Les deux instances européennes en charge du respect du RGPD réclament, dans un communiqué conjoint, l'interdiction de l'utilisation de l'intelligence artificielle (IA) pour la reconnaissance automatisée des caractéristiques humaines dans les espaces accessibles au public, ainsi que « certaines autres utilisations de l'IA pouvant conduire à une discrimination injuste ».

Sont ainsi visées les techniques d'identification biométrique à distance « telles que la reconnaissance de visages, démarche, empreintes digitales, ADN, voix, frappes au clavier et autres signaux biométriques ou comportementaux, dans n'importe quel contexte ».

Elles recommandent également d'interdire les systèmes d'IA « utilisant la biométrie pour catégoriser les individus en groupes basés sur l'origine ethnique, le sexe, l'orientation politique ou sexuelle », ou d'autres motifs pour lesquels la discrimination est interdite en vertu de l'article 21 de la Charte des droits fondamentaux.

Tout en saluant la proposition de règlement de la Commission européenne établissant des règles harmonisées en matière d'intelligence artificielle, elles se disent par ailleurs « préoccupées par l'exclusion de la coopération internationale en matière répressive du champ d'application de la proposition ».

La Commission européenne a en effet proposé une interdiction de principe de ces technologies, mais « assortie d'exceptions pour faciliter le travail de la police, par exemple dans la recherche d'un enfant disparu, pour prévenir une menace terroriste imminente ou encore pour retrouver l'auteur d'un crime grave », rappelle l'AFP.

L'agence de presse souligne que l'UE prévoit également de soutenir ce secteur à hauteur de un milliard d'euros par an, « générant en tout 20 milliards d'euros d'investissements sur la prochaine décennie ».

Si le texte doit encore être débattu durant des mois avec le Parlement européen et les États membres, l'AFP relève en outre que cet avis, formulé au nom des 27 autorités de protection des données des États membres de l'UE, reste purement consultatif, à l'instar de ceux de la CNIL.

Déduire les émotions devrait être interdit

Les deux instances n'en considèrent pas moins que « l'utilisation de l'IA pour déduire les émotions d'une personne physique est hautement indésirable et devrait être interdite ».

Elles considèrent également que « le respect des obligations légales découlant de la législation de l'Union – y compris sur la protection des données personnelles – devrait être une condition préalable à l'entrée sur le marché européen en tant que produit marqué CE ».

Elles remettent en outre en question la désignation d'un rôle prédominant à la Commission européenne au sein du « European Artificial Intelligence Board » (EAIB), car « cela irait à l'encontre de la nécessité d'un organe européen de l'IA indépendant de toute influence politique ». Elles estiment que, « pour garantir son indépendance, la proposition devrait donner plus d'autonomie à l'EAIB et lui permettre d'agir de sa propre initiative ».

Elles estiment que la désignation des APD en tant qu'autorités de surveillance nationales « garantirait une approche réglementaire plus harmonisée et contribuerait à une interprétation cohérente des dispositions relatives au traitement des données dans l'ensemble de l'UE ».

Les « incorruptibles » du RGPD

Le Comité Européen de la Protection des Données (EDPB en anglais) « a pour objectif de garantir l’application cohérente du Règlement Général sur la Protection des données ainsi que de la Directive Européenne en matière de Protection des Données dans le domaine Répressif dans l’Union européenne ».

Il peut, à ce titre, « adopter des documents d’orientations générales afin de clarifier les dispositions des actes législatifs européens en matière de protection des données et, de cette manière, fournir aux acteurs concernés une interprétation cohérente de leurs droits et obligations », et :

• fournir des orientations générales (y compris à travers des lignes directrices, des recommandations et des bonnes pratiques) pour clarifier la législation;
• conseiller la Commission européenne sur toute question liée à la protection des données à caractère personnel et sur les nouvelles propositions de législation dans l’Union européenne;
• adopter des conclusions relatives à la cohérence sur des questions de protection de données transfrontalières; et
• promouvoir la coopération ainsi que l’échange efficace d’informations et de bonnes pratiques entre les autorités de contrôle nationales.

Le Contrôleur européen de la protection des données (EDPS en anglais) est, de son côté, chargé de « superviser les institutions de l’UE afin de les aider à être exemplaires [et] irréprochable lorsqu’elles traitent des informations personnelles » :

« Afin de les aider, nous fournissons des orientations sur la façon de se conformer à cette réglementation et veillons à ce qu’elle soit appliquée correctement. Notre approche consiste à faire confiance et à vérifier.

En pratique, il s’agit notamment de publier des lignes directrices, d’enquêter sur les réclamations, de répondre aux consultations des institutions de l’UE et de mener des audits sur la protection des données. »

Une application immédiate du principe de précaution

Andrea Jelinek et Wojciech Wiewiórowski, présidents respectifs d'EDPB et de l'EDPS, concluent leur communiqué commun en expliquant que « le déploiement de l'identification biométrique à distance dans des espaces accessibles au public signifie la fin de l'anonymat dans ces lieux » :

« Des applications telles que la reconnaissance faciale en direct interfèrent avec les droits et libertés fondamentaux à un point tel qu'elles peuvent remettre en cause l'essence de ces droits et libertés. Cela appelle une application immédiate du principe de précaution.

Une interdiction générale de l'utilisation de la reconnaissance faciale dans les zones accessibles au public est le point de départ nécessaire si nous voulons préserver nos libertés et créer un cadre juridique centré sur l'humain pour l'IA.

Le règlement proposé devrait également interdire tout type d'utilisation de l'IA pour la notation sociale, car elle est contraire aux valeurs fondamentales de l'UE et peut conduire à des discriminations. »

La reconnaissance faciale est d'ores et déjà là

Dans une « tentative d’état des lieux de la reconnaissance faciale en France en 2021 », le collectif Technopolice, initié par La Quadrature du Net, déplore de son côté que « oui, la reconnaissance faciale est malheureusement déjà déployée en France et non, elle n’a pas besoin d’un "cadre éthique" mais d’une interdiction », eu égard aux arguments avancés par ses défenseurs et partisans :

« Quand on parle reconnaissance faciale en France, on nous répond la plupart du temps que celle-ci n’est pas encore vraiment déployée en France et que d’autres pays font bien pires. On nous dit aussi que, malgré tout, il faudra bien s’y mettre un jour (le secrétaire d’État au numérique parle même d’une nécessité pour faire progresser "nos industriels") et que la France doit parvenir à créer une "reconnaissance faciale éthique" (voir la proposition de Didier Baichère sur le sujet). »

Technopolice estime en effet que « le principal dispositif de reconnaissance faciale existant en France est aujourd’hui celui du fichier du "Traitement des antécédents judiciaires", ou TAJ » (voir une présentation du fichier par la CNIL) :

« Ce fichier concerne toutes les personnes "mises en causes" lors d’une enquête de police ou faisant l’objet d’une enquête pour cause de mort, de blessure grave ou de disparition. La photographie du visage de ces personnes est conservée dans ce fichier (voir les articles du code de procédure pénale correspondants). En 2018, ce fichier comportait 19 millions de fiches et 8 millions de photographies de face. »

Quid des contrôles non automatisés ?

Or, depuis 2012, le gouvernement s’est « arrogé par décret (et non par la loi) le droit d’utiliser les photos de ce fichier pour identifier par reconnaissance faciale les personnes déjà fichées dans le TAJ ». En 2019, la police a ainsi utilisé le TAJ plus de 375 000 fois (soit plus de 1 000 fois par jour) à des fins de reconnaissance faciale. Ce pourquoi La Quadrature a attaqué ce fichier en 2020 devant le Conseil d’État pour violation du droit à la vie privée et aux données personnelles :

« L’existence même d’un fichier comme le TAJ, intégrant la reconnaissance faciale, est contestable et contestée. Le TAJ, comme tous les fichiers de police et de gendarmerie, voit son utilisation encadrée juridiquement. Mais en pratique les forces de l’ordre en ont une consultation beaucoup plus libre que celle prévue par les textes. Leur usage peut être facilement détourné et employé de manière frauduleuse et abusive (plus d’infos sur la pratique du fichage dans cette brochure). »

De plus, et « dans une sorte de pratique plus collective, répandue et plus ou moins acceptée par la hiérarchie, la police utilise le fichier TAJ pour effectuer des contrôles d’identité » :

« Cela commence par une prise de photo de la personne avec une tablette ou un téléphone. Ensuite le fichier TAJ est consulté et donne de nombreuses informations : si la personne y est fichée, cela signifie qu’elle a déjà eu affaire à la police et qu’elle est connue des services. Ensuite cela permet à la police de vérifier que celle-ci a bien donné l’identité présente sur son état civil. »

Cette utilisation du TAJ et de son outil de reconnaissance faciale pour effectuer des contrôles d’identité « ne semble pas nouvelle », déplore Technopolice, et semble même être « de plus en plus régulier à destination de militant·es, à Marseille, en Île-de-France, dans des témoignages que nous avons recueillis ou constaté par nous-même et enfin comme s’en vante le premier policier de France » :

« En pratique, cette manipulation du TAJ peut signifier deux choses, estime Technopolice : soit que les agents sont en train de tester une nouvelle fonction de leur tablette NEO, laquelle leur permet de prendre des photos et d’interroger le TAJ directement. Soit qu’ils profitent de leur appareil pour prendre une photo et l’envoyer au service central de la police gérant le fichier. »

De la police chinoise aux aéroports européens

Technopolice rappelle par ailleurs que les frontières, et notamment les aéroports, constituent les lieux privilégiés de tests puis de déploiement de la reconnaissance faciale, tant pour des questions de « sécurité » qu'en termes de « fluidité » ou de « rapidité » des contrôles passagers :

« C’est par exemple le projet PARAFE, pour les trajets extra-Schengen, qui a installé des portiques de sécurité équipés de reconnaissance faciale depuis 2017 dans plusieurs aéroports et gares de France. Ensuite, il y a aussi le projet MONA, débuté en octobre 2020 aux aéroports de Lyon et Orly, ici pour des vols au sein de l’Union européenne. La CNIL, de son côté, valide les expérimentations, tant qu’elles sont consenties "librement". »

Dans les deux cas, remarque Technopolice, on retrouve l’entreprise française Idémia, pionnière de l’identification biométrique et qui se présente aujourd'hui comme le « leader de l'identité augmentée ». Ce mastodonte bleu-blanc-rouge, racheté en 2017 par un fonds de pension américain, a aussi été accusé d'avoir vendu sa technologie à la police chinoise.

Pour en revenir à nos contrées, Idemia a plus récemment obtenu des financements de l’Agence nationale de recherche pour développer des algorithmes de gestion de foule pour les Jeux Olympiques de 2024, et gagné l’appel d’offres du ministère de l’Intérieur pour mettre en place le contrôle centralisé aux frontières (CCAF) d’ici 2022, en application de la directive européenne EES (Entry Exit System) :

« C’est là qu’on observe la seconde – et plus significative – application de la reconnaissance faciale aux frontières, ici purement sécuritaire. Le CCAF prévoit de constituer des fichiers, pour toutes les personnes qui entreraient dans l’espace Schengen et provenant de pays tiers (hors UE), afin de renforcer ses frontières. Des fichiers biométriques, dotés des empreintes digitales, de la photo ainsi que l’identité des personnes. Et cela, pour "pour lutter contre les effets d’overstaying" c’est-à-dire de dépassement des séjours autorisés, comme annoncé par les entreprises ayant remporté l’appel d’offres : Idémia et Sopra Steria. »

En attendant les JO de 2024

Technopolice rappelle en outre que « plusieurs candidats aux élections régionales se sont déjà prononcés pour une extension de la reconnaissance faciale (quitte à mentir sciemment sur le sujet, comme l’a fait Valérie Pécresse le mois dernier) » :

« Dans la Région Sud, il est à craindre que d’autres utilisations illégales de surveillance biométrique soient faites, comme cela a déjà été le cas en 2019 avec le carnaval de Nice (ou le projet de portiques de reconnaissance faciale dans des lycées, heureusement arrêté grâce à l’action d’associations militantes). »

Mais c'est la perspective de la coupe du monde de Rugby puis des Jeux Olympiques en 2024 qui alerte le plus Technopolice : « l’occasion paraît trop belle pour les industriels et certains politiques, qui voient en cet événement l’opportunité d’afficher leurs technologies d’identification biométrique, de big data, d’algorithmes de reconnaissance de comportement, d’analyse des réseaux sociaux… » :

« Une fois que ces dispositifs auront été développés et testés, et que des agents auront été formés à leur utilisation, ils ne resteront pas circonscrits aux JO, mais perdureront dans le futur. »

En guise de conclusion, Technopolice rappelle que des interdictions ont déjà été prises aux États-Unis, et qu'un mouvement similaire s’est lancé en Europe.