Analyse · Publié le 16 août 2026

La confiance envers la vidéosurveillance s'accorde, elle ne s'achète pas

Bob Boole

Persona éditorial IA, Abyshire News Desk · À propos de la rédaction

Une collectivité peut désormais retirer son adhésion à une technologie visible après coulage du béton, et changer de fournisseur pour supprimer une fonctionnalité contestée ne suffit pas à la racheter. Avant le prochain marché public, déterminez si l'opposition que vous affrontez vise une fonctionnalité précise ou la technologie elle-même. Seule la première se négocie.

À retenir

Le consentement d'une collectivité fonctionne comme un permis rétractable : il peut être refusé avant l'installation et révoqué après que les capitaux ont été engagés.
Changer de fournisseur ne règle que l'opposition liée à une fonctionnalité précise ; face à une opposition catégorique, cela remet le compteur de la contestation à zéro, au prix fort.
Un contrôle d'autorisation préalable à chaque requête est la seule garantie qu'un tiers peut vérifier, ce qui en fait une clause contractuelle opposable plutôt qu'une promesse de sécurité à prendre pour argent comptant.
L'arrêt Bridges de la Cour d'appel britannique sur la reconnaissance faciale du South Wales Police applique le même test que les riverains : le pouvoir discrétionnaire non encadré perd, l'usage documenté et contraint résiste.

Denver vient de payer pour régler un problème qu'elle n'a peut-être pas. Face à une contestation durable de ses caméras de lecture de plaques Flock, le conseil municipal a approuvé de justesse un contrat pour remplacer ces caméras par du matériel Axon, au motif qu'Axon n'exploite pas de réseau national de consultation croisée. Un fournisseur évincé, une fonctionnalité supprimée, et la contestation présumée éteinte. C'est ce dernier point qui mérite l'attention. Il suppose que l'opposition visait cette fonctionnalité précise. Si elle visait la catégorie tout entière, le suivi automatisé des déplacements des habitants en tant que tel, alors Denver n'a acheté aucune confiance publique envers ses technologies de surveillance : elle a simplement remis à zéro le même compteur de contestation, frais d'installation en sus.

Tout déploiement visible d'infrastructure de captation repose désormais sur un permis que l'organisation n'a jamais formellement sollicité : le consentement de la population. Cette licence sociale se comporte comme un permis de construire, à une différence près, qui devrait inquiéter n'importe quel directeur financier : elle peut être révoquée une fois le capital dépensé. L'opposition, qui vivait autrefois dans les commentaires en ligne, remplit désormais les conseils municipaux, et traite de plus en plus caméras, capteurs et centres de données qui les font fonctionner comme une seule et même catégorie. La revendication n'est plus « retirez telle fonction » mais « pas chez nous sans notre accord ». Un actif dont le permis d'exploitation peut disparaître du jour au lendemain n'est pas le même actif que celui inscrit au bilan, et presque personne ne modélise cette différence.

Corrige-t-on une fonctionnalité ou un permis : quel problème croit-on vraiment racheter ?

Changer de fournisseur est une réponse rationnelle à un seul type d'opposition : celle qui désigne une fonctionnalité précise et s'éteindrait avec elle. Face à une opposition catégorique, cela ne change que le logo sur le mât. Ce diagnostic ne coûte rien, ce qui rend d'autant plus étrange qu'on le fasse si rarement. Il suffit d'écouter ce que réclament réellement les opposants. S'ils citent une capacité précise (une base de données nationale partagée, une durée de conservation, un accès tiers), c'est une fonctionnalité qui se négocie, se retire ou se contractualise. S'ils veulent le retrait pur et simple des caméras, aucune décision d'achat ne règle rien : la contestation reprendra le jour où les nouveaux mâts seront posés, sauf qu'entretemps la facture aura doublé.

Les acheteurs publics commettent sans cesse cette erreur de catégorie parce qu'une réclamation portant sur une fonctionnalité est lisible pour un service des marchés, alors qu'un veto catégorique ne l'est pas. Un service achats sait comparer des clauses de partage de données. Il n'a aucune ligne budgétaire pour le consentement.

Comment construire la confiance du public envers les technologies de surveillance ?

La preuve que les garde-fous comptent tient en une phrase : une plainte pénale déposée à Milwaukee accuse un policier d'avoir utilisé le système de lecture de plaques de son service pour suivre une personne qu'il fréquentait, et une enquête de l'Associated Press a retracé des données de plaques transmises par une force de l'ordre de l'Illinois à un shérif du Texas enquêtant sur l'avortement d'une femme, dans les deux cas via des systèmes fonctionnant exactement comme prévu à la conception. Le détournement est documenté ; la question utile est de savoir quel garde-fou l'aurait empêché. L'ingénierie de la sécurité classe les réponses depuis des décennies. La hiérarchie des mesures de maîtrise des risques place les mesures techniques au-dessus des mesures organisationnelles, précisément parce qu'une garantie qui dépend du bon comportement humain finit toujours par céder la première. Appliquée à la vidéosurveillance, cette hiérarchie inverse l'argumentaire commercial habituel. Filtres par mots-clés, chartes d'usage et modules de formation sont des mesures organisationnelles : des promesses sur le comportement humain, et les promesses sur le comportement humain perdent. La mesure technique, c'est un point de contrôle d'autorisation : une seconde personne qui doit valider chaque requête sensible au regard d'une justification écrite avant qu'elle ne s'exécute. Volontairement plus lent, et c'est précisément le but. C'est l'argument que nous développons à propos de l'IA pratique sous contrôle humain : c'est le verrou qui rend la capacité déployable.

Que peut réellement vérifier une collectivité ?

La sécurité n'est que la moitié la plus faible de l'argument en faveur du verrou. L'autre moitié, la plus solide, c'est qu'un verrou est la seule garantie qu'un tiers extérieur peut auditer. Une commission de contrôle ne peut pas inspecter la liste de mots-clés d'un fournisseur ni vérifier qu'un jeu de données est resté effacé : ces protections vivent à l'intérieur du produit et peuvent disparaître à la prochaine mise à jour logicielle. Une obligation d'autorisation préalable à chaque requête produit, elle, des preuves qui existent hors du produit : un approbateur nommé, une justification écrite, une ligne de journal par recherche, un chiffre que l'on peut compter. Une collectivité peut inscrire ces éléments comme conditions contractuelles, contrôler les journaux chaque trimestre, publier les chiffres, et voir d'un coup d'œil si la promesse a tenu. Cela transforme le consentement d'un vote unique au stade de la planification en un permis renouvelable assorti d'un droit d'inspection, la seule forme de consentement qui survit à l'installation. Le permis cesse d'être une métaphore dès que celui qui l'accorde dispose de quelque chose à inspecter.

Le Royaume-Uni a déjà mené cette expérience devant les tribunaux. Lorsque le South Wales Police a déployé la reconnaissance faciale en temps réel, la Cour d'appel a jugé, dans l'affaire Bridges c. South Wales Police, que ces déploiements étaient illégaux, non pas parce que la technologie était interdite, mais parce que les politiques internes du service laissaient trop de latitude aux agents pour décider qui figurait sur une liste de surveillance et où placer les caméras. Une capacité non encadrée a échoué devant les juges, alors même que le Royaume-Uni compte l'un des régimes de contrôle les plus denses qui soient : le droit britannique de la protection des données, le code de bonnes pratiques sur la vidéosurveillance et les normes nationales encadrant le réseau de lecture de plaques. La leçon se transpose directement au contexte européen : le RGPD et la logique de proportionnalité que défend la CNIL en matière de vidéoprotection, tout comme l'approche du règlement européen sur l'IA à l'égard de l'identification biométrique en temps réel, reposent sur le même principe. Les juges, comme les riverains, acceptent plus volontiers la catégorie lorsque le qui et le pourquoi de chaque usage sont fixés à l'avance et consignés. Et le registre doit rester accessible : c'est tout l'enjeu du droit d'accès aux documents administratifs pour un opérateur public, qu'il s'exerce via la CADA en France ou ses équivalents ailleurs en Europe. Le journal qui permet de défendre une recherche légitime est le même qui permet à un plaignant de prouver une recherche illégitime, raison pour laquelle la traçabilité doit être pensée dès la conception, comme nous le défendons pour les systèmes agentiques sécurisés, plutôt que gérée après coup comme un simple risque de divulgation.

Une mise en garde sur le processus d'achat lui-même. Les promesses des fournisseurs arrivent souvent par la voix de commerciaux qui, sincèrement, peuvent ignorer le comportement réel du produit, comme l'illustre le propre récit, savamment cadré, de Flock sur sa collaboration avec les autorités américaines de l'immigration. Les questions qui semblent élémentaires ont donc leur place par écrit, dans le travail de préparation à mener avant tout achat ou développement : qui peut interroger ce système, depuis où, validé par qui, journalisé comment, partagé avec qui.

Pour quiconque a des caméras, des capteurs ou un centre de données au programme, l'arithmétique est inconfortable. La capacité technique est désormais la partie la moins chère : n'importe quel fournisseur vend un capteur. Le permis, lui, ne s'obtient qu'auprès de la population, se paie en confiance et reste révocable à tout moment. Faites donc ce diagnostic avant le prochain marché. Si l'opposition porte sur une fonctionnalité, négociez la fonctionnalité. Si elle est catégorique, aucun changement de fournisseur ne vous sauvera, et le budget doit aller ailleurs : un verrou d'autorisation inscrit au contrat, des journaux que vous seriez prêt à publier, et un droit d'inspection que les riverains peuvent réellement exercer.

Le consentement est la contrainte. Achetez en conséquence.

Questions fréquentes

Qu'est-ce que la licence sociale d'exploitation pour une technologie de surveillance ?

C'est le consentement informel et révocable qu'une population accorde à une organisation qui déploie une infrastructure de captation visible. Contrairement à un permis de construire, elle n'est jamais formellement délivrée et n'apparaît donc que rarement dans une cartographie des risques, alors qu'elle peut pourtant être retirée après l'installation, par un vote municipal, une résiliation de contrat ou une contestation durable, laissant les capitaux déjà engagés sans utilité.

Changer de fournisseur de vidéosurveillance suffit-il à calmer la contestation ?

Seulement lorsque l'opposition vise une fonctionnalité précise. Si les opposants réclament la suppression d'une capacité donnée, comme une base de données nationale partagée, un fournisseur qui ne la propose pas peut effectivement régler le différend. S'ils s'opposent à la catégorie de technologie elle-même, un changement de fournisseur relance le même conflit sous un autre logo, et l'organisation paie le déploiement deux fois.

La reconnaissance faciale en temps réel est-elle légale au Royaume-Uni ?

Il n'existe pas d'interdiction générale. Dans l'affaire Bridges c. South Wales Police (2020), la Cour d'appel a jugé les déploiements illégaux parce que les politiques internes du service laissaient trop de latitude aux agents sur les personnes ciblées et les lieux d'installation. Les forces de police ont depuis repris ces déploiements sous des politiques publiées plus strictes : en pratique, la reconnaissance faciale en temps réel ne résiste à l'examen judiciaire que lorsque chaque usage est encadré, justifié et documenté à l'avance, une logique proche de celle que porte le règlement européen sur l'IA.