L'UE prolonge jusqu'en avril 2028 les règles provisoires de "chat control", permettant aux plateformes de traquer volontairement les contenus pédosexuels
Le 23 juillet, les gouvernements de l'UE ont confirmé le régime transitoire de "chat control", valable jusqu'au 3 avril 2028, qui permet aux plateformes de rechercher volontairement du matériel d'abus sexuel sur enfants (CSAM). La mesure a été approuvée par procédure écrite, avec 25 voix pour, une contre et une abstention.
PUBLICITÉ
PUBLICITÉ
Le texte est conforme à la version adoptée par les eurodéputés le 9 juillet et exclut les services chiffrés de bout en bout comme WhatsApp et Signal. Cette décision pèse désormais sur la grande bataille, encore ouverte, autour d'une loi permanente qui pourrait imposer ces analyses.
La solution de la Commission
La Commission a présenté, le 11 mai 2022, son projet de règlement sur la prévention et la lutte contre les abus sexuels sur enfants, surnommé "Chat Control 2.0". Il s'appliquerait dans toute l'UE, quel que soit le pays d'implantation des entreprises, en remplacement d'une loi temporaire plus limitée adoptée en 2021, qui autorise les plateformes à scanner volontairement les contenus sur la base d'une dérogation aux règles d'ePrivacy, prolongée à plusieurs reprises et désormais en vigueur jusqu'au 3 avril 2028. La proposition prévoit également la création d'un nouveau Centre européen pour la lutte contre les abus sexuels sur enfants, chargé de coordonner les technologies de détection et de transmettre les cas confirmés à Europol et aux services de police nationaux.
L'argument principal de la Commission repose sur l'ampleur du phénomène. Une note d'information du Parlement européen fait état de plus de 20,5 millions de cas présumés de CSAM pour la seule année 2024. Europol alerte sur le fait que les contenus d'abus sont de plus en plus partagés sur les grandes plateformes généralistes, les auteurs profitant du chiffrement et de l'anonymat. Les partisans de la réforme estiment que les signalements volontaires sont trop fragmentés pour permettre de traiter efficacement le problème.
Ce cadrage se heurte à des critiques qui rejettent la protection de l'enfance comme simple prétexte, une accusation que les défenseurs de la mesure balayent. "Certains, au sein même de l'institution, affirment que chaque fois que nous parlons de protection des enfants en ligne, il ne s'agit que d'un faux prétexte", a déclaré Lena Düpont, eurodéputée du Parti populaire européen, sur le podcast du PPE "EU Decoded".
"Je suis d'accord pour dire que ce ne peut pas être le seul outil que nous utilisons pour protéger les enfants, mais c'est l'un des plus importants dont nous disposons, en particulier pour poursuivre les crimes horribles liés au fait que des enfants sont agressés ou abusés en ligne. Nous ne devons jamais nous laisser diviser sur la meilleure façon de protéger nos enfants."
Comment fonctionneraient les ordonnances de détection
Plutôt que de procéder à un scan par défaut, les fournisseurs devraient d'abord évaluer le risque de mauvaise utilisation de leurs plateformes et mettre en œuvre des mesures d'atténuation. Si une autorité nationale estime qu'un risque significatif subsiste, elle peut saisir un tribunal ou un organisme indépendant pour qu'il rende une "ordonnance de détection" ciblée, limitée dans le temps et proportionnée.
Les contenus illégaux déjà connus seraient repérés grâce au "hashing", tandis que les nouveaux contenus et les conversations de prédation sexuelle seraient identifiés au moyen de systèmes de reconnaissance de motifs par l'IA, jugés moins fiables, avec une vérification humaine à la clé. Pour se conformer, les plateformes pourraient devoir mettre en place des systèmes automatisés de reconnaissance de contenus, de nouveaux processus de signalement et des dispositifs de vérification de l'âge. Pour les applications chiffrées, l'exigence la plus controversée reste le "client-side scanning", une analyse des contenus directement sur l'appareil avant chiffrement.
Le "chat control" est-il une surveillance de masse ?
Les organisations de défense des droits numériques soutiennent qu'une ordonnance présentée comme "ciblée" se transforme de facto en surveillance de masse dès lors qu'une infrastructure de scan est déployée sur l'ensemble d'une plateforme. Les autorités européennes de protection de la vie privée avertissent que la proposition pourrait permettre un scan large et indiscriminé des communications ordinaires, en contradiction avec les garanties du droit à la vie privée inscrites dans la Charte des droits fondamentaux de l'UE.
Patrick Breyer, militant des droits numériques, juriste et ancien eurodéputé des Verts/Alliance libre européenne, estime que les responsables politiques accordent une confiance excessive à la fiabilité de ces technologies. "Ils pensent qu'une empreinte de hash permet de déterminer exactement ce qui est légal ou illégal", explique-t-il. "Mais même si 90 % des signalements proviennent du hashage et concernent des contenus déjà connus, nous avons reçu cette semaine, en Allemagne, des chiffres indiquant que plus de 50 % de ces signalements ne sont en réalité pas pénalement pertinents."
La raison, poursuit-il, est que l'inscription dans une base de données n'équivaut pas à un crime : le contenu peut ne jamais avoir été correctement évalué au regard du droit pénal européen, et ces bases ne disent rien de l'intention.
"Même le scan par empreinte, pourtant la méthode la moins sujette aux erreurs, entraîne un taux très élevé de faux positifs qui incriminent à tort des personnes", ajoute-t-il. "Chez les mineurs, il est très courant qu'ils partagent entre eux des contenus qu'ils ont eux-mêmes générés, ou qu'ils trouvent quelque chose drôle ; cela fait simplement partie de l'adolescence."
Les critiques estiment que l'analyse des messages sur l'appareil, avant chiffrement, revient à vider de son sens le chiffrement de bout en bout. Des organisations comme l'Electronic Frontier Foundation préviennent que le "client-side scanning" crée une couche d'inspection permanente.
Celle-ci pourrait être réutilisée ou étendue, faisant peser des risques sur les journalistes, les lanceurs d'alerte et poussant des services comme Signal à se retirer du marché. La comparaison des empreintes suppose également un accès au contenu des messages, ce qui complique son application sur des flux chiffrés sans déplacer le point de contrôle vers l'appareil lui-même.
Breyer estime que le débat passe sous silence des alternatives. "Ce que propose le Parlement européen, ce sont des enquêtes ciblées dans les communications privées, mais aussi une recherche proactive et systématique sur l'internet ouvert et le dark net de contenus illégaux connus, qui sont ensuite signalés aux fournisseurs pour être retirés", explique-t-il. "Cette approche est utilisée avec succès au Royaume-Uni et au Canada, mais pas encore en Europe."
Il insiste également sur la sécurité dès la conception : "Les applications devraient avertir les utilisateurs avant qu'ils ne partagent des données personnelles comme leur numéro de téléphone, car cela fait souvent partie des stratégies de prédation. Nous voulons que les utilisateurs soient avertis avant d'envoyer des contenus de nudité. Tout cela peut être fait sur l'appareil sans partager le contenu chiffré avec le fournisseur."
Breyer souligne qu'une surveillance ciblée, autorisée par un tribunal, d'une personne soupçonnée est une chose ; scanner par défaut tout le monde en est une autre. "La surveillance se justifie lorsqu'une personne est suspecte, qu'il existe des éléments raisonnables laissant penser qu'elle est impliquée, et qu'un tribunal indépendant confirme qu'il est légitime d'intercepter ses communications", dit-il.
"Mais ouvrir le courrier de tout le monde juste au cas où, cela n'a tout simplement pas de précédent." Cette distinction, plaide-t-il, est ce qui fait la différence entre une loi acceptable et une loi qui ne l'est pas : "Le chat control signifie réellement une surveillance de masse et un scan indiscriminé de tous les échanges, en bloc, sans aucun ciblage. Cela ne peut jamais être justifié. En revanche, dès lors que l'on s'en tient à des enquêtes ciblées sous contrôle judiciaire, cela devient non seulement acceptable, mais constitue un progrès, surtout si c'est combiné avec une recherche proactive et une sécurité pensée dès la conception."
"Les outils existants sont insuffisants"
Les défenseurs du projet soutiennent que le système actuel repose sur des scans volontaires, que les entreprises pourraient interrompre à tout moment, privant soudainement les forces de l'ordre de signaux essentiels. Europol a indiqué qu'un vide juridique réduirait considérablement les signalements envoyés aux lignes d'aide pour la protection de l'enfance et à la police.
Pour ces partisans, l'enjeu est de remplacer un dispositif improvisé par des règles harmonisées à l'échelle de l'UE, assorties d'une autorisation judiciaire et de limites définies, tout en reconnaissant que toute loi finale devra comporter des garanties plus fortes que les premières versions. Même de nombreux critiques s'accordent sur ce principe : la plupart soutiennent un renforcement de la protection de l'enfance, à condition que les mesures ciblent des suspects précis plutôt que de scanner tout le monde par défaut.
Où en est le débat aujourd'hui
Les progrès de la proposition ont été lents au sein des institutions de l'UE. Le Parlement a adopté sa position en novembre 2023, en restreignant la portée du texte et en ajoutant des garde-fous, dont une tentative d'exclure les communications chiffrées de bout en bout des ordonnances de détection, ce qui reste une question majeure pour de nombreux eurodéputés. Le Conseil est parvenu à une position commune en novembre 2025, mais s'est montré plus divisé, et les négociations en trilogue se poursuivent en 2026.
La loi temporaire autorisant le scan volontaire est elle aussi devenue un sujet de discorde. L'UE a brièvement manqué l'échéance pour la prolonger début 2026, avant de repousser finalement son expiration à avril 2028.
Pour défendre cette prolongation, Tomas Tobé, eurodéputé et vice-président du groupe PPE, a écrit sur X : "Chaque contenu d'abus sexuel sur enfant qui n'est pas détecté représente une victime qui ne sera jamais entendue et un agresseur qui ne sera jamais traduit en justice. C'est pourquoi le règlement provisoire est nécessaire pour combler le vide juridique inacceptable que nous avons actuellement."
Ce qui est vraiment en jeu
"Cela crée un précédent", affirme Breyer. "Est-on autorisé à pénétrer dans des espaces privés juste au cas où, pour les surveiller, au cas où quelque chose d'illégal s'y produirait ? On pourrait appliquer cette logique à la poste, lui demander d'ouvrir et de scanner tous les courriers. On pourrait installer des dispositifs dans les domiciles privés pour scanner ce qui s'y passe. C'est une pente très glissante." Il estime que les victimes, les lanceurs d'alerte et les enfants sont ceux qui ont le plus à perdre si ces espaces protégés disparaissent.
"Tous les droits, toutes les libertés sont abusés par certains", poursuit-il. "Mais nous devons regarder le bénéfice net. Je suis convaincu que le bénéfice global de l'existence de ces espaces et de ces droits est bien plus important, que nous avons beaucoup plus à y gagner qu'à y perdre en les conservant."