Alternatives à l'analyse massive — Stratégies techniques, politiques et hybrides pour préserver la vie privéeAlternatives à l'analyse massive — Stratégies techniques, politiques et hybrides pour préserver la vie privée

Si le seul outil que tu proposes est un marteau, peut-être que le problème n'est pas que tous les problèmes sont des clous, mais que tu ne sais construire que des marteaux.

---

Le débat sur Chat Control est depuis des années piégé dans une fausse dichotomie : soit on analyse toutes les communications, soit on ne détecte aucun CSAM. Cette dichotomie est aussi confortable pour les défenseurs de la réglementation (ils présentent l'analyse comme la seule option) que pour les défenseurs du chiffrement (ils peuvent dénoncer l'analyse comme inacceptable sans proposer d'alternatives). Mais la réalité, comme presque toujours, est plus nuancée.

Ce document explore les alternatives à l'analyse massive, classées par leur maturité technique, leur impact sur la vie privée et leur viabilité politique.

Cadre d'évaluation

Toute alternative doit être évaluée selon trois critères :

1. Efficacité détective : quelle proportion de CSAM détecterait-elle par rapport à l'analyse massive ?
2. Préservation de la vie privée : respecte-t-elle le chiffrement E2EE et la vie privée des non-suspects ?
3. Viabilité politique : est-elle réalisable dans le cadre légal européen actuel ?

Alternatives techniques

1. Renforcement des systèmes de signalement

L'alternative la plus évidente et la moins perturbatrice est d'améliorer les mécanismes de signalement existants. Aujourd'hui, la plupart des plateformes permettent de signaler un contenu suspect. Le problème est que ces systèmes sont lents, manuels et ont de faibles taux de réponse.

Système actuel :
    Utilisateur → Signale → Modération humaine → Vérification → Action

Proposition d'amélioration :
    Utilisateur → Signale + [métadonnées de contexte] 
               → Modération assistée par IA (uniquement sur le signalement) 
               → Priorisation automatique 
               → Vérification humaine en 24h

Avantages : compatible avec E2EE, éprouvé, passant à l'échelle, ne nécessite pas de modifications de l'infrastructure de chiffrement.

Inconvénients : ne détecte que le contenu que les utilisateurs signalent ; ne détecte pas le CSAM que personne ne signale (victimes qui ne peuvent pas signaler, contenu partagé dans des groupes fermés sans dénonciateurs).

Estimation d'efficacité : les études internes des plateformes suggèrent que le signalement des utilisateurs détecte entre 30 et 50 % du CSAM que les systèmes automatisés détectent. L'écart n'est pas trivial, mais ce n'est pas non plus un échec absolu.

2. Détection dans les métadonnées (pas dans le contenu)

Les métadonnées des communications — qui parle à qui, quand, d'où, à quelle fréquence, taille des messages — peuvent être plus révélatrices qu'il n'y paraît. Une analyse des modèles de communication pourrait identifier des comportements suspects sans inspecter le contenu :

Signaux de métadonnées utiles pour la détection de CSAM :
    - Utilisateur adulte communiquant intensément avec de multiples mineurs
    - Envoi récurrent de fichiers image/vidéo la nuit
    - Utilisation de comptes jetables ou récemment créés
    - Modèles de transfert correspondant à des réseaux de distribution connus
    - Communication croisée entre utilisateurs déjà identifiés comme suspects

Avantages : ne nécessite pas d'accès au contenu, compatible avec E2EE, déjà utilisé (Signal et WhatsApp le font pour identifier et signaler les comptes suspects aux autorités).

Inconvénients : taux élevé de faux positifs (un enseignant qui parle à des élèves, un parent qui envoie des photos nocturnes de ses enfants), profilage massif de la population, risque de discrimination algorithmique.

Précautions nécessaires : les systèmes de métadonnées doivent être transparents, auditables et limités à des signaux spécifiques de CSAM, non ouverts à "tout comportement suspect". L'histoire de la surveillance basée sur les métadonnées (NSA, programme de métadonnées téléphoniques) démontre qu'ils tendent à s'étendre.

3. Détection dans le contenu non chiffré (téléchargement public)

Le contenu que les utilisateurs téléchargent publiquement (pas dans les messages privés) peut et doit être analysé. Cela inclut :

• Images et vidéos dans les profils publics
• Contenu partagé dans des groupes publics
• Fichiers téléchargés sur des services de stockage public

Avantages : n'affecte pas le E2EE, capture la majorité du contenu CSAM qui circule sur les plateformes (des études indiquent que >70 % du CSAM détecté aujourd'hui provient de téléchargements publics ou semi-publics, pas de messages privés).

Inconvénients : ne détecte pas le CSAM partagé exclusivement dans des messages privés chiffrés.

État actuel : déjà mis en œuvre (PhotoDNA, hash matching sur Facebook/Instagram, YouTube Content ID). C'est l'alternative avec le meilleur rapport coût-bénéfice.

4. Systèmes à seuil de signalements

Une approche hybride proposée par les cryptographes de Signal et des universitaires : le contenu d'un utilisateur n'est analysé que lorsqu'il a reçu un nombre suffisant de signalements indépendants (par exemple, 5 signalements de différents utilisateurs en 24 heures).

Utilisateur A envoie M à B, C, D...
    B signale M → compteur = 1
    C signale M → compteur = 2  (seuil non atteint)
    D signale M → compteur = 3  (seuil non atteint)
    ...
    Si compteur ≥ K → M est analysé (avec supervision judiciaire ou de confiance)

Avantages : l'analyse n'est pas massive mais réactive aux signalements ; protège l'immense majorité des utilisateurs de l'analyse ; préserve le E2EE pour les communications non signalées.

Inconvénients : vulnérable aux attaques de harcèlement (5 personnes coordonnent de faux signalements contre une cible) ; nécessite un seuil minutieux pour éviter à la fois les faux positifs et le contournement ; ne détecte pas le CSAM que personne ne signale.

Variante améliorée : le seuil n'est pas basé sur le nombre de signalements mais sur la diversité des sources (signalements de différents groupes sociaux, sans coordination apparente). Cela réduit le risque d'attaques coordonnées.

Alternatives politiques et institutionnelles

5. Réforme du système de signalement du NCMEC

Le National Center for Missing & Exploited Children (NCMEC) des États-Unis reçoit actuellement ~30 millions de signalements de CSAM par an (2023), dont seule une fraction est enquêtée. Le goulot d'étranglement n'est pas la détection mais la capacité d'enquête et de poursuite.

Une alternative politique serait :

• Renforcer les centres de signalement nationaux (INHOPE et les hotlines nationales en Europe)
• Augmenter la capacité d'enquête d'Europol et des polices nationales
• Améliorer la coopération transfrontalière pour les poursuites

Avantages : aborde le problème réel (le manque de capacité d'enquête, pas de détection), compatible avec tous les droits fondamentaux, ne nécessite pas de changements techniques.

Inconvénients : moins spectaculaire politiquement qu'une nouvelle loi ; nécessite un investissement budgétaire ; ne répond pas à la demande de "faire quelque chose" contre le CSAM.

6. Cadre de supervision judiciaire pour les exceptions

S'il est déterminé qu'un mécanisme d'accès exceptionnel aux communications chiffrées doit exister (comme c'est le cas pour l'interception légale traditionnelle), celui-ci doit être soumis aux mêmes garanties :

• Autorisation judiciaire individualisée
• Proportionnalité et subsidiarité
• Notification différée à la personne concernée
• Supervision indépendante
• Limites temporelles strictes
• Interdiction de l'analyse massive

Avantage : cohérent avec le cadre légal européen existant (l'interception légale est déjà réglementée).

Inconvénient : ne passe pas à l'échelle pour le CSAM (des millions d'autorisations judiciaires seraient nécessaires) ; ne résout pas le problème de la détection initiale (il faut un suspect pour demander l'ordonnance).

7. Chiffrement dans les petits groupes, analyse dans les grands groupes

Une proposition de compromis : préserver le E2EE pour les communications 1:1 et les petits groupes (par exemple, ≤10 participants), et permettre des formes limitées d'analyse dans les grands groupes (canaux, communautés, groupes de >100 participants) où le E2EE est techniquement plus complexe et l'attente de vie privée est moindre.

Avantage : protège la communication interpersonnelle (où l'attente de vie privée est maximale) tout en permettant la détection dans les espaces semi-publics.

Inconvénient : arbitraire du seuil (pourquoi 10 et pas 50 ?) ; les petits groupes peuvent aussi être utilisés pour partager du CSAM ; crée une incitation perverse pour les abuseurs à maintenir de petits groupes.

Comparaison agrégée

Conclusion

Aucune alternative à l'analyse massive n'est parfaite. Mais ce n'est pas un argument en faveur de l'analyse massive, car l'analyse massive n'est pas non plus parfaite — elle a ses propres problèmes de faux positifs, de contournement, de coût et, surtout, de rupture structurelle du chiffrement.

La bonne question n'est pas "quelle alternative détecte autant de CSAM que l'analyse massive ?" mais "quelle combinaison d'alternatives maximise la détection de CSAM sous la contrainte de préserver le chiffrement de bout en bout ?".

Sous cette formulation, la réponse est un ensemble de mesures :

1. Court terme : renforcer les systèmes de signalement, les hotlines et la coopération internationale
2. Moyen terme : mettre en œuvre la détection basée sur les métadonnées avec des garanties strictes de transparence et d'audit
3. Toujours : maintenir la détection lors des téléchargements publics et du contenu non chiffré
4. Recherche : explorer les systèmes à seuil de signalements avec garanties cryptographiques
5. Politique : augmenter la capacité d'enquête des autorités plutôt que de déléguer la surveillance de masse aux plateformes

Ce qu'aucune alternative ne peut offrir — et ce que le débat devrait honnêtement reconnaître — est une solution technique qui détecte tout le CSAM dans les communications chiffrées sans briser le chiffrement. Cette solution n'existe pas, non pas parce que la technologie est insuffisante, mais parce que le problème est mal posé : on ne peut pas savoir ce qu'il y a dans une enveloppe scellée sans l'ouvrir. Et une enveloppe qui peut être ouverte n'est pas une enveloppe scellée.

---

Documents connexes :

• Chat Control — Définition et contexte
• Chiffrement et surveillance — Pourquoi l'analyse massive brise le E2EE
• Cryptographie homomorphe — Promesses et limites
• Preuves à connaissance nulle — Applications au problème de détection