Google signalera les contenus pédocriminels directement à la police indienne

Google va transmettre directement à la police indienne les signalements de contenus pédocriminels détectés sur ses services, au lieu de les faire passer uniquement par l'organisation américaine qui sert depuis des années de centrale mondiale pour ce type d'alertes. L'entreprise a confirmé le projet le 21 septembre, six jours après un engagement identique de Meta. Rien n'a été publié sur le texte qui fonde ce nouveau canal, sur la liste des services concernés ni sur les données qui accompagneront chaque signalement.

Deux circuits pour le même signalement

La manière de détecter ne change pas. Google cherche sur ses propres serveurs: comparaison d'empreintes numériques avec des bases d'images connues, plus un apprentissage automatique qui repère les contenus ressemblant à du matériel déjà confirmé. Ce qui change, c'est qui voit le résultat en premier.

La déclaration complète de Google à Business Standard tient en deux phrases: "Google est profondément engagé dans la lutte contre le CSAM en ligne et veut empêcher que ses plateformes servent à créer, stocker ou diffuser ces contenus. Nous investissons massivement pour détecter, dissuader, supprimer et signaler le CSAM." À Reuters, l'entreprise a présenté la proposition comme une partie de ses discussions en cours avec le gouvernement indien. John Shehan, qui dirige au NCMEC la division sur les enfants exploités, a expliqué à MediaNama qu'un signalement adressé directement à la police indienne s'ajouterait à l'obligation envers la CyberTipline sans la remplacer.

Comment New Delhi en est arrivée là

1. 26 avril 2019Le bureau indien des archives criminelles signe avec le NCMEC un protocole sur la réception des signalements. Au 31 mars 2024, plus de 6,9 millions d'entre eux avaient été transmis aux États et territoires, selon une réponse à la chambre haute du Parlement.
2. 2024Le ministère de l'Intérieur lance le portail Sahyog, géré par le I4C, pour accélérer les injonctions de retrait adressées aux plateformes.
3. 24 septembre 2025La Haute Cour du Karnataka valide Sahyog et le pouvoir de retrait qui le sous-tend, en rejetant le recours de X Corp.
4. juillet 2026Une enquête de BBC Eye révèle qu'Instagram diffusait des publicités payantes vendant du matériel pédocriminel. La commission indienne des droits de l'enfant adresse une mise en demeure à Meta le 3 juillet; Meta publie le 7 juillet une déclaration sur son travail de protection des mineurs.
5. 5 août 2026Mark Zuckerberg présente ses excuses aux responsables indiens pour les contenus pédocriminels et les deepfakes sur les plateformes de Meta.
6. 15 septembre 2026Des sources gouvernementales indiquent que Meta a accepté de signaler directement au portail du I4C.
7. 21 septembre 2026Google confirme avoir proposé le même dispositif. Les données circuleront "dès que l'entreprise aura son cadre technique prêt", indique une source à Business Standard.

Un changement n'a jamais été annoncé. Le NCMEC n'envoie plus les signalements indiens au bureau qui avait signé le protocole de 2019: Shehan a précisé à MediaNama que le I4C est désormais le destinataire désigné. Ce basculement est le fait des autorités indiennes, et aucun document public n'indique quand il a pris effet ni sur quelle base. Le principal canal du pays pour ces alertes était donc déjà passé sous l'Intérieur avant les nouvelles de cette semaine.

Qui signale le plus

Cinq fournisseurs représentent plus des trois quarts de tout ce que reçoit la CyberTipline. Le volume de Google a progressé d'environ un quart en un an, celui de Facebook est tombé de 8,59 millions en 2024 à 4,91 millions en 2025. Aucun de ces chiffres ne compte des infractions. Ils comptent des signalements, issus pour l'essentiel de comparaisons automatiques, que le NCMEC met ensuite à disposition du service de police du pays désigné par les données.

Ce que le raccourci ne règle pas

La vitesse en haut du tuyau ne crée pas de vitesse en bas. En Inde, la police et l'ordre public relèvent des États, donc une alerte arrivée dans un système central doit encore devenir une plainte enregistrée dans un commissariat parfois situé à mille kilomètres. Ensuite, le rythme appartient aux tribunaux: dans une affaire, le bureau fédéral d'enquête CBI a ouvert un dossier de matériel pédocriminel en octobre 2016 et la condamnation est tombée le 11 juin 2025.

Le circuit existant produit bien des résultats. En juin 2025, le CBI a arrêté un homme à Mathura après avoir recoupé le contenu de ses appareils avec la base d'Interpol et avec des signalements CyberTipline produits par Google et reçus par le I4C; les enfants concernés ont été identifiés et sortis de là, selon le bureau. Ce que personne ne publie, c'est le dénominateur. Le NCMEC compte les signalements reçus par chaque pays, mais pas ce qu'ils sont devenus: les retours des services de police, selon Shehan, restent facultatifs. Des dossiers naissent bel et bien de ces alertes, comme l'a montré en septembre l'opération italienne contre un réseau payant sur Telegram, mais le rapport entre signalements et procédures n'est public ni en Inde ni ailleurs. Comment une telle enquête se construit réellement offre un contraste utile avec une statistique de tuyauterie.

Quand la détection se trompe

Les erreurs de la détection automatique sont difficiles à défaire. En 2021, deux pères, l'un à San Francisco, l'autre à Houston, ont photographié le sexe de leur fils à la demande d'un médecin, la pandémie ayant déplacé les consultations en ligne. Les photos se sont synchronisées chez Google. L'entreprise a désactivé les deux comptes et transmis des signalements, la police des deux villes a enquêté et conclu à l'absence d'infraction. Google n'a rendu aucun des deux comptes. Ses règles actuelles précisent que les recours dans cette catégorie sont examinés deux fois au maximum, après quoi les suivants sont clos.

C'est cette partie de l'histoire que le nouveau circuit touche le plus directement pour un utilisateur ordinaire. Une alerte qui passait par un intermédiaire doté de ses propres analystes ira aussi droit à un organe de sécurité, dans un pays où la loi de 2023 sur les données personnelles permet au gouvernement d'exempter ses propres administrations de la plupart des obligations qu'elle impose à tous les autres.

• Faites une fois un export complet via Google Takeout et gardez la copie ailleurs que chez Google. Une suspension emporte photos, courriels et documents le jour même.
• Placez l'adresse de récupération chez un autre fournisseur, sinon perdre un compte ferme aussi le chemin du retour.
• N'accrochez pas banque, administration et accès professionnels à une seule boîte dont vous ne maîtrisez pas le sort.
• Les photos médicales d'un enfant passent par le canal du cabinet ou restent dans un dossier local, pas dans une galerie synchronisée par défaut vers le cloud.
• Repérez la procédure de recours avant d'en avoir besoin: le formulaire, les pièces à joindre et la limite de deux examens dans cette catégorie.
• Les deux décisions sont séparées: un classement par la police n'oblige pas la plateforme à rendre le compte.

Un VPN ne sert à rien ici, autant le dire franchement. Il change l'adresse IP que voit un service, pas ce que ce service trouve dans votre propre compte, connecté depuis vos appareils. L'analyse a lieu sur les serveurs du fournisseur, sur des fichiers que vous y avez déposés. La technique compte dans un autre débat, celui de l'analyse des messages avant chiffrement, autour duquel tourne depuis trois ans le projet européen Chat Control. L'Inde ne propose pas cela, mais un tuyau plus court pour des signalements que les plateformes produisent déjà.