Orwell a manqué d’imagination

Toutes les conférences de BarbHack 2026 ne parlaient pas de registres et de paquets. Celle-ci, intitulée « Big Trouble in Little China », proposait un état des lieux de la surveillance de masse, de la Chine au Royaume-Uni puis à la France, avec une thèse en forme de provocation : les dystopies de Huxley, Orwell et Philip K. Dick ne sont plus des avertissements, elles sont en retard sur la réalité.

Précision utile. Ce talk est un plaidoyer, et il est assumé comme tel. Nous le restituons parce qu’il pose de vraies questions, y compris professionnelles, sans reprendre à notre compte l’ensemble de ses conclusions ni ses lectures d’intention. Les chiffres et les exemples cités ci-dessous le sont par l’orateur. Son dernier tiers, en revanche, ne relève d’aucune opinion : c’est un sujet de confidentialité d’entreprise, et il concerne tout le monde.

Trois pays, des outils qui se ressemblent

Le fil de la démonstration consiste à montrer que les méthodes convergent, quel que soit le régime politique qui les déploie.

La Chine sert de point de comparaison historique : injection de code JavaScript dans les connexions HTTP non chiffrées, le fameux « Great Cannon », et surtout le « Great Firewall » mis en place dès 2006, avec un trafic Internet national canalisé par un petit nombre de points d’accès surveillés. Résultat, un écosystème isolé où les équivalents locaux des grandes plateformes sont eux-mêmes sous contrôle. Le crédit social complète le tableau, en attribuant ou retirant des points selon le comportement, jusqu’à des conséquences très concrètes sur les droits quotidiens.

Le Royaume-Uni est présenté comme le pays occidental le plus avancé sur ce terrain : reconnaissance faciale déployée depuis des camionnettes mobiles, un parc de vidéosurveillance estimé à plus de 21 millions de caméras au début des années 2020, interception de trafic côté opérateurs, et une surveillance par mots-clés des réseaux sociaux. L’orateur cite le cas de parents recevant la visite de six policiers au petit matin après des messages jugés dangereux dans un groupe de discussion privé, et un rythme d’environ trente interpellations par jour liées à des publications en ligne, dont une partie se conclut par des relaxes.

La France occupe la place centrale, autour de la vidéosurveillance algorithmique. Le principe : détecter des comportements réputés anormaux, marcher à contresens, rester immobile trente minutes, lever brusquement les bras, pour déclencher une alerte et un enregistrement. Deux points sont soulevés qui méritent d’être entendus indépendamment de toute position politique. D’abord, ces traitements sont opérés par des entreprises privées, sans que la personne filmée dispose d’un moyen simple de savoir qui accède aux images la concernant. Ensuite, la validation du dispositif s’est appuyée en partie sur le constat que des outils comparables étaient déjà en service dans la police depuis 2015 et la gendarmerie depuis 2017. Est également évoqué le contrat liant la DGSI à Palantir, société dont les liens avec les agences de renseignement américaines sont documentés de longue date.

L’argument central : très intrusif, peu efficace

C’est la charnière du raisonnement. À l’appui de statistiques de criminalité en hausse, à Londres comme à Paris, l’orateur soutient que ces dispositifs ne produisent pas le résultat qui justifie leur déploiement, et que leur extension continue relève donc d’autre chose que de l’efficacité.

C’est l’endroit où nous invitons à la prudence. Une courbe de criminalité dépend d’un très grand nombre de facteurs, et sa lecture ne suffit pas à trancher la question de l’efficacité d’un dispositif. L’argument mérite d’être posé, la démonstration statistique reste à faire.

Les chantiers européens

La deuxième partie passe en revue trois dossiers en cours, et c’est la plus utile à connaître.

ChatControl. Le premier volet, en vigueur depuis 2021 et prolongé, autorise sur une base volontaire l’analyse des messages, photos et vidéos pour détecter des contenus pédocriminels. Le second volet, beaucoup plus contesté, viserait un scan de tous les messages avant leur envoi, y compris dans les messageries chiffrées, avec le concours des plateformes, et des exemptions envisagées pour certaines catégories d’utilisateurs. Deux éléments alimentent la controverse : une proportion très élevée de faux positifs dans les signalements générés, de l’ordre de la moitié selon des données policières allemandes citées, et des cas concrets de blocages absurdes, comme cet utilisateur privé de sa messagerie fin août 2026 pour avoir envoyé à sa mère des photos de peintures.

Le « Digital ID ». Le principe est la centralisation de l’identité et des attributs personnels en un point unique. L’orateur relève une pétition britannique approchant les trois millions de signatures contre le dispositif, et le déploiement quasi simultané d’initiatives comparables dans plusieurs pays, dont il tire une lecture de coordination délibérée. Côté européen, le portefeuille d’identité numérique associe des centaines d’entités publiques et privées.

La vérification d’âge. C’est le dossier le plus concret et le plus documenté. Pour accéder à des services devenus courants, il faut désormais prouver sa majorité en envoyant une photo de son visage, une pièce d’identité ou une vidéo à un prestataire tiers. Or le bilan de sécurité de ces prestataires est mauvais : plusieurs ont déjà été compromis, et le déploiement australien de la vérification d’âge sur une grande plateforme sociale a vu, trois semaines après sa mise en place, des dizaines de milliers d’images de mineurs se retrouver dans la nature.

Voilà un point qui ne demande aucune adhésion idéologique. Un dispositif conçu pour protéger les mineurs a constitué une base de données de visages de mineurs, puis l’a perdue. C’est un raisonnement de sécurité élémentaire : toute donnée collectée est une donnée qui peut fuir, et la sensibilité de la collecte détermine la gravité de la fuite.

L’IA dans le poste de travail, et là ça devient votre problème

Le dernier tiers quitte le registre politique pour un sujet strictement professionnel. L’intégration d’assistants d’IA au cœur des systèmes d’exploitation et des suites bureautiques élargit considérablement ce qui remonte vers l’éditeur, bien au-delà de la télémétrie classique. L’orateur illustre le caractère de plus en plus difficilement désactivable de ces fonctions par plusieurs anecdotes de terrain, dont une machine virtuelle rendue instable par la désactivation de l’assistant.

Mais le vrai point est celui-ci, et il n’a rien d’une opinion : un assistant activé par défaut sur une suite bureautique d’entreprise peut analyser le contenu des documents, des e-mails et des communications. Pour un cabinet, un bureau d’études, un service juridique ou un prestataire soumis au secret, ce n’est pas une question de productivité, c’est une question de confidentialité des données clients. Et elle se pose avant le déploiement, pas après.

Ce qu’on en retient chez Humanix

• Séparons ce qui relève du débat et ce qui relève du fait. Les intentions prêtées aux uns et aux autres, la lecture d’une coordination internationale, l’interprétation des courbes de criminalité : ce sont des thèses, elles se discutent. En revanche, qu’une plateforme de vérification d’âge ait perdu des images de mineurs, ou qu’un assistant bureautique lise vos documents par défaut, ce sont des faits techniques, et ils appellent des décisions.
• N’envoyez pas vos pièces d’identité à des plateformes tierces quand une alternative existe. L’argument n’est pas la méfiance de principe, c’est le bilan : ces prestataires concentrent des données d’identité et ont déjà été compromis. Si vous devez en imposer une à vos utilisateurs, exigez a minima l’effacement immédiat après vérification et la localisation du traitement.
• Faites l’inventaire de ce que vos assistants d’IA traitent réellement. Quelles boîtes aux lettres, quels espaces documentaires, quels canaux de discussion, et sous quelles conditions contractuelles. Le blocage par stratégie de groupe est disponible et réversible : il permet de décider en connaissance de cause au lieu de subir un réglage par défaut. C’est une mesure d’hygiène, pas une position anti-IA, et nous accompagnons régulièrement des organisations qui font le choix inverse, en connaissance de cause.
• Un professionnel de la sécurité qui ne parle pas de confidentialité fait la moitié du travail. C’est le message que nous retenons de la conclusion de l’orateur, et nous le partageons sans réserve. Proposer des alternatives crédibles, documenter ce qui sort du poste de travail, expliquer les arbitrages : cela fait partie du métier.
• Et surtout, ne pas jouer les couperets. Dire à une organisation que ses outils sont « dangereux » ne produit rien, sinon un haussement d’épaules. Lui montrer ce qui quitte réellement ses machines, et la laisser décider ensuite, change tout. C’est notre méthode, et elle vaut particulièrement sur ces sujets où l’on confond vite la sécurité et la conviction : la preuve avant le verdict.

Note. Compte-rendu, à visée pédagogique, d’une conférence de BarbHack 2026 consacrée à la surveillance de masse et aux alternatives. Il s’agit d’une intervention à visée militante, restituée comme telle : les analyses, les chiffres et les intentions prêtées aux acteurs cités sont ceux de l’orateur et n’engagent pas Humanix, qui ne partage pas l’ensemble de ses conclusions. Nous avons volontairement écarté du compte-rendu les mises en cause personnelles avancées sur scène, faute de pouvoir les vérifier. Neuvième volet de notre couverture de l’événement. Un doute sur ce que vos outils bureautiques traitent réellement ? Contactez-nous.