L’Union européenne envisage de pouvoir s’appuyer sur des systèmes d’intelligence artificielle pour mieux détecter et combattre les contenus pédopornographiques en ligne, ce qui provoque l’inquiétude d’experts en sécurité des systèmes informatiques qui alertent d’un risque de surveillance de masse.
Près de 200 scientifiques spécialisés en sécurité des systèmes informatiques provenant de 26 pays différents s’inquiètent de la prolongation d’une dérogation européenne visant à lutter contre la propagation de la pédopornographie en obligeant les services de messagerie à installer un logiciel de détection.
Le Child Sexual Abuse Regulation (CSAR) ou règlement sur les abus sexuels concernant les enfants, prolongé mardi dernier, prévoit d’introduire une architecture technique complexe appelée « client-side scanning » pour lutter contre la prolifération du matériel pédopornographique sur internet.
La dérogation UE, adoptée pour la première fois en 2021 et désormais prolongée jusqu’au 3 avril 2026, offre un cadre juridique à long terme pour la détection des activités sexuelles sur enfants en ligne jusqu’à ce qu’une nouvelle loi, actuellement sur la table du Conseil et du Parlement européen, soit votée.
Cette approche, qui n’a toujours pas été mise en œuvre concrètement, s’appuie sur des systèmes d’intelligence artificielle pour détecter les images, les vidéos et les discours contenant des abus sexuels sur des mineurs, ainsi que les tentatives de manipulation d’enfants.
96 % du contenu supprimé par YouTube est signalé par des technologies de détection automatisées
Toutes les plateformes numériques susceptibles d’être utilisées à des fins malveillantes – de Facebook à Telegram, Snapchat ou TikTok, en passant par les sites de jeux en ligne – devraient utiliser cette technologie pour détecter et signaler les traces de matériel pédopornographique sur leurs systèmes et dans les chats privés des utilisateurs.
L’UE justifie cette mesure en expliquant que la détection proactive des abus sexuels sur enfants est essentielle pour prévenir leur propagation car le signalement public ne sera jamais suffisant. En effet, près de 96 % du contenu supprimé par YouTube est signalé par des technologies de détection automatisées et, dans la plupart des cas, cela se produit avant que la vidéo n’atteigne 10 vues.
« Les mesures préventives, telles que l’alphabétisation numérique et l’évaluation et l’atténuation des risques, sont essentielles pour créer un environnement numérique sûr pour les enfants, mais ne suffiront pas à arrêter la prolifération des abus sexuels sur enfants en ligne. Le Child Sexual Abuse Regulation (CSAR) et la détection permettra aux forces de l’ordre de sauver des enfants et d’arrêter des délinquants chaque jour dans toute l’Europe », peut-on lire sur Eurochild, un groupe de travail sur la protection des enfants, financé par l’UE.
Bien qu’ils estiment que les abus et l’exploitation sexuels des enfants sont des crimes graves et qu’il est essentiel que les gouvernements, les prestataires de services et la société dans son ensemble assument une responsabilité majeure dans la lutte contre ces crimes, des scientifiques, dans une lettre ouverte adressée à la Commission européenne, indiquent que techniquement « cette nouvelle proposition compromet complètement la sécurité des communications et des systèmes ».
Cette dérogation « crée des capacités sans précédent de surveillance et de contrôle des utilisateurs d’Internet. Cela compromet la sécurité de l’avenir numérique de notre société et pourrait avoir d’énormes conséquences sur les processus démocratiques en Europe et au-delà », précisent-ils.
Beaucoup de fausses alertes
Les logiciels de détection peuvent être une bonne méthode pour retrouver les utilisateurs de matériel pédopornographique déjà identifié, déclare Jaap-Henk Hoepman, chercheur en informatique à l’université de Karstadt et co-auteur de la lettre, interrogé par le média hollandais NOS. « Mais le logiciel de détection doit être installé de manière à reconnaître les nouveaux contenus inconnus et pour ce faire, il faudra recourir à l’intelligence artificielle, une technologie qui n’est pas encore suffisamment développée, précise-t-il. On obtiendra beaucoup de fausses alertes. »
Ben van Mierlo, coordinateur national contre la pornographie infantile au sein de la police néerlandaise, également interrogé par NOS, partage les mêmes préoccupations : « un grand-père qui envoie une photo de son petit-fils dans la piscine sur le groupe familial, sera détecté par le logiciel qui transmettra un rapport à Interpol ou Europol. Et l’expéditeur ou le destinataire sera considéré comme suspect alors qu’il ne l’est pas. »
Cela nécessitera également beaucoup de main-d’œuvre. « Des milliards de messages devront être examinés », ajoute-t-il.
M. Van Mierlo précise que ce logiciel de détection ne fonctionnera que si la police a également accès aux messages. « Si le destinataire d’un contenu suspect reçoit simplement une notification indiquant que ce message ne peut pas être vu, la propagation sera stoppée. Mais nous avons besoin de preuves pour pouvoir arrêter un suspect », a‑t-il déclaré.
« Atteinte aux protections fondamentales de la vie privée »
Il en appelle également à la responsabilité des entreprises derrière les services de messagerie. « Les entreprises comme Meta doivent prendre leurs responsabilités en alertant les autorités chargées de l’enquête et en transmettant des données personnelles dans le cadre d’activités criminelles. Elles disent que cela n’est pas techniquement possible, mais nous en doutons », explique-t-il.
La police essaie d’accéder aux messages chiffrés depuis presque aussi longtemps qu’ils existent, ce à quoi les experts en protection de la vie privée s’opposent avec véhémence, dont M. Hoepman : « La vie privée est un grand atout. La police ne peut pas consulter la correspondance cryptée, mais elle dispose de beaucoup de métadonnées : qui communique avec qui et quand, elle dispose des données de localisation de dix millions de Néerlandais. Elle peut analyser tout cela. »
En février dernier, Apple a mis en garde contre une proposition australienne similaire visant à forcer les entreprises de la tech à analyser les services de cloud et de messagerie à la recherche de matériel pédopornographique. Selon la multinationale, ce procédé risque de « porter atteinte aux protections fondamentales de la vie privée et de la sécurité et peut conduire à une surveillance de masse avec des répercussions mondiales ».
