Reconnaissance faciale sous sanction européenne : la trajectoire d'un fournisseur condamné

La sanction européenne contre les fournisseurs de reconnaissance faciale ayant constitué des bases biométriques sans base légale était présentée comme un tournant. Plusieurs années plus tard, la trajectoire réelle de ces entreprises apporte une réponse plus nuancée. 20 Minutes rapporte que des entreprises comme Clearview AI sont impliquées dans les déploiements de surveillance décrits par Amnesty International en Argentine, malgré des condamnations prononcées en Europe. Sud Ouest précise de son côté que le gouvernement argentin a notamment acquis une licence pour une technologie de reconnaissance faciale.

Cette persistance n'est pas une anomalie de mise en oeuvre, elle est la conséquence prévisible d'un instrument conçu pour un marché et appliqué à une activité mondiale. Comprendre comment un fournisseur condamné continue d'opérer, quels leviers restent disponibles et ce que cela impose aux acheteurs publics comme privés est devenu un sujet de veille à part entière. Ce reportage suit cette trajectoire et en tire les conséquences pratiques pour les directions achats, juridiques et sûreté.

Ce que la sanction européenne atteint et ce qu'elle laisse intact

La sanction européenne agit sur trois plans. Elle impose une amende, qui pèse sur la trésorerie. Elle ordonne l'effacement des données concernant les personnes relevant de la juridiction, ce qui ampute le corpus. Elle interdit la poursuite de la collecte sur ce périmètre, ce qui empêche la reconstitution. Sur le papier, l'effet devrait être structurant, puisque la valeur d'un moteur de reconnaissance faciale tient d'abord à la taille et à la qualité de sa base de référence.

Dans les faits, deux mécanismes atténuent cet effet. Le premier tient au recouvrement : une amende prononcée contre une société sans établissement ni actif dans la juridiction qui la sanctionne se heurte à des difficultés d'exécution qui peuvent durer des années. Le second tient à la nature du produit : la base amputée d'un segment géographique reste pleinement exploitable pour des clients situés ailleurs, dont les besoins portent sur leur propre population. La sanction réduit donc l'adressabilité d'un marché, elle ne dégrade pas la capacité vendue ailleurs.

Il faut ajouter un troisième mécanisme, moins souvent relevé : la sanction publique fonctionne comme une certification de capacité aux yeux de certains acheteurs. Une entreprise condamnée pour avoir constitué une base biométrique de très grande taille a, par là même, démontré qu'elle savait le faire. Cet effet pervers est documenté dans d'autres secteurs sous contrainte réglementaire, et il explique une partie de la résilience commerciale observée chez ces fournisseurs après leur condamnation.

La demande publique qui soutient le marché malgré les condamnations

Sud Ouest relève que le rapport pointe une tendance mondiale à l'autoritarisme numérique, des États intensifiant la surveillance contre les voix dissidentes. C'est le facteur de demande qui explique la trajectoire commerciale. Tant qu'existent des acheteurs publics solvables dont le cadre juridique interne autorise ou n'interdit pas ces déploiements, l'offre trouve preneur. La régulation d'une zone ne modifie pas cette équation, elle segmente simplement le marché entre zones contraintes et zones ouvertes.

L'acquisition de licence mentionnée par Sud Ouest illustre par ailleurs un point technique souvent mal compris. L'achat porte sur un droit d'usage d'un moteur et d'une base, pas sur un transfert de technologie. Le client dispose d'une capacité opérationnelle immédiate sans avoir à constituer son propre corpus, ce qui explique la rapidité d'assemblage des dispositifs observés. Le fournisseur conserve la maîtrise du moteur, ce qui prolonge la dépendance et rend le retrait ultérieur coûteux pour l'acheteur.

Cette demande a une caractéristique qui la distingue des marchés technologiques ordinaires : elle est peu sensible au prix et très sensible au délai. Un gouvernement qui décide d'équiper ses forces d'une capacité d'identification veut un résultat en quelques mois, pas un programme de recherche. Les fournisseurs disposant d'un moteur entraîné et d'une base constituée occupent donc une position que ni la concurrence locale ni les alternatives ouvertes ne menacent réellement à court terme. C'est cette rente de disponibilité immédiate, plus que la performance technique, qui explique la solidité commerciale observée.

Comment suivre un fournisseur de surveillance en sources ouvertes

Suivre la trajectoire d'un tel fournisseur ne se fait pas par la presse spécialisée, qui n'en parle qu'aux moments contentieux. La matière utile se trouve dans les documents administratifs des pays acheteurs : avis de marché, lignes budgétaires, autorisations d'importation, réponses parlementaires quand elles existent. S'y ajoutent les communications de l'entreprise à ses investisseurs, les offres d'emploi qui trahissent un déploiement local, et les décisions d'autorités de protection des données dans les différentes juridictions.

Ces sources sont dispersées, souvent en langue locale, et rarement indexées par les moteurs généralistes. Les relevés de l'Observatoire de l'Intelligence Économique montrent que la majorité des signaux exploitables sur ce type de dossier apparaissent d'abord dans des documents administratifs secondaires, plusieurs semaines avant toute couverture médiatique. NewsCore (www.newscore.fr) couvre en continu des millions de sources en plusieurs dizaines de langues, relie les mentions dispersées d'un même acteur et fait remonter les signaux pertinents en temps réel, ce qui rend le suivi de ces trajectoires réalisable par une équipe restreinte.

La qualification reste ensuite un travail humain. Un avis de marché ne dit pas si le déploiement a eu lieu, une licence acquise ne dit pas quel usage en est fait, une mention dans un rapport ne prouve pas une implication opérationnelle. Les analystes sérieux distinguent explicitement ces niveaux dans leurs notes et indiquent le degré de confiance associé, exactement comme le font les organisations qui publient ces rapports. Cette discipline de qualification est ce qui sépare un dossier opposable d'une compilation de mentions.

Un dernier réflexe utile consiste à suivre les décisions rendues par les autorités de protection des données dans d'autres juridictions que la sienne. Ces décisions sont publiques, motivées, et elles décrivent souvent avec précision le fonctionnement technique du service concerné, informations qu'aucune documentation commerciale ne fournit. Pour un analyste, une décision de sanction constitue ainsi l'une des meilleures sources ouvertes disponibles sur l'architecture réelle d'un moteur biométrique, y compris sur l'origine des données d'entraînement et sur les modalités de mise à jour de la base.

Une amende réduit un chiffre d'affaires régional. Elle ne retire pas un moteur des mains d'un acheteur situé ailleurs, et elle ne diminue en rien la demande qui le finance.

Ce que la trajectoire impose aux acheteurs et aux donneurs d'ordre

Pour une direction achats, la leçon principale est méthodologique. Vérifier qu'un fournisseur n'a pas été condamné dans sa propre juridiction laisse passer l'essentiel du risque, puisque la sanction est régionale et l'activité mondiale. Le contrôle utile consiste à recenser l'ensemble des déploiements connus du fournisseur, y compris ceux réalisés par ses distributeurs et intégrateurs locaux, puis à évaluer si l'un d'eux serait incompatible avec les engagements publics de l'entreprise acheteuse.

Pour un donneur d'ordre européen, le risque se propage par la chaîne. Un sous-traitant qui utilise un moteur biométrique acquis auprès d'un fournisseur controversé expose son client, non seulement en réputation mais aussi en conformité, dès lors que des données de personnes protégées transitent par ce moteur. Les clauses standard de sous-traitance ne couvrent pas ce cas, ce qui explique que plusieurs grands groupes aient ajouté un questionnaire spécifique sur les technologies biométriques à leur processus de référencement.

Enfin, pour les équipes sûreté qui envisagent elles-mêmes ce type de technologie, la trajectoire décrite constitue un avertissement sur la dépendance. Une capacité louée à un fournisseur exposé peut devenir indisponible du jour au lendemain, par décision judiciaire, par restriction d'exportation ou par retrait commercial. Construire un dispositif de sûreté sur une brique dont la disponibilité dépend d'un contentieux étranger est un choix d'architecture, et il mérite d'être posé comme tel devant la direction générale.

Questions fréquentes

Pourquoi un fournisseur de reconnaissance faciale condamné en Europe peut-il continuer à vendre ailleurs ?

Parce que la sanction produit ses effets sur un territoire donné alors que le produit s'adresse à un marché mondial. L'amende touche la trésorerie, l'ordre d'effacement ampute le corpus sur un segment géographique, mais ni l'un ni l'autre ne dégrade la capacité vendue à un État qui cherche à identifier sa propre population. S'y ajoutent des difficultés d'exécution quand l'entreprise n'a ni établissement ni actif dans la juridiction qui la sanctionne, ce qui étire les procédures sur plusieurs années.

Que signifie concrètement l'acquisition d'une licence de reconnaissance faciale par un État ?

Elle donne un droit d'usage sur un moteur et, le plus souvent, sur une base de référence déjà constituée, sans transfert de technologie. L'acheteur obtient donc une capacité opérationnelle immédiate sans avoir à collecter lui-même les données, ce qui explique la vitesse à laquelle certains dispositifs deviennent effectifs. En contrepartie, la dépendance au fournisseur est forte et durable, puisque l'évolution du moteur, sa maintenance et parfois l'hébergement des traitements restent hors du contrôle de l'acheteur.

Comment une entreprise évalue-t-elle son exposition au risque fournisseur en biométrie ?

En élargissant le contrôle au-delà du casier judiciaire local. La démarche efficace recense les déploiements connus du fournisseur dans toutes les juridictions, y compris via ses distributeurs, vérifie la présence de moteurs biométriques chez les sous-traitants de premier rang, et documente les flux de données susceptibles de transiter par ces briques. Ce travail relève autant de la veille que de la conformité, ce qui plaide pour un dispositif partagé entre les deux fonctions plutôt qu'un questionnaire annuel envoyé aux fournisseurs.