EXIT CHAT CONTROL_

PARTIE 00 · LE POURQUOI

Comprendre la menace

Avant de changer d’outils, il faut comprendre ce contre quoi on se protège. Sinon, on installe des applications au hasard et on se croit protégé alors qu’on ne l’est pas.

Chat Control 1.0 et 2.0, en clair

« Chat Control » est le surnom donné à deux textes européens qui autorisent (ou imposeraient) le scan de vos messages privés à la recherche de contenus pédocriminels (CSAM). L’objectif affiché est légitime ; le moyen employé, le scan généralisé des communications de personnes non suspectes, revient à une surveillance de masse.

Chat Control 1.0 aujourd’hui : ce qui est couvert, ce qui ne l’est pas

Le règlement provisoire a expiré le 3 avril 2026, puis a été rétabli : après une seconde lecture au Parlement européen, le Conseil l’a définitivement adopté le 23 juillet 2026 (règlement (UE) 2026/1881), jusqu’au 3 avril 2028. Il autorise, sans l’imposer, les fournisseurs à scanner les communications privées à la recherche de contenus pédocriminels.

• Ce qui est couvert : les services de communication non chiffrés de bout en bout dont le fournisseur choisit de scanner, par exemple les messages de Messenger ou d’Instagram, les e-mails Gmail ou Outlook, les messageries intégrées aux consoles de jeu et aux plateformes. Google, Microsoft, Meta et Snapchat font partie des signataires de l’appel du 19 mars 2026 à poursuivre cette détection.
• Ce qui est exclu : un amendement adopté par le Parlement, puis accepté par le Conseil, retire du champ les communications « auxquelles un chiffrement de bout en bout est, a été ou sera appliqué ». Les messageries chiffrées de bout en bout par défaut, comme Signal, Session, Threema, SimpleX Chat ou Olvid, ne sont donc pas concernées par ce texte (voir la messagerie chiffrée).

Cette exclusion ne vaut que pour ce texte provisoire. Le règlement permanent, ou une version plus dure, peut revenir sur ce point : ce guide part de ce scénario et recommande des outils qui restent protecteurs même si le scan devenait obligatoire.

Chat Control 2.0 : ce que prévoit le texte

Le règlement permanent (CSAR) est toujours en négociation entre la Commission, le Conseil et le Parlement (trilogue). Le sixième trilogue, le 29 septembre 2026, s’est conclu sans accord et les discussions techniques se poursuivent. Aucun texte définitif n’existe et rien n’est en vigueur.

• La Commission proposait en 2022 des « ordres de détection » obligatoires, messageries chiffrées comprises.
• Le Conseil (position du 26 novembre 2025) a retiré les ordres obligatoires, mais rend le scan volontaire permanent et impose des « mesures d’atténuation des risques », dont le scan pourrait faire partie.
• Le Parlement veut limiter la détection aux personnes suspectées, sur décision d’un juge, et protéger le chiffrement de bout en bout.

Si le scan côté client devenait obligatoire

Ce qui suit n’est pas en vigueur : ce sont les conséquences envisageables si le texte final imposait un scan sur les appareils.

1. Les messageries qui coopèrent distribueraient dans l’UE une version comportant un module de scan avant chiffrement, distincte des versions proposées ailleurs.
2. Les messageries qui refusent pourraient quitter le marché européen, comme Signal l’a annoncé publiquement en octobre 2025. L’application disparaîtrait alors des stores européens : sur iOS, elle deviendrait difficile, voire impossible à obtenir ; sur Android, l’éditeur peut publier l’APK sur son site officiel. Si le téléchargement ou le service étaient bloqués depuis l’UE, seuls un VPN ou Tor permettraient d’y accéder.
3. Le scan au niveau du système d’exploitation : si l’obligation visait les systèmes eux-mêmes, une application libre ne suffirait plus. Resteraient hors de portée les systèmes non coopératifs, GrapheneOS sur mobile et les distributions GNU/Linux non régionalisées sur ordinateur (voir les systèmes libres), utilisés avec une messagerie qui refuse elle aussi le scan.

Merci à Me Jérémy Roche, avocat au barreau de Béziers, pour ses conseils sur cette partie.

Le scan côté client : le mouchard légal

Le cœur de Chat Control 2.0 est une technique appelée scan côté client (client-side scanning). L’idée : au lieu de casser le chiffrement pendant le transport, on installe un logiciel directement sur votre téléphone qui inspecte chaque message, photo ou lien avant qu’il ne soit chiffré et envoyé. Signal résume ça d’une phrase : c’est « comme un malware sur votre appareil ».

Le prétexte : « protéger les enfants »

Personne n’est contre la protection des mineurs, et c’est précisément ce qui en fait un levier si efficace. La lutte contre la pédocriminalité sert de cheval de Troie émotionnel : qui oserait s’y opposer ? Sous cette bannière, on fait accepter un principe qui, présenté seul, serait rejeté en bloc, l’inspection automatisée des communications privées de centaines de millions de personnes non suspectes. Les enfants sont le motif affiché ; la cible réelle, c’est le chiffrement et la vie privée de tous.

Le plus révélateur : les entreprises qui poussent le plus fort pour ce scan sont celles dont le modèle économique est la surveillance. Le 19 mars 2026, un appel commun a exhorté les législateurs européens à pérenniser la détection « volontaire », signé par :

« Ne pas agir serait irresponsable. » L’argument des géants de la tech pour maintenir le scan des messages.

Ces mêmes acteurs ont d’ailleurs annoncé vouloir continuer à scanner les messages même après l’expiration de la base légale, le 3 avril 2026. On demande donc aux citoyens de confier l’inspection de leurs conversations intimes aux entreprises précisément connues pour aspirer et monétiser leurs données. Voilà le vrai visage de Chat Control : une attaque contre la vie privée emballée dans un motif que personne ne peut refuser.

Ce n’est pas « juste » de la surveillance

On cherche à vous rassurer : « ce n’est que Gmail, Instagram, Snapchat, Messenger ». C’est faux, et c’est même le plus scandaleux. Trois basculements se cachent derrière cette minimisation.

1. Ce n’est pas du ciblage, c’est du ratissage. On ne surveille pas des suspects : on installe une collecte systématique des communications de populations entières. C’est de la surveillance à l’échelle étatique, en continu.
2. Ce n’est plus lire, c’est pouvoir bloquer. Un logiciel qui inspecte un message avant son envoi peut aussi refuser de l’envoyer. Le scan côté client crée l’infrastructure de la censure préalable : bloquer une parole avant même qu’elle existe pour son destinataire.
3. Une fois l’infrastructure posée, elle sert à autre chose. Un dispositif construit « pour les enfants » devient un outil polyvalent de contrôle. Le motif change, la machine reste.

À quel profil appartenez-vous ?

Aucun outil n’est magique et personne n’a besoin de tout faire. Repérez votre profil : chaque section indiquera jusqu’où aller.