Chat Control !
Voilà le mot est lâché. (Presque)
tout le monde en parle actuellement en plus ou moins bonne connaissance et
malheureusement en mélangeant certaines notions ou textes dont on a parlé
récemment.
Tout d'abord d'où vient le terme « Chat
control » ?
Bon, c'est un peu compliqué,
alors en 2022 il a été surnommé « Chat Control » par un eurodéputé du
nom de Patrick Breyer et popularisé par des opposants, surtout allemands et
autrichiens pour dénoncer la surveillance généralisée des messageries
chiffrées.
Alors , de quoi parle ce texte ?
Ce document du Conseil de l'Union
européenne (10131/25) daté du 01 juillet 2025 présente une série de compromis
pour une réglementation qui viserait à prévenir et combattre l'abus sexuel des
enfants, en ligne.
Ces abus sont définis comme suit :
🔸 CSAM:
Child Sexual Abuse Material. En français : « matériel pédopornographique »
déjà produit et qui circule en ligne ou
ailleurs (images, vidéos, textes exploitant sexuellement des enfants).
🔸 Grooming
: un adulte entre en contact avec un enfant (réseaux sociaux ou jeux en ligne)
et gagne sa confiance petit à petit dans le but de l’’amener à envoyer des
photos intimes, à rencontrer en vrai, ou à accepter des abus.
Comme tout règlement européen il a vocation à harmoniser les différentes
procédures entre les 27 pays (et donc 27 réglementations).
Pour se faire il se propose
d'agir des deux côtés:
- côté utilisateur
- côté fournisseurs de services numériques
Mais avant d'aller plus loin il
faut introduire un nouvel acteur qui sera important dans cet article, c'est le Centre de l'UE.
Son rôle sera de fournir (entre
autre car je n’ai pas tout détailé ici) un soutien technique, une expertise et
de coordonner les différentes parties.
Il sera en outre le détenteur
d'une base de données de fichiers déjà connus (comme un IOC en cas d’attaque d’origine
cyber) comme étant incriminants,
et il sera donc chargé de maintenir cette base à jour afin que chaque remontée
de fichiers suspects soit comparée avec celle-ci.
Chaque État membre doit désigner au moins une autorité compétente et une
"Autorité Coordonnatrice" qui agira comme "point de contact
unique" pour toutes les questions liées à l'application du règlement.
Loi ou règlement ?
Ce texte est un règlement ou plus précisément, il s'agit d'une Proposition de Règlement du Parlement européen et du
Conseil.
Il est contraignant dans son intégralité et directement applicable dans
tous les États membres.
Cela
signifie qu'une fois adopté et entré en vigueur, il s'appliquera tel quel dans
le droit national de chaque État membre, sans nécessiter de mesures de
transposition supplémentaires.
Il impose donc un certain nombre
d’actions mais il n’indique pas comment les mettre en place. Et c’est là où les
spéculations vont bon train.
Protection des Données et Droits des Utilisateurs
Des mesures de confidentialité et
de minimisation des données permettant la vérification et l'évaluation de l'âge,
doivent préserver la vie privée en respectant les principes relatifs au
traitement des données personnelles.
Le délai de conservation de ces
données ne doit pas être plus long que nécessaire
Voyons tout d'abord le côté fournisseur de service numérique.
On en parle peu, voire pas du tout, tant
il est balayé par la polémique autour du côté utilisateur.
Ce réglement veut établir des
obligations pour les différents fournisseurs de services numériques.
Sous ce terme assez large on
trouve les messageries classiques Gmail, Yahoo…, les messageries
chiffrées, les moyens d'échange interpersonnel comprenez par là les systèmes de
chat y compris ceux qui sont intégrés à différentes plateformes comme les jeux
en ligne par exemple.
Cela inclut également le stockage
en ligne et tout ce qui peut contribuer à échanger de manière discrète comme
par exemple l'utilisation d'un VPN ou encore les moteurs de recherche.
🔸 Évaluation et atténuation des risques : chaque fournisseur de
service numérique doit identifier analyser et évaluer le risque qui est
fait par l'utilisation de son service à des fins d'abus sexuel d'enfants en
ligne. Selon un certain nombre de critères il devra les évaluer en faible,
moyen ou élevé.
🔸 Cette identification se limite pour l'instant aux contenus visuels et
aux URL
🔸 Obligation
de prendre toutes les mesures raisonnables pour en atténuer les effets.
🔸 Obligation de signaler rapidement au Centre toute détection faite.
🔸 Obligation de le signaler également à l'utilisateur concerné sauf
lorsqu'une enquête de judiciaire pourrait être compromise.
🔸 Suppression et/ou blocage des services hébergeant ce type de contenu,
et déréférencement de la part des moteurs de recherche.
🔸 Détection y compris dans les communications chiffrées (un des points qui
fait bondir plus d'un et qui entre en contradiction avec l'un des
articles qui stipulent qu'on ne doit en aucun cas contourner ou affaiblir le
chiffrement ! )
🔸 Utilisation uniquement des technologies validées,approuvées
et ordonnées par le Centre.
🔸 Engagements de leur
responsabilité uniquement sur leur bonne foi dans l'exécution de leurs
obligations. En d'autres termes, pas de responsabilité pénale si le fournisseur
a pris toutes les dispositions qui lui ont été demandés.
🔸 Obligation de préserver les données aussi longtemps que cela est nécessaire
dans le cadre d’une enquête.
Coté Utilisateur
Ce côté est plus obscur car le
texte ne mentionne pas comment doit se mettre en place sur le PC,
téléphone ou pour d'autres objets, cette récupération d'information.
Afin de ne pas affaiblir le
chiffrement ou le contourner (ce qui a été catégoriquement refusé jusqu'à
l'heure par différents pays y compris la France) il est proposé de détecter la
diffusion de ces fichiers suspects ou tout acte comopromettant avant l'envoi de
ceux-ci sur le réseau (le Client-side Scanning).
C'est une technologie qui "inspecte le contenu avant qu'il ne soit chiffré"
sur l'appareil de l'utilisateur et qui compare le résultat à une base
de données "d’indicateurs d’abus sexuels sur enfants en ligne" (mise à
jour par le Centre de l'UE dont je parlais un peu plus haut).
.
Il est précisé que tout ceci doit
se faire avec le consentement de l'utilisateur. En cas de refus de celui-ci, le
fournisseur est tenu de limiter les fonctionnalités de service pour empêcher la
transmission des différents contenus visuels et les URL.
Important : Ces dispositions
ne s'appliquent pas aux comptes utilisés par l'État à des fins de
sécurité nationale, de maintien de l'ordre ou à des fins militaires.
Bon ! Tout va bien alors !
Et bien non pas exactement
! (ce qui suit est mon analyse personnelle)
Ce texte soulève bien
évidemment des questions sur la protection de la vie privée.
C'est tout d'abord une atteinte
aux droit fondamentaux :
🔸 Le respect de la vie privée
🔸 La garantie de la liberté d'expression
et l'information (on entend par là des professions telles que les journalistes,
avocats, médecins etc)
🔸 La protection des données
personnelles
Et dans une moindre mesure,
une certaine main mise sur les différents acteurs technologiques contraints à
se soumettre à cette réglementation et par conséquent aux différentes exigences
techniques.
C'est un sujet qui a été débattu y compris chez nous à l'Assemblée, les risques
liés au chiffrement et par conséquent à la cybersécurité. Bien que le texte
mentionne que ce chiffrement ne doit être ni affaibli ou contourné on est tout
de même en droit de se poser certaines questions quand à l'application de cette
procédure.
Cela n'aura échappé à personne le
fait de mettre un dispositif, quel qu'il soit, permettant de récupérer une
information, pourra ou sera, tôt ou tard, utilisé par des personnes, des
groupes, voire même des états en dehors du but pour lequel il a été construit.
Lorsqu'on parle d'algorithmes qui vont analyser les différents contenus, on
pense bien évidemment à l'utilisation de l'intelligence artificielle.
A ce jour les IA génèrent
régulièrement des faux positifs avec des scores plus ou moins élevés dans ce qu'on
leur demande de détecter (attention d'ailleurs à ce qui circule sur les réseaux
à savoir 80 % de détections erronées cela ne concerne qu' un type de détection
spécifique liés à la cybersécurité).
Un autre risque que j'entrevois
c'est la diffusion d'une information erronée telle qu'elle est prévue à être
exécuté par le fournisseur d'accès à un utilisateur, ce qui pourrait
contraindre celui-ci à se retrouver soit victime d'un mauvais signalement ou au
contraire le transformer en justicier auto- proclamé !
Tout ceci s'apparente bien
évidemment à une surveillance de masse.
Aujourd'hui ce dispositif se focalise sur la défense des enfants abusé
sexuellement en ligne et par conséquent dans la vie réelle.
Très bien !
Mais une fois ce dispositif en
place, quelles sont les garanties que ce systéme ne serait pas utilisé à
d'autres fins de surveillance pour voir par exemple nos opinions politiques,
nos opinions religieuses etc, tout ceci
sous couvert d'actions contre le terrorisme par ex?
Et on peut imaginer qu’il y a
d'autres cas d'usage.