Par Thomas Mannierre, Directeur EMEA Sud de BeyondTrust L’IA a fait entrer les braquages dans une nouvelle dimension. Plus besoin d’une cagoule noire désormais. En améliorant les attaques d'ingénierie sociale modernes, l’IA a donné naissance à un autre type de menaces : les deepfakes. Bienvenue dans ce qui pourrait être un épisode de Black Mirror ! Le faux CFO de Hong Kong En début d’année, une entreprise à Hong Kong s’est vue escroquée de 25,6 millions de dollars par un hacker utilisant l’IA et la technologie deepfake pour usurper l’identité d’un directeur financier. Si l'on en croit les rapports d’enquête, l'attaque a simulé un environnement de vidéoconférence complet et utilisé une fausse identité d'un important directeur financier de Hong Kong et d'autres participants à la réunion. La victime ciblée du département financier s'est d'abord méfiée d'un e-mail de phishing prétendant provenir du directeur financier. Cependant, la victime a rejoint une con
Par Yoann Nabat, Université de Bordeaux et Elia Verdon, Université de Bordeaux
Ce vendredi 8 septembre 2023, débutera en France la Coupe du monde de rugby organisée dans dix villes hôtes réparties dans le territoire. L’enjeu est bien sûr sportif et économique… mais il est aussi sécuritaire.
En ce sens, l’événement sera l’occasion pour les pouvoirs publics d’expérimenter pour la première fois en France l’usage de la vidéosurveillance automatisée ou algorithmique (VSA).
Le principe de cette technique est de pouvoir détecter en temps réel et de manière automatisée (grâce au recours à des logiciels), des comportements ou des situations définies comme à risque.
Il peut s’agir, par exemple, de détecter un bagage abandonné ou un mouvement de foule. Cette technique se distingue de la reconnaissance faciale qui permet d’identifier biométriquement une personne et qui a été exclue pour le moment.
Un cadre légal permissif
Le recours à ce type de dispositif, jusqu’alors impossible, a été permis par l’article 10 de la Loi du 19 mai 2023 « relative aux jeux olympiques et paralympiques de 2024 et portant diverses autres dispositions ». Celui-ci autorise le traitement automatisé d’images issues des caméras de vidéosurveillance déjà implantées (ou qui le seront, par exemple près des stades ou des fans zones) et celles des caméras installées sur les drones qui pourront survoler les foules.
Si les débats ont été nombreux et les contestations associatives importantes, est ainsi désormais autorisé « à titre expérimental », le traitement algorithmique de ces images, afin d’assurer la sécurité des manifestations sportives, récréatives ou culturelles qui, « par l’ampleur de leur fréquentation ou par leurs circonstances, sont particulièrement exposées à des risques d’actes de terrorisme ou d’atteintes graves à la sécurité des personnes ». Ce sont ainsi des logiciels, le plus souvent développés par des entreprises privées, qui permettent cette analyse automatisée des vidéos.
Malgré le titre du texte adopté par le Parlement, cette expérimentation s’étend bien au-delà des Jeux de 2024. Déjà entrées en vigueur, ces dispositions autorisent les pouvoirs publics à user de ce nouveau dispositif dès maintenant dès lors que les circonstances prévues sont réunies. Or, tel semble être le cas pour l’organisation d’une compétition internationale comme la Coupe du Monde de rugby en France. Il faut également noter que l’article du 10 de la loi prévoit la fin de l’expérimentation, pour le moment, au 31 mars 2025, soit environ sept mois après la fin des compétitions olympiques à Paris.
Les termes employés par l’article 10 sont peu précis, notamment lorsqu’il s’agit de « manifestations récréatives ». Cette indéfinition pourrait permettre juridiquement de voir s’appliquer la VSA à d’autres événements comme des festivals, des concerts ou d’autres rassemblements comme les traditionnels marchés de Noël.
Une expérimentation risquée
Le risque de telles expérimentations permises largement réside, précisément, dans l’abandon de leur caractère exceptionnel et temporaire, tel que la loi le précise actuellement. En ce sens, l’organisation des grands événements comme la Coupe du monde de rugby en France peut constituer un accélérateur de ces politiques exceptionnelles qui se voient ensuite pérennisées. Les exemples étrangers ne manquent pas comme l’adoption de lois controversées, à l’image d’une loi « anti-conspiration » par le Japon à l’occasion des précédents Jeux olympiques.
En France, l’exemple de PARAFE, dispositif de reconnaissance faciale pour le passage de frontière, est particulièrement parlant. Expérimenté en 2005, il a été pérennisé en 2007 puis étendu en 2016.
Dès lors, il est possible de douter du caractère réellement expérimental du recours à ces dispositifs de surveillance. Ce constat est d’autant plus préoccupant qu’il sera difficile de tirer un bilan à ce titre après l’organisation de ces grands rassemblements sportifs. En effet, en l’absence (évidemment souhaitable) de tout événement dramatique, on ne manquera sans nul doute de saluer l’efficacité de ces outils — alors même que cette réussite serait sans doute expliquée par bien d’autres facteurs — tandis que s’il devait advenir un quelconque incident, on soulignerait la pertinence de renforcer ces dispositifs de surveillance et de contrôle.
Ainsi, le dispositif technosécuritaire aurait toujours raison et ce d’autant plus que l’organisation de telles compétitions peut apparaître comme une « vitrine sécuritaire » pour les États concernés aux yeux du monde.
L’accoutumance à ces outils, comme l’effet cliquet — selon lequel il est difficile de revenir en arrière une fois un cap passé — rendent tout retour en arrière encore plus invraisemblable.
Un dispositif biaisé
Sur le fond, le but de la vidéosurveillance automatisée est de permettre la détection « en temps réel, des événements prédéterminés susceptibles de présenter ou de révéler ces risques » à partir des images de vidéosurveillance, dont les règles d’usage et de conservation ne sont pas modifiées. Ces alertes sont alors ensuite transmises aux services de sécurité (au sein des postes de commandement ou dans des centres de vidéosurveillance) qui prennent les mesures nécessaires.
[Plus de 85 000 lecteurs font confiance aux newsletters de The Conversation pour mieux comprendre les grands enjeux du monde. Abonnez-vous aujourd’hui]
Un tel fonctionnement permet aux défenseurs de ces techniques de soutenir le caractère subsidiaire de ces outils qui ne viseraient qu’à renforcer l’efficacité des forces de sécurité qui demeurent seuls décisionnaires. La vidéosurveillance automatisée ne serait en ce sens pas plus dangereuse pour les libertés que la vidéosurveillance classique.
Or, une telle présentation nous semble en réalité peu réaliste. En effet, deux biais importants peuvent, à notre sens, être mis en évidence.
D’une part, en amont, utiliser la VSA impose aux concepteurs de ces outils ou aux donneurs d’ordre de définir très précisément et à l’avance les comportements à risque qui devront être recherchés par les caméras au-delà de la liste relativement générale adoptée par décret. Or, ces « patterns » ne correspondent pas nécessairement — voire rarement — à des infractions pénales puisqu’il peut s’agir du simple fait de ne pas respecter le sens de circulation majoritaire. En ce sens, leur définition revient à ériger une forme de norme sociale nouvelle renforçant encore davantage le sentiment de contrôle et l’intériorisation par les individus de cette norme.
D’autre part, en aval, si l’action humaine est toujours nécessaire (la VSA n’autorise heureusement pas les arrestations automatiques), celle-ci se trouve particulièrement biaisée par la manière dont fonctionnent ces dispositifs. En effet, la VSA conduit à une forme de « présomption de risque » auquel il appartient ensuite à la personne soupçonnée de répondre (« pourquoi avez-vous l’air anxieux ? »). Le rôle de la police est alors profondément modifié et la garantie des droits, comme la présomption d’innocence, mise à mal.
Une incarnation du mythe du « risque zéro »
En définitive, présentée comme une nécessité induite par l’impossibilité pour des agents humains de garder un œil attentif sur des dizaines d’écrans (là où deux autres solutions seraient envisageables : réduire le nombre de caméras ou recruter davantage d’agents), la vidéosurveillance automatisée contribue à renforcer le mythe d’un « risque zéro » impossible à atteindre.
Plus encore, cette course en avant permanente impose un autorenforcement impossible à limiter. Très concrètement, pour permettre à la VSA de fonctionner effectivement, les pouvoirs publics ont investi également très largement dans le renforcement du parc de caméras de vidéosurveillance qui, elles-mêmes, nécessiteront toujours davantage d’automatisation. Le ministre de l’Intérieur annonçait il y a peu en ce sens 44 millions d’euros en 2024 pour la vidéosurveillance, soit environ 15 000 nouvelles caméras dont l’emplacement est décidé en grande majorité par les municipalités. Le piège est d’autant plus grand que s’y engouffrent les industriels et géants de la sécurité et du numérique, heureux de vendre leurs solutions aux collectivités.
Derrière le bel événement que représente l’organisation en France de la Coupe du monde de rugby, et bientôt celle des Jeux olympiques et paralympiques, il faut ainsi toujours rester sur ses gardes quant à l’avènement de techniques de surveillance ou de contrôle qui, présentés comme efficaces voire nécessaires pour garantir la sécurité de telles compétitions sportives, n’en demeurent pas moins dangereuses pour nos libertés et la démocratie.
Yoann Nabat, Enseignant-chercheur en droit privé et sciences criminelles, Université de Bordeaux et Elia Verdon, Doctorante en droit public et en informatique, CERCCLE (EA 7436) et LaBRI (UMR 5800), Université de Bordeaux
Cet article est republié à partir de The Conversation sous licence Creative Commons. Lire l’article original.