Tester la sécurité, « une pensée de loser » : le patron de Proton pousse l’IA à marche forcée

Fin août 2026, dans le canal Slack consacré à la sécurité, un salarié de Proton demande quelques jours pour tester un nouveau code avant sa mise en ligne. Réponse du patron, Andy Yen : « C’est des conneries et une pensée de loser. » On peut être rapide et sûr, ajoute-t-il, avant d’inviter les équipes à cesser de fignoler leur code à la main et à utiliser davantage l’IA.

L’échange est rapporté par 404 Media, qui a interrogé huit salariés et un ancien salarié et consulté des conversations internes, des enregistrements de réunions et un manifeste sur l’IA rédigé par le directeur technique. Proton, l’entreprise genevoise de Proton Mail et Proton VPN, n’en avait contesté aucun élément auprès du média. Elle a changé de ton depuis.

La vitesse avant tout

Le tableau est celui d’une entreprise lancée à pleine vitesse. Selon 404 Media, Andy Yen a créé une adresse pour signaler tout ce qui freine l’adoption de l’IA, des logiciels mesureraient la part de code produite par l’IA sur les postes des salariés, et le patron a annoncé que 2026 serait la dernière année où Proton embauche des ingénieurs : ensuite, seulement des profils qui construisent avec l’IA. Des entretiens sur leur usage de l’IA étaient prévus du 4 au 11 novembre, selon IT-Connect.

En toile de fond, un document interne cité par 404 Media constate que Proton n’atteindra pas son objectif de revenus annuels, faute de « vélocité ». Plusieurs salariés attribuent au directeur technique, Bart Butler, l’affirmation que 90 % du code serait désormais écrit par l’IA, selon IT-Connect, qui reprend l’enquête ; Proton ne l’a pas confirmé.

Excuses et démentis

Proton a répondu le 30 octobre au soir, dans un message publié sur X. L’entreprise dément avoir installé un logiciel de suivi du code produit par l’IA : la rumeur viendrait d’un malentendu sur ses outils de gestion des ordinateurs (MDM). Elle assure que l’IA ne passera jamais avant la sécurité et dit avoir ajouté des étapes de revue de sécurité cette année, face aux IA hostiles qui fouillent son code ouvert.

Les entretiens sur l’IA sont annulés, et aucun poste ne sera supprimé à leur suite, promet Proton, qui s’excuse : « nous sommes désolés ». Elle s’engage à publier ses règles d’usage de l’IA, la manière dont elle relit son code et plusieurs outils internes, dont des versions internes de son assistant Lumo. Des salariés cités par 404 Media affirment toutefois que les critères de ces entretiens seront intégrés aux évaluations de performance, relève Frandroid. Andy Yen, lui, avait seulement expliqué sur Reddit que ses propos étaient sortis de leur contexte, sans démentir le mot « loser ».

Suisse ne veut pas dire intouchable

Proton vend la confidentialité et met en avant sa base suisse et sa sécurité. Ces deux arguments méritent d’être vérifiés séparément.

Le droit suisse protège, mais il s’applique. En septembre 2021, sur ordre des autorités suisses saisies via Europol, Proton avait transmis l’adresse IP d’un militant français, rappelait TechCrunch. Et le bouclier se fissure : un projet de révision de l’ordonnance suisse sur la surveillance obligerait les services de plus de 5 000 utilisateurs à conserver adresses IP et métadonnées six mois et à identifier leurs clients. Proton y a répondu en installant les serveurs de son IA, Lumo, en Allemagne, selon heise. Sa dernière version, datée du 27 février 2026, était encore en discussion en mai, selon l’association Société numérique, et nous n’avons trouvé aucune trace de son adoption.

Côté sécurité, Proton a des preuves à montrer : des applications au code ouvert et, pour Proton VPN, un cinquième audit annuel sans journaux, mené par la société Securitum en 2026. Mais un audit ne vaut que pour la période examinée, et Proton admet sur la même page qu’une erreur de configuration pourrait faire conserver des journaux par accident. C’est précisément ce que l’enquête met en cause : la culture qui entoure le code entre deux audits.

Aucune faille ni fuite liée à ces pratiques n’est signalée à ce stade. Pour les clients, la question n’est pas de fuir, mais de juger Proton sur pièces : ses audits et les règles qu’il promet de publier. Le drapeau suisse, lui, ne relit pas le code.

En bref

• Selon 404 Media, Andy Yen a qualifié de « pensée de loser » une demande de tests de sécurité avant mise en ligne.
• Proton dément tout logiciel de suivi de ses salariés, annule ses entretiens sur l’IA, s’excuse et promet de publier ses règles d’usage de l’IA.
• Le droit suisse n’empêche pas les réquisitions, et une réforme de la surveillance y est en discussion.
• Proton VPN reste audité chaque année ; aucune faille liée à ces pratiques n’est signalée.

Sources : 404 Media, message de Proton sur X, Frandroid, IT-Connect, TechCrunch, 2021, heise, 2025, Société numérique, audit sans journaux de Proton VPN.

Le Bien Heureux · Rédaction Capibara · Samedi 31 octobre 2026