La reconnaissance faciale progresse en France

Déposez vos bagages, passez les portiques de sécurité et l’embarquement sans sortir ni papier ni smartphone. À chaque étape, le système vous authentifie en scrutant votre visage. Bienvenue à l’aéroport de Lyon Saint-Exupéry (Rhône), qui teste pour un an un parcours passager fondé sur la reconnaissance faciale.

Depuis 2018 et son intégration dans le contrôle automatisé aux frontières Parafe, cette technologie progresse en France. Elle est, par exemple, au cœur de l’application Alicem, lancée par le gouvernement pour sécuriser la connexion au portail de services publics. Suspendu pendant plusieurs mois, son déploiement devrait bien avoir lieu, le Conseil d’État venant de juger le dispositif conforme au règlement général sur la protection des données (RGPD). Ce texte interdit la reconnaissance faciale en Europe, sauf à justifier d’une exception – un intérêt public majeur ou le consentement de la personne concernée. Cette autorisation pourrait encourager de nouvelles expérimentations. La plus poussée a été faite en 2019 par la ville de Nice (Alpes-Maritimes) pendant son carnaval, avec le recours à la reconnaissance faciale sur la voie publique, une première en France. En octobre, la présidente (Soyons libres) de la région Ile-de-France, Valérie Pécresse, a plaidé pour son utilisation dans les transports en commun afin de lutter contre le terrorisme.

Derrière ces exemples, des cas d’usage différents. À ­l’aéroport de Lyon comme pour Alicem, il s’agit d’authentifier une identité, la reconnaissance faciale permettant de comparer la biométrie du visage sur une photo et sur une pièce d’identité. Un besoin croissant pour éviter les usurpations d’identité, alors que la numérisation de nos actes s’accélère. Sécuriser l’ouverture d’un compte, le paiement des impôts ou la location d’un véhicule en ligne est la promesse des industriels, dont deux tricolores : Idemia, fournisseur de l’aéroport de Lyon, et Thales, derrière Alicem à travers sa filiale Gemalto, acquise en 2019. Avec comme autre argument l’expérience client. "Selon la réglementation, on peut imaginer un parcours client beaucoup plus fluide du matin au soir, anticipe Benoît Jouffrey, le directeur technologique de la division Identité et sécurité numériques de Thales. Votre véhicule pourrait s’ouvrir, personnaliser ses réglages et démarrer juste en vous reconnaissant. Au travail, plus besoin de badge pour entrer."

Un marché mondial en croissance accélérée

Les deux firmes bénéficient de leur expérience dans la production de titres sécurisés, qu’il s’agisse d’identité, de cartes bancaires ou de télécoms. Depuis des années, elles fournissent des systèmes de relevés d’identité par empreintes digitales, faciales et d’iris à différentes autorités, comme le gouvernement indien pour Idemia et le département de la Sécurité intérieure des États-Unis pour Thales. "La filière française de la biométrie est l’une des mieux placées au monde pour les applications de sécurisation des documents d’identité, des transactions financières et du contrôle d’accès", indiquait en 2019 le cabinet Xerfi, citant aussi de petits acteurs, comme l’Imprimerie nationale (IN Group), le groupe d’électronique grenoblois ID3 Technologies (Rhône-Alpes) et le spécialiste du contrôle d’accès Zalix Biométrie (Val-de-Marne), filiale du groupe de casinos Tranchant. Dans les classements, Thales et Idemia figurent dans le top 10 des leaders mondiaux de la reconnaissance faciale. À leurs côtés, les japonais Nec et Ayonix, les américains Aware, FaceFirst et Daon, et l’allemand Cognitec Systems. Sans oublier les Gafam et les BATX (Baidu, Alibaba, Tencent, Xiaomi), qui intègrent la technologie dans leurs produits et services. En ligne de mire, un marché mondial qui doit doubler d’ici à 2024 et atteindre 9 milliards d’euros, selon Mordor Intelligence.

Mais ce marché reste dominé par la vente de technologies d’identification à des forces de l’ordre. Le nouveau logiciel Augmented Vision d’Idemia permet, par exemple, de scruter des images de vidéosurveillance en temps réel et en post-événement pour retrouver une personne fichée. De quoi intéresser la Sûreté du Québec, à en croire l’appel d’offres qu’elle vient de publier et auquel le groupe tricolore a répondu, selon la presse canadienne. Pour faire progresser ses algorithmes, Idemia s’appuie sur une R & D implantée en France et en Allemagne, faisant valoir "la qualité de la recherche française et européenne en intelligence artificielle". Le groupe a ouvert une chaire avec Télécom Paris, est membre de l’institut de recherche en IA Prairie et finance les travaux de l’équipe de Liming Chen, professeur à l’École centrale Lyon.

Une réglementation européenne restrictive

Les enjeux ? Les biais des algorithmes, leur explicabilité et leur performance. Le choix de l’Europe n’est pourtant pas facile. Le traitement de données biométriques y est très encadré et limité, même en recherche. "L’essentiel de nos données provient de collecte faite auprès de salariés volontaires", confie Vincent Bouatou, le directeur innovation de la direction identité et sécurité publique d’Idemia. L’équipe de Liming Chen exploite, elle, des bases constituées en Chine et aux États-Unis. Cette législation trop contraignante est aussi regrettée par Thales, qui fait notamment sa R & D dans son laboratoire de Paris-Saclay. Ces recherches sont d’autant plus importantes que les technologies d’identification sont moins matures que celles d’authentification. Récemment, un Afro-Américain a passé trente heures en garde à vue parce qu’un algorithme a confondu sa photo avec l’image d’un voleur de montres. Conscients des biais de leurs technologies et de leur possible utilisation pour du profilage racial, Amazon, Microsoft et IBM ont annoncé, en plein mouvement Black lives matter, suspendre la vente de leur solution aux forces de l’ordre.

Des difficultés loin des usages pour l’instant en vigueur dans l’Hexagone. "En France, les déploiements ont souvent été faits sur la base du consentement, en recourant à des bases de données constituées de personnes volontairement enrôlées pour l’expérimentation", observe Annabelle Richard, avocate au cabinet Pinsent Masons. La Cnil veille pour tuer dans l’œuf les expérimentations hors des clous du RGPD (lire l'entretien ci-dessous). Elle a par exemple incité la région Provence-Alpes-Côte d’Azur à renoncer au filtrage des lycéens par reconnaissance faciale, jugeant cet usage disproportionné. Mais pour combien de temps encore ? "Des incertitudes demeurent quant aux conditions d’exploitation de la reconnaissance faciale, pointe Annabelle Richard. Comment évalue-t-on le caractère nécessaire d’un dispositif ou sa proportionnalité ? Pour l’embarquement à l’aéroport, par exemple, le gain de temps est-il un intérêt suffisamment grand ? À quoi le passager consent-il : à aller plus vite ou au traitement de ses données biométriques ?" À chaque fois, c’est à la juridiction de trancher. Si les projets d’expérimentation se multiplient, la Cnil et le Conseil d’État pourraient vite être débordés.

Les industriels attendent donc la définition d’un cadre d’exploitation. Avec un horizon en tête : les jeux Olympiques de 2024 à Paris. La technologie pourrait y être utilisée comme dans les aéroports, pour s’assurer que seules les personnes enrôlées accèdent aux stades. Mais aussi de manière inédite. Les industries de sécurité ont proposé à l’État "la mise en place d’un système intelligent de caméras connectées à une plate-forme sécurisée", notant que "l’identification en temps réel par reconnaissance faciale de personnes recherchées (terrorisme, enlèvement, signalement…) a une utilité réelle", confie Marc Darmon, le président du comité stratégique de filière pour les industries de sécurité. La proposition devrait faire réagir les associations de défense des libertés. Car selon la base de données utilisée, le risque pour les droits humains est réel. Le fichier TAJ (Traitement d’antécédents judiciaires), par exemple, comporte 19 millions de fiches et plus de 8 millions de photos, y compris celles de personnes innocentées après enquête, pointe la Quadrature du net. L’association plaide pour l’arrêt de toute expérimentation en Europe. Une mauvaise solution, répond Valérie Fernandez, professeur en économie numérique à Télécom Paris: "Le risque, en empêchant les acteurs européens de progresser, est qu’ils disparaissent du marché et que les technologies qui s’imposent à nous, souvent par nos usages très ordinaires, soient portées par des acteurs qui échappent à toute régulation européenne."

À l’Europe de définir le bon cadre d’exploitation, pourquoi pas en coopération avec les industriels. "Le fournisseur peut jouer un rôle pour limiter les dérives, estime Annabelle Richard. Par exemple en paramétrant son système pour exclure de la captation des images les personnes qui n’ont pas donné leur consentement. Ou avec un design qui présente le résultat d’une identification comme un score de correspondance plutôt qu’un oui ou un non." De quoi aller vers des technologies plus éthiques. Et arriver sur le marché mondial avec un argument de vente de plus en plus écouté.

L’authentification, mode d’emploi

Moins intrusives et plus protectrices des données personnelles, les technologies d’authentification ? Il faut regarder comment elles fonctionnent pour le comprendre. Quand une personne utilise une application d’authentification depuis son smartphone, c'est elle qui prend une photo de son visage ainsi que de sa pièce d’identité et qui les envoie via l'application. Aucune de ces deux photos ne sont censées atterrir dans une base de données. Dans le cas de l’aéroport de Lyon Saint-Exupéry, elles sont stockées sur le téléphone du passager et ne le quitteront pas. Elles sont utilisées par le logiciel de reconnaissance faciale pour créer un gabarit biométrique, encrypté, qui permet de reconnaître le passager à l’aéroport. Ce gabarit est détruit après le décollage de l’avion.

 

Une technologie déployée dans le monde...

• En Chine, le contrôle social
  Retirer des billets à un automate, payer son fast-food, pénétrer dans un campus, s’enregistrer à l’hôtel... En Chine, la reconnaissance faciale est partout. Le recueil de la biométrie faciale est même obligatoire depuis 2019 pour acheter un smartphone. Le segment des terminaux est dominé par Alibaba et Tencent, les deux géants chinois de l’internet, et s’appuie, côté logiciel, sur des start-up telles Megvii, SenseTime et Yitu. La technologie, soutenue par 200 millions de caméras, nourrit aussi le programme gouvernemental de « crédit social », lancé en 2018 pour noter les citoyens et restreindre l’accès aux droits (transports, éducation, logement...) des mauvais élèves. Une surveillance de masse utilisée à l’encontre de la minorité ouïgoure, dont chaque comportement « anormal » peut donner lieu à une enquête, voire à une arrestation, dénonce Human Rights Watch.

• Au Royaume-Uni, un usage unique en Europe
  Le Royaume-Uni est le seul pays d’Europe à utiliser la reconnaissance faciale à la volée, pour identifier des personnes depuis des bases de données réelles, comme les fichiers de police. À l’été 2019, le « Financial Times » a révélé une expérience réalisée depuis les images de vidéosurveillance à la célèbre gare londonienne King’s Cross St-Pancras. Sans que les passants en soient informés. L’ONG Big Brother recense des essais dans des centres commerciaux ou de conférences, à Sheffield, à Manchester et à Birmingham. En 2019, le département de police du sud du pays de Galles a été mis en cause pour avoir comparé les visages d’une « liste de surveillance » avec ceux captés par vidéosurveillance lors d’un concert et de deux matchs de football, notamment. Une utilisation jugée insuffisamment encadrée par la cour d’appel de Londres.

• En Inde, recenser la population et surveiller les manifs
  Lors de la vague de contestation contre la loi sur la citoyenneté, fin 2019 et début 2020, la police de New Delhi a utilisé la reconnaissance faciale pour surveiller les manifestants. Le journal « Indian Express » a révélé que les photos des participants à une mobilisation, prises lors du passage au détecteur de métaux, ont été comparées aux images captées en temps réel ou lors de précédentes manifestations pour repérer les « éléments perturbateurs ». Le logiciel utilisé avait été acquis en 2018 pour retrouver des enfants disparus. Pour mieux lutter contre la criminalité, le gouvernement indien voudrait aller vers un système généralisé, qui croiserait le réseau de caméras du pays au fichier Aadhaar, dans lequel sont recensés 1,2 milliard d’Indiens avec leurs trois biométries (empreintes digitales, faciales et d’iris). Un projet pour l’instant suspendu vu la contestation.

• Aux États-Unis, un recours sécuritaire contesté
  Depuis plusieurs années, différents services de police américains utilisent sans cadre légal fédéral la reconnaissance faciale pour progresser dans leurs enquêtes. Non sans risque. Pour la première fois, une erreur d’identification par ce biais à fait l’objet d’une plainte en juin : un Afro-Américain avait été arrêté à tort et gardé trente heures en détention parce qu’un logiciel avait jugé identiques la photo de son permis de conduire et l’image d’un voleur de montres. De quoi alimenter les contestations de cet usage sécuritaire de la technologie, de plus en plus prédominant. En plein mouvement Black lives matter, Amazon, IBM et Microsoft ont suspendu la vente de leurs logiciels d’identification à la police. Et deux villes, San Francisco et Boston, ont interdit à leurs forces de l’ordre d’utiliser la reconnaissance faciale.

• À Nice, identifier dans la foule lors du Carnaval
  En 2019, la ville de Nice (Alpes-Maritimes) a marqué une première en France : utiliser la reconnaissance faciale sur la voie publique. Pendant les trois jours du carnaval, 5 000 Niçois volontaires ont participé au test d’un logiciel fourni par la start-up israélienne Anyvision. Deux situations ont été orchestrées : détecter dans les files d’attente la présence d’une personne non autorisée à entrer (en l’occurrence un volontaire qui avait préalablement fourni une photographie de lui) et reconnaître une personne recherchée dans la foule en mouvement. Si la ville a jugé le résultat de l’expérience très satisfaisant dans un rapport, la Cnil, elle, s’est montrée plus réservée, jugeant le document trop imprécis et manquant d’éléments techniques.

• En région Paca,contrôler l’accès à deux lycées
  La région Provence-Alpes-Côte d’Azur a voulu innover pour sécuriser ses établissements scolaires. En 2019, elle a lancé un projet de contrôle d’accès par reconnaissance faciale à l’entrée des lycées Les Eucalyptus, à Nice, et Ampère, à Marseille (Bouches-du-Rhône). Ce dispositif, qui devait être testé un an, ne devait concerner que les lycéens ayant préalablement consenti. Mais il a été jugé illégal par le tribunal administratif de Marseille. En cause : la Région n’avait pas montré « l’intérêt public » du dispositif, le contrôle classique par badge fonctionnant bien et le consentement des élèves pouvant ne pas être « libre et éclairé » (comme le RGPD l’exige) étant donné la relation d’autorité qui les lie à leur lycée.

• Alicem, l’application mobile étatique
  Le ministère de l’Intérieur, à travers l’Agence nationale des titres sécurisés (ANTS) qui lui est rattachée, veut sécuriser l’identification électronique au portail de services publics France Connect. D’où le projet de lancer une application mobile, Alicem, utilisant la reconnaissance faciale pour authentifier l’utilisateur. Le principe est simple : l’application compare la photo du titre d’identité, fournie par l’usager, à un selfie pris avec son smartphone. Prévu pour 2020, le déploiement d’Alicem est suspendu à la décision du Conseil d’État, saisi pour non-respect du RGPD. L’association à l’origine du recours conteste la validité du consentement de l’utilisateur. Alicem ne fonctionnant que par reconnaissance faciale, ceux qui n’en voudraient pas seraient alors obligés d’utiliser un autre système de connexion.

• Avec Parafe, le contrôle aux frontières
  Pour fluidifier le trafic des voyageurs en réduisant le temps de passage aux frontières, le système de contrôle automatisé aux frontières Parafe utilise, depuis 2018, la reconnaissance faciale. Le visage de la personne est scruté lorsqu’elle passe les sas afin que le logiciel le compare à celui enregistré sur ses documents d’identité. Avec la reconnaissance faciale, le contrôle automatisé prend dix à quinze secondes, contre trente à quarante-cinq lorsqu’il comparait les empreintes digitales, revendique Thales, qui fournit le système avec les deux autres entreprises tricolores Idemia et IN Group.

• A Metz, filtrer les supporters à l’entrée du stade
  La polémique a été vive entre les supporters et le Football Club de Metz (Moselle). En janvier, le journaliste Olivier Tesquet – qui enquête sur la surveillance – a révélé que le club testait la reconnaissance faciale pour sécuriser l’accès à son stade. Cela a été réalisé « dans le cadre de la loi Larrivé [qui autorise les clubs à refuser la vente de billets à certains spectateurs, ndlr] afin de faire respecter les interdictions commerciales de stade », s’est défendu sur Twitter le FC Metz, évoquant « des tests techniques réalisés à vide, sur des employés de la start-up » ayant fourni le logiciel. En l’occurrence, une pépite messine, Two-I. Si celle-ci évoquait en 2018 auprès du Monde un travail avec l’Office HLM du Grand Nancy sur des algorithmes de détection des émotions, pour mesurer le bien-être des habitants, elle assure aujourd’hui que le projet s’est arrêté aux discussions. Les logiciels qu’elle vend à l’heure actuelle portent notamment sur la détection et la qualification des intrusions ainsi que le comptage urbain, pour observer par exemple la fréquentation d’une piste cyclable.

 

Thomas Dautieu, directeur de la conformité à la Commission nationale de l’informatique et des libertés
« La Cnil contrôle la proportionnalité entre utilité et risque »

• Comment la Cnil travaille-t-elle sur la reconnaissance faciale ?
  La technologie ayant fait un réel saut qualitatif, nous observons une volonté des constructeurs pour avoir un débouché, sécuritaire surtout. Or il y a des risques. Un système capable de reconnaître quelqu’un dans une foule signifie la fin de l’anonymat. D’où le premier grand principe posé par le RGPD : l’utilité. Existe-t-il un intérêt suffisamment grand pour mettre en place un système aussi intrusif ?

• La réponse n’est-elle pas subjective ?
  C’est le rôle de la Cnil d’effectuer ce contrôle de la proportionnalité, d’objectiver le rapport entre gain et risque. Il y a des cas évidents. La filtration des entrées dans un lycée, par exemple, est un usage clairement disproportionné. D’autres sont plus compliqués à arbitrer. Comme dans les aéroports, où l’usage nous était apparu proportionné à l’époque où ils étaient bondés. Mais l’évaluation pourrait être différente aujourd’hui.

• Êtes-vous beaucoup consultés ?
  Les collectivités qui veulent avancer ont toutes le réflexe de nous consulter. Mais nous ne pouvons continuer comme cela. Nos moyens sont limités. Si les expérimentations se multiplient, nous ne pourrons pas tout traiter. Avec le risque d’arriver à des arbitrages éclatés et sans cohérence de la part des organismes. C’est pourquoi nous réclamons un débat général. Pour savoir ce que la société dans son ensemble accepte ou non.