Le métro de Londres identifie les visages, ce que le droit français interdit

Le fait

La British Transport Police a lancé son premier déploiement de reconnaissance faciale en direct dans une station de Transport for London mardi 11 août à Victoria. L’essai, commencé sur le réseau ferroviaire, est prolongé jusqu’en novembre et alternera entre stations du métro et gares de Network Rail.

Le fonctionnement est décrit sans détour. Les visages captés sont comparés à une liste de personnes recherchées par la police ou les tribunaux, ou soumises à des mesures destinées à protéger le public. « Les images de toute personne absente de la base autorisée seront supprimées immédiatement et définitivement », écrit la police, qui propose des itinéraires alternatifs à qui préfère éviter la zone. Chris Casey, l’officier responsable du projet, présente des déploiements « guidés par le renseignement ». Siwan Hayward, directrice de la sûreté à Transport for London, annonce un suivi de l’impact sur quatre mois et y voit un outil supplémentaire puissant contre les infractions graves, dont les agressions sexuelles.

Un point n’a pas d’équivalent français. La police des transports annonce ses déploiements à l’avance sur son site, date et lieu compris. La vidéo ci-dessous montre une démonstration du même type de technologie par la police londonienne.

Notre regard

Le mot « caméra intelligente » recouvre deux objets que le droit sépare nettement. La CNIL fixe le critère : un dispositif biométrique traite des caractéristiques physiques et vise à identifier une personne de façon unique, quand une caméra dite augmentée ne remplit aucun de ces critères, ou un seul des deux. Détecter un colis abandonné n’est pas identifier son propriétaire. Les reprises du dispositif londonien mélangent les deux ; la frontière juridique passe exactement là.

Nous croisons ici le dispositif londonien avec le droit applicable en France, brique par brique. Le tableau rapporte chaque fonction du système au texte qui l’autorise ou l’interdit, des deux côtés de la Manche.

Le résultat tient en une phrase : ce qui se passe à Victoria serait légal en France pour la détection d’un mouvement de foule, illégal pour la reconnaissance d’un visage.

La nuance

La France n’est pas vierge de caméras algorithmiques. La loi du 19 mai 2023 sur les Jeux a autorisé une expérimentation de détection automatisée portant sur huit situations : objets abandonnés, présence d’armes, non-respect du sens de circulation, franchissement de zone interdite, personne au sol, mouvement de foule, densité excessive, départ de feu. Sur le reste, la CNIL est catégorique : les dispositifs utilisés pendant les Jeux fonctionnaient sans reconnaissance faciale, la loi excluant explicitement tout système d’identification biométrique.

Le verrou est aujourd’hui européen. Le règlement sur l’intelligence artificielle interdit l’identification biométrique en temps réel dans les espaces accessibles au public à des fins répressives, sauf pour une liste courte : victimes d’enlèvement ou de traite, personnes disparues, menace imminente pour la vie, menace terroriste, suspects d’infractions punies d’au moins quatre ans. Ces interdictions s’appliquent depuis le 2 février 2025 et les exceptions supposent une loi nationale qui les ouvre. Le Royaume-Uni, sorti de l’Union, n’est pas tenu par ce texte : la police des transports s’appuie sur le Data Protection Act 2018, le Human Rights Act 1998 et l’Equality Act 2010, sans loi consacrée à la reconnaissance faciale.

Reste la phrase la plus reprise, celle de la suppression immédiate. Elle est exacte et elle ne dit pas tout. Pour comparer un visage à une liste, il faut d’abord le mesurer : un gabarit biométrique est calculé pour chaque passant, y compris pour celui qui ne figure sur aucune base. C’est ce calcul, plus que la durée de conservation qui le suit, que le droit européen encadre.

À surveiller

Trois échéances méritent le suivi. L’essai britannique court jusqu’en novembre, avec l’évaluation d’impact promise par Transport for London sur quatre mois : les arrestations obtenues et les erreurs d’appariement diront ce que vaut la promesse. En France, la loi RIPOST prolonge la vidéosurveillance algorithmique jusqu’en 2030 et l’étend à l’intérieur des lieux ouverts au public, gares et couloirs de métro compris. Le curseur bouge donc sur la détection d’événements, pas sur l’identification des personnes.

Le signal à guetter est précis : une loi française qui ouvrirait les exceptions prévues par le règlement européen. Tant qu’elle n’existe pas, une caméra qui reconnaît un visage en direct dans un couloir du métro parisien reste hors la loi, quel que soit le sort réservé aux images. C’est la même ligne de partage que nous suivions à propos de Gemini dans Chrome : la question n’est pas ce que la machine garde, mais ce qu’elle a le droit de calculer.