Avons-nous vraiment le contrôle sur notre identité numérique ?

Quelques clics, un selfie, une adresse mail, et voilà une identité numérique qui se fabrique presque sans bruit, souvent plus vite que notre capacité à la comprendre. Entre comptes en ligne, historiques de navigation, données de localisation et contenus partagés, la promesse d’un contrôle individuel se heurte à des chaînes techniques et commerciales longues, opaques, et parfois contradictoires avec nos intentions. À l’heure où l’IA accélère la collecte et l’inférence, une question s’impose : qui tient réellement les rênes de notre “moi” numérique ?

Nos données circulent, même sans nous

On pense souvent que l’identité numérique se résume à ce que l’on publie, une photo, un commentaire, un profil professionnel soigneusement rempli, et quelques préférences renseignées au fil du temps. En réalité, une large partie de cette identité se construit hors champ, à partir de données dites “observées” et “inférées”, c’est-à-dire captées par nos usages puis interprétées par des systèmes. Le simple fait d’ouvrir une application, de se déplacer avec un smartphone allumé ou d’acheter en ligne alimente des signaux, fréquence de connexion, type d’appareil, adresse IP, localisation approximative, parcours de navigation, autant d’indices qui, combinés, dessinent des profils probabilistes.

Ce qui échappe au grand public, c’est la chaîne d’intermédiaires. Une même session web peut activer plusieurs acteurs : l’éditeur du site, des prestataires de mesure d’audience, des régies publicitaires, et parfois des courtiers en données, dont le métier consiste à agréger et revendre des segments d’audience. Même lorsque les informations semblent “anonymisées”, elles peuvent rester ré-identifiables, car l’identité numérique ne tient pas à un nom, elle tient à un faisceau d’indices, et ce faisceau est souvent singulier. Le chercheur Latanya Sweeney avait déjà montré, dès les années 2000, que 87 % des Américains pouvaient être identifiés via la combinaison code postal, date de naissance, sexe, un résultat longtemps cité parce qu’il illustre la fragilité de l’anonymat dès que l’on croise des jeux de données.

Les régulateurs européens ont, depuis, encadré ces pratiques via le RGPD, en rappelant que des identifiants en ligne, cookies, identifiants publicitaires mobiles, ou encore certains marqueurs techniques, peuvent constituer des données personnelles. Mais l’architecture réelle du web, faite de scripts tiers, de consentements parfois ambiguës et de paramétrages complexes, laisse de nombreuses zones grises. Et lorsque l’on croit “reprendre la main” en supprimant un compte, il reste souvent des sauvegardes, des journaux techniques, et des données dérivées, par exemple des scores de propension ou des catégories d’intérêt, qui, eux, ne ressemblent pas à des données personnelles… jusqu’au moment où l’on constate qu’ils influencent très concrètement ce que l’on voit, ce que l’on paie, et parfois la manière dont on est évalué.

Les géants du numérique fixent les règles

Qui décide, au fond, de ce que vous êtes en ligne ? Dans la pratique, les grandes plateformes ont longtemps défini les standards : les formats d’identification, les paramètres de confidentialité, la portabilité des données, et même le rythme auquel les règles changent. Un bouton “Télécharger mes données” peut donner une impression de contrôle, pourtant le résultat est souvent un fichier massif, difficile à exploiter, et surtout incomplet sur l’essentiel : les inférences, les classements, les signaux utilisés par les algorithmes de recommandation, et l’historique des décisions automatisées. On récupère des contenus, des messages, des photos, mais rarement la logique qui en fait un profil.

La tension entre modèle économique et protection de la vie privée se lit aussi dans la publicité ciblée. Les entreprises affirment réduire le pistage, puis déplacent le curseur : moins de cookies tiers, davantage d’identifiants propriétaires, plus de “contextuel”, mais aussi des solutions de mesure qui reposent sur des rapprochements probabilistes. L’industrie publicitaire a d’ailleurs été bouleversée par la fin progressive de certains traceurs, sur Safari ou Firefox depuis plusieurs années, et la disparition annoncée des cookies tiers dans Chrome, même si le calendrier a été repoussé à plusieurs reprises. Pour l’utilisateur, le résultat est paradoxal : moins de visibilité sur la collecte, mais des techniques plus sophistiquées, parfois plus difficiles à auditer.

Côté droit, les autorités tentent de reprendre l’initiative, la CNIL en France, le Comité européen de la protection des données, mais aussi, au-delà du RGPD, le DSA et le DMA, entrés en application ces derniers mois, qui encadrent davantage les très grandes plateformes, notamment sur la transparence publicitaire et certaines pratiques de ciblage. Sur le papier, ces textes renforcent les obligations, sur le terrain, ils se heurtent à des interfaces qui poussent au consentement, à des réglages éclatés entre applications, et à un manque de temps du public pour arbitrer finement. Le “contrôle” ressemble alors à une charge mentale : lire, comprendre, choisir, répéter, tandis que le système, lui, industrialise la collecte.

L’IA transforme des traces en portrait-robot

Jusqu’où peut-on déduire de quelques données éparses ? La montée en puissance de l’intelligence artificielle change l’échelle du problème, car elle permet de transformer des traces banales en informations sensibles, parfois sans qu’elles aient été explicitement fournies. Une IA peut repérer des habitudes, anticiper des intentions, et surtout combiner des sources hétérogènes, texte, image, comportement, contexte, pour produire une représentation beaucoup plus fine d’une personne. Ce n’est plus seulement “vous avez visité tel site”, c’est “vous ressemblez à tel profil”, “vous pourriez être intéressé par”, “vous présentez tel risque”, avec des conséquences concrètes sur la publicité, la modération, et, dans certains secteurs, l’accès à des services.

Le danger ne tient pas uniquement à la collecte, il tient à l’inférence. On peut refuser de donner une information, et la voir néanmoins déduite, à partir d’indices corrélés. C’est l’un des points les plus difficiles à expliquer au grand public : protéger sa vie privée ne consiste plus seulement à “ne pas dire”, car l’écosystème peut “deviner”. Les progrès des modèles génératifs ajoutent une couche : un outil peut produire une synthèse plausible de votre personnalité à partir de quelques éléments publics, ou générer un texte en imitant un style, ce qui ouvre la porte à des usurpations, des arnaques, et des atteintes à la réputation plus crédibles. Et quand des bases de données fuitent, ce qui arrive régulièrement, les informations anciennes reprennent vie, agrégées, recoupées, et monétisées à nouveau.

La question de la vie privée face à l’IA devient ainsi un sujet de politique publique, autant qu’un enjeu individuel. Quels garde-fous sur les données d’entraînement ? Quelles obligations de transparence sur les systèmes qui profilent ? Quelles possibilités de contester une décision automatisée ? Le RGPD prévoit déjà des droits, accès, rectification, opposition, et, dans certains cas, encadrement des décisions automatisées, mais l’effectivité dépend de la capacité à identifier l’acteur responsable et à obtenir une réponse intelligible. Pour approfondir les enjeux spécifiques entre IA et confidentialité, vous pouvez cliquer ici pour lire davantage sur cette ressource, qui revient sur les mécanismes et les risques concrets liés aux usages de l’IA.

Reprendre la main, concrètement, au quotidien

La bonne nouvelle, c’est qu’il existe des leviers, imparfaits mais utiles, pour regagner du contrôle. Le premier est technique : activer une protection anti-pistage dans son navigateur, limiter les cookies non essentiels, désactiver l’identifiant publicitaire sur mobile, et vérifier les autorisations accordées aux applications, localisation, micro, contacts, photos. Ces gestes paraissent basiques, mais ils réduisent la surface d’exposition, surtout lorsqu’ils sont combinés à des outils de confidentialité, un navigateur axé sur la protection, un bloqueur de traqueurs, ou un moteur de recherche moins intrusif. Le second levier est organisationnel : séparer ses usages, une adresse mail pour les démarches sensibles, une autre pour les inscriptions à faible enjeu, éviter de centraliser tous ses comptes via un seul fournisseur d’identité, et activer l’authentification à deux facteurs partout où c’est possible.

Le troisième levier est juridique, et il est souvent sous-utilisé. Chacun peut demander l’accès à ses données, leur suppression lorsqu’elle est justifiée, ou s’opposer à certains traitements, en particulier à des fins de prospection. Dans les faits, ces demandes sont plus efficaces lorsqu’elles sont ciblées, formulées clairement, et adressées au bon interlocuteur, service de protection des données, délégué à la protection des données (DPO), ou support officiel. Il est aussi possible de signaler des pratiques aux autorités compétentes, lorsqu’un consentement semble forcé, qu’une collecte paraît disproportionnée, ou qu’une fuite n’a pas été gérée correctement. Enfin, il y a le levier social, souvent négligé : réduire ce que l’on rend public, surveiller ce qui est indexé par les moteurs, et prendre l’habitude de vérifier son nom, ses images, et ses anciens contenus, car l’identité numérique est aussi une réputation, et une réputation se travaille dans la durée.

Reste une limite : l’identité numérique n’est plus un dossier que l’on range dans un tiroir, c’est un flux. Vouloir tout contrôler est illusoire, mais réduire, segmenter, et auditer devient réaliste. L’enjeu, pour les années qui viennent, est d’éviter que cette responsabilité ne repose uniquement sur l’individu, face à des systèmes complexes et à des interfaces conçues pour capter l’attention, et donc la donnée. Sans transparence renforcée, sans standardisation des réglages, et sans sanctions dissuasives, le “choix” restera souvent une fiction, et le contrôle, une tâche à temps partiel.

Les réflexes à adopter dès maintenant

Avant de réserver un service en ligne, prévoyez dix minutes pour vérifier les autorisations, le consentement publicitaire, et les options de partage, et fixez-vous un budget “outils” modeste, quelques euros par mois peuvent financer un gestionnaire de mots de passe ou une messagerie plus protectrice. En cas de doute, sollicitez les aides et guides des autorités, CNIL, centres de cybersécurité, associations, et documentez vos démarches.