Le tour de table
Instinct, dont l'entité juridique est Spear Street Technology, a levé cette semaine un tour de série B de 250 millions de dollars, codirigé par Index Ventures et Benchmark, portant son financement total à 350 millions de dollars.
Le tour valorise l'entreprise à 2,5 milliards de dollars, contre une valorisation de 500 millions à peine quelques semaines plus tôt, pour une startup fondée en 2025 par Noah Shinn, 23 ans.
Ce qu'il peut toucher
Instinct se présente comme un agent personnel plutôt qu'un chatbot: les utilisateurs le connectent à leur e-mail, messagerie, calendrier, audio de l'appareil, localisation, écran et frappes clavier, puis lui écrivent ou l'appellent pour qu'il agisse.
Ses conditions d'utilisation accordent à l'entreprise une licence "perpétuelle et irrévocable" sur les contenus de l'utilisateur ainsi que l'autorité de conclure des accords, engagements ou transactions juridiquement contraignants pour l'utilisateur, sans étape d'approbation humaine prévue pour chacun.
Quatre défaillances, actées
Ce ne sont pas des risques hypothétiques construits par un critique; TechCrunch a documenté chacune des quatre défaillances ci-dessous, nom à l'appui.
| Testeur | Défaillance documentée |
|---|---|
| Peter Yang | Instinct a conservé ses données Gmail après qu'il a demandé la suppression de la connexion |
| Claire Vo | Instinct a continué à résumer sa boîte mail après la déconnexion, et avait stocké les résumés en texte clair |
| Katie Jacobs Stanton | Instinct a envoyé un e-mail en son nom sans lui demander son accord au préalable |
| Alex Cohen | A démontré qu'Instinct pouvait être hameçonné via des instructions glissées dans un e-mail, puis a supprimé son compte |
Quatre testeurs différents, quatre types de défaillance différents, une même cause profonde: un assistant doté d'un accès permanent et d'une autorité permanente ne demande pas la permission à chaque action.
La forme du contrat, en avance sur la loi
Une licence de données perpétuelle associée à une autorité permanente d'engager l'utilisateur n'est pas une bizarrerie de conception propre à une seule entreprise, elle devient la forme contractuelle par défaut des assistants agentiques qui arrivent sur le marché plus vite qu'aucune ligne directrice RGPD spécifique à cette catégorie de produit.
Le cadre européen de protection des données suppose un service qui traite les données sur demande. Instinct fonctionne avec un accès continu à la boîte mail, au calendrier, à l'écran et au microphone d'un utilisateur, et une autorité permanente pour agir comme son signataire, une combinaison que les lignes directrices actuelles n'avaient jamais anticipée.
Ce qu'il faut mettre par écrit avant d'accorder l'accès
Les quatre défaillances documentées d'Instinct servent de liste de contrôle pour tout dirigeant européen ou family office à qui l'on propose ce trimestre un assistant agentique de messagerie.
Exigez une garantie de suppression écrite et exécutoire qui prend effet immédiatement à la déconnexion, une exigence stricte d'approbation humaine avant tout message sortant ou action contraignante, la divulgation de tout stockage en texte clair de ce que l'assistant lit, et une défense documentée contre l'injection d'instructions via un e-mail entrant avant d'accorder tout accès aux identifiants ou au calendrier.
À lire ensuite: Google achète les données d'une compagnie en faillite | Generalist a 3 milliards, la troisième mise robot
