RAPPORT DE LA COMMISSION AU PARLEMENT EUROPÉEN ET AU CONSEIL sur la mise en œuvre du règlement (UE) 2021/1232 du Parlement européen et du Conseil du 14 juillet 2021 relatif à une dérogation temporaire à certaines dispositions de la directive 2002/58/CE en ce qui concerne l’utilisation de technologies par les fournisseurs de services de communications interpersonnelles non fondés sur la numérotation pour le traitement de données à caractère personnel et d’autres données aux fins de la lutte contre les abus sexuels commis contre des enfants en ligne

COMMISSION EUROPÉENNE

Bruxelles, le 27.11.2025

COM(2025) 740 final

RAPPORT DE LA COMMISSION AU PARLEMENT EUROPÉEN ET AU CONSEIL

sur la mise en œuvre du règlement (UE) 2021/1232 du Parlement européen et du Conseil du 14 juillet 2021 relatif à une dérogation temporaire à certaines dispositions de la directive 2002/58/CE en ce qui concerne l’utilisation de technologies par les fournisseurs de services de communications interpersonnelles non fondés sur la numérotation pour le traitement de données à caractère personnel et d’autres données aux fins de la lutte contre les abus sexuels commis contre des enfants en ligne

TABLE DES MATIÈRES

1. INTRODUCTION

2. MESURES D’EXÉCUTION

2.1. Traitement des données à caractère personnel par les fournisseurs [article 3, paragraphe 1, point g) vii)]

2.1.1. Type et volumes de données traitées

2.1.2. Motifs justifiant le traitement en vertu du règlement (UE) 2016/679

2.1.3. Motif justifiant les transferts de données à caractère personnel en dehors de l’UE

2.1.4. Nombre de cas d’abus sexuels commis contre des enfants en ligne identifiés, selon une distinction entre matériel relatif à des abus sexuels commis contre des enfants et sollicitation d’enfants

2.1.5. Recours introduits par les utilisateurs et suites qui leur ont été réservées

2.1.6. Nombre et ratio d’erreurs (faux positifs) des différentes technologies utilisées

2.1.7. Mesures appliquées pour limiter le taux d’erreurs et le taux d’erreurs atteint

2.1.8. Politique de conservation et garanties en matière de protection des données

2.1.9. Organismes agissant dans l’intérêt public avec lesquels des données ont été partagées

2.2. Statistiques des États membres (article 8)

2.2.1. Nombre total de signalements d’abus sexuels commis contre des enfants en ligne

2.2.2. Nombre d’enfants identifiés

2.2.3. Nombre d’auteurs condamnés

2.3. Évolution des progrès technologiques

2.3.1. Détection de matériels connus relatifs à des abus sexuels commis contre des enfants

2.3.2. Détection de matériels nouveaux relatifs à des abus sexuels commis contre des enfants

2.3.3. Détection de la sollicitation d’enfants à des fins sexuelles

2.3.4. Utilisation de l’IA générative à des fins d’abus sexuels sur enfants

3. CONCLUSION

1.INTRODUCTION

Les services de communications interpersonnelles sont de plus en plus utilisés à mauvais escient en vue du partage de matériel relatif à des abus sexuels commis contre des enfants et de la sollicitation d’enfants à des fins sexuelles («pédopiégeage»). Cela a conduit les fournisseurs de certains services de communications interpersonnelles non fondés sur la numérotation (ci-après les «fournisseurs»), tels que les services de courrier électronique en ligne et de messagerie, à utiliser des technologies spécifiques, sur une base volontaire, pour détecter les abus sexuels commis contre des enfants en ligne sur leurs services et les signaler aux autorités répressives et aux organismes agissant dans l’intérêt public contre les abus sexuels commis contre des enfants. Ces activités volontaires jouent un rôle important en ce qu’elles contribuent à identifier et à secourir les victimes, à réduire les pratiques de pédopiégeage et la diffusion de matériel relatif à des abus sexuels commis contre des enfants en ligne, ainsi qu’à prévenir et à détecter les infractions en matière d’abus sexuels commis contre des enfants, à enquêter sur celles-ci et à engager des poursuites en la matière. Afin de permettre la poursuite des efforts volontaires visant à identifier les abus sexuels commis contre des enfants, le règlement (UE) 2021/1232 1 (ci-après le «règlement»), modifié par le règlement (UE) 2024/1307 du 29 avril 2024 2 , prévoit une dérogation temporaire à l’article 5, paragraphe 1, et à l’article 6, paragraphe 1, de la directive 2002/58/CE 3 .

L’article 9 du règlement exige l’élaboration par la Commission d’un rapport de mise en œuvre, fondé sur les données des fournisseurs et des États membres, dans lequel elle examine en particulier:

(a)les conditions relatives au traitement des données à caractère personnel et autres données énoncées dans le règlement;

(b)la proportionnalité de la dérogation prévue dans le règlement, y compris une analyse des statistiques fournies par les États membres en vertu de son article 8;

(c)l’évolution des progrès technologiques relatifs aux activités relevant du règlement et la mesure dans laquelle cette évolution améliore la précision et diminue le nombre et le ratio d’erreurs (faux positifs).

Le présent document constitue le deuxième rapport relatif à la mise en œuvre, dont la publication est prévue par le règlement et qui fait suite au premier rapport adopté le 19 décembre 2023 4 . Il s’appuie sur les données obtenues, depuis lors, grâce aux rapports présentés par les fournisseurs et les États membres en application, respectivement, de l’article 3, paragraphe 1, point g) vii), et de l’article 8 dudit règlement.

Le premier rapport mettait en lumière d’importantes disparités en ce qui concerne la disponibilité des données, la nature des données recueillies et, partant, la comparabilité des données recueillies par les fournisseurs et les États membres. Le deuxième rapport témoigne de la persistance de ces problèmes. Contrairement à ce qu’exige l’article 3, paragraphe 4, du règlement, les fournisseurs n’ont pas fait usage du formulaire type devant être utilisé pour les rapports, qui figure en annexe du règlement d’exécution de la Commission adopté le 25 novembre 2024 5 , invoquant le fait que ce formulaire n’était devenu disponible qu’à la fin de la période de référence. Ils ont également communiqué différents types d’informations qui ne sont pas nécessairement comparables. De nombreux États membres ont fourni des données tardivement; certains n’ont fourni que des données partielles ou n’ont pas été en mesure de fournir de données avant la publication du présent rapport. La Commission s’est engagée dans des actions de suivi afin d’encourager la présentation des données et d’en permettre l’interprétation correcte, ce qui a eu d’importantes répercussions sur la date de publication et l’exhaustivité du rapport. Malgré les efforts déployés pour assurer la cohérence des données et leur comparabilité, des disparités subsistent.

Le présent rapport vise à donner un aperçu factuel de l’état d’avancement de la mise en œuvre du règlement, sur la base des données disponibles. Dans le présent rapport, les services de la Commission ne suggèrent aucune interprétation du règlement et n’émettent aucun avis sur la manière dont il a été interprété et appliqué dans la pratique.

2.MESURES D’EXÉCUTION

2.1.Traitement des données à caractère personnel par les fournisseurs [article 3, paragraphe 1, point g) vii)]

L’article 3, paragraphe 1, point g) vii), du règlement fixe les conditions dans lesquelles les fournisseurs agissant en vertu de la dérogation qui y est prévue doivent publier et soumettre à l’autorité de contrôle compétente ainsi qu’à la Commission, au plus tard le 3 février 2022, et au plus tard le 31 janvier de chaque année par la suite, un rapport sur le traitement des données à caractère personnel dans le cadre de ce règlement. Google, LinkedIn, Meta, Microsoft et Yubo ont soumis des rapports, tant pour 2023 que pour 2024. Le présent rapport reprend les données communiquées par les fournisseurs pour les années 2023 et 2024, tandis que les données pour 2021 et 2022 sont prises en considération dans le rapport précédent.

2.1.1.Type et volumes de données traitées

Les fournisseurs ont déclaré traiter des données relatives tant au contenu qu’au trafic. En ce qui concerne les données relatives au contenu traitées pour détecter les abus sexuels commis contre des enfants en ligne, tous les fournisseurs ont indiqué traiter des images et des vidéos. Google a également indiqué traiter d’autres types de médias.

En ce qui concerne les données recueillies relatives au trafic, les rapports des fournisseurs variaient considérablement:

a)données relatives au compte utilisateur (Google, LinkedIn, Microsoft, Yubo), par exemple l’identifiant d’utilisateur, le nom d’utilisateur et l’adresse IP;

b)métadonnées relatives au contenu (Google, LinkedIn, Microsoft, Yubo);

c)données relatives aux victimes potentielles (Google);

d)données relatives aux actes abusifs (Google).

LinkedIn et Microsoft ont, contrairement aux autres fournisseurs, fourni des informations sur les volumes de données traitées en application du règlement. LinkedIn a indiqué avoir traité plus de 24 millions d’images et plus de 1 million de vidéos en 2023, et plus de 22 millions d’images et plus de 2 millions de vidéos en 2024, qui provenaient de l’UE pour les deux années. Microsoft a déclaré avoir traité dans le monde, en 2023 et 2024, respectivement plus de 11,7 milliards et 9,6 milliards d’éléments de contenu, sans préciser les données qui concernaient l’UE.

2.1.2. Motifs justifiant le traitement en vertu du règlement (UE) 2016/679

Tous les fournisseurs ont déclaré s’être appuyés sur un ou plusieurs des motifs spécifiques prévus par le règlement (UE) 2016/679, le règlement général sur la protection des données (ci‑après le «RGPD») 6 : article 6, paragraphe 1, point d) (Google, Meta et Yubo), article 6, paragraphe 1, point e) (LinkedIn, Microsoft, Meta et Yubo) et article 6, paragraphe 1, point f) (Google, Meta et Yubo).

2.1.3.Motif justifiant les transferts de données à caractère personnel en dehors de l’UE

Tous les fournisseurs ont déclaré s’appuyer sur les mécanismes de transfert des données établis au titre du RGPD, y compris des clauses types de protection des données adoptées par la Commission, comme le prévoit l’article 46, paragraphe 2, point c), du RGPD. Google, Microsoft, LinkedIn et Yubo ont également déclaré se conformer au cadre de protection des données UE-États-Unis.

2.1.4.Nombre de cas d’abus sexuels commis contre des enfants en ligne identifiés, selon une distinction entre matériel relatif à des abus sexuels commis contre des enfants et sollicitation d’enfants

Tableau 1: nombre de cas d’abus sexuels commis contre des enfants en ligne, identifiés en 2023

Tableau 2: nombre de cas d’abus sexuels commis contre des enfants en ligne, identifiés en 2024

Étant donné que tous les fournisseurs susmentionnés font rapport au NCMEC aux États-Unis (voir section 2.1.9.), en plus d’autres fournisseurs qui n’ont pas soumis de rapport à la Commission, les données du NCMEC offrent, en principe, un aperçu plus complet des signalements d’abus sexuels commis contre des enfants dans l’UE. Le NCMEC a indiqué avoir reçu, pour chaque année de référence, les nombres suivants d’éléments de contenu (images, vidéos et autres fichiers) et de cas de sollicitation d’enfants en lien avec l’UE:

2.1.5.Recours introduits par les utilisateurs et suites qui leur ont été réservées

En application de l’article 3, paragraphe 1, point g) iv), du règlement, les fournisseurs doivent mettre en place des procédures appropriées et des mécanismes de recours appropriés pour garantir aux utilisateurs la possibilité d’introduire une réclamation auprès d’eux. En outre, le droit à un recours juridictionnel effectif est inscrit à l’article 5 du règlement.

Tous les fournisseurs ont communiqué le nombre de réclamations d’utilisateurs concernant les questions relevant du champ d’application du règlement au sein de l’UE, ainsi que l’issue de ces réclamations. Les fournisseurs ont fait état soit de réclamations contre le retrait d’éléments de contenu, soit de réclamations contre la suspension de comptes d’utilisateurs, sans soumettre d’informations distinctes sur ces deux catégories. Google et Yubo ont également rendu compte séparément des réclamations introduites auprès d’une autorité judiciaire. Par conséquent, les tableaux ci-dessous font apparaître les procédures de recours internes et incluent, dans les remarques, des informations sur les recours juridictionnels lorsque les données sont disponibles; à ce jour, il n’est fait état d’aucun cas de réclamation auprès d’une autorité judiciaire.

Tableau 3: nombre de réclamations introduites par des utilisateurs au moyen du mécanisme de recours interne ou auprès d’une autorité judiciaire, et issue de ces réclamations en 2023

Tableau 4: nombre de réclamations introduites par des utilisateurs au moyen du mécanisme de recours interne ou auprès d’une autorité judiciaire, et issue de ces réclamations en 2024

2.1.6.Nombre et ratio d’erreurs (faux positifs) des différentes technologies utilisées

Conformément à l’article 3, paragraphe 1, point e), du règlement, les fournisseurs doivent veiller à ce que les technologies utilisées soient suffisamment fiables en ce qu’elles limitent le plus possible le taux d’erreurs en ce qui concerne la détection de contenus représentant des abus sexuels commis contre des enfants en ligne.

À cet égard, tous les fournisseurs ont indiqué appliquer, pour détecter les abus sexuels commis contre des enfants, une méthode à plusieurs niveaux associant différentes technologies de détection afin d’accroître l’exactitude. Il existe, en outre, un équilibre entre les faux positifs (c’est-à-dire lorsque l’outil signale erronément, par exemple, une image comme pouvant constituer du matériel relatif à des abus sexuels commis contre des enfants) et les faux négatifs (c’est-à-dire lorsque l’outil omet de signaler, par exemple, des abus sexuels commis contre des enfants), étant donné que la réduction d’un taux d’erreur augmente généralement l’autre. Cela signifie que le fournisseur peut adapter les paramètres d’exactitude pour choisir l’équilibre approprié en fonction du contexte et de la nature spécifiques du service.

Les fournisseurs se sont servis de technologies de mise en correspondance reposant sur le hachage, telles que PhotoDNA, MD5 et CSAI Match, pour détecter les correspondances de matériels précédemment identifiés relatifs à des abus sexuels commis contre des enfants. L’utilisation de classificateurs d’intelligence artificielle (IA) et d’apprentissage automatique pour détecter du matériel nouveau relatif à des abus sexuels commis contre des enfants a également été signalée (Google et Yubo). Yubo a également signalé avoir détecté des actes de sollicitation d’enfants.

Les fournisseurs n’ont pas ventilé le nombre et le ratio d’erreurs (faux positifs) pour chacune des technologies utilisées. Au lieu de cela, ils ont communiqué des données agrégées concernant l’ensemble des technologies utilisées.

Les données transmises mettent en évidence l’utilisation de différentes méthodes pour calculer le taux d’erreur. Certains fournisseurs ne disposaient pas de données suffisantes pour effectuer ce calcul(Microsoft). D’autres ont appliqué une méthode de calcul fondée sur le ratio global des éléments de contenu restaurés et/ou des comptes débloqués par rapport aux éléments de contenu ayant fait l’objet de mesures, ou une méthode de calcul fondée sur le nombre de recours contre les restrictions de compte (Meta et LinkedIn). D’autres encore (Google et Yubo) ont pris pour référence le nombre d’éléments de contenu qui avaient été repérés automatiquement comme constituant des matériels relatifs à des abus sexuels commis contre des enfants et qui, après examen humain, n’en étaient pas (faux positifs), divisé par le nombre d’éléments de contenu repérés automatiquement comme constituant des matériels relatifs à des abus sexuels commis contre des enfants. Les tableaux ci-dessous font donc ressortir les disparités entre les ensembles de données présentés par les fournisseurs.

Afin de réduire encore le taux d’erreurs ou de faux positifs, les fournisseurs ont également indiqué avoir complété ces technologies par un examen humain. Cet examen humain n’est pas pris en considération dans les statistiques ci-dessous, qui ne tiennent compte que de l’exactitude des technologies elles-mêmes.

Tableau 5: nombre et ratio d’erreurs en 2023 et 2024

2.1.7.Mesures appliquées pour limiter le taux d’erreurs et le taux d’erreurs atteint

Conformément à l’article 3, paragraphe 1, point e), du règlement, les technologies utilisées doivent être suffisamment fiables et les conséquences d’éventuelles erreurs occasionnelles doivent être corrigées sans tarder. En outre, l’article 3, paragraphe 1, point g) ii), impose aux fournisseurs de garantir un contrôle humain et, si nécessaire, une intervention humaine.

Les fournisseurs ont déclaré appliquer différentes mesures et garanties pour limiter et réduire le taux d’erreurs lors de la détection d’abus sexuel commis en ligne sur des enfants. Parmi ces mesures et garanties, on peut citer:

I.le suivi et l’évaluation qualitative de la performance des outils de détection des abus sexuels commis sur des enfants afin d’améliorer tant la précision (c’est-à-dire qu’ils ne détectent que les abus sexuels commis contre des enfants en ligne) que le taux de rappel (c’est-à-dire qu’ils n’omettent de détecter, sur leurs plateformes, aucun abus sexuel commis contre des enfants en ligne) (Google);

II.l’application de processus de vérification reposant sur le hachage dans le cadre desquels les analystes examinent les éléments associés aux bases de données de hachages et/ou vérifient la qualité des hachages existants (Google, Microsoft et LinkedIn);

III.l’examen et le contrôle humains: les contenus détectés comme constituant du matériel relatif à des abus sexuels commis contre des enfants au moyen de technologies de mise en correspondance reposant sur le hachage sont vérifiés par des examinateurs et analystes humains formés à cette tâche (Google, LinkedIn, Meta, Microsoft et Yubo);

IV.un examen humain systématique des contenus repérés comme constituant du matériel nouveau éventuel relatif à des abus sexuels commis contre des enfants, avant signalement (Google en 2023);

V.des examinateurs humains qui suivent une formation spécialisée et/ou qui font l’objet d’une recertification régulière (Google et Yubo);

VI.l’évaluation du contrôle de qualité de l’examen humain et des avis rendus (Google et Yubo);

VII.l’élaboration, par des experts spécialisés, de politiques et de stratégies de mise en application relativement aux abus sexuels commis contre des enfants en ligne, et la révision régulière de ces politiques et stratégies par ces mêmes experts (Google);

VIII.des consultations régulières d’experts afin d’améliorer l’exactitude dans la détection des matériels relatifs à des abus sexuels commis contre des enfants, y compris les canaux permettant de recevoir un retour d’information de la part d’organisations de confiance qui luttent contre ces abus, telles que le centre national américain pour les enfants disparus et exploités (NCMEC) et Thorn (Google);

IX.un système d’alerte garantissant que les volumes de données regroupées en grappe sont repérés et examinés (Meta);

X.des mesures visant à améliorer la qualité des algorithmes de sécurité (Yubo).

2.1.8.Politique de conservation et garanties en matière de protection des données

Le règlement exige, à son article 3, paragraphe 1, point h), que les données à caractère personnel pertinentes soient stockées de manière sécurisée uniquement à certaines fins bien spécifiques, et il précise, à son article 3, paragraphe 1, point i), la durée maximale pendant laquelle ces données peuvent être stockées. En outre, les exigences qui sont prévues par le RGPD et qui sont applicables doivent être respectées.

Tous les fournisseurs ont déclaré disposer de politiques de conservation et de garanties en matière de protection des données à caractère personnel. Les politiques de conservation des données varient en fonction de la nature de ces dernières. Les fournisseurs indiquent que, dans chaque cas, la durée de conservation est limitée dans le temps et déterminée en fonction du type de données et de la finalité du traitement; les données sont ensuite supprimées une fois la période de conservation écoulée. La plupart des fournisseurs (Google, Meta et LinkedIn pour 2024) ont également déclaré appliquer une politique de conservation maximale de 12 mois aux matériels détectés relatifs à des abus sexuels commis contre des enfants. Yubo a indiqué que les données sur la modération des contenus étaient généralement conservées pendant 12 mois et que la durée de conservation dépendait du type de contenu, du type de violation et des conditions de stockage. Meta a déclaré, en 2024, avoir conservé pendant 195 jours les données relatives aux recours des utilisateurs.

Parmi les garanties en matière de protection des données dont les fournisseurs ont fait état, on peut citer:

I.le recours à des techniques de dépersonnalisation ou de pseudonymisation (par exemple le masquage, le hachage ou la confidentialité différentielle) (Microsoft);

II.le recours aux méthodes de chiffrement des données en transit (par exemple, protocoles TLS) (Meta et Yubo);

III.des contrôles d’accès (Meta et Yubo);

IV.la mise en œuvre de stratégies de gouvernance des données et/ou de programmes de protection de la vie privée, afin que les données ne soient accessibles, utilisées ou partagées que de manière autorisée (Google);

V.la vérification des mécanismes de protection de la vie privée afin de détecter, d’évaluer et d’atténuer les risques en la matière liés à la collecte, au traitement, au stockage et au partage de données à caractère personnel, ainsi que l’examen des pratiques en matière de protection des données lors de la conception de nouvelles capacités ou de nouveaux processus du système (Microsoft);

VI.une enquête rapide sur les incidents signalés que mène l’équipe d’intervention (Google);

VII.des mesures relatives aux mécanismes de recours internes et à l’information des utilisateurs, y compris des mesures visant à garantir aux utilisateurs le droit d’avoir accès aux données les concernant (Google en 2024).

2.1.9.Organismes agissant dans l’intérêt public avec lesquels des données ont été partagées

Tous les fournisseurs ont déclaré avoir communiqué les données au NCMEC dans le respect du règlement. Tous les fournisseurs ayant effectué des signalements ont en outre informé la Commission, en application de l’article 7, paragraphe 1, du règlement, qu’ils avaient signalé au NCMEC, au titre dudit règlement, des abus sexuels commis contre des enfants en ligne 8 . Yubo a également déclaré avoir communiqué les données à l’Internet Watch Foundation (IWF) au Royaume-Uni et à Pharos (Plateforme d’harmonisation, d’analyse, de recoupement et d’orientation des signalements) en France.

2.2.Statistiques des États membres (article 8)

Conformément à l’article 8, paragraphe 1, du règlement, les États membres doivent mettre à la disposition du public et présenter à la Commission des rapports comprenant des statistiques sur ce qui suit:

(a)le nombre total de signalements d’abus sexuels commis contre des enfants en ligne qui ont été transmis aux autorités répressives nationales compétentes par les fournisseurs et par des organismes agissant dans l’intérêt public contre les abus sexuels commis contre des enfants, en établissant une distinction, lorsque ces informations sont disponibles, entre le nombre absolu de cas et les cas signalés à plusieurs reprises et en précisant le type de fournisseur sur les services duquel des abus sexuels commis contre des enfants en ligne ont été détectés;

(b)le nombre d’enfants identifiés grâce aux mesures prises en vertu de l’article 3, ventilé par sexe;

(c)le nombre d’auteurs condamnés.

Étant donné que, pour le rapport précédent, certains États membres avaient communiqué des données allant jusqu’en juillet 2022 et d’autres, des données couvrant toute l’année 2022, le présent rapport concerne l’ensemble des années civiles 2022, 2023 et 2024 afin de faciliter la comparabilité. Cela étant, les données communiquées par les États membres varient grandement quant à leur exhaustivité et à leur degré de précision. Quelques États membres n’ont pas fourni toutes les données requises pour chacune des années en question (Belgique, Estonie, Irlande, Espagne, Croatie, Portugal et Roumanie).

2.2.1. Nombre total de signalements d’abus sexuels commis contre des enfants en ligne

La plupart des États membres ont fourni des statistiques annuelles sur le nombre total de signalements d’abus sexuels commis contre des enfants en ligne pour les années civiles 2022, 2023 et 2024, comme le prévoit l’article 8, paragraphe 1, point a), du règlement. Le Portugal n’a fourni de données pour aucune des années concernées, tandis que l’Espagne n’a pas fourni de données pour 2023 et 2024.

Les États membres ont généralement fourni aux autorités répressives nationales le nombre total de signalements communiqués par des fournisseurs ou d’autres organismes agissant dans l’intérêt public contre les abus sexuels commis contre des enfants. La majeure partie des États membres a déclaré recevoir du NCMEC la plupart ou la totalité des signalements les concernant. Les États membres n’ont pas indiqué le nombre de signalements pouvant donner lieu à des mesures (c’est-à-dire faire l’objet d’une enquête), mais certains ont mentionné le nombre de dossiers ouverts, lequel est nettement inférieur. Les États membres, à l’exception de la Finlande et du Danemark, n’ont pas non plus établi de distinction entre le nombre total de cas et le nombre de cas signalés à plusieurs reprises. Seuls quelques États membres ont précisé le type de fournisseur sur les services duquel des abus sexuels commis contre des enfants en ligne avaient été détectés (Belgique, Irlande, Pologne et Roumanie, par exemple). Certains ont fourni une ventilation détaillée (Belgique, Tchéquie, France, Luxembourg, Roumanie et Finlande).

Tableau 6: nombre total de signalements d’abus sexuels commis contre des enfants en ligne déclarés par les États membres

Les signalements étant principalement communiqués par le NCMEC , il est intéressant d’observer le nombre de signalements en lien avec les États membres que le NCMEC a reçus et qu’il a transmis aux États membres 10 :

La ventilation par État membre du nombre total de signalements est la suivante:

Tableau 7: cas d’abus sexuels commis contre des enfants en ligne signalés par le NCMEC aux États membres de l’UE en 2022, 2023 et 2024

L’écart important observé entre le nombre de signalements que le NCMEC déclare avoir transmis aux États membres et le nombre de signalements que les États membres indiquent avoir reçus laisse penser que la collecte des données et la présentation des rapports par les États membres ne sont pas complètes.

Dans ses statistiques par État membre, le NCMEC n’établit pas de distinction selon l’origine du signalement; en particulier, il n’indique pas si le signalement émane d’un service de communications interpersonnelles non fondées sur la numérotation. Le NCMEC fournit toutefois des statistiques sur le nombre total de signalements en lien avec l’UE qui émanent de services de communications interpersonnelles non fondés sur la numérotation, tels que des services de conversation en ligne, de messagerie instantanée ou de courrier électronique. Le NCMEC a également communiqué des chiffres sur des signalements provenant de plateformes de réseaux sociaux ou de jeux en ligne, y compris de leurs services intégrés de messagerie ou de discussion en ligne.

Le nombre de signalements en lien avec l’UE a considérablement diminué (30 %) en 2024. Cet état de fait révèle une tendance mondiale, marquée par une hausse des signalements qui ont atteint le nombre de 31,9 millions en 2022 et de 35,93 millions en 2023, avant de reculer pour s’établir à 19,85 millions en 2024. Le NCMEC attribue ce recul en partie à une réduction des signalements provenant des services de messagerie interpersonnelle, étant donné que ces services passent au chiffrement de bout en bout et que les fournisseurs mettent un terme à leurs efforts de détection 14 . La baisse de la part des signalements provenant des services de messagerie interpersonnelle semble en effet indiquer qu’une grande partie de cette réduction peut être attribuée à une diminution des signalements provenant de ces services.

2.2.2. Nombre d’enfants identifiés

La plupart des États membres ont fourni, comme le prévoit l’article 8, paragraphe 1, point b), du règlement, des statistiques sur le nombre d’enfants identifiés. Trois États membres n’ont fourni aucune donnée (Belgique, Portugal et Roumanie), tandis que d’autres n’ont fourni des données que pour certaines années (par exemple, la Finlande pour 2023 et 2024 et l’Espagne pour 2022). De nombreux États membres n’ont pas été en mesure de procéder à une ventilation par sexe.

Plusieurs États membres n’ont communiqué que des statistiques partielles, faisant observer, par exemple, que les données ne sont pas disponibles parce qu’elles ne sont pas recueillies dans le cadre de la collecte de données statistiques à l’échelle nationale, ou que les autorités nationales n’enregistrent pas ces statistiques (Belgique, France et Finlande), ou que les données ne sont pas ventilées par sexe dans la collecte nationale de données statistiques (Tchéquie, Chypre, Lituanie, Hongrie et Pays-Bas). Dans de nombreux États membres, les données reprises ci-dessous concernent les enfants victimes d’abus sexuels commis tant en ligne que hors ligne, de sorte qu’il est possible que ces données ne correspondent pas au nombre réel de cas d’abus sexuels commis en ligne sur des enfants (par exemple, en Allemagne, à Chypre et au Luxembourg). Les données englobent donc aussi bien les victimes qui ont été identifiées à la suite d’un signalement effectué par un fournisseur que les cas dans lesquels, par exemple, les victimes elles-mêmes ou un tiers ont pu signaler l’infraction pénale (par exemple, en Allemagne et au Luxembourg). Dans d’autres cas, le nombre d’enfants identifiés comme victimes d’abus sexuels ne concerne que les citoyens de ce pays ou les personnes qui y résident, ce qui exclut les enfants d’autres nationalités et les enfants non identifiés (par exemple, en Lettonie et en Lituanie).

Tableau 8: nombre d’enfants identifiés, ventilé par sexe

Étant donné que les États membres ont généralement communiqué des chiffres partiels pour les périodes en question ou n’ont pas été en mesure d’opérer une distinction selon que la détection volontaire était à l’origine de l’enquête ou non, et que quelques-uns n’ont pas fourni de données, il n’est pas possible de calculer le nombre total d’enfants identifiés comme victimes sur la base des signalements d’abus sexuels commis en ligne sur des enfants dans l’UE. Néanmoins, on peut déduire des données et informations communiquées par les États membres que de très nombreuses victimes ont pu être identifiées grâce au signalement volontaire prévu par le règlement.

2.2.3. Nombre d’auteurs condamnés

Si la plupart des États membres se sont acquittés de leur obligation de fournir des statistiques sur le nombre d’auteurs condamnés, trois États membres n’ont fourni aucune donnée, comme le prévoit pourtant l’article 8, paragraphe 1, point c), du règlement (Belgique, Chypre et Espagne). Contrairement à ce que prévoit l’article 8, paragraphe 1, point c), plusieurs États membres n’ont pas fourni de statistiques pour au moins l’une des années en question, principalement parce que les données n’étaient pas disponibles (Belgique, Allemagne, Irlande, Espagne, France, Chypre, Malte, Portugal et Finlande).

Les États membres ont en général communiqué des données fragmentées et incomplètes sur le nombre d’auteurs condamnés et ont utilisé des critères différents pour enregistrer les informations pertinentes, comme le montre le tableau ci-dessous.

Tableau 9: nombre d’auteurs condamnés

Le nombre de condamnations ne correspond pas au nombre d’auteurs condamnés puisqu’une même personne pourrait être condamnée pour une ou plusieurs infractions d’abus sexuels commis contre des enfants en ligne. En outre, les statistiques relatives aux condamnations déclarées pour une période donnée ne se rapportent pas forcément aux signalements reçus au cours de cette période (par exemple, en Estonie et au Luxembourg). Dans certains cas, aucune des données recueillies n’a permis de savoir si les signalements (par l’intermédiaire du NCMEC, par exemple) d’abus sexuels commis contre des enfants en ligne avaient donné lieu à des condamnations ou si les condamnations prononcées avaient résulté de signalements effectués par un fournisseur ou une organisation publique. Seules l’Estonie et la Suède ont explicitement confirmé que leurs statistiques ne comprenaient que les condamnations prononcées à la suite de signalements transmis par le NCMEC. De nombreux États membres ont indiqué que les chiffres communiqués n’étaient pas définitifs parce que les enquêtes étaient toujours en cours ou que les affaires étaient toujours pendantes ou faisaient l’objet de recours (Bulgarie, Danemark, Italie, Pays-Bas et Slovaquie). Quelquefois, dans les données communiquées par les États membres, aucune distinction n’est établie entre les infractions commises en ligne et celles commises hors ligne (Luxembourg, Slovaquie, Finlande et Suède).

La manière dont les données statistiques sont recueillies à l’échelle nationale ne permet pas de dresser un tableau complet du nombre d’auteurs condamnés pour abus sexuels sur des enfants en ligne dans l’UE. Les données actuellement disponibles ne permettent pas non plus d’établir un lien clair entre ces condamnations et les signalements effectués par les fournisseurs et les organisations agissant dans l’intérêt public contre les abus sexuels commis contre des enfants au cours des périodes de référence déterminées.

2.3.Évolution des progrès technologiques

Parmi les technologies actuellement utilisées pour détecter les abus sexuels commis contre des enfants en ligne figurent les technologies et les outils permettant de détecter non seulement le matériel connu relatif à des abus sexuels commis contre des enfants (c’est-à-dire le matériel dont il a été précédemment confirmé qu’il constituait du matériel relatif à des abus sexuels commis contre des enfants) et le matériel nouveau relatif à des abus sexuels commis contre des enfants (c’est-à-dire le matériel autre que le matériel connu relatif à des abus sexuels commis contre des enfants), mais aussi la sollicitation d’enfants à des fins sexuelles (également désignée sous le terme de «pédopiégeage»).

La liste non exhaustive d’exemples ci-dessous comprend certains des outils les plus communément utilisés. Bon nombre de ces outils sont mis à la disposition des fournisseurs, des autorités répressives et d’autres organisations qui peuvent justifier d’intérêt légitime. Le recours à ces outils est généralement conjugué à un examen humain afin d’améliorer l’exactitude.

2.3.1. Détection de matériels connus relatifs à des abus sexuels commis contre des enfants

Les technologies actuellement disponibles pour détecter des matériels connus relatifs à des abus sexuels commis contre des enfants reposent sur une analyse automatique des contenus 15 et recourent au hachage, pour la plupart. Le hachage est l’une des technologies de relève d’empreintes numériques. Il permet d’attribuer à une image une signature numérique unique (appelée «code de hachage») qui est ensuite comparée à celle d’autres images afin d’en trouver d’éventuelles copies. Cette technologie ne permet de détecter que les codes de hachage correspondant à celui de l’image concernée et ignore tous les autres contenus. En outre, ces valeurs de hachage n’étant pas réversibles, elles ne peuvent pas être utilisées pour recréer une image.

La technologie de hachage présente de nombreuses variantes et applications, parmi lesquelles le hachage cryptographique pour repérer les correspondances exactes et le hachage perceptif pour repérer un contenu visuellement similaire, même avec des modifications mineures (par exemple, images coupées, redimensionnées ou sur lesquelles a été appliqué un filtre) 16 . Parmi les moyens recensés comme étant utilisés pour détecter les matériels connus relatifs à des abus sexuels commis contre des enfants, on peut citer: i) PhotoDNA de Microsoft 17 ; ii) CSAI Match de Google 18 ; iii) Apple NeuralHash; iv) PDQ et TMK+PDQF 19 ; v) MD5 Hash Matching; et vi) Safer (Thorn) 20 .

L’outil le plus communément utilisé est PhotoDNA de Microsoft, qui est utilisé depuis plus de 15 ans. D’après les tests effectués, le taux de faux positifs obtenu par cet outil est estimé à 1 sur 50 milliards, tout au plus 21 . La version initiale de PhotoDNA permet de détecter, dans les images, les matériels connus relatifs à des abus sexuels commis contre des enfants, tandis qu’une autre version également disponible permet de les détecter dans les vidéos 22 .

Cette technologie fait sans cesse l’objet d’améliorations. En mai 2023, Microsoft a annoncé le déploiement de nouvelles capacités de mise en correspondance permettant l’exécution plus rapide des recherches (environ 350 fois plus vite), tout en réduisant le coût du processus de mise en correspondance sans perte d’exactitude. Selon Microsoft, la nouvelle bibliothèque permet également une détection plus complète des images retournées ou pivotées.

2.3.2. Détection de matériels nouveaux relatifs à des abus sexuels commis contre des enfants

Les classificateurs et l’intelligence artificielle comptent parmi les technologies actuellement utilisées pour détecter les matériels nouveaux relatifs à des abus sexuels commis contre des enfants. Un classificateur est un algorithme qui trie les données en classes étiquetées, ou catégories d’informations, grâce à la reconnaissance des schémas. Parmi les exemples de classificateurs figurent ceux qui peuvent détecter la nudité, les formes ou les couleurs. Les classificateurs doivent être entraînés à partir d’informations et leur exactitude s’améliore à mesure que le volume de données qui leur est soumis augmente.

Parmi les outils permettant de détecter des matériels nouveaux relatifs à des abus sexuels commis contre des enfants figurent: i) Safer Predict (Thorn) 23 ; ii) l’API «Content Safety» de Google 24 ; et iii) la technologie d’IA de Facebook 25 .

Pour la détection de matériel nouveau relatif à des abus sexuels commis contre des enfants, le taux d’exactitude (défini en fonction de l’évitement de faux positifs) peut être fixé à un niveau nettement supérieur à 90 %. Par exemple, Thorn indique que son classificateur de matériels relatifs à des abus sexuels commis contre des enfants peut être réglé de sorte à obtenir un taux de précision de 99 % (tant pour le matériel connu que pour le matériel nouveau), soit un taux de faux positifs de 0,1 % 26 . Ces mesures – et le taux de faux négatifs correspondant – sont susceptibles de s’améliorer à mesure que l’utilisation de l’outil se généralise et grâce aux commentaires formulés par ses utilisateurs.

Les capacités du secteur à détecter les matériels nouveaux relatifs à des abus sexuels commis contre des enfants s’améliorent: un exemple en est l’outil de détection de matériels nouveaux relatifs à des abus sexuels commis contre des enfants mis au point par Discord et qui utilise CLIP (un algorithme open source créé à l’origine par OpenAI), entraîné pour associer des images et du texte, ce qui permet à l’outil de comprendre les relations sémantiques entre eux. En appliquant cette méthode à la détection de matériels relatifs à des abus sexuels commis contre des enfants, l’outil a été en mesure de détecter tant le matériel connu que le matériel inconnu relatifs à des abus sexuels commis contre des enfants, avec des résultats positifs. Discord a fait de cette technologie une source ouverte afin de partager gratuitement cette innovation avec d’autres entreprises et de contribuer à la lutte plus large contre les matériels relatifs à des abus sexuels commis contre des enfants en ligne 27 .

2.3.3. Détection de la sollicitation d’enfants à des fins sexuelles

Contrairement à l’échange d’images ou de vidéos, les outils textuels sont particulièrement utiles pour détecter à temps les pratiques de pédopiégeage, c’est-à-dire avant que l’enfant ne partage des matériels relatifs à des abus sexuels commis contre des enfants. Les outils de détection du pédopiégeage dans les communications textuelles détectent des schémas indiquant des pratiques de pédopiégeage, sans être capables de déduire la substance du contenu. Les conversations suspectes sont évaluées en fonction d’une série de caractéristiques et se voient attribuer une note globale indiquant le degré estimé de probabilité qu’il s’agisse de pédopiégeage. Cette note sert à repérer les conversations nécessitant un examen humain complémentaire. À l’instar de la détection de matériels relatifs à des abus sexuels commis contre des enfants, l’entreprise peut décider du niveau auquel elle souhaite fixer le seuil de probabilité, les conséquences étant les mêmes que celles décrites ci-dessus en ce qui concerne les faux positifs ou négatifs: un seuil de probabilité plus élevé signifie que moins de cas non constitutifs de pédopiégeage sont signalés pour examen, mais aussi qu’un plus grand nombre de cas de pédopiégeage sont susceptibles de passer inaperçus.

Parmi les outils utilisés pour procéder à des analyses textuelles figurent: i) le projet Artemis de Microsoft 28 ; ii) Amazon Rekognition 29 ; iii) la technologie d’intelligence artificielle Spirit de Twitch 30 ; iv) le classificateur de «classement» d’apprentissage automatique développé par Meta (qui combine les technologies d’analyse linguistique interne et les métadonnées); v) le filtrage des discussions mis en place par Roblox 31 ; vi) l’outil Yubo de détection du pédopiégeage; vii) l’outil d’analyse textuelle Safer Predict 32 ; et viii) Hive Text Moderation 33 .

Yubo a indiqué que le taux d’exactitude pour la détection de pédopiégeage textuel sur ses services atteignait 87 % en moyenne 34 , ce qui signifie que, sur 100 cas de soupçons de pédopiégeage signalés automatiquement aux modérateurs humains, 87 ont été confirmés comme étant du pédopiégeage. Les recherches montrent que les méthodes d’apprentissage automatique permettant de détecter le pédopiégeage en ligne peuvent atteindre une exactitude de 92 % et se prêtent tout particulièrement à la capture de motifs complexes et non linéaires essentiels à l’analyse des interactions nuancées en ligne 35 .

L’outil d’analyse textuelle Safer Predict utilise un modèle de classification textuelle d’apprentissage automatique pour détecter l’exploitation sexuelle des enfants. Il analyse le texte et attribue un score de risque fondé sur la probabilité que le contenu soit associé à des comportements préjudiciables, tels que les messages liés au partage de matériels relatifs à des abus sexuels commis contre des enfants, y compris les contenus autogénérés, ainsi que les messages liés à des abus hors ligne sur enfants et aux activités d’extorsion sexuelle.

D’autres outils d’IA visant à lutter contre le pédopiégeage en ligne sont en cours de développement. Par exemple, le projet CESAGRAM de Missing Children Europe, qui est axé sur la compréhension et l’interruption des mécanismes qui sous-tendent le pédopiégeage, prévoit la production d’un outil d’IA pour contribuer à prévenir le pédopiégeage, au moyen d’analyses linguistiques, fondées sur des techniques de traitement du langage naturel, visant à détecter les activités de pédopiégeage 36 .

2.3.4. Utilisation de l’IA générative à des fins d’abus sexuels sur enfants

Le panorama des menaces liées à l’utilisation abusive de l’IA générative à des fins d’abus sexuels sur enfants a rapidement évolué ces dernières années. Les outils d’IA générative largement disponibles peuvent servir d’armes pour nuire aux enfants; parallèlement, l’utilisation de la technologie dans l’exploitation sexuelle des enfants a augmenté. Cette technologie peut être utilisée pour créer ou modifier des images, fournir des lignes directrices sur la manière de piéger des enfants ou d’en abuser, voire de simuler l’expérience d’une conversation en ligne explicite avec un enfant. En 2024, le NCMEC a fait état d’une augmentation de 1 325 % des signalements qui impliquaient l’utilisation de l’IA générative: de 4 700 signalements en 2023 à 67 000 en 2024 37 . En outre, à la faveur d’une brève étude consacrée à un forum de matériels relatifs à des abus sexuels sur enfants hébergé sur le dark web, l’IWF a trouvé plus de 20 000 images générées par l’IA publiées sur une période d’un mois, dont plus de 3 000 illustraient des activités criminelles d’abus sexuels sur enfants 38 .

Les auteurs de ces abus sexuels sur enfants utilisent l’IA générative pour exploiter des enfants de diverses manières, dont celles énumérées 39 ci-dessous.

·la conversion de texte en texte: utilisation d’invitations textuelles pour générer des guides/tutoriels/suggestions sur la manière de solliciter des enfants à des fins sexuelles (pédopiégeage) et de les abuser sexuellement;

·la conversion de texte en image: saisie d’invitations textuelles pour générer du matériel nouveau relatif à des abus sexuels commis contre des enfants ou modifier des fichiers précédemment téléchargés afin de les rendre sexuellement explicites;

·la conversion d’image à image (modification de matériels connus relatifs à des abus sexuels commis contre des enfants pour créer des matériels nouveaux de même nature): téléversement de matériels connus relatifs à des abus sexuels commis contre des enfants afin de générer des matériels nouveaux de même nature sur la base d’images existantes, y compris la modification ou l’ajout de nouveaux éléments abusifs (par exemple, la servitude ou d’autres formes d’abus) aux images existantes;

·la conversion d’image à image (modification d’une image anodine pour créer une image abusive): téléversement d’images anodines d’un enfant afin de générer des images sexuellement explicites ou abusives de l’enfant (par exemple, utilisation d’applications de nudification). L’IA générative est également utilisée de cette manière pour pratiquer la sextorsion financière envers les enfants.

Le NCMEC a signalé l’absence de protocoles de sécurité réglementés, la vitesse à laquelle les outils d’IA générative se sont multipliés à la faveur d’applications, de plateformes et d’une accessibilité open source, ainsi que la relative facilité d’utilisation de cette technologie. En outre, la prolifération des abus sexuels sur enfants générés par l’IA fait naître d’importants nouveaux défis pour les services répressifs, y compris en ce qui concerne l’identification des victimes, en raison de la difficulté à déterminer si les images sont réelles ou de synthèse, ce qui peut, par voie de conséquence, détourner les efforts d’affaires impliquant de vrais enfants ayant un besoin urgent de protection 40 .

3.CONCLUSION

Mesures de mise en œuvre prises par les fournisseurs

Dans leurs rapports, les fournisseurs ont montré qu’ils avaient, au titre du règlement, procédé à la détection et au signalement d’abus sexuels sur enfants en ligne en recourant à toute une série de technologies et de procédés de détection. Tous les fournisseurs ont déclaré avoir transmis ces signalements au NCMEC. Pour l’année 2024, les fournisseurs n’ont pas respecté leur obligation d’utiliser le formulaire type, figurant en annexe de l’acte d’exécution de la Commission adopté le 25 novembre 2024, pour présenter le rapport sur le traitement des données à caractère personnel. Par conséquent, les rapports soumis présentent toujours des lacunes qui compromettent la comparabilité globale des données.

Mesures de mise en œuvre prises par les États membres

Les rapports soumis par les États membres présentent encore des problèmes semblables à ceux mis en évidence dans le premier rapport sur la mise en œuvre du règlement. Les données communiquées par les États membres semblent incomplètes et fragmentées. Il n’est donc pas possible de fournir un aperçu complet et fiable du nombre de signalements d’abus sexuels commis contre des enfants en ligne, du nombre d’enfants identifiés et du nombre d’auteurs condamnés. Les disparités entre les données du NCMEC et les données des États membres confirment que la collecte des données et la présentation des rapports par les États membres présentent toujours des lacunes importantes.

Considérations d’ordre général

Dans l’ensemble, le présent rapport fait apparaître des disparités considérables en ce qui concerne la communication des données au titre du règlement, tant par les fournisseurs que par les États membres, relatives à la lutte contre les abus sexuels commis contre des enfants en ligne. Une normalisation accrue des données disponibles et des modalités de leur communication s’impose.

Les données disponibles montrent que, si des matériels repérés automatiquement comme constituant potentiellement des matériels relatifs à des abus sexuels commis contre des enfants sont largement confirmés comme tels après un examen humain, une petite fraction peut s’avérer, après cet examen, ne pas en être. S’il est vrai que le taux de faux positifs ne dépasse pas 1 sur 50 milliards pour certains outils, cette fraction dépend également du choix du fournisseur d’adapter les paramètres d’exactitude de l’outil afin de réduire au minimum les faux négatifs, avec pour conséquence l’augmentation des faux positifs qui doivent ensuite être filtrés grâce à un examen humain.

Les données font également apparaître d’importants écarts en ce qui concerne le nombre de demandes d’examen et leur taux d’aboutissement, ce qui empêche de tirer des conclusions étant donné le peu d’informations communiquées par les fournisseurs concernant, en particulier, l’objet des demandes d’examen et les motifs de réactivation de comptes ou de restauration d’éléments de contenu.

En ce qui concerne les exigences de l’article 9, paragraphe 2, du règlement, quant aux conditions relatives au traitement des données, les informations fournies indiquent que les technologies utilisées sont des applications conçues à la seule fin de détecter et de retirer les matériels relatifs à des abus sexuels commis sur enfants en ligne et de les signaler aux autorités répressives ainsi qu’aux organisations agissant dans l’intérêt public contre les abus sexuels commis contre des enfants. Aucune information n’a été communiquée par les fournisseurs quant à la question de savoir si les technologies avaient été déployées suivant l’état de la technique et de la manière la moins intrusive possible pour la vie privée, ou si une analyse d’impact préalable relative à la protection des données, prévue à l’article 35 du règlement (UE) 2016/679, et une procédure de consultation préalable, prévue à l’article 36 dudit règlement, avaient été menées.

Pour ce qui est de la proportionnalité du règlement (UE) 2021/1232, la question est celle de savoir si celui-ci permet d’atteindre l’équilibre recherché entre, d’une part, la réalisation de l’objectif d’intérêt général consistant à lutter efficacement contre les crimes extrêmement graves en cause et la nécessité de protéger les droits fondamentaux des enfants (dignité, intégrité, protection contre les traitements inhumains ou dégradants, protection de la vie privée, droits de l’enfant, par exemple) et, d’autre part, la sauvegarde des droits fondamentaux des utilisateurs des services concernés (protection de la vie privée, protection des données à caractère personnel, liberté d’expression et droit à un recours effectif, par exemple). Les données disponibles sont insuffisantes pour apporter une réponse définitive à cette question. Compte tenu de l’ampleur des répercussions négatives que les abus sexuels ont sur la vie et les droits d’un enfant, il n’est pas possible, et il ne serait pas non plus opportun, d’appliquer une norme chiffrée lors de l’appréciation de cette proportionnalité eu égard au nombre d’enfants secourus. Néanmoins, à la lumière de ce qui précède, rien n’indique que la dérogation ne serait pas proportionnée.

Bien que les lacunes dans les données ne permettent pas de disposer d’une vue complète, les données disponibles montrent que des milliers d’enfants ont été identifiés au cours de la période de référence et que des millions d’images et de vidéos ont été retirées de la circulation, réduisant ainsi le phénomène de victimisation secondaire. Dès lors, le signalement volontaire conformément au règlement semble contribuer de manière importante à la protection d’un grand nombre d’enfants, y compris contre les abus persistants.

Dans le même temps, la proposition de règlement de la Commission établissant des règles en vue de prévenir et de combattre les abus sexuels sur enfants remédie à d’importantes lacunes constatées dans la mise en œuvre du règlement, en prévoyant notamment une normalisation accrue des données disponibles et des modalités de leur communication, afin de mieux cerner les activités pertinentes dans la lutte contre cette forme de criminalité, ainsi que l’utilisation d’indicateurs spécifiques pour détecter les abus sexuels illicites commis contre des enfants et la vérification des matériels par un centre indépendant 41 . Son adoption par les colégislateurs demeure prioritaire. Il est essentiel de veiller à ce qu’aucun vide juridique n’apparaisse entre le cadre juridique actuel et le cadre juridique futur, amélioré, et que, dans l’intervalle, le cadre juridique actuel continue d’être appliqué de la manière la plus efficace possible.

(1)

Règlement (UE) 2021/1232 du Parlement européen et du Conseil du 14 juillet 2021 relatif à une dérogation temporaire à certaines dispositions de la directive 2002/58/CE en ce qui concerne l’utilisation de technologies par les fournisseurs de services de communications interpersonnelles non fondés sur la numérotation pour le traitement de données à caractère personnel et d’autres données aux fins de la lutte contre les abus sexuels commis contre des enfants en ligne (JO L 274 du 30.7.2021, p. 41, ELI: http://data.europa.eu/eli/reg/2021/1232/oj ).

(2)

Règlement (UE) 2024/1307 du Parlement européen et du Conseil du 29 avril 2024 modifiant le règlement (UE) 2021/1232 relatif à une dérogation temporaire à certaines dispositions de la directive 2002/58/CE en ce qui concerne l’utilisation de technologies par les fournisseurs de services de communications interpersonnelles non fondés sur la numérotation pour le traitement de données à caractère personnel et d’autres données aux fins de la lutte contre les abus sexuels commis contre des enfants en ligne (JO L, 2024/1307, 14.5.2024, ELI: http://data.europa.eu/eli/reg/2024/1307/oj ).

(3)

Directive 2002/58/CE du Parlement européen et du Conseil du 12 juillet 2002 concernant le traitement des données à caractère personnel et la protection de la vie privée dans le secteur des communications électroniques (directive vie privée et communications électroniques) ( JO L 201 du 31.7.2002, p. 37 ).

(4)

Rapport de la Commission au Parlement européen et au Conseil sur la mise en œuvre du règlement (UE) 2021/1232 du Parlement européen et du Conseil du 14 juillet 2021 relatif à une dérogation temporaire à certaines dispositions de la directive 2002/58/CE en ce qui concerne l’utilisation de technologies par les fournisseurs de services de communications interpersonnelles non fondés sur la numérotation pour le traitement de données à caractère personnel et d’autres données aux fins de la lutte contre les abus sexuels commis contre des enfants en ligne, COM/2023/797 final .

(5)

Règlement d’exécution (UE) 2024/2916 de la Commission du 25 novembre 2024 établissant un formulaire type pour les données incluses dans le rapport sur le traitement des données à caractère personnel publié et soumis à l’autorité de contrôle compétente et à la Commission par les fournisseurs de services dans le cadre du règlement (UE) 2021/1232 du Parlement européen et du Conseil (JO L, 2024/2916, 26.11.2024, ELI: http://data.europa.eu/eli/reg_impl/2024/2916/oj ).

(6)

Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO L 119 du 4.5.2016, p. 1, ELI: http://data.europa.eu/eli/reg/2016/679/oj ).

(7)

Les données communiquées par Microsoft montrent que le ratio entre les éléments de contenu identifiés comme constituant du matériel relatif à des abus sexuels commis contre des enfants et les éléments de contenu traités est resté constant entre 2023 et 2024, à 0,00027 %.

(8)

Conformément à l’obligation qui lui incombe en application de l’article 7, paragraphe 2, du règlement, la Commission a publié les informations relatives aux organismes agissant dans l’intérêt public auxquels les fournisseurs signalent les abus sexuels commis contre des enfants en ligne au titre du règlement, à l’adresse suivante https://home-affairs.ec.europa.eu/policies/internal-security/child-sexual-abuse/legal-framework-protect-children_en .

(9)

Toutes les données de ce tableau, y compris celles pour lesquelles le NCMEC ou d’autres sources externes sont mentionnés, sont reproduites telles qu’elles ont été communiquées à la Commission par les États membres.

(10)

Le graphique contient le nombre total de signalements que l’UE a reçus, dédupliqués, c’est-à-dire qu’un même signalement n’est comptabilisé qu’une seule fois s’il a été envoyé à plusieurs États membres.

(11)

NCMEC, signalements CyberTipline par pays en 2022, consultés le 26 mai 2025 .

(12)

NCMEC, signalements CyberTipline par pays en 2023, consultés le 26 mai 2025 .

(13)

NCMEC. En 2024, le NCMEC a commencé à indiquer sur son site internet ( signalements CyberTipline par pays en 2024 ) le nombre total de signalements adressés à chaque pays. Le même signalement est envoyé à plusieurs pays, s’il concerne tous ces pays. Les données indiquées dans le tableau 7 pour 2022, 2023 et 2024 sont des signalements dédupliqués, c’est-à-dire qu’un même signalement n’est comptabilisé qu’une seule fois.

(14)

Testimony of Michelle DeLaune, President and CEO National Center for Missing & Exploited Children, to the United States Senate Committee on the Judiciary , 11 mars 2025.

(15)

Les fournisseurs ne considèrent pas les métadonnées comme un outil efficace pour détecter les matériels relatifs à des abus sexuels commis contre des enfants. Voir, par exemple, Pfefferkorn, R., « Content-Oblivious Trust and Safety Techniques: Results from a Survey of Online Service Providers », Journal of Online Trust and Safety, vol. 1, nº 2, Stanford Internet Observatory, 28 février 2022.

(16)

Tech Coalition, « Annual Report 2024 » (Rapport annuel 2024), 2024, p. 28.

(17)

Microsoft, « PhotoDNA | Microsoft », consulté le 26 mai 2025. Voir également Microsoft, « How PhotoDNA for Video is being used to fight online child exploitation – On the Issues », 12 septembre 2018, consulté le 26 mai 2025.

(18)

Google, « Découvrez notre kit », consulté le 26 mai 2025.

(19)

Meta, « Open-Sourcing Photo- and Video-Matching Technology to Make the Internet Safer », 1er août 2019, consulté le 26 mai 2025. Voir également Medium, « Image Similarity: PDQ algorithm for real-time similarity comparison against image store | by Darwinium | Medium », 4 juillet 2022, consulté le 26 mai 2025.

(20)

Safer, « Power trust and safety with purpose-built solutions », consulté le 26 mai 2025.

(21)

Hany, F., House Committee on Energy and Commerce, Fostering a healthier Internet to protect consumers , témoignage, 16 octobre 2019.

(22)

Microsoft, « How PhotoDNA for video is being used to fight online child exploitation », 12 septembre 2018, consulté le 26 mai 2025.

(23)

Thorn, «Introducing Safer Predict: using the power of AI to detect Child Sexual Abuse and Exploitation Online », 19 juillet 2024, consulté le 26 mai 2025.

(24)

Google, « Lutter contre les abus sexuels sur mineurs en ligne », consulté le 26 mai 2025.

(25)

Voir ici et ici pour de plus amples informations sur l’outil mis au point par Facebook pour détecter de manière proactive, à l’aide de l’intelligence artificielle et de l’apprentissage automatique, les images d’enfants nus et les contenus à caractère pédopornographique jusque-là inconnus.

(26)

Thorn, Thorn’s Automated Tool to Remove Child Abuse Content at Scale Expands to More Platforms through AWS Marketplace , 24 mai 2021.

(27)

Tech Coalition, « Annual Report 2024 (Rapport annuel 2024), 2024, p. 28.

(28)

Le projet Artemis de Microsoft a été développé en collaboration avec The Meet Group, Roblox, Kik et Thorn.

(29)

Amazon, Amazon «Rekognition » . Voir également Amazon, « What is Amazon Rekognition? », consulté le 26 mai 2025.

(30)

Pour de plus amples informations, voir: Twitch, « Notre travail continu de lutte contre le grooming en ligne », 22 novembre 2022, consulté le 26 mai 2025.

(31)

Roblox filtre les publications et les discussions pour les joueurs d’un âge inférieur ou égal à 12 ans afin d’empêcher que des contenus inappropriés ne leur parviennent et que des informations à caractère personnel les concernant, telles que l’adresse de leur domicile, ne soient publiées. Ce système de filtrage s’applique à tous les types de communications sur Roblox, qu’elles soient publiques ou privées. Roblox, « Fonctionnalités de sécurité: chat, confidentialité et filtrage », consulté le 26 mai 2025.

(32)

Voir: Safer, « Enhancing Platform Safety: insights from Safer Predict’s Text Detection Beta Period », 29 juillet 2024 et « Announcing Safer Predict: AI-Driven CSAM & CSE Detection », 19 juillet 2024, consultés le 26 mai 2025.

(33)

Hive Moderation, « Automated Models with a human-level understanding of textual content » et « Text Moderation – Overview », consultés le 26 mai 2025. Le modèle de classification du texte est entraîné sur un vaste corpus exclusif de données étiquetées dans de multiples domaines (y compris, mais sans s’y limiter, les réseaux sociaux, la conversation en ligne et les applications de diffusion en direct) et est capable d’interpréter des phrases complètes présentant des subtilités linguistiques. Les algorithmes de «pattern matching» (filtrage par motif) rechercheront des phrases pour un ensemble de motifs prédéfinis qui sont généralement associés à des contenus préjudiciables, dont les abus sexuels sur enfants.

(34)

Yubo, « CSAM EU Reporting obligations », 31 janvier 2025, consulté le 26 mai 2025. Selon Yubo, l’exactitude est calculée comme étant le nombre de cas automatiquement signalés comme relevant du pédopiégeage qui ont été confirmés comme tels après un examen humain.

(35)

Leiva-Bianchi, M., et al. (éds.), Effectiveness of machine learning methods in detecting grooming: a systematic meta-analytic review , Scientific Reports 15, nº 9008, 2025. L’étude présente un examen systématique et une méta-analyse de l’utilisation des méthodes d’apprentissage automatique pour la détection du pédopiégeage en ligne. Les résultats mettent en évidence l’efficacité de certains algorithmes et contribuent à l’identification des prédateurs en ligne. L’étude définit l’exactitude comme l’indication de la justesse globale du modèle dans ses prévisions, et la précision comme le nombre de cas positifs détectés avec exactitude.

(36)

Pour de plus amples informations, voir Missing Children Europe, « CESAGRAM », consulté le 26 mai 2025.

(37)

NCMEC, « 2024 CyberTipline Report », 2024, consulté le 26 mai 2025.

(38)

Internet Watch Foundation, « Artificial Intelligence (AI) and the Production of Child Sexual Abuse Imagery », consulté le 26 mai 2025.

(39)

NCMEC, Testimony of Michelle DeLaune, President and CEO National Center for Missing & Exploited Children, to the United States Senate Committee on the Judiciary Subcommittee on Crime and Counterterrorism , , «Ending the Scourge: the need for the STOP CSAM Act», 11 mars 2025, p. 2 et 4.

(40)

NCMEC, Testimony of Michelle DeLaune, President and CEO National Center for Missing & Exploited Children, to the United States Senate Committee on the Judiciary Subcommittee on Crime and Counterterrorism , «Ending the Scourge: the need for the STOP CSAM Act», 11 mars 2025, p. 4.

(41)

Proposition de règlement du Parlement européen et du Conseil établissant des règles en vue de prévenir et de combattre les abus sexuels sur enfants, COM(2022) 209 final .