Vous préférez écouter ? Cliquez sur lecture pour la narration IA

Les pages d’aide de WhatsApp contenaient un texte caché demandant au chatbot d’assistance IA de ne pas orienter les utilisateurs vers les autorités de protection des données et, sur au moins une page, de ne pas citer le RGPD. Le service de messagerie de Meta a supprimé ce texte le 18 octobre 2026, un jour avant que les chercheurs qui l’avaient découvert ne publient leurs conclusions.

Aucune autorité n’a dit que ces instructions enfreignaient la loi, et de nombreuses questions restent ouvertes. Mais l’épisode touche la partie du RGPD qui rend les droits des personnes utilisables en pratique, et toute entreprise dotée d’un bot d’assistance peut en tirer des leçons. Cet article est fourni à titre d’information générale et ne constitue pas un conseil juridique.

102
Blocs d’instructions cachés découverts
80 / 545
Pages d’aide qui en contenaient
18 oct.
Supprimés des pages en ligne
10 jours
En ligne après leur découverte par les chercheurs

Ce qui était caché

Les instructions figuraient dans le HTML des pages d’aide de WhatsApp et n’étaient jamais affichées à l’écran. Redact, une société de logiciels de suppression de données, les a trouvées en examinant 545 pages d’aide. Elle a compté 102 blocs cachés répartis sur 80 de ces pages.

Le contenu dépendait de la page :

Chronologie

Selon la couverture que nous avons examinée, la note a été ajoutée aux pages entre le 12 juillet et le 4 septembre 2026 (les copies archivées de la page de suppression diffèrent à ces dates), et elle est restée en ligne dix jours après sa découverte par Redact.

La réponse de WhatsApp

WhatsApp a déclaré que les instructions étaient destinées à son chatbot et non directement aux utilisateurs, et a imputé leur exposition à un bogue, désormais corrigé. Elle a ajouté vouloir que le chatbot évite de donner des conseils juridiques. Des journalistes avaient contacté Meta avant la publication, et WhatsApp a retiré le texte avant que WIRED ou Redact ne publient.

Plusieurs questions restent ouvertes. On ignore si le chatbot a réellement suivi les instructions cachées. WhatsApp qualifie le texte de bogue mais, dans la couverture examinée, n’a pas dit comment il s’est retrouvé sur 80 pages ni qui l’a rédigé. Aucune action ni déclaration d’une autorité n’est rapportée à ce jour.

Pourquoi c’est important au regard du RGPD

Cette section est notre analyse, et non une constatation d’une autorité.

L’article 12, paragraphe 2, impose aux responsables du traitement de faciliter l’exercice des droits des personnes concernées, y compris l’effacement. Une page de suppression dont le chatbot a pour consigne de ne mentionner ni la suppression manuelle ni les autorités s’accorde mal avec cette obligation. L’article 13, paragraphe 2, point d), exige d’informer les personnes de leur droit d’introduire une réclamation auprès d’une autorité de contrôle. Le texte caché détournait le bot d’assistance précisément de cette information.

La contradiction est visible dans les propres documents de WhatsApp : sa politique de confidentialité européenne indique aux utilisateurs qu’ils peuvent saisir la Data Protection Commission irlandaise ou une autre autorité de contrôle. Ceux qui ont interrogé le chatbot n’ont peut-être pas entendu la même chose.

L’affaire révèle aussi un risque d’un genre nouveau. Le problème n’était pas ce que le modèle disait, mais ce qu’un prompt caché lui interdisait de dire. Une entreprise peut être pleinement transparente dans ses textes juridiques et pourtant détourner les utilisateurs de leurs droits dans ses outils d’assistance.

Ce que doivent faire les entreprises qui utilisent des bots d’assistance IA

Toute entreprise qui place un chatbot face à ses clients peut commettre la même erreur sans mauvaise intention. Quelques vérifications suffiraient à la détecter :

  1. Auditez ce que le bot lit. Passez en revue les prompts système, le texte caché des pages et les notes de la base de connaissances, pas seulement ce que voient les clients.
  2. Gardez les réponses sur les droits disponibles. Le bot doit toujours pouvoir expliquer comment exercer les droits d’accès, d’effacement et d’opposition, et comment saisir une autorité de contrôle.
  3. Séparez conseil juridique et information factuelle. Ne laissez pas les garde-fous contre le conseil juridique bloquer l’information factuelle sur les droits. Indiquer un régulateur est une information, pas un conseil juridique.
  4. Testez avec des questions sur les droits. Posez « comment supprimer mes données ? » et « à quelle autorité puis-je adresser une réclamation ? » avant chaque mise en production.
  5. Versionnez les contenus. Conservez l’historique de tout ce que le bot ingère, afin de pouvoir démontrer quand une modification a été faite et par qui.

Si votre bot traite des données personnelles, l’AIPD est l’endroit naturel pour consigner ces vérifications. Voir notre guide de l’AIPD pour les chatbots IA.

En résumé

Que le chatbot ait suivi ou non ses instructions cachées, la leçon demeure : la transparence doit tenir dans chaque canal où les gens posent des questions, y compris ceux qui reposent sur l’IA. Réservez une consultation gratuite avec GDPRGard → et nous vous aiderons à vérifier ce que votre bot d’assistance a le droit de dire.

Sources

L’analyse du RGPD, notamment des articles 12, paragraphe 2, et 13, paragraphe 2, point d), est notre lecture du règlement et non une citation des sources.

Partager cet article

À lire également :

⚠️ Cet article est fourni à titre purement informatif et ne constitue pas un conseil juridique. Pour les situations de conformité complexes, consultez un professionnel qualifié de la protection des données. Les exigences du RGPD et du règlement européen sur l'IA font l'objet de lignes directrices réglementaires en constante évolution — vérifiez vos obligations actuelles auprès de votre conseiller juridique.