Ce texte restitue la prise de parole d’un membre de La Quadrature du Net à l’occasion d’un colloque organisé par la CNCTR, la Commission nationale de contrôle des techniques de renseignement, à Paris le 14 octobre 2024.

Ces dernières années, les services de renseignement français ont connu une croissante constante et continue de leurs pouvoirs, qu’il s’agisse des ressources budgétaires et humaines dont ils disposent que des prérogatives juridiques dont ils bénéficient. Or, l’enjeu du contrôle démocratique du renseignement – historiquement faible dans ces matières relevant de la raison d’État, et ce particulièrement en France – est largement resté secondaire. Il n’est donc pas surprenant de constater la permanence de véritables « trous noirs » dans le dispositif institutionnel français.

Opacité

Avant d’en venir à ces trous noirs, le premier point qu’il nous faut aborder à trait l’opacité des politiques publiques du renseignement, et la façon dont ce manque de transparence empêche une organisation comme La Quadrature du Net de cultiver une expertise sur le renseignement, et donc de porter une critique correctement informée, et donc perçue comme légitime. Si c’est à l’honneur des deux présidents de la CNCTR que d’avoir accepté, à l’occasion, de nous rencontrer, que dire des silences assourdissants que des parlementaires de la Délégation parlementaire au renseignement, des services eux-mêmes, ont opposé à nos demandes répétées de rendez-vous et d’échange ?

Ce colloque – le premier du genre – est certes bienvenu. Mais il ne permet pas de remédier à l’opacité systémique du champ du renseignement, la manière dont il maintient sciemment tout critique externe à distance, qu’il s’agisse de celle nourrie par des journalistes d’investigation ou de groupes militants attachés à la défense des droits humains. Alors que dans l’histoire du renseignement, en France et dans d’autres pays, c’est presque toujours cette critique externe qui semble avoir permise de remédier aux abus les plus graves, de documenter les illégalités en matière de surveillance, et ce bien sûr en lien avec leurs sources et autres lanceurs d’alerte issus le plus souvent des services.

Cette critique externe ne joue pas seulement un rôle crucial dans le cadre des controverses qui, régulièrement, se nouent autour des servies de renseignement. Elle est aussi nécessaire au travail des organes de contrôle institutionnalisés, ne serait-ce que pour leur permettre d’entendre un autre son de cloche, d’autoriser une forme de pluralisme dans ces matières, et faire en sorte que ces organes puissent être exposés à un autre d’autres points de vue. Cela est de nature à éviter que ces organes ne deviennent inféodés aux services qu’ils sont censés contrôler.

De fait, en dehors des quelques informations ayant filtré via des journalistes, et outre les rares allusions faites par les responsables du renseignement lors d’auditions parlementaires ou par la CNCTR, aucune information officielle n’est fournie en France quant à la nature et le coût des technologies de surveillance déployées par les services pour collecter, stocker et analyser les communications et autres données numériques. L’enjeu de leur imbrication dans les processus de production du renseignement, la nature des marchés publics et l’identité des sous-traitants privés, et même les interprétations juridiques ayant cours au sein des services quant à l’utilisation de ces système, restent également marqués par une grande opacité.

Pour finir, rappelons que cette opacité est d’autant plus illégitime, d’autant plus dangereuse, que depuis la dernière publication de la stratégie nationale du renseignement en 2019, et grâce aux rapports de la CNCTR depuis lors, on sait que l’activité des services dans les matières les plus sensibles sur le plan démocratique – je pense à la surveillance des mouvements sociaux —, sont en forte recrudescence. C’est notamment le cas s’agissant de groupes militants non seulement légitimes en démocratie mais nécessaires pour sortir nos sociétés de leur immobilisme face à la crise sociale et écologique.

Techniques

Outre cette opacité systémique, le droit du renseignement français reste marqué par de véritables trous noirs dans le contrôle de certaines modalités de collecte ou d’analyse des données. Passons donc en revue certaines des plus graves lacune du cadre juridique français.

Le plus significatif reside sans aucun doute dans l’absence de contrôle des échanges de données avec des services de renseignement étrangers. Depuis plusieurs années, la CNCTR demande de pouvoir contrôler le partage de données entre services français et services étrangers. En France, la question est d’autant plus pressante que les flux de données échangés entre la DGSE et la NSA ont connu une augmentation rapide suite à la conclusion des accords SPINS, signés fin 2015.
Or, la loi française exclut explicitement tout contrôle de la CNCTR sur ces collaborations internationales nourries par des services jouissant d’une forte autonomie.

Dans son rapport annuel publié en 2019, la CNCTR admettait que ce trou noir dans le contrôle du renseignement présentait un risque majeur, puisqu’il pourrait permettre aux services français de recevoir de leurs homologues des données qu’ils n’auraient pas pu se procurer légalement au travers des procédures définies dans la loi française. Dans le langage feutré qui la caractérise, la commission estimait qu’« une réflexion devait être menée sur l’encadrement légal des échanges de données entre les services de renseignement français et leurs partenaires étrangers ».

La CEDH a rappelé dans son arrêt Big Brother Watch du 25 mai 2021 que ces échanges devaient être encadrés par le droit national et soumis au contrôle d’une autorité indépendante (§ 362). Pourtant, à ce jour, la France est le dernier État membre de l’Union européenne à ne disposer d’aucun cadre juridique pour encadrer ces échanges internationaux.

Un autre de ces trous noirs est bien sûr l’immunité pénale liée à l’article 323-8 du code pénal et l’absence de tout encadrement législatif des activités de piratage informatique menées par les services français sur des équipements situés hors des frontières nationales. Cette absence d’encadrement conduit à ce que de telles activités soient de facto illégales, tandis que l’immunité pénale apparaît contraire à l’article 32(b) de la convention de Budapest sur la cybercriminalité. ce serait en l’état du droit parfaitement illégal.

Autre forme de surveillance non couverte par la loi et donc tout aussi illégale : la surveillance dite « en source ouverte » (OSINT), notamment sur les réseaux sociaux comme Facebook ou X – une activité sur laquelle peu de choses ont fuité dans la presse mais dont on sait qu’elle a pris une importance croissante ces dix dernières années. L’achat de données aux data brokers n’est pas non plus régulé en droit français. Or cette activité qui a fait la controverse aux États-Unis, n’est pas non plus régulé en droit français, alors que rien ne permet de penser qu’elle ne soit pas aussi coutumière pour les services français.

Droits et garanties

Le droit français présente également d’énormes lacunes du point de vue des droits apportés aux personnes surveillées.

Le droit à l’information tout d’abord. Il s’agit-là d’un principe essentiel dégagé par la jurisprudence européenne : les personnes ayant fait l’objet d’une mesure de surveillance secrète doivent pouvoir en être informées, dès lors qu’une telle information n’est plus susceptible d’entraver l’enquête menée à leur encontre par les services. Dès son rapport publié en janvier 2018, la CNCTR passait en revue la jurisprudence afférente et mentionnait plusieurs exemples de législations étrangères – la loi allemande notamment – garantissant une procédure de notification des personnes surveillées, prévoyant un certain nombre d’exceptions étroitement limitées.

Il y a enfin l’absence de pouvoirs octroyés à la CNCTR pour tenir en échec des formes de surveillance illégale, et notamment l’absence d’avis conforme. Le Conseil d’État rappelait pourtant dans son arrêt du 21 avril 2021 relatif à la conservation généralisée des données de connexion que ce dernier était une exigence du point de vue du droit de l’Union européenne. Dans cette décision qui donnait largement gain de cause au gouvernement, le Conseil d’État se fondait sur l’arrêt La Quadrature du Net de la CJUE, en date d’octobre 2020, pour exiger que les avis rendus par la CNCTR sur les mesures de surveillance soient « conformes » (c’est-à-dire impératifs pour le gouvernement) et non plus simplement consultatifs.

Ces quelques aspects, loin de donner un aperçu exhaustif de tous les problèmes posés par le droit français en matière de surveillance numérique conduite par les services de renseignement, suffit à illustrer le fait que, en dépit des compliments reçus par la France de la part d’un certain rapporteur de l’ONU à la vie privée qui restera de triste mémoire, la France a encore beaucoup à faire pour se hisser au niveau des standards internationaux, lesquels devraient pourtant être considéré comme un socle minimal dans tout État de droit qui se respecte.

2025 marquera les 10 ans de la loi renseignement. Pour continuer notre travail sur la surveillance d’État l’année prochaine, nous avons besoin de votre soutien. Alors si vous le pouvez, faites un don à La Quadrature du Net.

L’an dernier, le média d’investigation Disclose révélait que depuis des années, en se sachant dans l’illégalité la plus totale, la police nationale avait recouru au logiciel de l’entreprise israélienne Briefcam, qui permet d’automatiser l’analyse des images de vidéosurveillance. Cette solution comporte une option « reconnaissance faciale » qui, d’après Disclose, serait « activement utilisée ». Après avoir tenté d’étouffer l’affaire, le ministère de l’Intérieur a enfin publié le rapport d’inspection commandé à l’époque par Gérald Darmanin pour tenter d’éteindre la polémique. Ce rapport, rédigé par des membres de l’Inspection générale de l’administration, de l’Inspection générale de la police nationale et de l’Inspection de la Gendarmerie nationale, permet d’étayer les révélations de Disclose. Fondé sur la seule bonne foi des forces de l’ordre, il s’apparente toutefois à une tentative choquante de couvrir des faits passibles de sanctions pénales.

Tout au long du rapport, les auteur·rices utilisent diverses techniques de minimisation et d’euphémisation – quand il ne s’agit pas tout bonnement de mauvaise foi – pour justifier l’utilisation illégale du logiciel Briefcam depuis 2015 par la police et 2017 par la gendarmerie. Pour rappel, ce logiciel permet d’analyser et filtrer les attributs physiques des personnes filmées afin de les retrouver sur les enregistrements vidéo. En plus de la reconnaissance faciale, il propose la reconnaissance de vêtements, de genre, de taille, d’apparence ou encore la « similitude de visage » que les services tentent grossièrement de distinguer de la reconnaissance faciale alors qu’au fond, il s’agit peu ou prou de la même chose, à savoir identifier des personnes. Plutôt que de reconnaître l’usage hors-la-loi de l’ensemble de ces cas d’usages depuis quasiment dix ans, les services d’inspection multiplient les pirouettes juridiques pour mieux légitimer ces pratiques.

Ainsi, les auteur·rices du rapport reprennent une analyse bancale déjà esquissée par Gérald Darmanin l’an dernier pour couvrir un usage intrinsèquement illégal de VSA dans le cadre d’enquêtes pénales, lorsque ces dispositifs sont utilisés par les enquêteurs pour analyser automatiquement des flux de vidéosurveillance archivés. Reprenant l’interprétation secrètement proposée en interne par les services du ministère de l’Intérieur pour couvrir ces activités au plan juridique, les auteur·rices estiment que ces utilisations a posteriori (par opposition au temps réel) de logiciels de VSA constitueraient des logiciels de « rapprochement judiciaire » au sens de l’article 230-20 du code de procédure pénale. Pourtant, cet article du code de procédure pénale n’autorise que le « rapprochement de modes opératoires » (par exemple des logiciels d’analyse de documents pour faire ressortir des numéros de téléphones liés entre eux). Cela n’a rien à voir avec la VSA a posteriori, laquelle consiste à rechercher des personnes sur une image en fonction de leurs attributs physiques via des techniques d’intelligence artificielle. Pour être licites, ces dispositifs devraient au minimum faire l’objet d’une base légale spécifique. C’est la base en matière de droits fondamentaux. Et cette base n’a clairement pas été respectée.

L’argumentation des rapporteurs paraît d’autant plus choquante que le logiciel VSA de Briefcam analyse des données personnelles biométriques et est donc soumis à des restrictions fortes du RGPD et de la directive police-justice. Les lacunes du cadre légal actuel pour des usages de VSA dans le cadre d’enquêtes judiciaires et la nécessité d’une base légale spécifique est d’ailleurs confortée par différents projets de légalisation de cette technologie qui ont pu être proposés : tel est le cas de la récente proposition de loi relative à la sûreté dans les transports, ou plus anciennement un projet de décret de 2017 « autorisant des traitements de données personnelles permettant l’analyse des enregistrements vidéo dans le cadre d’enquêtes judiciaires », mentionné dans le rapport. De même, l’autorisation par un décret de 2012 du recours à la comparaison faciale dans le fichier TAJ (« Traitement des antécédants judiciaires ») illustre la nécessité parfois bien comprise au ministère de l’Intérieur de prévoir un encadrement juridique spécifique pour différentes technologies de surveillance mobilisée dans le cadre d’enquête pénale¹.

Non content·es de couvrir des abus pourtant passibles de sanctions pénales, les auteur·ices du rapport envisagent aussi l’avenir. Iels proposent ainsi de relâcher encore davantage la bride de la police pour lui permettre de tester de nouvelles technologies de surveillance policière. Assouplir toujours plus les modalités de contrôle, déjà parfaitement défaillantes, dans la logique des « bacs à sable réglementaires », à savoir des dispositifs expérimentaux dérogeant aux règles en matière de protection des droits fondamentaux, le tout au nom de ce qu’iels désignent comme l’« innovation permanente ». Les auteur·rices s’inscrivent en cela dans la filiation du règlement IA qui encourage ces mêmes bacs à sable réglementaires, et du rapport Aghion-Bouverot (commission de l’intelligence artificielle) rendu au printemps dernier². Il faut bien mesurer que ces propositions inacceptables, si elles venaient à être effectivement mises en œuvre, sonneraient le glas des promesses de la loi « informatique et libertés » en matière de protection des droits fondamentaux et des libertés publiques (à ce sujet, on est toujours en attente de l’issue de l’autosaisine de la CNIL dans ce qu’il faut bien appeler « l’affaire Briefcam », un an après son déclenchement…).

En bref, ce rapport s’inscrit dans une logique de couverture de faits passibles de peines de prison et qui constituent aussi un détournement de fonds publics. Surtout, il contribue à banaliser la vidéosurveillance algorithmique, suivant en cela la politique du gouvernement Barnier. En effet, après avoir annoncé le mois dernier la pérennisation de « l’expérimentation » de la VSA suite aux Jeux Olympiques, le gouvernement entend également, via le projet de loi de finances 2025, d’installer des radars routiers dopés à la VSA pour détecter trois nouvelles infractions concernant « l’inter-distance (entre les véhicules), le non-respect du port de la ceinture et le téléphone tenu en main (au volant) ». Sans oublier la proposition de loi sur la sécurité dans les transports qui fait son retour à l’Assemblée d’ici la fin du mois de novembre. Tout est bon pour légitimer cette technologie dangereuse et l’imposer à la population.

Pour nous aider à tenir ces manœuvres en échec, RDV sur notre page de campagne !

---

1. La police et la gendarmerie utilisent de façon très fréquente la reconnaissance faciale en application de ce cadre lié au fichier TAJ : en 2021, c’était 498 871 fois par la police nationale et environ 117 000 fois par la gendarmerie nationale, d’après un rapport parlementaire. ︎
2. Le rapport Aghion-Bouverot appelait à l’assouplissement de certaines procédures d’autorisation pour utiliser des données personnelles, notamment dans la santé ou par la police. On y lit notamment :
   « Le RGPD a renversé complètement la logique du droit qui prévalait en France depuis la loi « informatique et liberté » de 1978 Alors que la possibilité de traiter des données à caractère personnel reposait sur des procédures d’autorisation ou de déclaration préalables auprès de l’administration, le RGPD a posé les principes de liberté et de responsabilité : les acteurs sont libres de créer et de mettre en œuvre des traitements de données à caractère personnel, sous réserve de veiller eux-mêmes à la conformité de ces traitements aux principes et règles prévus par le règlement européen Ils doivent en particulier analyser les risques spécifiques que peuvent créer les traitements les plus sensibles et prendre les mesures appropriées pour y remédier En contrepartie de cette liberté, instituée dans le but précis de favoriser l’innovation, les exigences de protection des données personnelles ont été renforcées, de même que les pouvoirs de contrôle et de sanction a posteriori des autorités en charge de la protection des données En France, il s’agit de la Commission nationale de l’informatique et des libertés (Cnil).
   En France, cette évolution n’a pas été conduite jusqu’à son terme Il demeure des procédures d’autorisation préalables non prévues par le droit européen. C’est en particulier le cas pour l’accès aux données de santé pour la recherche Une procédure simplifiée de déclaration de conformité à des méthodologies de référence existe mais elle est loin d’être généralisée En pratique, la procédure simplifiée reste l’exception par rapport à la procédure d’autorisation préalable car le moindre écart par rapport à ces méthodologies implique d’en passer par une autorisation préalable qui peut impliquer jusqu’à trois niveaux d’autorisation préalable On trouve des lourdeurs analogues dans les domaines de l’ordre public, de la sécurité et de la justice ». ︎

Technopolice, la surveillance policière à l’ère de l’intelligence artificielle paraît aujourd’hui aux éditions Divergences. Dans ce livre, Félix Tréguer, membre de La Quadrature du Net et chercheur associé au Centre Internet & Société du CNRS, fait le récit personnel d’un engagement au sein du collectif Technopolice. Mêlant les anecdotes de terrain aux analyses issues des sciences humaines et sociales, il retrace les mécanismes qui président à la technologisation croissante du maintien de l’ordre et de la gestion urbaine.

Résumé

Voici le résumé du livre, disponible dans votre librairie de quartier.

« Drones, logiciels prédictifs, vidéosurveillance algorithmique, reconnaissance faciale : le recours aux dernières technologies de contrôle se banalise au sein de la police. Loin de juguler la criminalité, toutes ces innovations contribuent en réalité à amplifier la violence d’État. Elles referment nos imaginaires politiques et placent la ville sous contrôle sécuritaire. C’est ce que montre ce livre à partir d’expériences et de savoirs forgés au cours des luttes récentes contre la surveillance policière. De l’industrie de la sécurité aux arcanes du ministère de l’Intérieur, de la CNIL au véhicule de l’officier en patrouille, il retrace les liens qu’entretient l’hégémonie techno-solutionniste avec la dérive autoritaire en cours. »

Présentations

• 12 octobre : Nice, librairie Les Parleuses, 19h
• 18 octobre : Marseille, librairie L’Hydre aux mille têtes, 19h
• 5 novembre : Paris, Mardis Informels de la Générale, 19h30
• 6 novembre : Montreuil, café-Librairie Michèle Firk, 19h00
• 7 novembre : Tours, librairie Les Temps Sauvages, 19h00
• 21 novembre : Sète, Nouvelle librairie Sétoise, 19h
• 22 novembre : Montpellier, La Carmagnole, 18h30
• 28 novembre : Toulouse, Cinéma Utopia Borderouge, 20h
• 5 décembre : Paris, caviste-librairie Rerenga Wines, 19h
• 6 décembre : Saint-Étienne, Le Méliès Saint-François, 21h
• 7 décembre : Lyon, librairie La Gryffe, 15h
• 12 décembre : Avignon, librairie Youpi !, 19h30
• 13 décembre : Arles, L’Angerie, 19h00

Retrouvez toutes les dates dans l’agenda public de La Quadrature.

Extraits

« Lorsque vient notre tour de parler, Martin et moi montons sur l’estrade. Face à l’amphi bondé, face aux képis et aux costumes-cravate, face au commandant Schoenher et à la futurologue de la préfecture de police, face au préfet Vedel et aux cadres d’Idemia ou de Thales, il nous faut déjouer le piège qui nous est tendu. Dans le peu de temps qui nous est imparti, nous leur disons que nous savons. Nous savons que ce qu’ils attendent, c’est que nous disions ce que pourraient être des lois et des usages « socialement acceptables » [s’agissant de la reconnaissance faciale]. La même proposition vient alors de nous être faite par le Forum économique mondial et le Conseil national du numérique. Un peu plus de transparence, un semblant de contrôle par la CNIL, une réduction des biais racistes et autres obstacles apparemment  »techniques » auxquels se heurtent encore ces technologies, et l’on croit possible d’assurer un compromis  »éthique » entre la défense automatisée de l’ordre public et l’État de droit.

Mais nous leur disons tout net : la reconnaissance faciale et les autres technologies de VSA [vidéosurveillance algorithmique] doivent être proscrites. Plutôt que de discuter des modalités d’un  »encadrement approprié », nous exprimons notre refus. Nous leur disons que, pour nous, la sécurité consiste d’abord en des logements dignes, un air sain, la paix économique et sociale, l’accès à l’éducation, la participation politique, l’autonomie patiemment construite, et que ces technologies n’apportent rien de tout cela. Que sous prétexte d’efficacité, elles perpétuent des logiques coloniales et déshumanisent encore davantage les rapports qu’entretiennent les bureaucraties policières à la population. »

….

« Le glissement de l’urbanisme cybernétique vers des applications techno-sécuritaires semble irrésistible. Début 1967, aux États-Unis, une autre commission lancée par le président Johnson et dirigée par l’ancien ministre de la Justice de Kennedy, Nicholas Katzenbach – qui rejoindra d’ailleurs IBM en 1969 et y fera une bonne partie de sa carrière – a, elle aussi, rendu un rapport sur la montée des « troubles à l’ordre public » (…). C’est un programme d’ampleur qui est proposé : édiction d’un plan national de R&D qui devra notamment se pencher sur l’approche des politiques pénales en termes de « système », relevés statistiques couplés au déploiement d’ordinateurs et à la géolocalisation des véhicules de police pour optimiser voire automatiser l’allocation des patrouilles et s’adapter en temps réel à la délinquance, automatisation de l’identification biométrique par empreintes digitales, technologies d’aide à la décision dans le suivi des personnes condamnées, etc. La pensée techno-sécuritaire infuse l’ensemble des recommandations. Et l’on remarquera au passage combien la police du futur des années 1960 ressemble à la nôtre. Comme si le futur, lui non plus, ne passait pas. »

…

« Lorsque la technologie échoue à rendre la police plus précise ou efficace dans la lutte contre la délinquance, cela ne signifie pas qu’elle ne produit pas d’effets. Constater un tel échec doit plutôt inviter à déplacer le regard : l’une des principales fonctions politiques dévolues aux technologies ne consiste pas tant à produire de la « sécurité publique » qu’à relégitimer l’action de la police, à redorer le blason de l’institution en faisant croire à un progrès en termes d’efficience, d’allocation des ressources, de bonne gestion, de transparence, de contrôle hiérarchique. Il en va ainsi depuis la fin du XIX^e siècle et le début de la modernisation de la police, lorsque le préfet Lépine mettait en scène l’introduction de nouveaux équipements, les bicyclettes ou les chiens de police. C’est aussi une dimension centrale des premiers chantiers informatiques des années 1960 que de rationaliser une administration perçue comme archaïque. Reste que cette promesse d’une police rendue plus acceptable, transparente ou légitime grâce à la technologie est toujours trahie dans les faits. »

…

« Tandis que l’extrême droite s’affirme de manière toujours plus décomplexée partout dans le champ du pouvoir, ces processus grâce auxquels les élites libérales gèrent la dissonance cognitive induite par leur complicité objective avec la spirale autoritaire en cours forment l’un des rouages les plus efficaces du fascisme qui vient. »

À l’aune du paradigme de l’Intelligence Artificielle, les data centers sont amenés à proliférer partout sur le territoire. Ces entrepôts de serveurs dédiés au traitement et au stockage des données informatiques génèrent de nombreux conflits d’usage d’eau et d’électricité. Ils multiplient les emprises foncières et les pollutions environnementales. Ils accaparent des fonds publics et accélèrent la crise socio-écologique en cours..

Dans le cadre de son groupe de travail « Écologie et numérique », La Quadrature du Net est investie depuis plusieurs mois dans une lutte locale contre ces infrastructures à Marseille, portée notamment par le collectif « Le nuage était sous nos pieds ». Aujourd’hui, lundi 16 septembre, se tient une première conférence de presse visant à dénoncer le projet de nouveau data center de Digital Realty, l’un des plus gros acteurs mondiaux de ce marché en pleine expansion.

Ce texte reproduit la prise de parole du collectif « Le nuage était sous nos pieds » lors de cette conférence de presse visant notamment à dénoncer MRS5, le projet de nouveau data center de Digital Realty dans l’enceinte du Grand Port Maritime de Marseille (GPMM), à appeler les habitantes de la ville qui le souhaitent à répondre à l’enquête publique relative à ce projet, ainsi qu’à rejoindre et poursuivre cette lutte collective. Y participent également des représentants de la fédération des Comités d’intérêt de quartier (CIQ) des habitants du 16ème arrondissement, concernés directement par ce nouveau data center, des représentants des associations France Nature Environnement 13 et Cap au Nord, ainsi que des élu·es locaux et parlementaires NFP.

« Reprendre le contrôle sur les infrastructures du numérique ! »

Je prends aujourd’hui la parole au nom du collectif marseillais « Le nuage était sous nos pieds », qui est composé d’au moins trois entités : La Quadrature du Net, qui défend les libertés fondamentales dans l’environnement numérique ; Technopolice, qui analyse et lutte contre les technologies de surveillance ; le collectif des Gammares, collectif d’éducation populaire sur les enjeux de l’eau. Nous nous sommes rassemblées, alertées par la quasi-absence des enjeux environnementaux et territoriaux des infrastructures du numérique dans le débat public alors même que Marseille voit se multiplier les arrivées de câbles sous-marins pour les liaisons Internet intercontinentales et l’émergence de data centers dans un grand silence politique et médiatique.

La surchauffe d’intérêt général ?

Dans la plaquette de communication du MRS5 dont il est ici question, le « data center » est présenté comme étant en parfaite continuité avec les usages historiques de cet emplacement au sein du système portuaire. Le stockage de données succéderait au stockage agroalimentaire, au marché au bestiaux, au silo à sucre. On pourrait rétorquer dans un premier temps que la donnée ne se mange pas, mais plus sérieusement, il convient d’insister sur le flou que ce vocabulaire marketing entretient par rapport à l’objet technique lui-même.

Un data center n’est pas un simple entrepôt de stockage, c’est un méga-ordinateur bétonné composé de centaines de serveurs qui tournent en permanence. Les industriels du numérique et autres entreprises y louent des espaces pour pouvoir bénéficier des capacités de stockage et de la puissance de calcul de ce « méga-ordinateur », et pendant ce temps le méga-ordinateur surchauffe, renvoie l’air ou l’eau chaude dans une ville déjà trop souvent sujette à la canicule, pompe des quantités astronomiques d’eau et d’électricité sur le réseau public, et ne génère pratiquement aucun emploi direct.

On entend aussi souvent dire, par les industriels du secteur et les startupeux du gouvernement, que les data centers seraient « des projets d’intérêt national majeur », comme les ponts ou les gares ferroviaires d’hier. Qu’ils sont les nouvelles infrastructures « indispensables au fonctionnement de l’ensemble de la société française » comme le suggère l’actuel projet de loi de simplification de la vie économique, et qu’ils servent l’intérêt général. Inscrire les centres de données dans la filiation des grandes infrastructures territoriales publiques permet de faire comme s’ils relevaient de l’évidence et ne répondaient qu’à la demande naturelle du progrès civilisationnel. Si l’on considère que ces infrastructures servent réellement l’intérêt général, elles pourraient être municipalisées, et s’inscrire dans les besoins réels des collectivités territoriales plutôt que d’être confiées à des multinationales privées telle que Digital Realty.

Nous pensons que c’est l’idée même selon laquelle ces infrastructures peuvent servir l’intérêt général qui doit être remise en question. Nous pensons que l’objet « data center », ce méga-ordinateur, est imposé par une poignée de multinationales du numérique en accord avec des gouvernements avides de profits à court terme. Il est grand temps d’ouvrir la boite noire des systèmes techniques et d’admettre que les questions techniques sont toujours aussi des questions politiques. Les géants du numérique s’imposent sans aucune concertation au niveau local ou national, contournant les systèmes de planification et de décision collectives. Il faut redonner le pouvoir au peuple pour une autodétermination quant aux enjeux du numérique et explorer des alternatives décentralisées et communautaires, qui prennent soin de nous, des uns et des autres et de notre territoire.

Accaparements

Le numérique est souvent désigné comme un prétendu « cloud », un nuage qui n’a en réalité rien de vaporeux. Le « cloud », ce sont ces méga-ordinateurs reliés à travers le monde par des câbles sous-marins en fibre optique, dont 18 arrivent aujourd’hui à Marseille. Or, ces méga-ordinateurs accaparent le foncier disponible, que ce soit dans l’enceinte du GPMM et en dehors avec les quatre autres data centers de Digital Realty déjà en place MRS1, MRS2, MRS3, MRS4 et ce nouveau cinquième candidat, ou que ce soit dans les quartiers Nord, à Saint-André, à Saint-Henri, à la Belle-de-Mai, ou hors des limites municipales, comme le projet de Digital Realty à Bouc Bel Air. Il y a même un projet de data center flottant !

Ces entrepôts de serveurs s’accaparent aussi les réseaux électriques publics et l’énergie disponible, jusqu’à faire saturer leurs capacités¹. Nous prenons aujourd’hui la parole juste en face du poste source d’électricité, construit spécifiquement par Digital Realty afin d’alimenter ses centres de données. Leurs moyens capitalistiques démesurés permettent donc de construire leurs propres infrastructures électriques, sans jamais se préoccuper des conséquences sur les habitant·es et leurs territoires. Tant et si bien que les conflits d’usage s’amoncellent. Ici à Marseille, il faut choisir entre l’électrification des bus ou des quais pour les bateaux de croisières et celle de ces data centers, qui accaparent ainsi l’énergie disponible en lieu et place de nos infrastructures et services publics².

Enfin, les géants du numérique s’accaparent aussi notre eau. Le « river-cooling » utilisé à Marseille par Digital Realty pour refroidir ses data centers, n’est rien d’autre que le détournement des eaux de qualité potable de l’ancienne galerie minière de Gardanne, pour un gain énergétique peu conséquent³. Attribuer l’usage de ces eaux à ce besoin industriel pose la question de futurs conflits d’usage que les dernières sécheresses estivales nous ont laissé entrevoir. À l’échelle mondiale, la question de l’eau atteint des proportions préoccupantes : Google annonçait par exemple, en 2021, avoir utilisé plus de 15 milliards de mètres cubes d’eau pour le refroidissement de ses centres.

Greenwashing

Les services marketing des multinationales du numérique redoublent d’imagination pour nous faire croire que les data centers sont des « usines vertes », qui n’auraient aucun impact sur l’environnement. À les écouter, les centres de données seraient même des infrastructures légères, utilisant les ressources en eau et en électricité avec parcimonie et de manière « optimisée ». C’est faux.

L’urgence actuelle est d’entrer dans une trajectoire de sobriété énergétique. L’explosion des demandes énergétiques que le déploiement de data center produit n’est absolument pas compatible avec nos objectifs climatiques plus généraux. Car les ressources ne sont pas illimitées. MRS5 va s’accaparer l’eau et l’électricité, et nécessiter la construction d’autres centrales de production d’énergie verte, pourtant déjà controversées⁴. Même s’il semble parfois éculé, il faut encore une fois rappeler l’adage selon lequel « la seule énergie verte, c’est celle qu’on ne produit pas ».

Surtout que les calculs d’efficacité environnementale ont souvent la fâcheuse tendance à oblitérer et externaliser une partie de leurs impacts : jusqu’où calcule-t-on les coûts énergétiques et humains d’un data center ? Faut-il regarder les micropuces extrêmement gourmandes en eau pure, les dégâts causés par les câbles sous-marins obsolètes⁵, les autres déchets du numérique que l’ONU compte à 10,5 millions de tonnes ?

Peut-on continuer à invisibiliser les filières d’extractions minières extranationales extrêmement violentes, en République Démocratique du Congo notamment et dans le reste du monde. David Maenda Kithoko, président de l’association Génération Lumière, lui même réfugié climatique congolais, le rappelle haut et fort : la révolution numérique fait couler le sang de son peuple. MRS5 est construit sur le silo à sucre Saint-Louis, bâtiment emblématique de l’impérialisme français et du commerce colonial. Et si l’on trouvait pour cet ancien bâtiment une autre fonction, qui ne rejouerait pas ces violences, mais qui s’inscrirait réellement dans une trajectoire de sobriété et de justice sociale ?

Reprendre le contrôle

Pour finir, la question centrale qui se pose ici est : à quoi – à qui – servent ces data centers ? L’immense majorité des flux de données qui circulent dans les data centers sont à destination des entreprises. On nous laisse croire que ces méga-ordinateurs ne feraient que répondre à un besoin criant des consommateurs libres que nous serions, alors qu’une bonne partie de leurs usages nous concernant sont destinés à capter nos données personnelles et générer de la publicité pour polluer nos espaces de vie en ligne. Mais en regardant la liste des futures entreprises clientes de MRS5, on voit : Oracle Corporation, ce géant étasunien qui offre des services informatiques uniquement à des entreprises ; KP1, spécialiste de préfabriqué béton – le béton rappelons-le est responsable de 8% des émissions de gaz à effet de serre – ; Flowbird, société actrice de la « ville intelligente » ; MisterFly, agence de voyage en ligne pour la réservation d’avions, etc. En dehors d’un département de recherche en archéologie, les premiers clients connus de MRS5 ne semblent pas forcément « d’intérêt public national ». Bien au contraire, ce sont des acteurs issus du même monde technocratique que les data centers eux-mêmes.

Tout comme MRS5, des milliers de nouveaux data centers seront bientôt construits pour mieux accompagner l’essor programmé de l’Intelligence Artificielle (IA), se surajoutant à toutes les infrastructures informatiques déjà existantes. Or, on pourrait déjà légitimement se poser la question de savoir s’il n’y a pas déjà trop de numérique dans nos vies, non seulement d’un point de vue environnemental mais aussi du point de vue des impacts sociétaux. Alors que de plus en plus de professionnels de la santé nous alertent sur l’impact des écrans sur la santé mentale, le patron de Netflix peut se permettre de nommer le sommeil comme son principal concurrent. Le boom de l’IA, qui est entièrement entraînée et servie dans et par ces data centers, annonce de nombreuses nouvelles violences et violations des droits humains auxquelles nous devrons faire face : deep fakes, harcèlement, algorithmes de prises de décisions discriminatoires. C’est bien là l’un des enjeux des géants du numérique : prendre d’assaut notre temps et notre attention, en dépit de notre santé et de nos droits fondamentaux.

L’immixtion du numérique dans la plupart des champs professionnels se heurte très souvent à des résistances. Que ce soit en médecine, en agriculture, dans l’éducation, à la poste, dans les administrations, la logique qui sous-tend ce développement est presque toujours la même : l’optimisation et la dépossession technique, menant à des pertes de sens professionnel, à de l’isolement, à une intensification des cadences, à l’industrialisation. La crise professionnelle qui traverse ces secteurs est bien plus une crise de moyens humains que d’efficacité technique.

Pour autant, il n’y a pas de fatalité au « tout numérique », nous pouvons et nous devons reprendre le contrôle. Cela passe notamment par la contestation des projets de construction d’infrastructures nouvelles, telles que MRS5 de Digital Realty dans le port de Marseille.

---

L’enquête publique relative au projet MRS5 est ouverte jusqu’au 27 septembre 2024.

Vous êtes vous aussi engagé·e dans une lutte locale contre les data centers ? Écrivez-nous à : lenuageetaitsousnospieds@riseup.net.

---

1. « À l’échelle française, les prévisions les plus récentes de RTE aboutissent désormais à une demande totale des data centers de puissance de pointe de l’ordre de 8 à 9 GW, pour une consommation qui atteindrait 80 TWh/an si tous ces projets se concrétisent rapidement, loin des 10 TWh/an qu’ils consomment actuellement, mais aussi loin des prévisions de RTE, qui estimait jusqu’alors une consommation de 15 à 20 TWh/an en 2030 et 28 en 2035. » tribune de Cécile Diguet « Les data centers s’implantent de manière totalement opportuniste », juillet 2024. ︎
2. Comme noté par le conseil municipal de Marseille dans sa délibération 23/0568/VAT du 20 octobre 2023 sur la « Stratégie municipale pour une implantation planifiée et régulée des câbles sous-marins et des data centers sur le territoire marseillais ». ︎
3. D’après les documents fournis par Digital Realty lors de la présentation du projet MRS5, la réduction de la consommation énergétique du site générée par la mise en œuvre de la solution river-cooling serait de uniquement 4,33 % de l’énergie électrique annuelle totale consommée par le site. En effet cette solution ne permet pas de se passer totalement d’un refroidissement par climatisation électrique, à laquelle elle viens s’ajouter pour ne la remplacer en usage qu’à hauteur de 32%. ︎
4. D’après Cécile Diguet, les projets de data center actuellement planifiés par RTE d’ici 2030 en France consommeraient l’équivalent de la production énergétique de 3 nouvelles centrales nucléaires et demi. France Inter, émission Interception, Septembre 2024. ︎
5. D’après un rapport d’expertise écologique du Parc Marin de la Côte Bleue alertant sur l’effet des câbles sous-marins désactivés et abandonnés par Orange au début des années 2000 sur les fonds marins et l’espèce protégée des herbiers de Posidonie qui habitent ce site protégé classé Natura 2000. Voir également le travail de recherche mené par Loup Cellard et Clément Marquet sur les câbles sous-marins de Marseille et de la Côte Bleue en particulier, qui montre comment les prises de décisions en matière de pose ou de dépose de ces câbles, sont dominées par des impératifs avant tout économiques et industriels, et non pas écologiques : « Frictions sous-marines », décembre 2023. ︎

La Quadrature du Net est signataire de cette tribune que nous reproduisons ici.

Le 2 juillet, les 4 personnes mises en examen dans l’affaire dite « Lafarge » sont convoquées devant les juges d’instruction. Un collectif de 180 personnalités, avocats, magistrats, intellectuel·les de renom et activistes, dénoncent le rôle croissant de la Sous-Direction-Anti-Terroriste dans la répression des mouvements sociaux. « Si les gouvernements précédents ont donné toujours plus de latitude aux services anti-terroristes, les prochains ne se gêneront pas pour en profiter pleinement ».

Mais pour qui travaille la SDAT ?

Ce mardi 2 juillet, les 4 personnes mises en examen dans l’affaire dite « Lafarge », accusées d’avoir participé au désarmement de l’usine de Bouc-Bel-Air en décembre 2022, sont convoquées devant les juges d’instruction. Elles devront répondre de faits de dégradation et d’association de malfaiteurs, prétendument aggravés par le caractère de « bande organisée ». Peine encourue : 20 ans de prison. Les victimes de cette affaire – sacs de ciment, armoires électriques et autres véhicules de chantier – n’étant pas douées de parole, le parquet n’a pas osé qualifier ces faits de « terroristes ». Pourtant, c’est la Sous-Direction-Anti-Terroriste (SDAT), en collaboration avec la section de recherche de Marseille, qui est chargée de l’enquête, toujours en cours à ce jour.

C’est encore la SDAT qui a été saisie de l’enquête pour d’autres dégradations : peinture et mousse expansive sur le site Lafarge de Val-de-Reuil en décembre 2023. Parmi les 17 personnes initialement interpellées, 9 devront comparaître au tribunal d’Évreux à l’hiver prochain. À chaque fois, la SDAT a coordonné des opérations d’interpellations spectaculaires où l’on a pu voir des commandos cagoulés et armés défoncer les portes de dizaines de militant·es – quand ce ne sont pas celles de leurs voisins – pour les emmener dans les sous-sols de leurs locaux à Levallois-Perret.

L’enquête sur l’affaire Lafarge a permis et permet sans doute encore de traquer les déplacements, les relations et les conversations de centaines de personnes, et d’éplucher les comptes de nombreuses associations. Particulièrement alarmant, le dossier montre l’usage d’un mystérieux logiciel espion qui, à l’instar de Pegasus, est employé pour aspirer le contenu des téléphones et notamment celui des messageries cryptées, ou encore le fichier des titres d’identité (TES) détourné de manière abusive pour récolter les empreintes digitales (1). Plus largement, cette enquête fait planer la menace d’une perquisition sur la tête de quiconque aurait les mauvais ami·es, se serait rendu sur les lieux d’une manifestation, ou aurait le malheur d’être géolocalisé au mauvais endroit et au mauvais moment, comme de nombreux témoignages l’ont montré.

Pourquoi une telle opération ? La SDAT travaillerait-elle pour une des entreprises les plus toxiques de la planète, actuellement mise en examen par le Parquet National Anti-Terroriste pour complicité de crime contre l’humanité et financement du terrorisme ? La défense de Lafarge par les services français, déjà largement documentée dans le cadre du financement de Daesh, se reconduit-elle en France ?

La SDAT, service de police spécialisé, étroitement lié à la direction du renseignement intérieur, a régulièrement mis ses capacités d’exception au service d’intérêts politiques variés de l’État français. Les arrestations récentes de militants indépendantistes du CCAT en Kanaky par la même SDAT, et leur transfert à 17 000 km de chez eux, montre encore une fois le rôle de la police antiterroriste dans la répression des mouvements sociaux.

Dans l’affaire Lafarge, elle est saisie pour des enquêtes de simples dégradations sans mobile terroriste, quinze ans après la tentative infructueuse de faire tomber le fantasmatique groupe anarcho-autonome de Tarnac et quelques années après l’effarante affaire du 8 décembre qui avait provoqué l’incarcération de plusieurs personnes pendant des mois. De son propre aveu, il lui faut bien trouver des figures de l’ennemi intérieur pour justifier de son budget face à la baisse de la « menace djihadiste » et « chercher de nouveaux débouchés du côté de l’écologie ». Qu’importe si les enquêteurs de la SDAT reconnaissent que ceux qu’ils catégorisent comme appartenant à l’« ultra gauche » ne s’en prennent pas aux personnes mais aux biens.

Brandir la criminalité organisée pour des faits de dégradations a le mérite de créer de toute pièce une nouvelle menace repoussoir : celle de l’écoterroriste. Dans la lecture policière, une manifestation devient un commando, telle personne connue des services de renseignement pour son activité dans les mouvements sociaux devient cadre, ou encore coordinateur, ou logisticienne. On catégorise les membres présumés de cette bande en les faisant appartenir à un cercle dirigeant et stratégique ou à un cercle opérationnel. L’enquête, menée à charge contre les Soulèvements de la Terre a notamment permis, via la traque des supposés « cadres », de justifier une surveillance accrue à la veille de la manifestation de Sainte Soline en mars 2023. On est bien loin des événements de Bouc Bel Air. La SDAT assure bien sûr n’enquêter que sur des « faits », se défendant « d’enquêter sur un mouvement dans le but de le faire tomber » (10). L’affirmation prêterait presque à rire si les conséquences n’étaient pas aussi lourdes. Il suffit de rappeler que les arrestations dans l’affaire Lafarge ont eu lieu la veille de la dissolution des Soulèvements de la terre en Conseil des ministres, empêchant ainsi plusieurs de ses porte-parole de s’exprimer à un moment crucial.

La construction policière révélée par des rapports de synthèse fantasmagoriques est dangereuse parce qu’elle fabrique des figures qui ont pour fonction première d’orienter les décisions des magistrats instructeurs. Elle altère profondément le principe de présomption d’innocence et la garantie des droits pour les personnes poursuivies. Sur le fond, la saisie des services de la SDAT, dont « l’excellence » se mesure à sa capacité à s’exonérer du régime de droit commun de l’enquête⁽²⁾ et aux moyens démesurés mis à sa disposition, pour des faits qui sont strictement en dehors de sa vocation, relève avant tout de la répression politique. François Molins lui-même, visage de la lutte anti-terroriste et procureur au tribunal de Paris de 2011 à 2018, s’inquiète du détournement par les préfets des dispositifs mis en place pour combattre les menaces d’attentats à des fins de maintien de l’ordre. À la veille des Jeux Olympique de Paris les « MICAS » Mesures Individuelles de Contrôle Administratif et de Sécurité commencent à tomber, elles constituent des équivalents des assignations à résidence en l’absence de l’état d’urgence qui les conditionnent normalement. Relevant de la lutte anti-terroriste, elles constituent une procédure amplement détournée pour priver des libertés de manifester et de se déplacer des militants qui pourraient déranger.

Si les gouvernements précédents ont donné toujours plus de latitude aux services anti-terroristes, les prochains ne se gêneront pas pour en profiter pleinement, tant l’outil à leur disposition est commode pour traquer les opposants et paralyser les mouvements sociaux. Dans cette période agitée où le RN est aux portes du pouvoir, les conséquences politiques de l’augmentation des moyens et du champ d’action de la police antiterroriste sont profondément dangereuses. Elles s’inscrivent dans une période d’extension de la surveillance de masse, d’aggravation des violences policières et de la répression judiciaire des mouvements de contestation. Puisque les intérêts économiques et idéologiques des puissances industrielles qui ravagent le monde convergent fortement avec ceux du RN, ce parti ouvertement climato-sceptique, on peut légitimement se demander : à quoi servira un outil tel que la SDAT s’il tombait aux mains de l’extrême droite ?

Pour toutes ces raisons, nous, participant·es ou soutiens des luttes écologiques, sociales et décoloniales, dénonçons le rôle croissant de la SDAT dans la répression des mouvements sociaux et écologistes. Nous, magistrat·es ou avocat·es, demandons qu’elle soit dessaisie des enquêtes sur des faits qui ne relèvent pas de ses compétences, à commencer par l’affaire Lafarge de Bouc Bel Air.

Notes : 

⁽¹⁾ Le fichier des titres électroniques sécurisés est une base de données gérée par le ministère de l’Intérieur qui rassemble les données personnelles et biométriques des Français pour la gestion des cartes nationales d’identité et des passeports français. 

⁽²⁾ Hors contexte de terrorisme, les agents de police ont la possibilité d’anonymiser leur signature dans les actes de procédure si et seulement si une autorisation individuelle est délivrée par un magistrat dans une décision motivée. La SDAT ne s’encombre pas de cet encadrement et anonymise systématiquement ses actes.

Retrouvez la liste des signataires.

Dans la lignée des festivals organisés ces deux dernières années par nos ami·es de Technopolice Marseille, La Quadrature du Net s’associe à Tënk pour proposer une sélection de films documentaires abordant l’enjeu de la surveillance policière. Il s’agit, par le cinéma, de mieux penser les technologies et les rapports de pouvoirs qu’elles produisent, pour mieux les combattre. Voici le texte introduisant cette sélection à retrouver sur Tënk.

Sous couvert d’optimisation et de contrôle, la surveillance prolifère. À l’ère de l’informatique, nos messages privés sont traqués, nos publications constamment analysées, nos corps scrutés par les dispositifs de vidéosurveillance disséminés dans nos rues. Partout dans le monde, des data centers stockent des fichiers nous concernant qui, pris ensemble, disent tout ou presque de nos activités, de nos déplacements, de nos attachements. 

Si la surveillance est partout, si elle sature aussi l’actualité de même que les discours militants ou nos conversations intimes, elle reste largement invisible, souvent mal comprise. De grands schèmes tirés d’exemples historiques ou de science fiction – au hasard, la Stasi ou 1984 d’Orwell –, nous font généralement office de grilles de lecture. Mais on peine à en saisir avec nuance les ressorts et les ramifications, à discerner ses infrastructures, à en comprendre les effets ou les évolutions.

À La Quadrature du Net, nous travaillons depuis des années à la défense des droits humains face à la prolifération de la surveillance numérique. Et d’expérience, nous savons que produire un discours sur cet objet nécessite un effort constant de réflexion et d’élaboration.

C’est ce que nous tâchons de faire dans le cadre du projet Technopolice, en mettant l’accent sur les nouvelles technologies de surveillance policière des espaces publics urbains : vidéosurveillance algorithmique, police prédictive, drones, et bien d’autres encore. Dans ce travail d’enquête militante et d’éducation populaire qui est aussi une tentative de résistance, le cinéma documentaire apparaît comme un outil puissant. C’est pourquoi nous somme ravi·es de pouvoir faire cette escale en partenariat avec Tënk, en proposant cette sélection de films variés et complémentaires.

À travers cette sélection, il s’agit d’abord de tendre un miroir aux surveillants, de lever le voile sur ces acteurs en position de pouvoir qui produisent ou légitiment la surveillance (voir le film médiactiviste Supervision, tourné dans le centre de vidéosurveillance de Marseille ; voir aussi la super-production expérimentale All Light Everywhere, qui fait l’incroyable rencontre d’un représentant commercial d’Axon, leader du marché des bodycams policières ; voire enfin Prédire les crimes). Le documentaire permet aussi de convoquer un passé pas si lointain pour se remettre en mémoire ses méfaits – par exemple en rappelant le viol de l’intimité et le contrôle qu’induit le regard policier (comme sous le régime polonais dans les années 1970 dans An Ordinary Country), ou en revenant sur la généalogie carcérale de la vidéosurveillance (Je croyais voir des prisonniers). Par la poésie, il peut enfin souligner, au-delà de l’État et de sa police, la multiplicité des formes de surveillance, la manière dont nous pouvons parfois nous en faire complices, et interroger la frontière entre surveillance et partage, domination et rencontre (L’Îlot).

Le choix des films, fait en collaboration avec le comité de programmation de Tënk, laisse évidemment de côté d’autres excellents titres. Mais l’ensemble donne bien à voir ce contre quoi nous luttons, à savoir ce vieux fantasme policier que décrivait Michel Foucault dans Surveiller et Punir (1975) : une « surveillance permanente, exhaustive, omniprésente, capable de tout rendre visible, mais à la condition de se rendre elle-même invisible », « un regard sans visage qui transforme tout le corps social en un champ de perception ».

À travers la puissance du cinéma, il s’agit aussi de remettre un tant soit peu de symétrie dans le rapport de force. Car si la surveillance peut s’interpréter comme un champ de perception au service du pouvoir, alors notre proposition éditoriale recèle aussi un espoir : l’espoir qu’en faisant collectivement l’expérience de ces films, nous puissions nous constituer ensemble en une sorte de contre-champ, en un faisceau de résistances.

Bon visionnage !

La Quadrature du Net

Réunis au sein du Conseil de l’Union européenne, les États-membres ont adopté hier le règlement IA, dédié à la régulation des systèmes d’Intelligence Artificielle. Cette étape marque l’adoption définitive de cet édifice législatif en discussion depuis 2021, et présenté au départ comme un instrument de protection des droits et libertés face au rouleau compresseur de l’IA. À l’arrivée, loin des promesses initiales et des commentaires emphatiques, ce texte est taillé sur mesure pour l’industrie de la tech, les polices européennes et autres grandes bureaucraties désireuses d’automatiser le contrôle social. Largement fondé sur l’auto-régulation, bardé de dérogations, il s’avère totalement incapable de faire obstacle aux dégâts sociaux, politiques et environnementaux liés à la prolifération de l’IA.

L’histoire avait commencé avec de belles promesses. En avril 2021, au moment de présenter sa proposition de règlement relatif à l’Intelligence Artificielle, la Commission européenne nous écrivait pour nous rassurer : elle porterait la « plus grande attention » à la pétition européenne lancée à l’époque contre la reconnaissance faciale. Le texte présenté quelques jours plus tard par la Commission s’accompagnait d’une proposition de moratoire sur certains de ces usages, au milieu d’un ensemble de mesures conçues pour mettre un minimum d’ordre dans un marché de l’IA en plein essor.

Deux ans plus tard, le Parlement européen poussait le texte un cran loin, étendant diverses interdictions relatives aux usages policiers des techniques d’IA, ou contre les systèmes de « scoring » et autres formes de « notation sociale ». Mais après les coups de butoir des gouvernements des États-membres, au premier rang desquels les autorités françaises, rien ou presque des promesses initiales ne subsiste. Reste un « paquet législatif » certes volumineux, voire bavard, mais aussi très flou. Le règlement fait la part belle à l’auto-régulation et s’avérera incapable de protéger l’intérêt général face à la prolifération programmée des systèmes d’IA.

Une loi pour faire proliférer l’IA

Comme nous l’avions craint, plutôt que d’élever les garanties en matière de droits fondamentaux, le règlement IA vise à faire proliférer la production de données et leur collecte au bénéfice de l’industrie. Les textes européens comme le Règlement européen sur la protection des données (RGPD), entrés en vigueur en 2018, se retrouvent en partie affaiblis par ces nouvelles règles spéciales applicables aux systèmes d’IA.

Mais pour les acteurs publics et privés ayant poussé à l’adoption de ce texte, l’enjeu prioritaire n’a jamais été de protéger les droits fondamentaux. Le règlement est fondé sur une approche « par les risques », classant les types de systèmes d’IA ou leurs domaines d’application (police, santé, emploi, etc.) en fonction de quatre catégories de risque (risque faible non ciblé par le règlement ; risque limité pour certains systèmes soumis aux seules mesures de transparence prévues par l’article 50 ; risque élevé soumis aux obligations diverses du règlement ; risque inacceptable pour les quelques pratiques interdites par l’article 5).

À travers cet édifice législatif destiné à réguler un sous-secteur de l’industrie informatique en pleine expansion, et alors que les controverses autour de l’IA se multiplient – qu’il s’agisse de ses effets déshumanisants sur le travail, de son coût environnemental, de son impact sur les droits fondamentaux –, l’objectif est avant tout de poser les conditions d’une plus grande « acceptabilité sociale » de ces technologies pour mieux les imposer.

Dans ce processus, Emmanuel Macron et le gouvernement français auront joué à merveille leur partition. Tout affairé à la promotion de la Startup Nation, obnubilé par la course à l’innovation pour mieux attirer les capitaux étrangers, ne craignant pas les conflits d’intérêt et autres formes de corruption au cours des négociations sur le règlement, l’État français a en effet une responsabilité historique dans ce reniement.

La stratégie française est assumée. Elle se poursuit aujourd’hui à travers le projet de loi « simplification de la vie économique », qui vise notamment à accélérer les procédures de construction de data centers en faisant obstacle aux contestations locales. Microsoft en est l’un des principaux bénéficiaires, puisque le géant de l’informatique vient d’annoncer un investissement de 4 milliards d’euros pour démultiplier ses infrastructures de stockage et de calcul sur le territoire français. Et c’est également Microsoft qui a mis le grappin sur Mistral AI, promu comme champion national de l’IA, en annonçant un accord de partenariat avec la startup française sitôt l’accord politique conclu sur le texte du règlement IA. L’argument de la souveraineté numérique avancé par la France pour abaisser les exigences du règlement IA a donc bon dos, puisqu’en pratique l’État s’accommode très bien du renforcement des positions dominantes des multinationales de la tech.

En vertu du règlement adopté hier, ce sont les entreprises qui conçoivent les systèmes d’IA qui seront les premières compétentes pour de prononcer sur le niveau de risque que présentent leurs produits (article 43). Il leur sera alors loisible de considérer que ces systèmes ne sont pas risqués et donc exempts de toute régulation en vertu du règlement. Autrement, ce sont des organismes privés de certification qui seront amenés à délivrer des attestations de conformité¹. De manière générale, les formes de régulation promues par le règlement s’assimilent essentiellement à de l’auto-régulation et au suivi de « bonnes pratiques », le tout sous l’égide d’organismes de standardisation de droit privé (le CEN-CENELEC au niveau européen ou l’AFNOR en France) au sein desquels l’industrie aura toutes latitudes². Et si un peu de transparence est permise, pas question qu’elle mette pour autant en cause le sacro-saint « secret des affaires », mentionné à de multiples reprise dans le texte. Autant dire que le débat consistant à savoir qui, en France, de la CNIL, de l’Arcep ou de l’Arcom sera chargée de superviser l’application du règlement ne revêt pas d’énorme enjeu. 

Autre signe des considérations dont l’industrie fait l’objet, le chapitre VI contient un grand nombre de dispositifs réglementaires censés « soutenir l’innovation », afin de permettre au secteur privé d’entraîner ses modèles d’IA avec un soutien renforcé des pouvoirs publics.

La Technopolice en roue libre

S’il était clair depuis le début que l’approche par les risques promue par l’Union européenne pour réguler l’IA était conçue pour réguler un marché plutôt que de protéger les droits fondamentaux, au moins pouvait-on espérer que les usages les plus dangereux des systèmes d’IA, à l’image de la reconnaissance faciale, seraient bannis au titre des « risques inacceptables ». C’était en tout cas une demande de dizaines d’ONG et de plus de 250 000 citoyen·nes européen·nes réuni·es dans la coalition Reclaim Your Face et ce que laissait entendre la Commission au départ.

Là encore, la France a œuvré avec d’autres États à tenir en échec toutes prétentions en la matière, laissant les coudées franches aux forces de police et à l’industrie de la surveillance. L’analyse du texte permet de l’illustrer. L’article 5, qui dresse la liste des diverses interdictions ayant subsisté, proscrit bel et bien « l’utilisation de systèmes d’identification biométrique à distance en temps réel ». L’article 5.2 semble ici couvrir de nombreuses applications de vidéosurveillance algorithmique (VSA). Sauf que, d’une part, toute utilisation de tels systèmes échappe à cette formulation dès lors qu’elle est conduite en temps différé. Et que là encore, des exceptions en réduisent drastiquement la portée : le recours à la reconnaissance faciale en temps réel sera en effet possible dès lors qu’il s’agit de retrouver des victimes « d’enlèvement, de la traite ou de l’exploitation sexuelle d’êtres humains, ainsi que la recherche de personnes disparues », s’il s’agit de prévenir « une menace spécifique, substantielle et imminente pour la vie ou la sécurité physique de personnes physiques », ou encore pour prévenir « une menace réelle et actuelle ou réelle et prévisible d’attaque terroriste ». Autant de pieds dans la porte qui pourront facilement être étendus à de nouvelles situations à l’avenir.

Qui plus est, en la matière, l’armée et les services de renseignement se voient libérés de toute contrainte. C’est également le cas des équipes de recherches scientifiques pourront « innover » à loisir. L’article 2.3, relatif au champ d’application du règlement, précise en effet que celui-ci, et donc les interdictions qu’il énonce, ne s’applique pas aux systèmes d’IA développés « à des fins de recherche scientifique », ni à ceux utilisés à « des fins militaires, de défense ou de sécurité nationale ». Soit d’autres trous béants dans la raquette.

En pratique, toutes les formes d’IA policières contre lesquelles nous nous battons dans le cadre du projet Technopolice semblent permises par le règlement, de la VSA à la police prédictive. Tout au plus pourront-elles être considérées comme « à haut risque », car relevant de certains domaines d’applications sensibles définis dans l’annexe III³. Elles seront alors soumises à des obligations renforcées de transparence et de standardisation : les responsables de ces systèmes devront ainsi identifier, évaluer et traiter les « risques raisonnablement prévisibles (…) pour la santé, la sécurité ou les droits fondamentaux » (article 9.2), mettre en place des bonnes pratiques en matière de gouvernance des données (article 10), et tenir des registres liés aux activités de leurs systèmes (article 12). Standardisation et auto-régulation, sous l’égide d’agences publiques chargées d’organiser le tout, seront donc de mise.

La transparence des systèmes à haut risque restera extrêmement limitée en matière technopolicière. Car si de tels systèmes doivent normalement être répertoriés dans un registre public, les forces de l’ordre et les services d’immigration ont obtenu une dérogation (articles 49.4 et 71). Ils n’auront pas non plus à publier les études d’impact, ce qui est normalement obligatoire pour les systèmes à haut risque.

Enfin, même lorsqu’ils seront effectivement classés à haut risque, encore faut-il que les systèmes IA n’échappent pas à l’autre dérogation léonine ajoutée au texte. Un « filtre » défini à l’article 6.3 prévoit en effet que les obligations ad hoc ne s’appliquent pas dès lors que les systèmes d’IA considérés sont destinés à « accomplir un tâche procédurale étroite », à « améliorer ou optimiser » le résultat d’une « tâche humaine » déjà accomplie, s’ils ne réalisent qu’une « tâche préparatoire », ou si plus généralement, bien que relevant théoriquement des applications à haut risque définies à l’annexe III, ils « ne présente pas de risque important de préjudice pour la santé, la sécurité ou les droits fondamentaux des personnes physiques ». Toutes ces notions juridiques paraissent particulièrement larges et laissent la porte ouverte à tous les abus, a fortiori dès lors qu’elles sont laissées à l’appréciation d’acteurs privés.

Quant aux systèmes de police prédictive basés sur le calcul de scores de risque par zones géographiques, dont nous soulignions récemment les dangers en terme de discrimination, il semble qu’ils échappent à la définition très restrictive proposée en la matière dans l’annexe III relative aux systèmes à haut risque, et donc aux obligations prévues pour cette catégorie⁴.

Algos de contrôle social et greenwashing en embuscade

En matière de « crédit social », également mis en avant comme l’une des proscriptions les plus ambitieuses posées par le texte et qui apparaissait comme une manière de préserver la bonne conscience européenne face à la dystopie numérique « à la chinoise », c’est encore la douche froide. La « notation sociale » – par exemple celle pratiquée par les Caisses d’allocations familiales que nous documentons depuis des mois – reste permise dès lors qu’elle ne relève pas, à l’instar des systèmes expérimentés en Chine, d’un système centralisé captant des données issues de contextes sociaux différents (police, travail, école, etc.) (considérant 31). Les notations sectorielles utilisées par les organismes sociaux pourront donc continuer de plus belle : bien qu’il les classe dans les applications à haut risque, et en dehors de quelques obligations procédurales déjà évoquées, le règlement n’apporte rien pour lutter efficacement contre les algorithmes discriminatoires des administrations sociales en matière de notation et de flicage des bénéficiaires.

Restent des déclarations de principe, dont la nature contradictoire devrait pourtant sauter aux yeux. On pense notamment au vœu pieu que « les systèmes d’IA [soient] développés et utilisés d’une manière durable et respectueuse de l’environnement » (considérant 27). Ou de l’idée décidément tenace qu’une informatisation toujours plus poussée permettra de répondre à l’enjeu du changement climatique (considérant 4), et ce alors que dans le même temps, notamment à travers la loi de simplification déjà citée, on encourage à tout-va la construction de data centers hyper-énergivores et qu’on relance l’extraction minière pour accompagner la « transition numérique ». Rien de bien surprenant cela dit puisque, chez les technocrates et autres apôtres des hautes technologies, l’IA est désormais un élément clé de tout bon discours de greenwashing.

Les seules règles en matière d’impact environnemental posées par le règlement IA consistent en la fourniture, par les concepteurs de système d’IA à haut risque qui cherchent à faire certifier leurs produits, d’informations visant à « améliorer les performances des systèmes d’IA en matière de ressources, telles que la réduction de la consommation d’énergie et d’autres ressources par le système d’IA (…) au cours de son cycle de vie », ou relatives au « développement économe en énergie de modèles d’IA à usage général » (article 40). Dans le même ordre d’idées, dans le cadre de l’annexe XI, les concepteurs d’IA génératives fondées sur de grands modèles de données, à l’image d’OpenAI, devront également fournir des informations sur « la consommation d’énergie connue ou estimée » liée à l’entraînement et à l’utilisation de ces modèles. Le tout étant là aussi chapeauté par les organismes de normalisation, l’exercice ne devrait être qu’une simple formalité aux effets parfaitement cosmétiques.

À l’arrivée, loin de protéger les valeurs de démocratie, d’État de droit et de respect pour l’environnement que l’Union européenne prétend encore incarner comme un phare dans la nuit, le règlement IA reste le produit d’une realpolitik désastreuse. Face à l’étau formé par la Chine et les États-Unis, il doit en effet permettre de relancer l’Europe dans la course aux dernières technologies informatiques, perçues comme de véritables étalons de puissance. Non seulement cette course paraît perdue d’avance mais, ce faisant, l’Union européenne participe à légitimer une fuite en avant techno-solutionniste dangereuse pour les libertés et insoutenable au plan écologique.

La généralisation de l’IA, en tant que paradigme technique et politique, a pour principal effet de démultiplier les dégâts engendrés par la sur-informatisation de nos sociétés. Puisqu’il est désormais clair que ce règlement ne sera d’aucune utilité pour enrayer l’emballement actuel, c’est d’autres moyens de lutte qu’il va nous falloir collectivement envisager.

---

1. Veale, Michael, et Frederik Zuiderveen Borgesius. « Demystifying the Draft EU Artificial Intelligence Act — Analysing the Good, the Bad, and the Unclear Elements of the Proposed Approach ». Computer Law Review International 22, n° 4 (1 août 2021), p. 106. https://doi.org/10.9785/cri-2021-220402 ︎
2. Perarnaud, Clément. « Loi européenne sur l’IA : une réglementation « digne de confiance » ? » La revue européenne des médias et du numérique, mars 2024. https://la-rem.eu/2024/03/loi-europeenne-sur-lia-une-reglementation-digne-de-con%ef%ac%81ance/. ︎
3. L’annexe III définit comme étant à haut risque les systèmes d’IA liées aux applications suivantes :  surveillance biométrique, gestion d’infrastructures critiques, de l’éducation et de la formation professionnelle, de l’emploi et de la gestion de la main d’œuvre, l’accès aux services publics et prestations sociales, la police prédictive, le contrôle des migrations et l’administration de la justice. ︎
4. L’annexe III, qui dresse la liste des applications à haut risque, n’évoque à l’article 6.d. que « les systèmes d’IA destinés à être utilisés par les autorités répressives ou par les institutions, organes et organismes de l’Union, ou en leur nom, en soutien aux autorités répressives pour évaluer le risque qu’une personne physique commette une infraction ou récidive, sans se fonder uniquement sur le profilage des personnes physiques visé à l’article 3, paragraphe 4, de la directive (UE) 2016/680, ou pour évaluer les traits de personnalité, les caractéristiques ou les antécédents judiciaires de personnes physiques ou de groupes ». ︎

L’« expérimentation » de la vidéosurveillance algorithmique (VSA) dans le cadre fixé par la loi « Jeux Olympiques » adoptée l’an dernier n’en est pas une : elle n’est qu’une manœuvre hypocrite destinée à légaliser par petites touches une infrastructure policière déjà massivement déployée en France. Pour contrer cette stratégie, La Quadrature du Net lance aujourd’hui une campagne visant à nourrir l’opposition populaire à la VSA, une technologie basée sur des techniques d’« Intelligence Artificielle » qui s’assimile à un contrôle constant et automatisé des espaces publics, et qui marque un tournant historique dans la surveillance d’État. Une plainte a également été déposée devant la CNIL afin de dénoncer l’hypocrisie des promoteurs de la VSA et pointer l’incurie de l’autorité de protection des données personnelles.

Le prétexte des Jeux Olympiques

Depuis quelques jours, les services de police du pays et les services de sécurité des sociétés de transport ont légalement recours à la VSA¹Voir notre article consacré aux premiers arrêtés préfectoraux autorisant le recours à la VSA.. Fin avril, invoquant des afflux importants de personnes liés à des matchs de foot ou des concerts, la préfecture de police de Paris a en effet autorisé la SNCF et la RATP à utiliser les technologies de la startup Wintics pour croiser les flux des centaines de caméras installées dans certaines gares et stations de métro parisiennes²Les catégories d’événements à repérer par les systèmes de VSA reprennent une partie des catégories prévues par la loi de 2023, en l’espèce : franchissement ou présence d’une personne dans une zone interdite ou sensible, densité trop importante de personnes, mouvement de foule, présence d’objets abandonnés.. Ces « expérimentations » vont se poursuivre jusqu’en mars 2025, dans le cadre juridique fixé par la loi relative aux Jeux Olympiques adoptée l’an dernier.

Qu’importe l’efficacité dérisoire de ces systèmes de surveillance automatisée des espaces publics. Pour le ministère de l’intérieur, les industriels et leurs relais politiques, ces expérimentations servent avant tout à détourner l’attention, alors qu’en parallèle, des centaines de systèmes de VSA sont illégalement utilisés depuis des années par l’État, les collectivités locales ou les régies de transport. Il s’agit aussi de faire oublier qu’au croisement d’intérêts économiques, électoralistes et autoritaires, les promoteurs de la Technopolice travaillent depuis des années à l’imposition de la VSA partout sur le territoire.

Le pire est à venir

De fait, les projets de loi visant à pérenniser la VSA en recourant aux applications les plus sensibles – à l’image de la reconnaissance faciale en temps réel dans l’espace public ou de la vidéoverbalisation automatique des petites infractions – sont pour certains déjà dans les cartons.

La proposition de loi Transports est un parfait exemple : l’Assemblée nationale s’apprête à débattre de cette proposition poussée par la droite sénatoriale et visant à légaliser la VSA dans les transports. Le gouvernement soutient l’initiative parlementaire puisqu’il a activé la procédure accélérée sur ce texte, sans même attendre les évaluations imposées par la loi JO³Guillaume Jacquot. « Transports : le Sénat adopte une proposition de loi qui renforce l’arsenal de sécurité, avec le soutien du gouvernement », Public Sénat, 14 février 2024..

Par ailleurs, en juin 2023, soit moins de trois mois après l’adoption de la loi JO, le Sénat reprenait un projet d’expérimentation d’abord mûri par la majorité macroniste en adoptant une proposition de loi prévoyant une expérimentation de trois ans de la reconnaissance faciale couplée à la vidéosurveillance. « Trop tôt », avait en substance répondu le gouvernement, estimant que les conditions politiques n’étaient pas réunies et préférant s’en tenir à une stratégie des petits pas⁴Simon Barbarit, « Reconnaissance faciale : le Sénat adopte une proposition de loi pour expérimenter cette technologie ». Public Sénat, 12 juin 2023..

Dénoncer l’hypocrisie ambiante

Pour mieux illustrer l’hypocrisie des « expérimentations » liées à la loi JO, La Quadrature du Net vient de déposer une plainte devant la CNIL contre un déploiement de la VSA totalement illégal et resté largement sous les radars : le projet Prevent PCP.

Associant la SNCF et la RATP avec un panel d’entreprises, dont le groupe Atos et ChapsVision (par ailleurs toutes deux prestataires des expérimentations liées à la loi JO), Prevent PCP prend formellement la forme d’un marché public subventionné par l’Union européenne. En pratique, les entreprises voient leurs systèmes de VSA déployés dans des grandes gares à travers l’Europe pour détecter des « bagages abandonnés », via une méthode reposant sur l’identification et le suivi des propriétaires des bagages. En France, ces systèmes de VSA sont ainsi déployés depuis des mois dans la gare du Nord et la gare de Lyon à Paris ou, plus récemment, dans la gare de Marseille-Saint-Charles.

Grâce aux éléments mis au jour par le groupe local Technopolice Marseille, La Quadrature du Net a donc déposé une plainte devant la CNIL contre ce projet, qui n’est qu’un exemple parmi les centaines de déploiements illégaux de la VSA en France. À travers cette démarche, il s’agit de renvoyer l’autorité en charge de la protection des données personnelles au rôle qui devrait être le sien, alors qu’elle laisse proliférer des projets illégaux de VSA tout en accompagnant le processus de légalisation. Cette plainte permet également de souligner l’hypocrisie des protagonistes de Prevent PCP : alors même qu’elles prennent part à l’expérimentation de la VSA prévue par loi JO, la SNCF, la RATP, Atos ou ChapsVision se livrent en parallèle à des déploiements dépourvus de toute base légale.

Nourrir une opposition populaire à la VSA

Aujourd’hui, La Quadrature du Net lance également différents outils destinés à nourrir des mobilisations contre la VSA dans les prochains mois, et résister à sa légalisation programmée. Une brochure détaillée expliquant les dangers de la VSA, ainsi que des affiches destinées à informer la population sont disponibles sur cette page de campagne dédiée, qui sera enrichie dans les semaines et mois à venir⁵La page de campagne est disponible à l’adresse laquadrature.net/vsa..

Cette campagne contre la VSA s’inscrit dans le cadre de l’initiative Technopolice, lancée en 2019 par La Quadrature pour résister au nouvelles technologies de surveillance policière. Le site Technopolice propose un forum public ainsi qu’une plateforme de documentation participative (appelée le « carré »), libre d’utilisation et destinés à organiser et fédérer des collectifs locaux opposés à ces technologies.

Pour faire la lumière sur les arrêtés préfectoraux qui autorisent localement la VSA dans le cadre de la loi JO, nous avons également lancé un compte Mastodon, Attrap’Surveillance, qui analyse les recueils des actes administratifs des préfectures et diffuse des alertes lorsque des autorisations de surveillance policière sont détectées. C’est ce dispositif qui a permis de repérer mi-avril les premiers arrêtés de VSA. Dans les prochaines semaines, il permettra d’être averti des expérimentations de la VSA autorisées par les préfets afin de les dénoncer.

Par tous les moyens, il nous faut faire valoir notre refus d’un contrôle permanent de nos faits et gestes, dénoncer ces expérimentations, documenter les projets illégaux qui continuent de proliférer, et nous organiser localement pour battre en brèche la Technopolice. Ensemble, luttons pour que l’espace public ne se transforme pas définitivement en lieu de répression policière, pour que nos villes et nos villages soient des espaces de liberté, de créativité et de rencontres !

Pour suivre l’actualité de La Quadrature et suivre cette campagne contre la VSA, vous pouvez vous abonner à notre lettre d’information.

Ce texte a été lu par un·e membre de La Quadrature du Net le 5 avril 2024 lors du rassemblement devant le Tribunal judiciaire d’Aix-en-Provence, à l’occasion des deux nouvelles mises en examen dans l’affaire Lafarge.

On est là aujourd’hui pour dire notre soutien aux personnes convoquées, à toutes les personnes placées en garde à vue et inquiétées dans cette affaire. On est là pour dénoncer l’instrumentalisation de la justice et des services antiterroristes pour réprimer les militantes et militants et dissuader toute forme de désobéissance civile. Là, enfin, pour dire notre indignation face au recours systématique à des formes de surveillance intrusives et totalement disproportionnées.

Les mises en examen de ce jour, ou celles qui les ont précédé dans cette « affaire Lafarge », s’inscrivent dans un contexte plus global. Jusqu’à un passé pas si lointain, de nombreuses formes d’action directes étaient tolérées par les autorités. Mais progressivement, en lien avec la dérive néo-libérale amorcée dans les années 1980, l’espace accordé à la critique d’un système injuste et écocide a fondu comme neige au soleil. De crise en crise, on a assisté à la consolidation d’un État d’exception, à l’inflation des services de renseignement, à la multiplication de dérogations au droit libéral — un droit certes bien trop imparfait, mais qui n’en demeurait pas moins un héritage fondamental des luttes passées. On a également vu un pouvoir politique s’entêter au point de ne plus tolérer la moindre contestation, instrumentalisant le droit commun à coup d’amendes, de dissolutions, de maintien de l’ordre hyper-violent.

Le tout pour réprimer toutes celles et ceux qui ont la dignité de dire leur refus d’un système à la violence décomplexée, et le courage de mettre ce refus en actes. Dans ce processus du criminalisation des militant·es, les services de renseignement, de police judiciaire comme les magistrats du parquet peuvent désormais s’appuyer sur les exorbitants moyens de surveillance. Autant de dispositifs qui se sont accumulés depuis 25 ans et qui, dans l’affaire Lafarge et d’autres jugées récemment, s’emboîtent pour produire une surveillance totale. Une surveillance censée produire des éléments sur lesquels pourront s’édifier le récit policier et la répression.

Cette surveillance, elle commence par l’activité des services de renseignement. Contrôles d’identité qui vous mettent dans le viseur des services, caméras et micro planquées autour de lieux militants ou dans des librairies, balises GPS, interceptions, analyse des métadonnées, … Tout est bon pour servir les priorités politiques et justifier la pérennisation des crédits. L’activité du renseignement consacrée à la surveillance des militant·es – érigée en priorité depuis la stratégie nationale du renseignement de 2019 –, elle a doublé sous Macron, passant de 6 % au moins du total des mesures de surveillance en 2017 à plus de 12% en 2022.

Après le fichage administratif, après les notes blanches du renseignement, vient le stade des investigations judiciaires. Là encore, comme l’illustre l’affaire Lafarge, la surveillance en passe par le recours à la vidéosurveillance – plus de 100 000 caméras sur la voie publique aujourd’hui –, puis par l’identification biométrique systématique, notamment via la reconnaissance faciale et le fichier TAJ, ou quand ce n’est pas possible par le fichier des cartes d’identité et de passeport, l’infâme fichier TES, qui est ainsi détourné.

Pour rappel, le recours à la reconnaissance faciale via le fichier TAJ, ce n’est pas de la science fiction. Ce n’est pas non plus l’exception. Il est aujourd’hui utilisée au moins 1600 fois par jour par la police, et ce alors que cette modalité d’identification dystopique n’a jamais été autorisée par une loi et que, de fait, son usage n’est pas contrôlé par l’autorité judiciaire.

Cette reconnaissance faciale, elle est employée y compris pour des infractions dérisoires, notamment lorsqu’il s’agit d’armer la répression d’opposants politiques comme l’ont illustré les jugements de la semaine dernière à Niort, un an après Sainte-Soline. Et ce alors que le droit européen impose normalement un critère de « nécessité absolue ».

La surveillance découle enfin du croisement de toutes les traces numériques laissées au gré de nos vies et nos activités sociales. Dans cette affaire et d’autres encore, on voit ainsi se multiplier les réquisitions aux réseaux sociaux comme Twitter ou Facebook, l’espionnage des conversations téléphoniques et des SMS, le suivi des correspondances et des déplacements de groupes entiers de personnes via leurs métadonnées, la surveillance de leurs publications et de leurs lectures, la réquisition de leurs historiques bancaires ou des fichiers détenus par les services sociaux, … Le tout, souvent sur la seule base de vagues soupçons. Et à la clé, une violation systématique de leur intimité ensuite jetée en pâture à des policiers, lesquels n’hésitent pas à à s’en servir pour intimider ou tenter d’humilier lors des interrogatoires, et construire une vision biaisée de la réalité qui puisse corroborer leurs fantasmes.

De plus en plus, c’est la logique même de la résistance à la dérive autoritaire qui est criminalisée. Vous utilisez des logiciels libres et autres services alternatifs aux multinationales qui dominent l’industrie de la tech et s’imbriquent dans les systèmes de surveillance d’État ? Cela suffit à faire de vous un suspect, comme le révèle l’affaire du « 8 décembre » jugée il y a quelques mois. Vous choisissez des messageries dotées de protocoles de chiffrement pour protéger votre droit à la confidentialité des communications ? On pourra recourir aux spywares et autres méthodes d’intrusion informatique pour aspirer le maximum de données contenues dans vos ordinateurs ou smartphones. C’est ce dont a été victime le photographe mis en cause dans cette affaire. Et si vous refusez de livrer vos codes de chiffrement lors d’une garde à vue, on retiendra cela contre vous et on intentera des poursuites, quand bien même l’infraction censée légitimer votre garde à vue s’est avérée tout à fait grotesque.

Pour conclure, nous voudrions rappeler que, dans les années 30, alors que l’Europe cédait peu à peu au fascisme, un gouvernement français pouvait faire du pays une terre d’accueil pour les militant·es, les artistes, les intellectuelles. C’était juste avant la fin honteuse de la IIIe république, juste avant le régime de Vichy. Aujourd’hui, alors que, à travers l’Europe comme dans le monde entier, les militant·es des droits humains, les militant·es écologistes, celles et ceux qui dénoncent la violence systémique des États ou les méfaits des multinationales, sont chaque jour plus exposé·es à la répression, l’État français se place aux avant-gardes de la dérive post-fasciste.

Reste à voir si, plutôt que de s’en faire la complice active comme le font craindre les décisions récentes, l’institution judiciaire aura encore la volonté d’y résister.

Traduction du communiqué de presse de la coalition Reclaim Your Face.

Le 8 décembre 2023, les législateurs de l’Union européenne se sont félicités d’être parvenus à un accord sur la proposition de règlement tant attendue relative l’intelligence artificielle (« règlement IA »). Les principaux parlementaires avaient alors assuré à leurs collègues qu’ils avaient réussi à inscrire de solides protections aux droits humains dans le texte, notamment en excluant la surveillance biométrique de masse (SBM).

Pourtant, malgré les annonces des décideurs européens faites alors, le règlement IA n’interdira pas la grande majorité des pratiques dangereuses liées à la surveillance biométrique de masse. Au contraire, elle définit, pour la première fois dans l’UE, des conditions d’utilisation licites de ces systèmes. Les eurodéputés  et les ministres des États membres de l’UE se prononceront sur l’acceptation de l’accord final au printemps 2024.

L’UE entre dans l’histoire – pour de mauvaises raisons

La coalition Reclaim Your Face soutient depuis longtemps que les pratiques des SBM sont sujettes aux erreurs et risquées de par leur conception, et qu’elles n’ont pas leur place dans une société démocratique. La police et les autorités publiques disposent déjà d’un grand nombre de données sur chacun d’entre nous ; elles n’ont pas besoin de pouvoir nous identifier et nous profiler en permanence, en objectifiant nos visages et nos corps sur simple pression d’un bouton.

Pourtant, malgré une position de négociation forte de la part du Parlement européen qui demandait l’interdiction de la plupart des pratiques de SBM, très peu de choses avaient survécu aux négociations du règlement relatif à l’IA. Sous la pression des représentants des forces de l’ordre, le Parlement a été contraint d’accepter des limitations particulièrement faibles autour des pratiques intrusives en matière de SBM.

L’une des rares garanties en la matière ayant apparemment survécu aux négociations – une restriction sur l’utilisation de la reconnaissance faciale a posteriori [par opposition à l’utilisation en temps réel] – a depuis été vidée de sa substance lors de discussions ultérieures dites « techniques » qui se sont tenues ces dernières semaines.

Malgré les promesses des représentants espagnols en charge des négociations, qui juraient que rien de substantiel ne changerait après le 8 décembre, cette édulcoration des protections contre la reconnaissance faciale a posteriori  est une nouvelle déception dans notre lutte contre la société de surveillance.

Quel est le contenu de l’accord ?

D’après ce que nous avons pu voir du texte final, le règlement IA est une occasion manquée de protéger les libertés publiques. Nos droits de participer à une manifestation, d’accéder à des soins de santé reproductive ou même de nous asseoir sur un banc pourraient ainsi être menacés par une surveillance biométrique omniprésente de l’espace public. Les restrictions à l’utilisation de la reconnaissance faciale en temps réel et a posteriori prévues par la loi sur l’IA apparaissent minimes et ne s’appliqueront ni aux entreprises privées ni aux autorités administratives.

Nous sommes également déçus de voir qu’en matière de « reconnaissance des émotions » et les pratiques de catégorisation biométrique, seuls des cas d’utilisation très limités sont interdits dans le texte final, avec d’énormes lacunes.

Cela signifie que le règlement IA autorisera de nombreuses formes de reconnaissance des émotions – telles que l’utilisation par la police de systèmes d’IA pour évaluer qui dit ou ne dit pas la vérité – bien que ces systèmes ne reposent sur aucune base scientifique crédible. Si elle est adoptée sous cette forme, le règlement IA légitimera une pratique qui, tout au long de l’histoire, a partie liée à l’eugénisme.

Le texte final prévoit également d’autoriser la police à classer les personnes filmées par les caméras de vidéosurveillance en fonction de leur couleur de peau. Il est difficile de comprendre comment cela peut être autorisé étant donné que la législation européenne interdit normalement toute discrimination. Il semble cependant que, lorsqu’elle est pratiquée par une machine, les législateurs considèrent de telles discriminations comme acceptables.

Une seule chose positive était ressortie des travaux techniques menés à la suite des négociations finales du mois de décembre : l’accord entendait limiter la reconnaissance faciale publique a posteriori aux cas ayant trait à la poursuite de crimes transfrontaliers graves. Bien que la campagne « Reclaim Your Face » ait réclamé des règles encore plus strictes en la matière, cela constituait un progrès significatif par rapport à la situation actuelle, caractérisée par un recours massif à ces pratiques par les États membres de l’UE.

Il s’agissait d’une victoire pour le Parlement européen, dans un contexte où tant de largesses sont concédées à la surveillance biométrique. Or, les négociations menées ces derniers jours, sous la pression des gouvernements des États membres, ont conduit le Parlement à accepter de supprimer cette limitation aux crimes transfrontaliers graves tout en affaiblissant les garanties qui subsistent. Désormais, un vague lien avec la « menace » d’un crime pourrait suffire à justifier l’utilisation de la reconnaissance faciale rétrospective dans les espaces publics.

Il semblerait que ce soit la France qui ait mené l’offensive visant à faire passer au rouleau compresseur notre droit à être protégés contre les abus de nos données biométriques. À l’approche des Jeux olympiques et paralympiques qui se tiendront à Paris cet été, la France s’est battue pour préserver ou étendre les pouvoirs de l’État afin d’éradiquer notre anonymat dans les espaces publics et pour utiliser des systèmes d’intelligence artificielle opaques et peu fiables afin de tenter de savoir ce que nous pensons. Les gouvernements des autres États membres et les principaux négociateurs du Parlement n’ont pas réussi à la contrer dans cette démarche.

En vertu du règlement IA, nous serons donc tous coupables par défaut et mis sous surveillance algorithmique, l’UE ayant accordé un blanc-seing à la surveillance biométrique de masse. Les pays de l’UE auront ainsi carte blanche pour renforcer la surveillance de nos visages et de nos corps, ce qui créera un précédent mondial à faire froid dans le dos.

Après plusieurs mois d’enquête, dans le cadre d’une initiative européenne coordonnée par l’ONG britannique Fair Trials, La Quadrature publie aujourd’hui un rapport sur l’état de la police prédictive en France. Au regard des informations recueillies et compte tenu des dangers qu’emportent ces systèmes dès lors notamment qu’ils intègrent des données socio-démographiques pour fonder leurs recommandations, nous appelons à leur interdiction.

Après avoir documenté dès 2017 l’arrivée de systèmes assimilables à la police prédictive, puis ayant été confrontés à l’absence d’informations à jour et de réel débat public sur ces systèmes, nous avons souhaité enquêter plus en détail. Pour ce rapport, nous avons donc réuni les informations accessibles sur plusieurs logiciels de police prédictive anciennement ou actuellement en utilisation au sein des forces de police françaises, et notamment :

• RTM (Risk Terrain Modelling), un logiciel de « prévention situationnelle » utilisé par la préfecture de Police de Paris pour cibler les zones d’intervention à partir des données « environnementales » (présence d’écoles, de commerces, de stations de métro, etc.) ;
• PredVol, logiciel développé en 2015 au sein d’Etalab, expérimenté en Val d’Oise en 2016 pour évaluer le risque de vols de véhicule, abandonné en 2017 ou 2018 ;
• PAVED, logiciel développé à partir de 2017 par la Gendarmerie et expérimenté à partir de 2018 dans différents départements métropolitains pour évaluer le risque de vols de voiture ou de cambriolages. En 2019, peu avant sa généralisation prévue sur tout le territoire, le projet a été mis « en pause » ;
• M-Pulse, auparavant nommé Big Data de la Tranquillité Publique, développé par la ville de Marseille en partenariat avec la société Engie pour évaluer l’adéquation des déploiements de la police municipale dans l’espace public urbain ;
• Smart Police, logiciel comportant notamment un module « prédictif » et mis au point par la startup française Edicia qui, d’après son site web, a vendu cette suite logicielle à plus de 350 forces municipales.

Des technologies dangereuses, sans encadrement ni évaluation

Nous résumons ici les principales critiques à l’encontre des systèmes étudiés, dont la plupart font appel à des techniques d’intelligence artificielle.

Corrélation n’est pas causalité

Le premier danger associé à ces systèmes, lui-même amplifié par l’absence de transparence, est le fait qu’ils extrapolent des résultats à partir de corrélations statistiques entre les différentes sources de données qu’ils agrègent. En effet, par mauvaise foi ou fainéantise idéologique, les développeurs de ces technologies entretiennent une grave confusion entre corrélation et causalité (ou du moins refusent-ils de faire la distinction entre les deux). Or, ces amalgames se traduisent de façon très concrète dans le design et les fonctionnalités des applications et logiciels utilisés sur le terrain par les policiers, mais aussi dans leurs conséquences sur les habitantes exposées à une policiarisation accrue.

Lorsqu’elle recourt à ces systèmes d’aide à la décision, la police devrait donc au minimum tâcher de démontrer la pertinence explicative de l’utilisation de variables socio-démographiques spécifiques dans ses modèles prédictifs (c’est-à-dire aller au-delà des simples corrélations pour retracer les causes structurelles de la délinquance, ce qui pourrait conduire à envisager d’autres approches que les politiques sécuritaires pour y faire face). Cela implique en premier lieu d’être transparent au sujet de ces variables, ce dont on est pour l’instant très loin.

S’agissant par exemple de PAVED, le modèle prédictif utiliserait quinze variables socio-démographiques qui, selon les développeurs, sont fortement corrélées avec la criminalité. Cependant, il n’y a aucune transparence sur la nature de ces variables, et encore moins de tentative de démonstration d’une véritable relation de cause à effet. Il en va globalement de même pour les variables utilisées par Smart Police, le logiciel d’Edicia, quoiqu’on ait dans ce cas encore moins de visibilité sur la nature exacte des variables mobilisées.

Des variables potentiellement discriminatoires

Or, il est probable que, à l’image des algorithmes utilisés par la Caisse nationale des allocations familiales (CNAF), certaines variables socio-démographiques mobilisées soient discriminatoires.

En effet, les scores de risque sont possiblement corrélés à un taux de chômage ou de pauvreté important, ou encore à un taux élevé de personnes nées en dehors de l’Union européenne dans le quartier considéré. Et ce d’autant plus que l’on sait que, pour PAVED, parmi les données pertinentes pour l’établissement des « prédictions », on retrouve les indicateurs suivants : nationalité et données d’immigration, revenus et composition des ménages ou encore niveau de diplôme. Autant de variables qui risquent de conduire à cibler les populations les plus précarisées et les plus exposées au racisme structurel.

De fausses croyances criminologiques

Un autre danger associé à ces systèmes réside dans le fait qu’ils enracinent des doctrines criminologiques décriées. Les promoteurs de la police prédictive refusent de s’atteler à une compréhension générale et à une analyse sociale des comportements déviants et des illégalismes : nulle mention des politiques de précarisation, d’exclusion, de discrimination, et de la violence sociale des politiques publiques. Et lorsqu’ils s’aventurent à proposer des modèles explicatifs et qu’ils tentent d’inscrire ces modèle dans les algorithme de scoring, ils semblent s’en remettre à des « savoirs » dont la pertinence est parfaitement douteuse.

Certaines allusions doctrinales apparaissent par exemple dans les articles de recherche du principal développeur de PAVED, le colonel de gendarmerie Patrick Perrot. Ce dernier y fait part d’hypothèses de base concernant la criminalité (par exemple, la criminalité comme « phénomène en constante évolution »), et évoque les « signaux faibles » et autres « signes précurseurs » de la délinquance qui font écho aux théories de la « vitre brisée », dont la scientificité est largement mise en cause. De même, dans le cas d’Edicia, le module prédictif semble reposer sur l’idée selon laquelle la délinquance a un effet de débordement géographique (ou effet de « contagion ») et intègre lui aussi des postulats « remontés » du « terrain » qui prétendent que « la petite délinquance entraîne la grande délinquance ».

Autant de doctrines ineptes qui servent surtout à masquer les conséquences désastreuses des politiques ultralibérales, à criminaliser les incivilités du quotidien, qui doivent s’interpréter comme l’élément clé d’une tentative de criminalisation des pauvres. Aujourd’hui, elles sont donc incorporées aux systèmes automatisés que s’octroie la police, lesquels contribuent à les invisibiliser.

Un risque d’auto-renforcement

La critique est largement connue, mais elle mérite d’être rappelée ici : les logiciels de police prédictive soulèvent un important risque d’effet d’auto-renforcement et donc d’une démultiplication de la domination policière de certains quartiers (surveillance, contrôle d’identité, usages de pouvoirs coercitifs).

En effet, leur usage conduit nécessairement à sur-représenter les aires géographiques définies comme étant à haut risque dans les données d’apprentissage. Dès lors qu’un nombre important de patrouilles sont envoyées dans une zone donnée en réponse aux recommandations de l’algorithme, elles seront conduites à constater des infractions – mêmes mineures – et à collecter des données relatives à cette zone, lesquelles seront à leur tour prises en compte par le logiciel et contribueront à renforcer la probabilité que cette même zone soit perçue comme « à risque ».

La police prédictive produit ainsi une prophétie auto-réalisatrice en concentrant des moyens importants dans des zones déjà en proie aux discriminations et à la sur-policiarisation.

De possibles abus de pouvoir

Bien que nous n’ayons pas trouvé d’éléments relatifs aux instructions particulières données aux policiers lorsqu’ils patrouillent dans des zones jugées à haut risque par les systèmes prédictifs, une source nous indique que, grâce à PAVED, la gendarmerie a pu obtenir auprès du procureur de la République l’autorisation pour que les agents en patrouille se positionnent dans les lieux de passage et arrêtent les véhicules à proximité. Dans ce cadre, il s’agissait pour eux de vérifier les plaques d’immatriculation et les permis de conduire des conducteurs, et de procéder dans certains cas à des fouilles de véhicule.

Si l’information s’avérait exacte, cela signifierait que des contrôles préventifs, menés dans le cadre d’une autorisation du Parquet, ont été décidés sur la seule base d’une technologie fondée sur des postulats douteux et dont l’efficacité n’a jamais été évaluée. Une situation qui, en elle-même, matérialiserait une disproportion caractérisée des mesures restrictives de liberté prises à l’encontre des personnes concernées.

Des outils à l’efficacité douteuse

Au regard de leur nature discriminatoire, même dans la mesure où ces systèmes de police prédictive s’avéreraient efficaces du point de vue de la rationalité policière, ils poseraient d’importants problèmes en terme de justice sociale et de respect des droits humains. Or, en dépit de l’absence d’évaluation officielle, le fait est que les données disponibles semblent confirmer l’absence de valeur ajoutée des modèles prédictifs pour atteindre les objectifs que la police s’était fixés.

De fait, ces outils semblent loin d’avoir convaincu leurs utilisateurs et utilisatrices. PredVol ne ferait pas mieux que la simple déduction humaine. Quant à PAVED, même s’il pourrait avoir empêché quelques vols de voiture, il s’avère décevant en termes de capacités de prévision et ne se traduit pas par une hausse du nombre d’arrestations en flagrant délit, qui pour la police reste l’étalon de l’efficacité sous le règne de la politique du chiffre¹. Malgré ce qui était envisagé au départ, la généralisation de PAVED au sein de la gendarmerie nationale n’a jamais vu le jour. À l’issue d’une phase expérimentale, menée de 2017 à 2019, il a été décidé de mettre le logiciel de côté. Et si M-Pulse a trouvé une nouvelle jeunesse au gré du « rebranding citoyenniste » poussé par la nouvelle majorité municipale marseillaise de centre gauche, ses usages sécuritaires semblent relativement marginaux.

Pour quelles raisons ? L’opacité qui entoure ces expérimentations ne permet pas de le dire avec certitude, mais l’hypothèse la plus probable réside à la fois dans l’absence de vraie valeur ajoutée par rapport aux savoirs et croyances existantes au sein des forces de police et dans la complexité organisationnelle et technique associée à l’usage et à la maintenance de ces systèmes.

De graves lacunes dans la gestion des données

Pour les opposants à ces systèmes, les informations présentées dans ce rapport pourraient sembler rassurantes. Mais en réalité, même si l’effet de mode autour de la « police prédictive » semble passé, les processus de R&D relatifs aux systèmes d’aide à la décision des forces de police continuent. Des sommes d’argent conséquentes continuent d’être dépensées pour répondre à l’ambition affichée de « porter le ministère de l’Intérieur à la frontière technologique », ainsi que l’envisageait le livre blanc de la sécurité intérieure de 2020². Dans ce contexte d’un primat accordé aux approches techno-sécuritaires, PAVED pourrait ainsi être ré-activé ou remplacé par d’autres systèmes dans un futur proche. Quant à Edicia, l’entreprise envisageait ces derniers mois d’incorporer à son module prédictif de nouvelles sources de données issues des réseaux sociaux, comme l’envisageaient les concepteurs de M-Pulse au début du projet. La police prédictive reste donc d’actualité.

Interrogée via une demande CADA en mars 2022 et à nouveau en novembre 2023, la CNIL nous a indiqué qu’elle n’avait jamais reçu ou produit de document relatif aux logiciels de police prédictive dans le cadre de ses prérogatives. Cela semble indiquer que l’autorité de protection des données personnelles ne s’est jamais intéressée à ces logiciels dans le cadre de sa politique de contrôle. En soit, cela interroge lorsqu’on sait que, pour certains, ils sont utilisés par des milliers d’agents de police municipale à travers le pays.

Enfin, dans la mesure où les pouvoirs de police administrative exercés dans les zones jugées « à risque » par les systèmes prédictifs peuvent être considérés sur le plan juridique comme des « décisions administratives individuelles », les exigences énoncées par le Conseil constitutionnel dans sa jurisprudence sur les algorithmes devraient être respectées³. Or, celles-ci proscrivent notamment l’interdiction d’utiliser des « données sensibles » et imposent de prévoir des possibilités de recours administratifs pour les personnes concernées. S’y ajoutent des obligations de transparence imposées par la loi, notamment la loi de 2016 dite « République numérique »⁴.

Ces exigences législatives et jurisprudentielles ne semblent pas respectées s’agissant des systèmes de police prédictive. Non seulement il n’y a pas de tentative significative et proactive d’informer les citoyens et les autres parties prenantes sur le fonctionnement exact de ces systèmes, en dehors des quelques informations parfois disséminées de manière opportuniste. Plus grave encore, le droit à la liberté d’information que nous avons exercé via nos demandes CADA pour en apprendre davantage n’a donné lieu qu’à des informations partielles, et s’est heurté le plus souvent à l’absence de réponse, notamment de la part du ministère de l’Intérieur.

Il est urgent d’interdire la police prédictive

L’effet de mode semble passé. La police prédictive ne fait presque plus parler d’elle. Et pourtant…

Malgré une absence flagrante d’évaluation, d’encadrement législatif et en dépit de piètres résultats opérationnels, les promoteurs de ces technologies continuent d’entretenir la croyance selon laquelle l’« intelligence artificielle » pourra permettre de rendre la police plus « efficace ». De notre point de vue, ce que ces systèmes produisent c’est avant tout une automatisation de l’injustice sociale et de la violence policière, une déshumanisation encore plus poussée des relations entre police et population.

Dans ce contexte, il est urgent de mettre un coup d’arrêt à l’utilisation de ces technologies pour ensuite conduire une évaluation rigoureuse de leur mise en œuvre, de leurs effets et de leurs dangers. L’état de nos connaissances nous conduit à penser qu’une telle transparence fera la preuve de leur ineptie et de leurs dangers, ainsi que de la nécessité de les interdire.

Nous aider

Pour pallier l’opacité volontairement entretenue par les concepteurs de ces systèmes et par les autorités publiques qui les utilisent, si vous avez à votre disposition des documents ou éléments permettant de mieux comprendre leur fonctionnement et leurs effets, nous vous invitons à les déposer sur notre plateforme de partage anonyme de document. Il est également possible de nous les envoyer par la poste à l’adresse suivante : 115 rue de Ménilmontant, 75020 Paris.

Enfin, n’hésitez pas à nous signaler la moindre erreur factuelle ou d’analyse que vous pourriez identifier dans ce rapport en nous écrivant à contact@technopolice.fr. Et pour soutenir ce type de recherche à l’avenir, n’hésitez pas non plus à faire un don à La Quadrature du Net.

Lire le rapport complet

---

1. Lecorps, Yann, et Gaspard Tissandier. « PAVED with good intentions : an evaluation of the Gendarmerie predictive policing system ». Centre d’Économie de la Sorbonne (CES), Université Paris 1 Panthéon Sorbonne. Paris, septembre 2022. https://papers.ssrn.com/sol3/papers.cfm?abstract_id=4314831. ︎
2. Le livre blanc proposait de consacrer 1% du PIB aux missions de sécurité intérieure à l’horizon 2030, soit une augmentation escomptée d’environ 30% du budget du ministère sur la décennie.Ministère de l’intérieur, « Livre blanc de la sécurité intérieure » (Paris : Gouvernement français, 16 novembre 2020), https://www.interieur.gouv.fr/Actualites/L-actu-du-Ministere/Livre-blanc-de-la-securite-interieure. ︎
3. Voir la décision sur la transposition du RGPD (décision n° 2018-765 DC du 12 juin 2018) et celle sur Parcoursup (décision n° 2020-834 QPC du 3 avril 2020). ︎
4. Sur les obligations légales de transparence des algorithmes publics, voir : Loup Cellard, « Les demandes citoyennes de transparence au sujet des algorithmes publics », Note de recherche (Paris : Mission Etalab, 1 juillet 2019), http://www.loupcellard.com/wp-content/uploads/2019/07/cellard_note_algo_public.pdf. ︎

Dans le cadre d’une enquête sur les technologies de police prédictive dont nous vous reparlerons très bientôt, La Quadrature s’est intéressée de près à Edicia. Cette startup est peu connue du grand public. Elle joue pourtant un rôle central puisqu’elle équipe des centaines de polices municipales à travers le pays. Son logiciel Smart Police, dont nous avons obtenu le manuel d’utilisation, permet de faire un peu tout et n’importe quoi. Loin de tout contrôle de la CNIL, Smart Police encourage notamment le fichage illégal, une pratique policière en vogue…

L’entreprise Edicia a été créée en 2013 et a son siège à Nantes. Cette année-là, Vincent Loubert, un ancien consultant de Cap Gemini, rachète, avec le soutien du fonds d’investissement Newfund, une société de logiciels du nom d’Access, lancée à l’origine par un policier à la retraite qui cherchait à développer une application simplifiant le travail des policiers. Sous l’égide d’Edicia, ce logiciel va prendre le nom de Smart Police.

En 2019, après une expansion rapide en France (Edicia prétend alors équiper près de 600 villes à travers le pays)¹, la startup s’internationalise en développant ses activités aux États-Unis, vendant notamment son logiciel à la police de Denver, dans le Colorado, où elle ouvre même une antenne avec une trentaine de salariés. En France, cette année-là, la startup emploie une quarantaine de personnes et réalise des bénéfices pour la première fois depuis son lancement. Loubert affirme alors avoir consacré près de 10 millions d’euros à la R&D.

Depuis, il est possible que l’entreprise ait connu quelques difficultés financières. Le site d’Edicia comme ses comptes sur les réseaux sociaux sont globalement inactifs. Elle semble également embaucher moins de salariés. Pour autant, son logiciel Smart Police continue d’être utilisé au quotidien par des milliers de policier municipaux à travers le pays.

Aperçu de Smart Police

À quoi sert Smart Police ? À un peu tout et n’importe quoi. Il permet aux agents de police d’utiliser leur téléphone ou tablette pour rédiger leurs rapports directement depuis le terrain, d’ajouter à une base de donnée des clichés photographiques, de rapporter des évènements ou encore d’établir des procès-verbaux (voir les captures d’écran du logiciel à la fin de cet article, ou explorer le manuel d’utilisation au format HTML²). Smart Police est aussi utilisé par les officiers pour suivre depuis leurs bureaux les équipes sur le terrain, cartographier les incidents, consulter leurs rapports et recevoir divers indicateurs statistiques en temps réel, de même que les photographies prises en intervention (par exemple lors d’une manifestation).

Les villes de Marseille, Nice, Élancourt, Antony, Le Pré-Saint-Gervais, Libourne, Chinon, Coignères, Maurepas, ou encore la communauté de communes Grand Paris Sud- Seine Essonne Sénart comptent parmi les clientes d’Edicia (avec en tout 350 villes clientes d’après les derniers chiffres fournis sur le site d’Edicia). Mais bien évidemment, en dehors des affirmations péremptoires des patrons d’Edicia ou de quelques édiles relayés dans la presse, aucune étude disponible ne permet de démontrer le prétendu surcroît d’efficacité policière induit par Smart Police. Par ailleurs, une demande CADA nous a appris qu’une ville comme Cannes avait été cliente d’Edicia, avant de décommissionner le logiciel sans qu’on sache exactement pourquoi. Il est possible qu’à l’image de certains logiciels utilisés aux États-Unis puis abandonnés, le rapport coût-efficacité ait été jugé trop faible.

Fichage en mode YOLO ?

L’une des composantes les plus importantes de Smart Police, dont le manuel d’utilisation nous a été communiqué via une demande CADA et est désormais disponible, réside dans son menu « Activités de terrain », que les agents utilisateurs manient quotidiennement. Il leur permet de créer de nouvelles « mains courantes », d’écrire et de référencer des rapports de police (procès-verbaux) documentant diverses infractions que les agents de la police municipale sont autorisés à constater. Lorsqu’ils créent ces fiches, les agents doivent fournir des informations générales, la localisation géographique de l’événement, le type d’infraction, l’identité et les coordonnées du suspect ou des témoins (qui peuvent être enregistrées facilement en scannant une carte d’identité), etc. En tant que telles, ces fiches de signalement peuvent être détournées pour des finalités qui dépassent les prérogatives de la police municipale – lesquelles sont limitées, notamment en matière de contrôle d’identité³ –, et devraient être soumises à un contrôle étroit.

Un autre module présente un risque encore plus important de fichage illégal : il s’agit du module « Demande administré », qui comme son nom l’indique, permet d’enregistrer les signalements faits par des administrés à la police municipale (bruit, dégradation, présence d’un animal dangereux, etc.). Là encore, l’interface rend possible l’ajout de données géolocalisées et de photographies.

Enfin, Smart Police comporte un module « Vigilance active », au sein duquel les agents peuvent rassembler des informations non officielles sur des événements passés ou futurs. Par exemple, si un agent de police a rapporté une rumeur entendue dans la rue ou repérée sur les réseaux sociaux (par exemple concernant un « rassemblement non autorisé », ainsi que l’illustre le manuel), une fiche peut être créée pour la consigner. Celle-ci peut très bien comporter toutes sortes de données dont le traitement par la police est, dans un tel cadre, totalement illégal (identité des personnes suspectées d’organiser ce rassemblement, des photographies extraites des réseaux sociaux, etc.). Ces fiches de renseignement peuvent ensuite être transformées en « missions » assignées aux agents depuis l’interface à disposition des managers, conduire à la création de nouvelles fiches « mains courantes », mais aussi alimenter le module « Analyse prédictive » si la ville cliente d’Edicia y a souscrit (nous y reviendrons dans un prochain article).

On le comprend au regard de ces descriptions, Smart Police comporte un risque important de voir consignées des données identifiantes, et donc là encore de conduire à des opérations de fichage illégal. Notamment, il ne semble pas respecter le cadre réglementaire s’agissant des traitements automatisés utilisés par les polices municipales pour gérer les mains courantes, puisque ce dernier exclut la prise de photographies⁴.

Loin de tout contrôle

Par deux fois, nous avons interrogé la CNIL via des demandes CADA pour savoir si elle s’était penchée sur l’utilisation de Smart Police en France. Par deux fois, la même réponse nous a été faite : en dehors de quelques formalités préalables réalisées par une demi-douzaine de communes avant l’entrée en vigueur du RGPD, nada (voir ici pour la dernière réponse en date). Nous avons bien mis la main sur l’attestation de conformité RGPD, délivrée à Edicia par le cabinet Olivier Iteanu et obtenue via une demande CADA à la ville de Libourne, ainsi qu’un document relatif à la politique de gestion des données d’Edicia, mais celles-ci n’offrent aucun élément réellement rassurant s’agissant du risque de voir Smart Police servir à des opérations de fichage illégal. Enfin, aucune des dizaines de demandes CADA envoyées aux mairies s’agissant d’Edicia n’a mis en évidence de contrôle réalisé par les personnes déléguées à la protection des données au sein des villes.

Nos inquiétudes à ce sujet sont évidemment renforcées par des révélations récentes. La presse locale s’est récemment faite l’écho de pratiques de policiers municipaux dans une commune de la région PACA consistant à échanger, sur des boucles WhatsApp privées et à partir de leurs smartphones personnels, des données sensibles relatives à des personnes : images extraites de la vidéosurveillance, photos des personnes contrôlées, plaques d’immatriculation, pièces d’identité, etc⁵. Des pratiques totalement illégales mais dont on peut supposer qu’elles sont monnaie courante, non seulement au sein des polices municipales mais aussi au sein de la police nationale.

Quant au dernier rapport de l’Inspection générale de la police nationale (IGPN)⁶, il note une hausse sensible des faits de détournements de fichiers (56 enquêtes, contre 38 en 2021 et 27 en 2020), une évolution qu’elle qualifie de « préoccupante » :

Ces faits sont de gravité très inégale selon qu’ils procèdent de la curiosité « malsaine » (passage aux fichiers d’une ex-compagne ou d’un nouveau compagnon, de membres de sa famille, d’une personne connue, d’un chef de service, sans argent versé ou contrepartie) ou du commerce des informations récoltées. Ces cas sont les plus sensibles, lorsque les informations confidentielles issues des fichiers de police sont remises à des tiers, avec ou sans but lucratif. Si la preuve de la consultation illégale est assez simple à rapporter par les enquêteurs, il en va différemment pour la preuve éventuelle d’une rétribution à titre de contrepartie.

Pour l’institution, « cette situation tient à la fois à la multiplication du nombre de fichiers de police et une meilleure accessibilité », notamment du fait d’un déploiement croissant des tablettes et smartphones Neo, lesquelles permettent un accès plus aisé aux fichiers de police pour les agents de la police nationale et de la gendarmerie nationale. L’IGPN estime que l’intelligence artificielle pourrait permettre de détecter plus aisément ces consultations illégales.

Et maintenant ?

Pour notre part, plutôt qu’un solutionnisme technologique abscons, la réponse tiendrait plutôt à une désescalade techno-sécuritaire, à savoir le fait de battre en brèche l’augmentation exponentielle du fichage de la population, le recul constant des garanties concrètes apportées aux droits fondamentaux (recul auquel le RGPD et les textes associés ont participé par de nombreux aspects). Au minimum, les contre-pouvoirs institutionnels, comme la CNIL, devraient faire leur travail, à savoir lutter contre les illégalismes policiers, plutôt que d’instaurer une impunité de fait par leur coupable laisser-faire.

De ce point de vue, un premier pas dans la bonne direction consisterait à procéder à un contrôle résolu des polices municipales clientes d’Edicia, en n’hésitant pas à prononcer de vraies sanctions contre les responsables hiérarchiques dès lors que des infractions seront constatées.

Pour soutenir notre travail, vous pouvez faire un don à La Quadrature du Net.

---

1. À noter : sur son site web, Edicia se targue également de compter parmi ses clients quelques services du ministère de l’Intérieur, mais nos demandes CADA envoyées au ministère sur ces collaborations sont restées infructueuses, le ministère prétendant qu’il n’existe aucun lien avec Edicia. ︎
2. Le manuel d’utilisation de Smart Police est disponible à l’adresse suivante : https://technopolice.fr/police-predictive/manuel-edicia/Edicia.html. ︎
3. Lorsqu’ils créent des procès-verbaux dans Edicia, les agents sont invités à choisir parmi une liste d’infractions présélectionnées et tirées d’une base de données nationale catégorisant tous les types d’infractions (la base de données NATINF). Rappelons que les types d’infractions que les agents de police municipale peuvent constater sont très limités. Ils peuvent par exemple sanctionner les propriétaires de chiens dangereux qui ne respectent pas la loi, inspecter visuellement et fouiller (avec l’autorisation du propriétaire) les sacs et bagages lors de manifestations publiques ou à l’entrée d’un bâtiment municipal, délivrer des amendes en cas d’incivilités telles que le dépôt d’ordures dans la nature, le tapage nocturne, le fait de laisser des animaux dangereux en liberté, et constater la plupart des infractions au code de la route commises sur le territoire communal dès lors qu’elles ne nécessitent pas d’enquête. Cependant, les agents de la police municipale disposent de pouvoirs beaucoup plus étendus que ne le laisse supposer le code pénal : arrestation en flagrant délit d’une personne ayant commis un crime ou un délit passible de prison pour l’amener au poste de police nationale ou de gendarmerie le plus proche, établissement de rapports et procès-verbaux concernant tout crime, délit ou contravention dont les agents municipaux seraient témoins, documents qui peuvent soit être directement transmis à la police nationale ou à la gendarmerie, soit au maire. Celui-ci, ayant qualité d’officier de police judiciaire, transmet alors l’information au procureur de la république. Bien que la loi ne les autorise pas à procéder à des contrôles d’identité, les agents de police municipaux peuvent collecter l’identité d’une personne, tant qu’ils ne demandent pas de produire une pièce attestant de celle-ci, et sont autorisés à demander une preuve d’identité dans le cas des quelques délits qui rentrent dans leurs prérogatives. Le logiciel d’Edicia semble donc offrir des fonctionnalités qui vont bien au-delà du cadre juridique. Voir « Mémento policiers municipaux et gardes champêtres ». Ministère de l’Intérieur, 10 novembre 2021. https://www.interieur.gouv.fr/content/download/129786/1033871/file/memento-polices-muni-gardes-champetres.pdf. ︎
4. Arrêté du 14 avril 2009 autorisant la mise en œuvre de traitements automatisés dans les communes ayant pour objet la recherche et la constatation des infractions pénales par leurs fonctionnaires et agents habilités, consulté le 9 décembre 2023, https://www.legifrance.gouv.fr/loda/id/JORFTEXT000020692173. ︎
5. Éric Galliano, « Saint-Laurent-du-Var : Les policiers municipaux ont constitué leurs propres fichiers de délinquants », Nice Matin, 20 novembre 2023, https://www.nicematin.com/justice/a-saint-laurent-du-var-les-policiers-municipaux-ont-constitue-leurs-propres-fichiers-de-delinquants-886441. ︎
6. Voir le rapport d’activité de l’Inspection générale de la Police nationale pour l’année 2022, disponible à l’adresse : https://www.interieur.gouv.fr/Publications/Rapports-de-l-IGPN/Rapport-annuel-d-activite-de-l-IGPN-2022 ︎ ︎