Qu'est-ce que Chat Control ?
Le règlement proposé par l'UE pour lutter contre les matériels d'abus sexuels sur enfants (CSAM) via le scan automatisé des messages est devenu l'un des débats sur les droits numériques les plus controversés en Europe. Ce guide explique ce qu'est Chat Control, comment il fonctionne techniquement, où en est la législation et ce que cela pourrait signifier pour votre vie privée.
Qu'est-ce que Chat Control ?
Le terme « Chat Control » a été inventé par des militants des droits numériques et des journalistes pour désigner un ensemble de mesures législatives européennes visant à lutter contre la propagation de matériels d'abus sexuels sur enfants (CSAM) et le grooming en ligne via l'analyse automatisée des communications des utilisateurs.
Deux pistes parallèles
Le cadre législatif emprunte deux voies distinctes. Chat Control 1.0 est une dérogation temporaire et volontaire à la directive ePrivacy qui permet aux entreprises d'utiliser des technologies de détection. Chat Control 2.0 est un règlement permanent proposé (CSAR) qui rendrait obligatoires les évaluations de risques et pourrait exiger des ordres de détection pour tous les fournisseurs concernés dans l'UE.
Ce qui est scanné
Messages, images, vidéos et fichiers transmis via la messagerie instantanée, les e-mails, les conversations privées sur les réseaux sociaux et les services VoIP.
Pourquoi c'est important pour la vie privée
Pour la première fois, une grande juridiction démocratique envisage d'obliger le scan des communications privées avant leur envoi, créant des mécanismes techniques que les critiques jugent fondamentalement affaiblissants pour le chiffrement de bout en bout pour tous.
Statut actuel
Le régime temporaire (1.0) a été prolongé jusqu'en avril 2028 lors d'un vote controversé en juillet 2026. Les négociations en trilogue sur le règlement permanent (2.0) se poursuivent avec de profondes divisions entre le Parlement, le Conseil et la Commission.
Comment le scan fonctionne réellement
La mise en œuvre technique de Chat Control dépend de l'utilisation ou non du chiffrement de bout en bout par le service. Deux approches fondamentalement différentes s'appliquent.
Scan côté serveur
Sur les plateformes sans chiffrement de bout en bout, les images, textes et vidéos sont analysés automatiquement sur les serveurs de l'entreprise avant d'être livrés au destinataire ou stockés. C'est techniquement plus simple et déjà courant pour détecter les hachages CSAM connus.
- S'applique àE-mail traditionnel, stockage cloud non-E2EE, plateformes côté serveur
- Impact techniqueAucun changement à l'architecture de chiffrement existante
- Problème de vie privéeLe fournisseur a accès à tout le contenu par conception
Scan côté client
Pour les services protégés par chiffrement de bout en bout (E2EE), les serveurs du fournisseur ne peuvent pas lire le contenu. Pour scanner malgré tout, la proposition place un logiciel de détection sur l'appareil de l'utilisateur — scannant le message juste avant son chiffrement pour l'envoi, ou juste après son déchiffrement à la réception.
- S'applique àWhatsApp, Signal, Telegram, iMessage, ProtonMail, apps E2EE
- Impact techniqueCrée un agent de scan à l'intérieur de la frontière de confiance de l'appareil
- Problème de vie privéeLes critiques disent que cela affaiblit structurellement le modèle de chiffrement
Méthodes de détection
Correspondance par hachage
Les fichiers sont comparés aux bases de données internationales d'images et vidéos CSAM connues à l'aide d'empreintes numériques uniques (valeurs de hachage). Seul le contenu illégal pré-identifié est signalé.
Classification IA
Classifieurs d'apprentissage automatique et modèles de vision entraînés à détecter du matériel illégal jamais vu auparavant, du nouveau contenu CSAM pas encore enregistré dans les bases de données de hachage, et des schémas suspects dans le contenu visuel.
Détection de grooming
Modèles de traitement du langage naturel (NLP) entraînés à détecter des schémas de comportement prédateur dans les conversations. Ces algorithmes analysent le texte à la recherche de marqueurs linguistiques associés au processus de grooming.
Événements clés de la chronologie de Chat Control
De la proposition originale au dernier vote d'urgence, le parcours de ce règlement a été marqué par de profondes divisions institutionnelles et une controverse procédurale.
La Commission européenne publie la proposition officielle de règlement permanent COM(2022) 209, intitulée « Règlement visant à prévenir et combattre les abus sexuels sur enfants. » Elle propose des évaluations de risques obligatoires et des ordres de détection pour tous les fournisseurs de communications.
Le Parlement européen approuve son mandat de négociation, rejetant explicitement le scan massif des communications chiffrées et demandant que les ordres de détection soient limités à des cibles spécifiques autorisées par un tribunal avec des soupçons raisonnables.
Le Conseil de l'UE parvient à un accord interne préliminaire qui assouplit le langage explicite de scan obligatoire mais conserve des obligations généralisées d'atténuation technique, laissant la porte ouverte aux exigences de scan côté client.
Le Parlement européen vote 311 contre et 228 pour le renouvellement de la dérogation temporaire Chat Control 1.0. Le régime de scan volontaire doit expirer le 3 avril.
La dérogation ePrivacy expire comme prévu. Pendant environ trois mois, le scan volontaire fonctionne sans son cadre juridique spécifique de zone de sécurité en droit européen.
Sous la présidence chypriote, le cinquième trilogue entre la Commission, le Parlement et le Conseil se tient pour négocier le texte final du Chat Control 2.0 permanent. Les désaccords clés sur le chiffrement et la portée restent non résolus.
Lors d'un vote d'urgence accéléré dans le cadre de l'article 170, le Parlement européen vote 314 contre et 276 pour la prolongation. Malgré plus de votes contre, la mesure est adoptée car 361 votes absolus étaient nécessaires pour bloquer la proposition du Conseil. Le régime de scan volontaire est rétabli et prolongé jusqu'au 3 avril 2028, en attendant la ratification formelle par les États membres dans un délai de trois mois.
Quels services sont concernés ?
Les définitions juridiques du code des communications électroniques européen couvrent un large éventail de technologies de communication numérique du quotidien.
Où se situent les institutions européennes
Les trois principaux organes de l'UE sont profondément divisés sur Chat Control, créant une impasse législative qui retarde le consensus depuis des années.
Commission européenne
Promoteur initial du règlement permanent. Menée initialement par la commissaire aux Affaires intérieures Ylva Johansson. Soutient que les outils volontaires sont insuffisants et qu'une structure coordonnée et tournée vers la technologie est nécessaire pour faire face à l'augmentation massive du CSAM en ligne.
Parlement européen
Majorité opposée au scan indiscriminé. Plaide pour la protection du chiffrement de bout en bout, la limitation des ordres de détection aux individus faisant l'objet de soupçons fondés avec mandat judiciaire préalable, et l'élimination de la surveillance automatisée de masse.
Conseil de l'UE
Profondément divisé. La France, l'Espagne et la présidence chypriote poussent pour des capacités de détection étendues. L'Allemagne a officiellement déclaré en octobre 2025 qu'elle voterait contre tout cadre qui risquerait l'E2EE. L'Autriche, la Pologne et les Pays-Bas ont exprimé de sérieuses objections.
Arguments pour et contre
Le débat public sur Chat Control oppose la protection de l'enfance aux droits numériques fondamentaux. Voici les principaux arguments des deux côtés.
+ Pour
Commission européenne, ONG de protection de l'enfance
Efficacité et urgence : Des millions de fichiers CSAM sont distribués via les plateformes numériques chaque mois. L'analyse automatisée est présentée comme la seule méthode ayant l'ampleur et la vitesse suffisantes pour identifier les hubs de distribution et démanteler les réseaux criminels.
Prévention du grooming : Les algorithmes de scan de texte pourraient intercepter les délinquants dès les premiers stades de contact avec des mineurs, avant que les abus physiques ne se produisent.
Responsabilité des entreprises : Oblige les grandes entreprises technologiques à jouer un rôle proactif dans la sécurité des enfants au sein de leurs écosystèmes fermés.
– Contre
Experts en cybersécurité, défenseurs des droits numériques, industrie tech
Backdoor de chiffrement : Le scan côté client affaiblit structurellement l'E2EE. Créer un mécanisme d'accès avant chiffrement introduit des vulnérabilités de sécurité exploitables par des acteurs malveillants, des cybercriminels et des gouvernements autoritaires.
Surveillance de masse : Intercepter et analyser toutes les communications sans suspicion d'infraction subvertit la présomption d'innocence et normalise la surveillance de masse.
Faux positifs : Les systèmes de détection IA ont des taux d'erreur. Des photos de famille innocentes (plage, bain) ou des conversations légitimes sur la santé sexuelle pourraient être signalées, envoyant des données privées aux autorités.
Efficacité discutable : Les rapports internes de l'UE (COM(2025)740) n'ont trouvé aucun lien statistiquement démontrable entre les activités de scan volontaire et l'augmentation des condamnations ou le sauvetage effectif de mineurs par rapport aux enquêtes policières ciblées traditionnelles.
Questions fréquemment posées
Chat Control est le nom informel d'initiatives législatives de l'UE visant à lutter contre les matériels d'abus sexuels sur enfants (CSAM) et le grooming en ligne. Cela englobe une mesure volontaire temporaire (Chat Control 1.0) et un règlement permanent proposé (Chat Control 2.0, officiellement le règlement CSAR) qui obligerait les fournisseurs de communications numériques à détecter le contenu illégal via l'analyse automatisée des messages, fichiers et communications.
Chat Control 1.0 (règlement 2021/1232) est une dérogation temporaire à la directive ePrivacy qui permet — mais n'exige pas — aux entreprises de déployer volontairement des technologies de détection. Elle a été prolongée jusqu'en avril 2028. Chat Control 2.0 (COM(2022) 209) est un règlement permanent proposé qui rendrait les évaluations de risques obligatoires et donnerait aux autorités le pouvoir d'émettre des ordres de détection contraignants. Il est toujours en cours de négociation en trilogue.
Les critiques soutiennent que le scan côté client — la seule méthode techniquement réalisable pour scanner le contenu E2EE — crée une vulnérabilité structurelle dans le modèle de chiffrement. Des informaticiens et des agences de sécurité avertissent que tout mécanisme de scan avant chiffrement sur les appareils des utilisateurs peut être détourné comme backdoor par des acteurs malveillants, minant les garanties de sécurité que l'E2EE offre à tous les utilisateurs, pas seulement à ceux soupçonnés d'infractions.
La dérogation originale a expiré le 3 avril 2026 après que le Parlement a voté contre son renouvellement le 26 mars (311-228). Le 9 juillet 2026, dans le cadre d'une procédure d'urgence au titre de l'article 170 demandée par la présidence chypriote, le Parlement a voté à nouveau : 314 contre la prolongation, 276 pour, 17 abstentions. Étant donné que les procédures d'urgence nécessitent 361 votes absolus (une majorité de l'hémicycle de 720 sièges) pour bloquer la proposition du Conseil, la prolongation a été adoptée malgré le fait que plus de députés s'y opposaient. Le régime de scan volontaire est rétabli jusqu'au 3 avril 2028.
Le scan côté client place un logiciel de détection sur l'appareil de l'utilisateur (téléphone, tablette, ordinateur). Avant qu'un message ne soit chiffré pour l'envoi — ou immédiatement après son déchiffrement à la réception — le logiciel analyse le contenu. Trois techniques principales sont utilisées : (1) correspondance de hachage contre des bases de données CSAM connues, (2) classifieurs IA et modèles de vision pour le matériel illégal nouveau ou non reconnu, et (3) algorithmes de traitement du langage naturel pour la détection de grooming dans le texte des conversations.
Les règlements couvrent : la messagerie instantanée (WhatsApp, Signal, Telegram, iMessage), les conversations privées sur les réseaux sociaux (Instagram, Facebook Messenger, TikTok, X, Snapchat), la messagerie électronique (Gmail, Outlook, ProtonMail), les services VoIP et d'appels vidéo, et — selon la proposition Chat Control 2.0 — les magasins d'applications, qui devraient vérifier l'âge des utilisateurs et potentiellement restreindre les téléchargements d'applications pour les utilisateurs de moins de 16 ans.
Quatre critiques principales : (1) il affaiblit structurellement le chiffrement de bout en bout en créant un mécanisme de type backdoor ; (2) il permet la surveillance de masse de toute la population sans suspicion individuelle, minant la présomption d'innocence ; (3) les systèmes de détection IA produisent des faux positifs qui peuvent exposer des données privées aux autorités ; et (4) une évaluation interne de l'UE (COM(2025)740) n'a trouvé aucun lien statistiquement démontrable entre le scan volontaire et l'augmentation des condamnations ou le sauvetage effectif d'enfants.
En juillet 2026, le règlement CSAR permanent (Chat Control 2.0) est toujours en cours de négociation en trilogue entre la Commission, le Parlement et le Conseil. La cinquième session de trilogue a eu lieu le 29 juin 2026 sous la présidence chypriote. Des désaccords clés subsistent, notamment sur la portée des ordres de détection, la protection du chiffrement de bout en bout et les exceptions pour certaines catégories d'utilisateurs.
Les récents textes de négociation du Conseil de fin 2025 et mi-2026 incluent des exceptions fonctionnelles proposées pour certaines catégories de personnel, notamment les politiciens, diplomates, forces de police et militaires, invoquant des raisons de sécurité nationale. Les critiques soutiennent que cela crée un système de vie privée à deux vitesses où les citoyens ordinaires ont des protections plus faibles que les responsables gouvernementaux.
NOLO est un assistant IA respectueux de la vie privée qui croit en la minimisation de la collecte de données et la protection de la vie privée des utilisateurs par conception. Nous n'exploitons pas de plateforme de messagerie et ne sommes pas directement soumis à ces règlements. Cependant, nous suivons le débat de près car les mécanismes techniques proposés — en particulier le scan côté client — créent des précédents sur la manière dont les gouvernements peuvent imposer l'accès aux communications privées. L'architecture même de NOLO (pas de compte, pas d'e-mail, historique local, aucune conservation de données) reflète un engagement envers les mêmes principes de vie privée que les critiques de Chat Control défendent.
La vie privée n'est pas une fonctionnalité. C'est le fondement.
Chat Control représente un moment charnière pour la vie privée numérique en Europe. L'issue de ce débat déterminera si le chiffrement de bout en bout peut survivre en tant que protection de la vie privée significative, ou si toutes les communications numériques deviennent sujettes à une surveillance automatisée par conception. Nous avons construit NOLO sur la conviction que la vie privée devrait être la norme, pas une exception.
- Pas de compte, pas d'e-mail — votre identité est un ID d'appareil anonyme
- Historique local d'abord — conversations stockées uniquement dans votre navigateur
- Aucune conservation de données — les messages sont répondus puis supprimés côté serveur
- Pas d'entraînement sur vos données — les fournisseurs sont contractuellement exclus
- Transparent sur ce qui quitte votre appareil — et ce qui ne le quitte pas
Connaissez vos droits numériques.
Le débat sur Chat Control concerne tous ceux qui utilisent la messagerie chiffrée. Comprendre les propositions, les arguments et l'état de la législation est la première étape pour faire entendre votre voix.