L'inflexion de l'UE sur le CSAM donne un point à Apple

Le long combat d’Apple sur la détection de matériel pédopornographique (CSAM) connaît un nouveau rebondissement : l’Union européenne semble assouplir son projet controversé d’obligation de scanning des photos, mais la menace qui pèse sur la vie privée et le chiffrement de bout en bout est loin d’être écartée.

Une histoire chaotique

L’histoire commence en 2021 lorsque Apple annonce un système de détection de CSAM directement sur les appareils, en affirmant qu’il protège les enfants tout en préservant la confidentialité. Les experts en sécurité dénoncent aussitôt le projet : risque de dérive, faux positifs, possibilité pour les gouvernements d’en abuser. Face au tollé, Apple met le projet en pause, se fait discret, puis l’abandonne officiellement l'année suivante. En 2024, l’entreprise fait volte-face et reprend à son compte les critiques qu’elle rejetait auparavant.

Parallèlement, l’UE avance sur son propre règlement contre l’exploitation sexuelle des enfants, qui prévoyait initialement d’obliger les géants du numérique – dont Apple – à scanner photos et messages, même chiffrés. À son paroxysme, la proposition mettait en péril le chiffrement de bout en bout, provoquant l’inquiétude des défenseurs des libertés.

Cette semaine, un recul partiel a eu lieu. Après des années de négociations agitées, les États membres sont tombés d’accord sur un texte révisé qui supprime les ordres de détection obligatoires. Au lieu d’imposer un scanning proactif, la nouvelle version oblige simplement les plateformes à mettre en place des « mesures d’atténuation » des risques, selon Euractiv.

Les défenseurs de la vie privée restent toutefois sur leurs gardes : la formulation vague sur l’atténuation pourrait être interprétée comme imposant finalement un scanning côté client ou dans le cloud. Apple, qui scanne déjà les photos iCloud (quand elles ne sont pas chiffrées de bout en bout), pourrait être poussé à étendre cette pratique en Europe. Les États membres restent libres d’adopter des lois nationales plus strictes (Allemagne ou France, par exemple). L’accord final entre Parlement, Conseil et Commission est encore loin. Si l’UE a reculé, le combat n’est pas terminé. Un peu comme celui sur la vérification de l'âge sur Internet.