Votre visage est plus facile à rechercher que vous ne le pensez. Comprendre comment fonctionne la reconnaissance faciale, et ce que dit le droit de la vie privée à ce sujet, est la première étape pour décider quelle part de vos données faciales vous êtes prêt à partager. Un récent article explicatif de Safeguard présente les bases techniques et les trois cadres juridiques qui comptent le plus : BIPA, le RGPD et le règlement européen sur l'IA. Cet article résume ces points en langage clair.
Comment la correspondance faciale transforme votre visage en score
La reconnaissance faciale ne stocke pas votre visage comme le ferait un album photo. Selon l'article explicatif, la correspondance faciale convertit un visage en un vecteur, c'est-à-dire une liste de nombres décrivant les caractéristiques mesurées par le système. La correspondance devient alors un problème mathématique : le système compare un vecteur à un autre et produit un score indiquant leur degré de similitude.
C'est là qu'interviennent les seuils. Un système doit décider à partir de quel score deux visages sont considérés comme correspondants. Fixez le seuil bas, et le système accepte plus de correspondances mais produit aussi plus de faux positifs. Fixez-le haut, et il produit moins de fausses correspondances mais peut manquer de vraies correspondances. Le choix du seuil est une décision politique autant que technique, car le coût d'une mauvaise réponse dépend du contexte. Une fausse correspondance pour déverrouiller un téléphone n'est qu'une gêne. Une fausse correspondance dans un contexte policier peut avoir des conséquences bien plus lourdes.
L'article explicatif souligne également l'importance des tests de biais. Les systèmes peuvent avoir des performances différentes selon les groupes de personnes, il est donc essentiel de mesurer les taux d'erreur au sein de ces groupes avant le déploiement d'un système. Un seul chiffre de précision global peut masquer des résultats inégaux.
Où les gens ordinaires rencontrent la reconnaissance faciale
Pour la plupart des gens, la reconnaissance faciale apparaît dans plusieurs endroits ordinaires : les magasins, les téléphones, les aéroports et les caméras publiques. Chaque contexte fonctionne un peu différemment.
- Téléphones : Déverrouiller un appareil avec votre visage est une comparaison individuelle, vérifiant si la personne devant la caméra correspond au propriétaire enregistré.
- Magasins : Les caméras de vente au détail peuvent être utilisées pour signaler des personnes par rapport à une liste de surveillance ou pour analyser les visiteurs.
- Aéroports : La correspondance faciale peut être utilisée pour comparer un voyageur à un document d'identité ou à un dossier.
- Caméras publiques : Faire correspondre un visage dans une foule à une base de données plus large est une tâche différente et plus sensible que de déverrouiller son propre téléphone.
Plus la base de données est grande et moins vous avez le choix d'être scanné, plus les enjeux de confidentialité sont élevés. Ces préoccupations ne sont pas abstraites. Notre reportage sur l'essor de la reconnaissance faciale en Inde et la fin de l'anonymat lors des manifestations montre comment les réseaux de caméras peuvent changer ce que signifie participer à un rassemblement public.
Ce que BIPA, le RGPD et le règlement européen sur l'IA vous apportent réellement
L'article explicatif mentionne trois cadres juridiques. Leurs protections sont réelles, mais elles s'appliquent de manière inégale selon l'endroit où vous vivez et qui collecte vos données.
BIPA est la loi de l'Illinois sur la confidentialité des informations biométriques (Biometric Information Privacy Act). C'est une loi d'État américaine qui traite spécifiquement des données biométriques telles que la géométrie du visage. Sa protection ne s'étend qu'aux personnes couvertes par la loi de l'Illinois, ce qui explique pourquoi les protections américaines sont souvent décrites comme un patchwork.
Le RGPD est le règlement général sur la protection des données de l'Union européenne. Il traite les données biométriques utilisées pour identifier une personne comme une catégorie spéciale de données personnelles, soumise à des conditions de traitement plus strictes que les données ordinaires. Il s'applique largement aux organisations traitant les données de personnes dans l'UE.
Le règlement européen sur l'IA ajoute des règles visant les systèmes d'IA eux-mêmes, y compris la reconnaissance faciale. Plutôt que de se concentrer uniquement sur les données, il réglemente la manière dont ces systèmes sont construits et utilisés, ce qui renvoie aux tests, aux seuils et aux vérifications de biais décrits ci-dessus.
Le point clé est que ces lois diffèrent par leur portée et leur application. Une personne en Illinois ou dans l'UE peut avoir des droits qu'une personne ailleurs n'a pas. Et aucune de ces lois n'empêche une caméra de capturer votre visage dans un espace public ; elles régissent ce que les organisations peuvent faire avec les données.
Ce que cela signifie pour vous
La reconnaissance faciale n'est pas une technologie unique utilisée d'une seule manière. Déverrouiller votre téléphone, être scanné à une frontière et être comparé à un flux de caméras publiques sont des situations différentes avec des risques différents et des protections juridiques différentes. Savoir à laquelle vous avez affaire vous aide à décider où agir.
Il convient également d'être clair sur ce que les outils de confidentialité peuvent et ne peuvent pas faire. Un VPN protège votre trafic réseau. Il ne fait rien contre une caméra qui voit votre visage, ou une photo qui a déjà été associée à un vecteur. Les contre-mesures personnelles sont également limitées : notre article sur la question de savoir si le maquillage peut déjouer la reconnaissance faciale explore pourquoi les astuces visant à tromper les caméras soulèvent plus de questions qu'elles n'apportent de réponses.
Moyens pratiques de limiter votre exposition
Vous ne pouvez pas contrôler toutes les caméras, mais vous pouvez contrôler les données que vous transmettez volontairement.
- Vérifiez les paramètres faciaux de votre téléphone. Vérifiez si le déverrouillage facial, le regroupement de visages sur les photos et les fonctionnalités similaires sont activés, et désactivez ce dont vous n'avez pas besoin.
- Auditez vos comptes sociaux. Recherchez les paramètres d'identification, de reconnaissance faciale et de visibilité des photos, et resserrez-les.
- Lisez les avis de consentement. Si un magasin, une application ou un service demande à scanner votre visage, vérifiez ce qu'il dit sur la conservation et le partage avant d'accepter.
- Utilisez vos droits juridiques. Si vous êtes couvert par le RGPD ou une loi similaire, vous pouvez peut-être demander quelles données biométriques une organisation détient et en demander la suppression.
- Partagez moins de photos publiques. De grandes collections d'images identifiées facilitent la constitution de données faciales consultables.
L'essentiel
La manière dont fonctionne la reconnaissance faciale et les débats sur le droit de la vie privée se résument souvent à une idée : votre visage devient un vecteur, un score et une décision de seuil, et la loi décide qui a le droit d'exécuter ce processus. Prenez quelques minutes cette semaine pour examiner les paramètres de données faciales sur vos appareils et vos comptes sociaux. Pour plus de contexte sur les limites des contre-mesures personnelles, lisez nos articles sur les mythes de l'évasion des caméras et la surveillance publique à grande échelle, en commençant par les articles liés ci-dessus.
