D’un côté du monde, on lance des fusées, on fait tourner des modèles d’IA qui écrivent du code tout seuls, on réinvente le paiement. De l’autre, on passe l’été à peaufiner un texte qui permettrait de scanner les conversations privées de 450 millions de personnes.

Bienvenue en Europe, championne du monde d’une seule discipline : réguler ce qu’elle n’a pas su inventer.

Cette semaine, le mot « Chat Control » est partout. Avec, à chaque fois, un ton apocalyptique et zéro explication.

Alors avant que tu rages, et partage la première capture d’écran venue, on va démêler ça proprement, parce que le dossier est confus, et qu’il l’est en partie exprès. Quand un texte a été rejeté par les élus et qu’on veut quand même le faire passer, le brouillard devient une arme.

Retiens une chose pour commencer. Il n’y a pas un Chat Control, il y en a deux. Tant que tu les confonds, tu ne comprends rien à la panique du moment.

Deux textes, arrête de les mélanger

Le premier s’appelle Chat Control 1.0. Une dérogation à la directive ePrivacy, votée en 2021, qui autorise les plateformes à scanner volontairement les messages pour détecter des contenus pédocriminels. Gmail, Meta, Microsoft l’utilisaient. Le mot qui compte, c’est volontairement. Et ça ne touche que les messages non chiffrés.

Le second s’appelle CSAR, rebaptisé Chat Control 2.0 par ses opposants. Là on change de dimension. Un règlement permanent, proposé par la Commission en 2022, qui dans sa version d’origine imposait une détection obligatoire et visait directement le chiffrement de bout en bout. C’est celui-là qui fait vraiment peur. Et c’est celui-là qui, justement, n’est toujours pas passé.

Premier malentendu réglé. Le texte qui revient cette semaine, c’est le petit. Le vrai monstre attend encore son heure.

Mars 2026 : la victoire à une voix

Rembobinons. Le 26 mars, le Parlement européen refuse de prolonger la dérogation 1.0.

Score final ? 307 contre 306. Une voix. L’amendement qui enterrait le scan automatisé des contenus inconnus passe au chausse-pied, dans l’une des séances les plus tendues de la législature.

Le 4 avril, la dérogation expire. Pour la première fois en cinq ans, les messages privés des Européens repassent sous le secret des correspondances.

Petit détail qui en dit long sur la culture institutionnelle du continent : Google, Meta et Microsoft ont annoncé qu’ils continueraient à scanner quand même, sans base légale. Bienvenue dans l’Europe où la loi expire mais la surveillance, elle, reste optionnelle pour ceux qui la pratiquent déjà.

Les défenseurs des libertés numériques ont fêté ça, et ils ont eu raison. Mais ils savent une chose, le Parlement ne peut que rejeter ou amender, jamais proposer. Tant que la Commission et le Conseil reviennent à la charge, chaque bataille est à regagner. Ils n’ont pas attendu longtemps.

La manœuvre que tu dois comprendre

Le 26 juin, le Conseil décide de ressortir le 1.0. Un règlement expiré ne se prolonge pas juridiquement, alors on fait mieux.

On rédige un texte « neuf », quasi identique à l’ancien, valable jusqu’en avril 2028, en changeant surtout les dates. Prétexte officiel ? Éviter un « vide juridique ». Traduction : quand la porte parlementaire se ferme, on passe par la fenêtre.

Et c’est là que se cache le vrai sujet, celui que les tweets rageurs ratent complètement. Le problème n’est pas le contenu. C’est la procédure.

En mars, rejeter le texte demandait une majorité simple. 311 voix contre ont suffi, facile, mais comme on repart en seconde lecture sur la position du Conseil, les règles changent.

Pour rejeter ou amender, le Parlement a désormais besoin d’une majorité absolue de 361 voix. À défaut, le texte est réputé adopté.

Ils ont perdu le vote, donc ils ont relevé la barre pour que l’inaction devienne une adoption. Le camp de la vie privée ne doit plus gagner un scrutin. Il doit mobiliser une majorité absolue rien que pour conserver ce qu’il avait déjà obtenu en mars. Voilà comment fonctionne une bureaucratie qui n’aime pas les réponses qu’on lui donne. Elle ne change pas d’avis. Elle change les règles.

Ce réflexe-là n’a rien d’un accident. C’est la signature d’un système qui produit du contrôle par défaut, faute de savoir produire autre chose.

Ce qui s’est joué cette semaine

Le 7 juillet, le Parlement a voté la procédure d’urgence pour examiner ce 1.0 ressuscité avant la trêve estivale. Le vote sur le fond a suivi deux jours plus tard.

Le vote du 9 juillet : la manœuvre en direct

Verdict tombé. Le Parlement a adopté la dérogation. Le scan volontaire est rétabli jusqu’au 3 avril 2028.

Sauf que regarde les chiffres, parce qu’ils racontent tout. Les amendements de rejet ont recueilli 314 voix pour, 276 contre, 17 abstentions.

Traduction : une majorité des députés présents a voté pour tuer le texte. Ils ont gagné le vote dans la salle, mais en seconde lecture, il fallait une majorité absolue de 361 voix pour rejeter.

314, ce n’est pas 361. Donc le texte que la majorité voulait enterrer est réputé adopté.

314 élus disent non, et ça passe quand même. La manœuvre que je décrivais deux paragraphes plus haut ne relève plus de la théorie. Elle vient de se dérouler sous nos yeux, à la dernière séance avant les vacances, quand les bancs se vident. Le scénario était écrit d’avance, et il s’est exécuté à la lettre.

Une nuance, et elle compte. Les amendements excluant les communications chiffrées de bout en bout du champ de la dérogation ont été approuvés. Signal, WhatsApp et consorts en chiffrement intégral restent donc hors du scan. Ce n’est pas rien, et les opposants s’y raccrochent. Patrick Breyer, figure de la résistance au texte, veut même y voir un signal d’espoir : selon lui, la mobilisation a été si forte qu’arracher une majorité pour une surveillance permanente lors des prochaines négociations tiendra de l’utopie.

Reste que sur le principe, le mal est fait. Le camp de la vie privée a réuni plus de voix que l’autre, et il a quand même perdu. Garde la tête froide sur ce que ça change concrètement : le 1.0 rétablit le scan volontaire des messages non chiffrés, pas le robot qui lit tes conversations Signal. Ce scénario-là, le vrai cauchemar, il se joue à l’automne, sur l’autre texte.

Le vrai danger, c’est septembre

Le CSAR n’est pas mort. Son cinquième trilogue, présenté comme le dernier, s’est tenu le 29 juin sous présidence chypriote. Six heures de négociation, un rapprochement sur plusieurs points techniques, et toujours pas d’accord global. Le point de blocage reste le scan indifférencié des communications.

La prochaine série de négociations est provisoirement calée au 29 septembre, sous présidence irlandaise. Voilà ta vraie date. Pas aujourd’hui. Fin septembre.

Et le contenu a bougé, ce qui rend le débat plus retors. Le Conseil a lâché le scan côté client obligatoire dans sa position de novembre 2025. Ce qui reste sur la table est plus sournois. Un cadre de scan « volontaire » rendu permanent. Une obligation de vérification d’âge sur les messageries, via pièce d’identité ou scan facial, qui signerait la fin de l’anonymat en ligne. Des obligations de « mitigation du risque » assez élastiques pour pousser les services chiffrés à changer leurs protocoles sans jamais l’écrire noir sur blanc. Le danger a glissé du spectaculaire vers l’insidieux.

Regarde bien la mécanique. L’Europe ne construit pas Signal. Elle ne construit pas WhatsApp, ni iMessage, ni le moindre protocole de chiffrement sérieux. Ces outils viennent tous d’ailleurs, très majoritairement de Californie. Faute de savoir les créer, Bruxelles cherche à leur imposer ses conditions par la réglementation. C’est plus facile de légiférer sur l’innovation des autres que d’en produire.

Le facteur qui décidera de tout ? L’Allemagne. Farouche opposante sous le gouvernement social-démocrate, elle menait même une minorité de blocage fin 2025. Depuis l’arrivée des conservateurs, sa position est devenue indécise. Si Berlin bascule, la minorité de blocage saute et le texte peut passer. La partie ne se joue pas à Bruxelles. Elle se joue dans les capitales.

Le verdict

Le tweet qui hurle « dictature totalitaire » se trompe de cible, et c’est dommage, parce qu’il y a un vrai problème à pointer.

Non, l’UE n’est pas une dictature. C’est pire à sa façon : une machine qui, faute de savoir inventer le futur, s’occupe méthodiquement d’encadrer celui que les autres inventent. Et quand un vote démocratique la contrarie, elle réécrit tranquillement les règles du vote suivant. Ce 9 juillet, on l’a vu noir sur blanc : 314 députés votent le rejet, la majorité de la salle, et le texte passe quand même. Il ne s’agit plus d’une crainte, mais d’un fait daté.

Pendant ce temps, la vraie innovation en matière de vie privée vient de là où on la laisse respirer. Le chiffrement de bout en bout, c’est un choix d’ingénieurs libres, pas une faveur accordée par un régulateur. Et il protège autant l’hôpital que le journaliste, autant le dissident que tes coordonnées bancaires. On ne l’affaiblit pas « juste un peu pour les enfants ». On l’affaiblit, et tout le monde devient plus vulnérable, y compris ceux qu’on prétend protéger.

Alors garde les deux dates en tête. Cette semaine pour le 1.0. Fin septembre pour le 2.0. Méfie-toi de quiconque te vend l’un en te faisant croire que c’est l’autre. Et rappelle-toi la vraie leçon du dossier. Le futur ne se décrète pas depuis un trilogue. Il se code ailleurs, par des gens qui préfèrent construire plutôt que surveiller.

Prochain rendez-vous : le trilogue sur le CSAR, fin septembre.