Captation à 360°

Quatre organisations européennes déposent cinq plaintes contre la société états-unienne Scale AI. Par l’intermédiaire de sa plateforme Outlier, celle-ci déploie en effet une quinzaine de traçeurs sur les ordinateurs des annotatrices et annotateurs qui lui prêtent leurs service. Elle leur impose par ailleurs une collecte de données sensibles importante.

En France, en Italie, aux Pays-Bas et en Autriche : au total, cinq plaintes (dont deux en Autriche) ont été déposées ce 27 octobre contre la société de préparation de données Scale AI. En cause : les pratiques de cette société de sous-traitance essentielle à la chaîne de production de l’intelligence artificielle vis à vis des travailleurs qu’elle sollicite.

Quatre structures sont à la manœuvre de cette quintuple action en justice : l’Association autrichienne noyb, spécialiste de la protection de la vie privée ; le groupe de recherche DipLab, mené par les universitaires Antonio Casilli, Paola Tubaro et Mathilde Abel ; l’association de juristes Intérêt à agir et le groupe Reversing Works.

Collectivement, ces entités contestent la manière dont Scale AI trace et collecte des données sensibles sur les plus de 900 000 personnes qu’elle fait travailler sous un statut d’indépendant. Pour les quatre organisations, les vérifications biométriques de l’identité des travailleurs et la collecte de multiples données numériques à partir de sa plateforme de travail Outlier enfreignent le droit européen, en particulier le Règlement général sur la protection des données (RGPD).

Données des consommateurs, données des entraîneurs

Mi octobre, les équipes de DipLab publiaient un rapport de 45 pages sur les pratiques de surveillance des travailleurs et travailleuses du clic auxquelles s’adonne Outlier. Produit de Scale AI, cette plateforme n’est qu’un exemple parmi d’autres des outils déployés par des sociétés de l’industrie du business process outsourcing (BPO) pour assurer la répartition et de la rémunération des micro-tâches qui cimentent nombre de pratiques numériques – modération de réseau sociaux, entraînement de systèmes d’IA, etc.

Le document dressait un constat principal : si le débat public relatif aux activités des plateformes technologiques s’inquiète principalement de la collecte non consentie des données des consommateurs, il se tourne rarement vers celle des travailleuses et travailleurs qui font partie intégrante de la chaîne de production de nos outils numériques.

Ce constat n’est pas surprenant en soi : auprès de Next, le chercheur Clément Le Ludec, ancien de DipLab, soulignait début octobre le paradoxe entre le peu de valeur accordée aux emplois d’annotation de données et la valeur financière accordée aux sociétés qui leur fournissent du travail. Scale AI est l’un des meilleurs exemples en la matière : à l’été 2025, Meta a dépensé 14 milliards de dollars pour racheter 49 % de ses parts et débaucher son fondateur Alexandr Wang. Un investissement faramineux, qui n’a pas empêché la société de licencier 200 personnes et de mettre fin aux interactions avec 500 sous-traitants dans les semaines qui ont suivi. Parmi ses clients, Scale AI compte les acteurs les plus connus de l’industrie occidentale de la tech, dont Meta lui-même, OpenAI, Google, Anthropic, xAI, ou encore le gouvernement des États-Unis.

• Clément Le Ludec : « Ne pas voir le travail de données nécessaire à l’IA nous arrange »

Mais ce que ce nouveau rapport de DipLab et les cinq dépôts de plainte qui s’en suivent soulignent, c’est qu’au-delà du profit financier, une telle société tire aussi un profit informationnel, en termes de données d’entraînement, de ses interactions avec les annotatrices et annotateurs qui lui permettent d’exister. Concrètement, les équipes de DipLab ont suivi des usagers de la plateforme Outlier dans douze pays européens et constaté que travailler par son intermédiaire impliquait de lui céder quantité de données personnelles, d’informations biométriques ou de données financières.

Captation de données non rémunérées

Techniquement, les scientifiques ont repéré seize traceurs déposés sur les ordinateurs des travailleurs du clic suivis. Certains visaient à récupérer des données comportementales, en suivant leurs activités sur Facebook, LinkedIn, Snapchat, Twitter ou Quota ; d’autres, des données techniques, de type clics, mouvements de souris, voire en enregistrant l’activité de l’écran. D’autres, enfin, consistaient à suivre leurs activités de très près, y compris en recourant à la reconnaissance faciale ou en demandant aux internautes travailleurs de soumettre leurs papiers d’identité (via le recours à des outils comme Persona, victime d’une fuite de 70 000 documents d’identité en 2025, Recruitics, Forethought ou Sentry, par exemple).

Ces données – de même que le temps passé à attendre que de nouvelles tâches soient rendues disponibles, ou celui passé à étudier les directives spécifiques à chaque tâche – ne donnent lieu à aucune compensation. Leur collecte ne se traduit pas, non plus, par une meilleure sécurité de l’emploi. Au contraire, DipLab constate que parmi son panel de personnes enquêtées, plus de la moitié sont jeunes (moins de 30 ans), éduquées (avec des diplômes de niveau bachelor ou master), mais gagnent en moyenne 1 214 euros par mois, un montant 30 % plus bas que le coût de la vie moyen répertorié dans chacun des pays étudiés. S’ils sont employés en tant que freelance, ces internautes tirent en réalité de 70 % à la totalité de leurs revenus de leur travail via Outlier, ce qui les rend très dépendants à ses obligations de collecte de données ou ses variations de fonctionnement.

Par ailleurs, relève noyb, de telles collectes de données facilitent diverses formes de profilage et de ciblage publicitaire poussés. Ces cinq plaintes ont donc été déposées devant quatre pays européens : elles visent d’abord à contester une violation potentielle du principe de minimisation de la collecte de données institué par le RGPD. Elles interrogent également les fondements juridiques qui autorisent Scale AI à déployer sans consentement des traceurs sur les ordinateurs d’annotatrices et annotateurs européens, ainsi que le bien-fondé de la collecte de données biométriques.

• IA : Au Parlement européen, des travailleurs du clic appellent à réguler l’entraînement humain

Fuite ou pas fuite ?

Fuites de données en série, chez les partis en campagne pour l’élection présidentielle ? En un week-end, un même pirate affirme avoir récupéré des données du Parti communiste français, de La France Insoumise et de Renaissance. Les deux derniers démentent toute nouvelle intrusion.

Un pirate informatique revendique avoir attaqué et récupéré des données de trois partis français, au cours du week-end du 23 au 25 octobre. Le Parti communiste (PCF), la France Insoumise (LFI) et Renaissance auraient été touchés, mais les deux derniers affirment que les données concernées étaient déjà accessibles en ligne.

Le Parti communiste va déposer plainte

Alerté par l’Agence nationale de la sécurité des systèmes d’information (ANSSI), le PCF a publié le 23 au soir un communiqué dans lequel il indiquait avoir « immédiatement engagé la sécurisation de ses systèmes, de ses outils informatiques et de ses bases de données ».

D’après ses constatations, la fuite affecte son fichier des adhérents et sympathisants – des données sensibles par essence, les opinions politiques faisant partie des données personnelles plus spécifiquement protégées par la loi –, mais ne comprend aucune donnée bancaire. Le parti de Fabien Roussel affirme par ailleurs qu’il va déposer plainte.

De son côté, le pirate revendique des données sur 190 000 personnes avec des noms, prénoms, adresses postales, emails et numéros de téléphone. Comme trop souvent en pareille situation, la victime ne communique pas, elle, sur l’ampleur précise du piratage. Cela rend impossible l’estimation du nombre de données directement issues de cette fuite du PCF, et du nombre de celles issues d’attaques antérieures. Or, une pratique « courante » des pirates consiste à multiplier les données ou à les agréger depuis diverses sources pour augmenter artificiellement le volume de ce qu’ils annoncent faire fuiter.

La France Insoumise et Renaissance démentent

Sous le pseudonyme de ChimeraZ, le pirate, qui multiplie les « coups d’éclat » depuis plusieurs mois, a de nouveau sévi les deux jours suivants. Le samedi, il affirmait avoir mis la main sur un fichier de près de 1,2 million de lignes de données de militants LFI. Le dimanche, rebelote, avec un fichier de 4,1 millions de lignes issues du parti Renaissance.

Dans ces deux cas, les partis démentent toute nouvelle intrusion. Le 24 octobre, le coordinateur LFI Manuel Bompard affirmait avoir « été informé de la circulation d’un ensemble de fichiers présentés comme issus de nos systèmes ». Après vérification interne, il indiquait : « aucune donnée personnelle de membres de la France insoumise n’a été divulguée au-delà de celles déjà disponibles publiquement (contacts d’événements par exemple) ».

En mai, LFI avait déjà été victime d’une fuite de liste d’adhérents ou sympathisants. Celle-ci était issue de son réseau social dédié, Action populaire. Dans le cas présent, le Fuites Infos et Le Parisien constatent que des numéros et des e-mails de militants sont aussi disponibles dans le fichier qui circule en ligne. Viennent-ils tous de la même source, ou bien s’agit-il de données agrégées de plusieurs fuites ? Impossible à dire.

De plus, ils relèvent que le document contient des éléments relatifs aux opérations de porte-à-porte pour les municipales de 2026 et pour la présidentielle de 2027. C’est notamment là qu’apparaît un doute sur le type de données collectées, relève Cyberattaque.org : la présence d’adresses au format Base Adresse Nationale ne permet pas de suggérer que ces données désignent les domiciles de militants. Elle indique seulement que ces données ont été incluses dans un outil pour l’organisation d’un porte-à-porte sur un territoire donné ou dans le cadre d’une campagne précise.

• Quels sont les risques liés aux multiples fuites de vos données personnelles ?

Chez Renaissance, de même, la direction affirme auprès du Parisien qu’« aucune donnée personnelle n’a été divulguée ». Concrètement, les données concernées incluent des adresses postales, des coordonnées GPS, des identifiants de campagnes politique, des suivis de visites de porte à porte et d’autres statistiques de terrain.

Le parti de Gabriel Attal déclare que les « éléments décrits correspondent à des informations publiques, soit disponibles via l’Insee, soit affichées sur notre plate-forme militante, consultables publiquement. Ils semblent avoir été collectés par extraction automatisée de ces pages ».

Période agitée pour les sites de partis politiques

Sans lien apparent, le site du parti Les Républicains a de son côté subi un défaçage, c’est-à-dire une modification de sa page d’accueil pour afficher des revendications, le 16 octobre.

D’après nos constatations, l’attaque visait principalement à appeler à la manifestation du lendemain et à adresser des insultes aux membres du parti. Ses auteurs affirmaient avoir récupéré des données internes, ce que des membres du parti politique ont nié auprès du Monde.

• Fuites de données : devant Bercy, des féministes demandent des comptes à l’État