Ce document est le document public d'engagement produit envers l'utilisateur. Il est distinct du moteur d'arbitrage interne qui juge, selon ses principes techniques, les propositions de restructuration de la mémoire. Les deux ne se confondent pas.
Cette charte est un élément central du produit, pas une page marketing. Pour une application de mémoire personnelle ou organisationnelle installée localement et appelée à conserver des années d'informations, l'enjeu n'est pas seulement la confidentialité : c'est aussi le pouvoir qu'une mémoire persistante donne à son propriétaire, à ses administrateurs et aux modèles qui l'exploitent.
Cette application est conçue pour aider une personne, une équipe ou une organisation à retrouver, relier et comprendre ses propres informations dans le temps.
Elle ne doit pas devenir un dispositif opaque de surveillance, de contrôle social, de manipulation ou de confiscation de la mémoire des personnes.
Nous considérons la mémoire numérique comme un actif sensible : elle peut contenir des faits, des hypothèses, des relations, des erreurs, des traces intimes et des éléments de contexte. Elle doit donc rester gouvernable, explicable, réversible et sous le contrôle effectif de celles et ceux auxquels elle se rapporte.
L'idée importante : une base de connaissance personnelle n'est pas « juste » une base vectorielle ou un moteur de recherche. Avec le temps, elle peut devenir une représentation opérationnelle de la vie, du travail, des liens et des décisions d'un individu ou d'un collectif.
| Valeur | Engagement concret |
|---|---|
| Souveraineté | Les données, les index, les embeddings, les métadonnées et les sauvegardes appartiennent à l'utilisateur ou à l'organisation qui les héberge. |
| Local-first | Le produit doit fonctionner localement par défaut ; aucun contenu ne doit être transmis à un tiers sans action explicite, visible et traçable. |
| Consentement | Toute collecte, indexation, importation, analyse ou exposition de données personnelles doit reposer sur une base légitime, compréhensible et réversible. |
| Minimisation | Ne collecter, conserver et inférer que ce qui est utile à une finalité explicitement choisie. |
| Réversibilité | L'utilisateur doit pouvoir exporter, corriger, désindexer, purger, supprimer et reconstruire sa mémoire sans dépendre de l'éditeur. |
| Transparence | L'application doit distinguer clairement les sources, les faits extraits, les déductions du système, les résumés générés et les incertitudes. |
| Non-manipulation | Le système ne doit pas organiser l'information pour influencer discrètement les choix, opinions, relations ou comportements de l'utilisateur. |
| Dignité humaine | Une personne ne doit pas être réduite à un profil, un score, un graphe social ou une suite d'inférences probabilistes. |
| Sécurité durable | La protection ne concerne pas uniquement l'accès actuel ; elle doit anticiper les risques futurs de fuite, de changement d'administrateur, de revente, de conflit ou de compromission. |
| Responsabilité | Les capacités avancées doivent être accompagnées d'audits, de journaux, de contrôles d'accès et de limites adaptées à leur pouvoir. |
La charte énonce des droits explicites, compréhensibles et applicables techniquement.
L'utilisateur conserve le contrôle sur :
Le produit ne doit pas enfermer ces éléments dans un format inaccessible. Une exportation complète, documentée et exploitable hors du produit doit exister : sources originales, schéma de données, métadonnées, liens de provenance, index si techniquement exportables, et règles de configuration.
Pour chaque résultat, l'application doit pouvoir répondre à des questions comme :
Une réponse de recherche devrait idéalement afficher une chaîne de provenance : résultat → chunk ou fait → source d'origine → date d'ingestion → transformation appliquée.
Pour un produit hypermnésique, la provenance est une exigence éthique autant qu'une exigence d'ingénierie. Sans elle, le système crée facilement de faux souvenirs organisationnels.
Une mémoire algorithmique doit pouvoir être corrigée, pas seulement supprimée.
L'utilisateur doit pouvoir :
Il est préférable de modéliser la correction comme une couche de gouvernance : l'original peut être conservé lorsqu'il est nécessaire à l'audit, mais son statut, sa fiabilité et son usage futur doivent être explicitement contrôlables.
La suppression doit couvrir davantage que le fichier source.
Lorsqu'un utilisateur demande l'effacement d'un élément indexé, le système devrait proposer un mode clair couvrant, selon la politique choisie :
La charte doit être honnête sur les contraintes : une suppression dans une sauvegarde immuable n'est pas instantanée. Elle doit préciser le délai maximal de purge, le mécanisme appliqué, et le fait que les éléments supprimés sont exclus de toute réindexation ou réponse avant la purge complète.
L'application doit reconnaître que tous les souvenirs n'ont pas le même propriétaire ni la même sensibilité.
Elle doit permettre une séparation robuste entre, par exemple :
Cette séparation ne doit pas être seulement visuelle. Elle doit affecter les clés de chiffrement, les index, les droits d'accès, les politiques de rétention, les outils d'export et les agents autorisés à consulter chaque espace.
Le niveau de risque varie fortement selon qu'il s'agit d'un particulier, d'une association ou d'une entreprise. La charte reconnaît cette différence au lieu de prétendre qu'un même réglage suffit partout. Cette différence est intégrée sous la forme de trois profils gérés de façon distincte : Personnel, Professionnel, Public.
| Contexte | Risque principal | Principe recommandé |
|---|---|---|
| Particulier | Intimité, perte de contrôle, récupération de données par un proche, un employeur ou un attaquant | Contrôle individuel, chiffrement, espaces privés, suppression simple et export complet |
| Association | Conflits internes, exposition de membres vulnérables, confusion entre mémoire collective et données personnelles | Gouvernance collégiale, droits par rôle, consentement explicite, rétention limitée |
| Entreprise | Surveillance, asymétrie employeur-salarié, fuite de secrets, preuve ou traçabilité détournée | Finalités strictes, cloisonnement, audits, interdiction de l'évaluation automatisée des personnes |
Pour les organisations, les conditions de « constitution de l'espace mémoire » sont configurables à la création via un fichier YAML :
Une association peut légitimement conserver les procès-verbaux et décisions. Cela ne l'autorise pas à transformer les échanges privés des bénévoles en système de notation de l'engagement. Une entreprise peut indexer de la documentation projet. Cela ne justifie pas l'analyse silencieuse de toutes les messageries des salariés.
Une charte forte vit d'interdictions nettes et non négociables. Le fait que ces points réduisent certains marchés possibles ne doit jamais entrer en considération.
Nous ne développons pas, ne promouvons pas et ne normalisons pas l'usage de notre produit pour la surveillance clandestine, la répression, le harcèlement, le stalking, l'espionnage d'un proche, la collecte sans consentement d'informations privées, ou l'évaluation automatisée des personnes dans des contextes où elles subissent une forte asymétrie de pouvoir.
Cela se décline ainsi :
Le dernier point est particulièrement important pour un outil qui peut devenir un dépôt de mémoire à long terme : l'arrêt d'un abonnement ne doit jamais devenir une prise d'otage informationnelle.
Une application hypermnésique doit assumer que la mémoire change de sens avec le temps. Une note banale aujourd'hui peut devenir sensible cinq ans plus tard ; une ancienne erreur peut continuer à réapparaître dans les résultats ; un changement d'administrateur peut modifier radicalement le risque.
S'y ajoutent donc ces engagements :
Notre technologie renforce la mémoire de ses utilisateurs ; elle ne doit pas accroître leur dépendance, leur exposition ou leur surveillance.
Les données restent localement contrôlées, exportables, corrigeables et effaçables. Les sources, transformations et inférences restent distinguées et traçables.
Nous refusons le profilage caché, la vente de données, la publicité comportementale, la surveillance clandestine et l'évaluation automatisée des personnes.
Nous concevons pour le temps long : sécurité, réversibilité, portabilité, droit à l'oubli et continuité d'accès priment sur la captation et le verrouillage.
Nous considérons que la meilleure mémoire numérique est celle qui reste au service de l'autonomie, du discernement et de la dignité humaine.
La clé est de traduire ensuite chaque principe en mécanismes produits vérifiables : chiffrement, journal de provenance, politiques de rétention, séparation des espaces, contrôle d'accès, export complet, suppression dérivée, audit et configuration de gouvernance. Sans cette traduction, une charte d'éthique reste une déclaration d'intention ; avec elle, elle devient une architecture de confiance.