La confidentialité par l'architecture
Pour du travail qui ne peut pas aller dans un compte de chat cloud — dossiers clients, données patients, matériel source, résultats financiers non publiés, ou tout ce qui est sous NDA. Conduit garde les conversations dans une base de données locale, ne détient aucun compte à vous, et ne fait pas tourner de télémétrie en arrière-plan. Ce n'est pas une certification de conformité ; c'est une application construite pour qu'il y ait moins à certifier au départ.
Le problème
« On ne met pas de dossiers clients dans ChatGPT » est une politique dans beaucoup de cabinets, et c'est une politique raisonnable — un compte de chat hébergé, c'est le serveur de quelqu'un d'autre, sa fenêtre de rétention à lui, et ses petites lignes sur les données d'entraînement. La solution habituelle est de simplement ne pas utiliser l'IA pour ce travail-là, ce qui veut dire que les personnes avec les dossiers les plus sensibles reçoivent le moins d'aide de tout cela.
Ce qui le rend privé
Chaque ligne ci-dessous est un choix de conception précis et vérifiable — pas une promesse d'intentions.
Les identifiants, le client réseau et la base de données vivent tous dans un core Rust séparé. L'écran dans lequel vous tapez peut demander une complétion et rien d'autre — il n'a aucun moyen de lire une clé ou d'ouvrir une connexion, et c'est imposé par la façon dont l'application est construite, pas un réglage que vous pourriez désactiver.
Conversations, documents et artefacts se trouvent dans une base SQLite locale et un blob store. Il n'y a ni compte ni serveur Conduit vers lequel synchroniser quoi que ce soit — et aucune télémétrie ni analytics tournant dans l'application.
Le mode local uniquement refuse les fournisseurs cloud et désactive la recherche web, l'indexation cloud de documents et l'accès réseau des pages d'un seul interrupteur. Associez-le à un modèle local dans Ollama ou LM Studio et désactivez les vérifications de mise à jour, et Conduit ne fait plus aucune requête internet — il tournera même câble réseau débranché.
Comment ça marche
Rien de tout cela ne nécessite un fichier de configuration ou une ligne de commande.
Il est déjà activé pour une installation neuve ; choisir un fournisseur cloud pendant la configuration le désactive. Réactivez-le dans Settings → Privacy & data : les fournisseurs cloud sont refusés, et la recherche web, l'indexation cloud et l'accès réseau des pages se désactivent.
Installez Ollama ou LM Studio, choisissez un modèle, et ajoutez-le dans Conduit sans clé et sans facture. Si vous avez encore besoin d'un modèle de pointe pour certaines tâches, ajoutez cette clé plus tard et désactivez le mode local uniquement quand vous y passez — tant qu'il est actif, un fournisseur cloud est refusé.
Les vérifications sont déjà manuelles par défaut. Laissez la politique de mise à jour sur manual et rien n'est contacté à moins que vous ne cliquiez sur Vérifier maintenant — la dernière exigence pour une machine sans aucune route vers internet.
Chaque flux, pas une promesse vague
Voici la version courte de cinq des flux que l'application peut faire. La page confidentialité a le tableau complet, y compris MCP et les diagnostics.
| Flux | Va vers | Par défaut |
|---|---|---|
| Messages de chat et pièces jointes | Le fournisseur choisi pour ce chat | Nécessite un fournisseur — reste sur votre machine avec Ollama ou LM Studio |
| Embedding de documents | OpenAI, Gemini ou OpenRouter — Ollama reste on-device | Inerte tant que vous ne créez pas de collection ; demande par fournisseur, impose Ollama en mode local uniquement |
| Requête de recherche web | La recherche propre à Anthropic/OpenAI/Gemini/OpenRouter, ou Exa (par défaut), Tavily, Brave, votre SearXNG ou DuckDuckGo | Désactivée par défaut ; entièrement désactivée en mode local uniquement |
| Vérification de mise à jour | L'hôte du manifeste de mise à jour, puis un asset de release GitHub | Manuelle — rien n'est contacté avant que vous ne cliquiez sur Vérifier maintenant |
| Export de diagnostics | Nulle part — écrit dans un fichier local, chemin utilisateur expurgé | Seulement quand vous en demandez un |
Tout ce que vous envoyez à un fournisseur cloud est couvert par la politique propre de ce fournisseur — Conduit n'est pas dans l'échange, mais cela veut aussi dire qu'il ne peut pas vous en protéger. Ce site web, pas l'application, utilise Google Analytics ; voir la page confidentialité pour cette distinction.
Limites
Il est local d'abord et privé par architecture, pas certifié confidentialité. Les conversations vivent dans une base SQLite locale sur votre machine, il n'y a ni compte ni serveur Conduit, et la couche d'interface ne détient jamais de clé API — un core Rust séparé s'en charge. Il n'y a ni télémétrie en arrière-plan ni analytics dans l'application. Mais tout ce que vous envoyez à un fournisseur de modèle cloud est couvert par la politique propre de ce fournisseur, pas par celle de Conduit ; Conduit n'est pas au milieu de cet échange, mais ce n'est pas non plus un substitut à cette politique.
Oui. Choisissez un modèle local dans Ollama ou LM Studio, activez le mode local uniquement, et laissez les vérifications de mise à jour sur manuel, le réglage par défaut. Le mode local uniquement refuse les fournisseurs cloud purement et simplement — même un fournisseur choisi par erreur ne peut pas répondre — et désactive la recherche web, l'indexation cloud de documents et l'accès réseau des pages. Avec ces trois réglages, Conduit ne fait plus aucune requête internet.
Non. Il n'y a ni télémétrie en arrière-plan ni analytics tournant dans l'application, et aucune remontée d'usage vers nous ou quiconque d'autre. Les vérifications de mise à jour sont manuelles par défaut — rien n'est contacté avant que vous ne cliquiez sur Vérifier maintenant — et tout payload de mise à jour est vérifié par signature avant d'être appliqué. La page confidentialité liste chaque flux réseau que l'application peut faire et son réglage par défaut.
De façon optionnelle, et c'est désactivé par défaut. L'activer dans Settings applique AES-256-GCM avec la clé enveloppée par votre trousseau OS, et cela couvre les blobs de pièces jointes et d'artefacts, les passages de documents, la mémoire enregistrée, les prompts enregistrés, les instructions personnalisées et les résultats d'outils. Cela ne couvre pas encore le texte des messages, le journal d'événements, les résumés de compaction ou l'index de recherche — le réglage désactivé, tout cela est du SQLite en clair sur disque, comme n'importe quelle base locale.
Conduit n'est certifié ni HIPAA, ni RGPD, ni SOC 2, et aucune page marketing d'éditeur logiciel ne peut vous rendre conforme à elle seule — c'est un programme que votre organisation fait tourner, pas une case à cocher dans une application. Ce que Conduit peut honnêtement affirmer, c'est qu'il est construit pour garder les données hors des serveurs tiers par défaut — aucun compte Conduit, stockage local, et un modèle local quand vous avez besoin que rien ne quitte la machine. Savoir si cela suffit à vos obligations est une question pour qui possède la conformité là où vous travaillez.
Seulement si vous choisissez un modèle d'embedding local. Ajouter un fichier à une collection de documents est entièrement on-device avec Ollama ; avec OpenAI, Gemini ou OpenRouter, le texte intégral du document est envoyé une fois à ce fournisseur pour construire l'index, après votre consentement fournisseur par fournisseur. Le mode local uniquement impose Ollama et refuse les options cloud. Comment fonctionne le chat avec vos documents couvre le reste.
À lire aussi
Ollama, LM Studio, ou votre propre serveur — aucune clé, aucune facture, aucun internet.
Faire tourner des modèles en local Pour les fichiers confidentielsPDF, Word, CSV, Markdown et texte, analysés sur votre machine, avec passages cités.
Discuter avec vos documents Pour les développeurs soucieux de sécuritéServeurs locaux et distants, contrôle du consentement, et expurgation de la sortie à chaque appel d'outil.
Conduit comme client MCPGratuit et open source. Aucun compte, aucune télémétrie, et un interrupteur pour le passer entièrement hors ligne.
Une release candidate : les installateurs ne sont pas encore signés au niveau OS, attendez-vous donc à un avertissement SmartScreen ou Gatekeeper au premier lancement.