Les campagnes de manipulation passent de plus en plus par les messageries. Le droit européen et français continue pourtant de s'arrêter au seuil des conversations privées.
Élections municipales brésiliennes de 2024, tentatives de déstabilisation économique au Liban, propagande russe en Ukraine : ces épisodes ont un point commun, relevé par les participants du Forum sur l'information et la démocratie dans une tribune publiée dans Le Monde. Ils sont passés par WhatsApp ou Telegram. Après un an de travaux coprésidés par les gouvernements luxembourgeois et ukrainien, avec le soutien du Stern Center for Business and Human Rights de l'université de New York, le constat tient en une formule : les messageries privées "demeurent un angle mort des efforts de la lutte contre la désinformation".
L'explication avancée n'est pas celle qu'on attend. Le problème, écrivent les auteurs, n'est pas l'insuffisance des règles, mais le fait que ces règles reposent sur une distinction entre communications "publiques" et "privées" qui ne décrit plus le fonctionnement réel de ces applications.
Une frontière public/privé devenue fictive
WhatsApp, Telegram ou Viber ont été conçus pour des échanges individuels ou en petits groupes. Ils hébergent désormais des canaux de diffusion ouverts à tous, des services de messagerie professionnelle, de la publicité et, de plus en plus, des fonctions assistées par intelligence artificielle. Les dimensions ont suivi : 1 024 membres au maximum dans un groupe WhatsApp, jusqu'à 200 000 dans un "supergroupe" Telegram.
L'information peut donc y circuler très largement "tout en conservant la confiance perçue de la communication privée", résume la tribune. C'est ce mélange qui rend le sujet difficile : le même espace sert à échanger avec sa famille et à diffuser une campagne coordonnée.
Un rapport de chercheurs de l'université de New York, relayé par Euronews en octobre 2024, donne la mesure du phénomène. Ses auteurs ont interrogé 4 500 utilisateurs de messageries dans neuf pays et des stratèges politiques dans dix-sept pays. Résultat : 62 % des personnes interrogées avaient reçu des contenus politiques sur ces applications, et 55 % de ces contenus provenaient de personnes qu'elles ne connaissaient pas.
Des fonctions payantes qui amplifient la désinformation
Le rapport pointe un mécanisme souvent négligé : ces applications "ne disposent pas des mécanismes traditionnels" de modération des contenus, et monétisent des fonctions qui accélèrent la viralité.
Sur WhatsApp, l'offre professionnelle donne accès à une coche verte de vérification, à des messages automatisés et à une portée illimitée. La politique de la plateforme interdit pourtant aux partis, aux responsables politiques et aux campagnes d'utiliser ces services. Les chercheurs ont documenté des contournements : se faire passer pour un acteur culturel, créer de faux noms d'entreprise, ou obtenir une vérification sur X pour s'en servir comme preuve auprès du service professionnel de WhatsApp.
Sur Telegram, un abonnement à moins de 5 euros par mois débloque messages automatisés, réponses rapides, badges et robots de conversation - de quoi se présenter comme un compte "officiel" sans l'être. La plateforme vend aussi des espaces publicitaires sur ses canaux à forte audience, qui généreraient environ 1 000 milliards de vues par mois selon ses propres chiffres.
Viber ne limite pas le nombre de participants à une communauté ou à un canal. En Ukraine, des consultants politiques ont obtenu des comptes vérifiés par l'intermédiaire d'un "partenaire", puis fait circuler des codes QR qui inscrivaient les utilisateurs, à leur insu, sur des listes de diffusion. S'ajoutent les faux profils, jugés "sans doute plus problématiques" sur les messageries que sur les réseaux sociaux parce qu'ils y sont plus difficiles à repérer, et les renvois croisés d'une plateforme à l'autre - de Telegram vers X, de Telegram vers WhatsApp via l'application indienne ShareChat. Les chercheurs parlent de "boucles de rétroaction" : le même contenu réapparaît sans cesse dans différentes parties de l'écosystème.
Le DSA et Viginum butent sur une porte fermée
L'arsenal existe pourtant. L'Union européenne s'est dotée du règlement sur les services numériques (DSA), transposé en partie en France par la loi visant à sécuriser et réguler l'espace numérique de mai 2024, qui permet de demander transparence et responsabilité aux plateformes. Côté français, le service Viginum, rattaché au secrétariat général de la défense et de la sécurité nationale, traque les ingérences numériques, et le ministère des affaires étrangères a renforcé ses moyens. Les municipales de mars 2026 devaient servir de répétition générale avant la présidentielle de 2027, rappellent les auteurs de la tribune.
Mais ces instruments visent des contenus accessibles publiquement et des obligations de transparence à l'échelle des plateformes. Un groupe fermé, dont rien n'est indexable ni consultable de l'extérieur, échappe par construction à ce type de contrôle. C'est l'argument central de la tribune : tant que la catégorie "privé" sert de frontière réglementaire, les espaces où se joue une partie de la manipulation restent hors champ.
"Chat Control" : le plafond juridique du privé
Le débat européen en cours situe ce plafond. Il faut d'abord distinguer deux textes que la discussion publique confond souvent. Le vote du Parlement européen du 10 juillet 2026 ne portait pas sur le règlement proposé en 2022 par la Commission pour lutter contre les abus sexuels sur mineurs - celui que ses opposants appellent "Chat Control 2", et qui rendrait certaines détections obligatoires. Il portait sur la prolongation d'une dérogation à la directive ePrivacy, instaurée en 2021, qui autorise des fournisseurs à détecter et signaler volontairement des contenus pédopornographiques.
Cette dérogation avait expiré le 3 avril 2026, laissant les fournisseurs dans un vide juridique de plusieurs mois, après le rejet d'une prolongation par le Parlement en mars. Le Conseil a adopté sa position le 2 juillet 2026 ; les eurodéputés ont voté l'urgence le 7 juillet (331 voix pour, 304 contre, 11 abstentions) et adopté des amendements le 9 ; le Conseil a définitivement validé le texte le 23 juillet 2026. La dérogation court désormais jusqu'au 3 avril 2028.
L'amendement décisif concerne le chiffrement. Les eurodéputés ont exclu du champ du texte les communications auxquelles un chiffrement de bout en bout "s'applique, s'est appliqué ou s'appliquera". Concrètement, la détection reste ce que le professeur en cybersécurité Olivier Blazy appelle une détection "côté serveur" : elle n'est possible que là où le fournisseur peut lire les contenus. Les messageries chiffrées de bout en bout, comme Signal ou WhatsApp, continuent donc de passer entre les mailles.
Pour y accéder, il faudrait inspecter les messages avant leur chiffrement, directement sur l'appareil de l'utilisateur. C'est ce que prévoit le projet de règlement permanent, encore en négociation, et c'est ce que 807 cryptographes et chercheurs ont critiqué dans une lettre ouverte : le dispositif "porterait atteinte à la sécurité et à la vie privée de l'ensemble des citoyens européens, sans pour autant protéger efficacement les enfants". Anne Canteaut, directrice de recherches à l'Inria, résume la différence : la dérogation rend possible un scan volontaire, tandis que le projet de règlement "prévoit de le rendre obligatoire". "Le chiffrement, c'est comme une enveloppe scellée, image Olivier Blazy. Ce qu'on voudrait mettre en place, c'est une caméra qui regarde votre message avant que vous le mettiez dans l'enveloppe."
Le blocage actuel porte précisément sur les contenus non publics. Selon une note du Conseil consultée par Agence Europe à la mi-septembre 2026, la présidence irlandaise propose, pour les contenus accessibles publiquement, des ordres de détection limités aux contenus déjà connus, "afin d'éviter une obligation générale de surveillance". Pour les messageries, elle veut maintenir la recherche volontaire par les plateformes. Le Parlement veut, lui, limiter la détection automatisée aux contenus connus, encadrée par un plan détaillant les technologies et les garanties, sous supervision d'une autorité judiciaire ou administrative indépendante. Les négociateurs discutent aussi d'ordres ciblant "des parties spécifiques d'un service ou, lorsque c'est possible, des utilisateurs individuels". La présidence a même demandé aux États membres s'ils accepteraient d'exclure purement et simplement les contenus non publics du règlement, faute de compromis efficace. Au trilogue du 29 septembre, un accord de principe a été trouvé sur les contenus publics ; le privé reste le point dur.
Les ordres de grandeur invoqués invitent à la prudence. La Commission européenne recensait 1,3 million de signalements d'abus sexuels sur mineurs dans l'UE en 2023, pour plus de 3,4 millions d'images et de vidéos, et 35,9 millions de signalements dans le monde. Mais l'efficacité des outils est mal documentée. L'eurodéputé François-Xavier Bellamy a affirmé sur X qu'ils étaient à l'origine de "80 % des procédures" ayant permis d'arrêter des pédocriminels ; franceinfo a montré que le chiffre venait d'un document de travail de la Commission de 2022, évoquant "jusqu'à 80 %" des enquêtes ouvertes dans certains États membres, d'après une enquête auprès de 49 autorités dans 16 pays dont les résultats détaillés n'ont jamais été publiés. Ouvrir une enquête n'est pas arrêter un suspect. La police criminelle allemande a reçu 205 728 signalements du NCMEC en 2024, dont 51,7 % jugés pénalement pertinents - un indicateur qui ne dit rien du taux de faux positifs.
Lutter contre la pédocriminalité en ligne et lutter contre la désinformation sont deux objectifs distincts, avec des bases juridiques et des victimes différentes ; les confondre ne sert ni l'un ni l'autre. Mais le blocage européen sur le premier éclaire le second. Si les co-législateurs n'arrivent pas à s'accorder sur un scan des messages privés même lorsqu'il s'agit de protéger des enfants, aucun cadre comparable n'existe, ni ne se dessine, pour surveiller des conversations au nom de la lutte contre la manipulation de l'information.
En France, la tentation des portes dérobées
Dans l'Hexagone, la pression ne vient pas de la désinformation mais de la criminalité et du renseignement. En avril 2025, le préfet de police de Paris Laurent Nuñez réclamait un accès caché à Telegram, qualifié de "mode de communication privilégié" des narcotrafiquants, et le ministre de l'Intérieur Bruno Retailleau portait la même demande. Pavel Durov, patron de Telegram, a répondu que son entreprise "préfère quitter un marché plutôt que saper le chiffrement avec des portes dérobées". Telegram transmet déjà aux autorités les adresses IP et les numéros de téléphone de ses utilisateurs, mais refuse de livrer les messages.
L'argument technique de Durov : "C'est techniquement impossible de garantir un accès via une porte dérobée uniquement à la police. Une fois implémentée, une porte dérobée peut être exploitée par d'autres acteurs comme des agents étrangers ou des hackers." Un amendement voté au Sénat en mars 2025 dans le cadre de la loi Narcotrafic, prévoyant de telles portes dérobées dans WhatsApp, Signal ou Telegram, a été rejeté par l'Assemblée nationale.
Le dossier s'est déplacé sur le projet de loi sur la cybersécurité. Début octobre 2026, la presse spécialisée rapportait que le gouvernement allait demander la suppression de l'article 16 bis, qui interdit d'imposer des mécanismes de contournement du chiffrement aux messageries. En échange, le ministère de l'Intérieur s'engagerait publiquement à ne pas toucher aux messageries chiffrées - une promesse qui ne vaudrait que jusqu'à la fin de la session parlementaire. Un rapport recommande par ailleurs d'amputer le texte d'un article susceptible d'entraver la capacité des services de sécurité à intercepter des conversations criminelles.
Les plus jeunes, premiers usagers, derniers protégés
Cette architecture a une conséquence directe pour les publics les plus jeunes. Selon une étude Médiamétrie publiée en février 2026, les 11-14 ans passent en moyenne 1 h 47 par jour sur les réseaux sociaux, tandis que le SMS recule chez les adolescents au profit des applications de messagerie. Or c'est dans ces espaces privés - conversations de groupe, messages éphémères, canaux d'abonnés - que circulent des contenus ni indexés ni modérés. La Commission européenne a ouvert une enquête sur Snapchat pour protection insuffisante des mineurs, portant sur des contenus illégaux, des tentatives de sollicitation et la vérification d'âge. Les risques ne sont pas ceux de la désinformation électorale, mais la faille structurelle est identique : les espaces les plus utilisés sont les moins supervisés.
Réguler l'amplification plutôt que casser le chiffrement
Le rapport de l'université de New York ne recommande pas de casser le chiffrement. Il propose de limiter la création de comptes, de mieux contrôler les comptes professionnels, d'obliger les plateformes à détailler, sans accéder aux contenus, le fonctionnement de leurs politiques et de leurs dispositifs d'application. "La valeur de la messagerie chiffrée pour les défenseurs des droits de l'homme et la société en général dépasse la menace de la désinformation sur les applications de chat cryptées", écrivent ses auteurs.
Cette approche a un mérite : elle déplace le curseur du contenu vers l'amplification. Ce sont les fonctions de diffusion - groupes de plusieurs milliers de membres, canaux d'abonnés, vérification payante, messages automatisés, achat de portée publicitaire - qui transforment une application de conversation personnelle en média de masse. Ces fonctions ne relèvent pas, ou pas entièrement, du chiffrement de bout en bout, ce qui les rend accessibles à la régulation sans toucher à la confidentialité des messages.
Reste un obstacle politique. Une plateforme qui limite la taille des groupes ou la portée payante gagne moins d'argent, et un régulateur qui s'attaque à ces fonctions doit pouvoir compter les membres d'un canal sans en lire le contenu. Aucune de ces deux difficultés n'est insurmontable. Elles sont simplement plus discrètes que le débat sur le scan des messages, qui occupe l'essentiel de l'attention publique depuis quatre ans. C'est peut-être là le vrai angle mort : on débat beaucoup de ce qu'on ne peut pas lire, et très peu de ce qu'on pourrait légitimement encadrer.
