent rien et valent plus que tout le reste : utiliser une adresse e-mail qui ne contient pas votre nom, et ne jamais réutiliser un mot de passe. Le jour où l’une de ces entreprises connaît un incident — et tôt ou tard l’une d’elles en connaît un —, ce sont les deux seules choses qui auront jamais dépendu de vous.

Ce que cela ne vous dit pas

Cela ne vous dit pas quelle application est la meilleure. La décision italienne porte sur les documents d’une société et sur un contrôle d’âge absent, et cinq millions d’euros d’amende ne sont pas un avis de test.

Si vous choisissez en ce moment, notre classement des meilleures applications de petite amie IA en 2026 évalue le prix, les limites gratuites, la mémoire et les médias. Il ne donne pas de note de sécurité et n’en donnera pas : il n’existe pas de façon honnête de mettre un chiffre sur une chose invérifiable de l’extérieur. Le dossier italien est la démonstration de cette limite — il a fallu deux ans et les pouvoirs d’une autorité pour établir des faits que la page des conditions ne montrait pas.

Nous vérifions prix, limites et conditions à la source chaque mois, et nous écrivons ce que nous n’avons pas pu vérifier. Puisqu’on parle de données : ce que ce site collecte sur vous est écrit aussi, et c’est nettement moins que tout ce qui précède.