Les pratiques interdites
Premier niveau, et le seul où la réponse est binaire. Ces pratiques ne se documentent pas, ne se supervisent pas et ne s’autorisent pas : elles sont prohibées.
Elles s’appliquent depuis février 2025, ce qui en fait le premier point à vérifier chez vous.
La liste, et ce qu’elle vise
Section intitulée « La liste, et ce qu’elle vise »Le texte énumère des pratiques. Voici celles qui figurent dans la liste, avec l’indication de leur proximité avec une organisation ordinaire.
| La pratique | Vous concerne ? |
|---|---|
| Techniques subliminales ou manipulatrices altérant le comportement au point de causer un préjudice | Rarement, sauf conception d’interfaces trompeuses |
| Exploitation des vulnérabilités liées à l’âge, au handicap, à la situation sociale | Rarement, mais à surveiller en marketing |
| Notation sociale conduisant à un traitement défavorable dans un contexte sans rapport | Possible, voir plus bas |
| Prédiction du risque qu’une personne commette une infraction, fondée sur le seul profilage | Non, hors forces de l’ordre |
| Constitution de bases de reconnaissance faciale par moissonnage non ciblé d’images | Possible par imprudence |
| Reconnaissance des émotions au travail et dans l’enseignement | Oui, c’est le point sensible |
| Catégorisation biométrique déduisant origine, opinions, religion, orientation sexuelle | Rare, mais présent dans certains produits |
| Identification biométrique à distance en temps réel dans l’espace public, à des fins répressives | Non, réservé aux autorités et très encadré |
Sur les deux dernières lignes de ce tableau, les exceptions et le régime précis relèvent de situations qui ne concernent pas une entreprise ou une collectivité ordinaire. Je les mentionne pour que la liste soit complète.
Celle qui concerne vraiment tout le monde
Section intitulée « Celle qui concerne vraiment tout le monde »La reconnaissance des émotions sur le lieu de travail.
Un système qui prétend déduire l’état émotionnel d’une personne, à partir de son visage, de sa voix ou de son comportement, est interdit sur le lieu de travail et dans les établissements d’enseignement. Les exceptions sont étroites et tiennent à des raisons médicales ou de sécurité.
C’est une interdiction large, et elle atteint des produits vendus depuis des années.
L’analyse d’un entretien vidéo pour évaluer la motivation ou la sincérité d’un candidat. La mesure de l’engagement d’une équipe à partir du ton des réunions. La détection du stress ou de la fatigue d’un opérateur par analyse du visage. Les outils de « climat social » fondés sur l’analyse des échanges internes.
La notation sociale, cas moins évident
Section intitulée « La notation sociale, cas moins évident »Celle-ci mérite un mot parce qu’on croit qu’elle ne vise que les États.
Ce qui est prohibé, c’est l’évaluation ou le classement de personnes sur la base de leur comportement social ou de caractéristiques personnelles, conduisant à un traitement défavorable dans un contexte sans rapport avec les données collectées, ou disproportionné.
L’exemple qui doit alerter dans une organisation : croiser des données issues d’un domaine pour en tirer un traitement défavorable dans un autre. Utiliser des informations sur le comportement en ligne d’une personne pour lui refuser un service sans rapport, par exemple.
Une notation ordinaire, dans son propre domaine et sur des critères pertinents, n’est pas visée : un scoring de crédit fondé sur des éléments financiers relève du haut risque, pas de l’interdit. La distinction tient à la pertinence du contexte et à la proportionnalité.
Le moissonnage d’images
Section intitulée « Le moissonnage d’images »Constituer ou étendre des bases de reconnaissance faciale par la collecte non ciblée d’images sur internet ou depuis des systèmes de vidéosurveillance est prohibé.
Une organisation ordinaire ne fait pas ça délibérément. Elle peut en revanche acheter un produit qui le fait, et c’est là que se situe le risque réel.
Si vous envisagez un outil de reconnaissance faciale, quel qu’en soit l’usage, la question de l’origine de sa base d’apprentissage se pose avant tout le reste.
Comment vérifier chez vous
Section intitulée « Comment vérifier chez vous »Trois gestes, et ils prennent une demi-journée.
Listez les outils qui observent des personnes : recrutement, évaluation, sécurité, vidéosurveillance analytique, contrôle d’accès, outils de « bien-être » ou de climat social, plateformes d’entretien vidéo.
Posez la question par écrit à chaque fournisseur concerné, dans les termes de l’encadré, et classez les réponses.
Regardez ce qui s’est activé tout seul. Certaines fonctions apparaissent lors d’une mise à jour : analyse de sentiment dans un outil de service client, détection d’attention dans une plateforme de visioconférence ou de formation à distance.
Ce dernier point est celui qu’on rate. Personne ne l’a décidé, personne ne le sait, et le système tourne.
Si vous en trouvez une
Section intitulée « Si vous en trouvez une »Ne tergiverse pas, et ne cherche pas d’abord à qualifier finement.
Arrête l’usage. Documente ce qui a été fait, sur quelle période, et combien de personnes sont concernées. Préviens ta direction et ton délégué à la protection des données. Puis fais examiner la qualification par un conseil, et traite la question des données déjà collectées.
Un usage arrêté et documenté par l’organisation elle-même se traite. Le même usage découvert autrement, dans deux ans, ne se traite pas de la même façon.
Vérifie ta compréhension
Question : votre plateforme de formation en ligne propose une fonction qui « mesure l’attention des apprenants » via la webcam pour améliorer les parcours. L’éditeur assure que rien n’est nominatif. Qu’en penses-tu ?
Réponse : l’absence de caractère nominatif ne règle rien ici. Déduire un état d’attention à partir de la webcam dans un contexte d’enseignement entre dans le champ de l’interdiction de la reconnaissance des émotions, qui vise expressément les établissements d’enseignement en plus du lieu de travail. Désactive la fonction, demande la réponse écrite du fournisseur dans les termes de l’encadré, et fais examiner la question. L’anonymat aurait été un argument pour la protection des données, pas pour cette interdiction-là.
Fiche suivante : le haut risque, où se trouvent presque tous les cas réels.
Une formationBaxIA