Imaginez porter des lunettes ordinaires qui filment discrètement tout ce que vous regardez, analysent les visages autour de vous et répondent à vos questions sur les personnes que vous croisez. C'est exactement ce que proposent les Ray-Ban Meta, des lunettes connectées vendues depuis 2023. Je vous en parlais déjà en mars dernier quand des sous-traitants kényans visionnaient certaines vidéos privées pour entraîner l'IA de Meta, et plus récemment lorsque la Norvège envisageait d'interdire certaines fonctionnalités comme la reconnaissance faciale dans l'espace public.
L'autorité de protection des données du land de Hambourg vient de publier un rapport technique de 53 pages qui analyse ces lunettes en détail. Sa conclusion est sans appel : leur utilisation en public pour reconnaître des personnes en dehors d'un cercle familial très restreint sera interdite en Europe.
Des lunettes d'apparence ordinaire équipées d'une caméra et d'une IA
Les Ray-Ban Meta ressemblent à des lunettes classiques, sauf que dans la branche gauche se cachent une puce mémoire, un processeur Qualcomm spécialisé dans les calculs d'intelligence artificielle, une caméra et un système de transmission. Vous portez ces lunettes comme n'importe quelle paire, mais elles filment en permanence ce que vous voyez et peuvent interroger Meta AI pour obtenir des informations sur votre environnement.
Le succès commercial de ces lunettes repose justement sur leur discrétion : aucun smartphone à sortir, aucun geste visible. Vous regardez quelqu'un, vous posez une question à voix basse, l'IA répond dans vos oreillettes. Pour les personnes autour de vous, vous portez simplement des lunettes.
Ce que l'analyse technique révèle
Les experts hambourgeois ont démonté une paire de Ray-Ban Meta pour comprendre leur fonctionnement. Ils ont découvert que la puce mémoire intégrée ne possède aucun point de contact accessible, ce qui rend impossible la vérification de ce qui est stocké localement. Les données transmises vers les serveurs de Meta sont largement chiffrées, ce qui complique l'analyse.
Sur le téléphone connecté aux lunettes, l'application Meta crée une base de données avec des tables nommées « face », « face_group » et « face_low_confidence_pair ». Même si les experts n'ont pas pu confirmer leur usage exact, ces noms évoquent clairement un système de reconnaissance faciale.
Un floutage des visages difficile à vérifier
Quand vous demandez à Meta AI d'analyser une scène contenant des visages, l'image stockée dans vos données personnelles montre effectivement ces visages floutés par des cercles gris. Mais les experts n'ont pas pu déterminer si ce floutage intervient avant ou après l'envoi vers les serveurs de Meta. Le chiffrement des communications et un décalage de deux secondes dans l'horodatage laissent planer le doute.
Concernant les conversations vocales avec l'IA, les transcriptions restent accessibles dans un « Journal d'activité vocale » même après avoir utilisé le bouton « Supprimer toutes les conversations ». Pour effacer réellement ces données, il faut les supprimer manuellement une par une.
Pourquoi c'est illégal en Europe
Le rapport identifie plusieurs violations du Règlement général sur la protection des données :
- Impossible d'informer les personnes filmées : le RGPD exige que vous informiez clairement toute personne dont vous capturez l'image. Avec des lunettes indiscernables d'une paire ordinaire, cette exigence devient matériellement impossible à respecter dans un lieu public
- Reconnaissance faciale hors cercle proche interdite : identifier des personnes que vous ne connaissez pas personnellement via ces lunettes constitue un traitement de données biométriques interdit sans base légale spécifique
- Transfert de données vers les États-Unis : Meta est une entreprise américaine. Les images et sons captés sont envoyés sur leurs serveurs, potentiellement accessibles aux autorités américaines sans garanties européennes suffisantes
- Opacité technique : l'impossibilité de vérifier ce qui est stocké localement et quand les données sont envoyées empêche tout contrôle réel par l'utilisateur
Quelques conseils
Si vous possédez ces lunettes : limitez strictement leur usage à votre cercle familial proche, dans des espaces privés. En public, vous vous exposez à des sanctions pour non-respect du RGPD, même si vous pensiez agir innocemment.
Si vous croisez quelqu'un qui les porte : sachez que vous avez le droit de refuser d'être filmé. La difficulté est évidemment de repérer ces lunettes, qui ressemblent à n'importe quelle paire ordinaire.