La caméra l'accuse à tort, le magasin l'expulse

Matt Arnold, 46 ans, organisateur de spectacles d’humour, faisait ses courses le 6 août dans un Sainsbury’s d’East Dulwich, au sud de Londres. Il achetait de quoi tenir une soirée au club de foot de Dulwich Hamlet. Articles scannés, carte de fidélité passée, il appelle un employé pour valider un achat d’alcool. Deux responsables du magasin arrivent, lui expliquent qu’il ne peut pas être servi « en raison d’un incident antérieur », et le raccompagnent vers la sortie.

En partant, il aperçoit l’écran de vidéosurveillance. Un cercle rouge entoure son visage.

Le système de reconnaissance faciale du magasin, fourni par la société britannique Facewatch, venait de le signaler comme voleur présumé. À tort. Ce qui l’a marqué, raconte-t-il, ce n’est pas tant l’erreur de la machine que la réaction des employés : personne n’a remis l’alerte en question.

« Erreur humaine », dit l’enseigne

Le lendemain, le siège de Sainsbury’s l’a contacté pour s’excuser. Sa version : l’incident vient d’une « erreur humaine, pas de la technologie de reconnaissance faciale ». Selon Facewatch, le système avait bien identifié quelqu’un d’autre, lié à un incident précédent, et c’est le personnel qui s’est trompé de client en s’approchant.

L’enseigne rappelle au passage que son système affiche un taux de précision de 99,98 % et que chaque correspondance est censée être vérifiée par un responsable formé. Elle a suspendu l’outil dans ce magasin, le temps d’une enquête et d’une formation renforcée des équipes.

Deux choses coincent dans cette défense. D’abord, 99,98 % de précision, sur des milliers de visages scannés chaque jour dans des centaines de magasins, cela fait beaucoup d’erreurs en valeur absolue : c’est ce qui arrive à tout système utilisé à cette échelle. Ensuite, la « vérification humaine » n’a rien vérifié du tout. Elle a validé la machine. C’est le scénario que redoutent ceux qui étudient ces dispositifs : le problème n’est pas que la machine se trompe, c’est que personne n’ose la contredire.

Le mot le plus lourd de l’histoire est d’ailleurs dans le titre de l’article de The Register qui l’a révélée : again. Encore une fois. Ce n’est pas le premier client expulsé par erreur d’un Sainsbury’s sur alerte de reconnaissance faciale.

Le déploiement continue quand même

Malgré l’incident, l’enseigne maintient son calendrier. Le dispositif équipait plus de 55 magasins début juillet, et environ 150 s’y ajouteront d’ici la fin 2026, ce qui portera le total à plus de 200 points de vente.

Autrement dit : l’outil est suspendu là où il a fauté, et déployé partout ailleurs.

Et dans un supermarché français ?

Bonne nouvelle si vous faites vos courses en France : ce qui est arrivé à Matt Arnold ne peut pas légalement se produire dans un supermarché français.

Deux verrous s’y opposent. Le premier est européen : l’AI Act interdit l’identification biométrique à distance en temps réel dans les espaces accessibles au public, avec seulement trois exceptions étroitement encadrées, réservées aux forces de l’ordre et soumises à autorisation judiciaire. Un commerçant n’entre dans aucune.

Le second est français, et il est récent. Le législateur a bien ouvert la porte à l’analyse des images de vidéosurveillance par intelligence artificielle, mais les députés en ont explicitement exclu les commerces, ainsi que l’identification biométrique, le traitement de données biométriques et la reconnaissance faciale. La vidéosurveillance algorithmique autorisée peut détecter un mouvement de foule ou un colis abandonné ; elle n’a pas le droit de reconnaître un visage. La CNIL, qui contrôle ces traitements au titre de la loi Informatique et Libertés, a par ailleurs émis des réserves sur les dispositifs susceptibles de glisser vers l’identification biométrique.

La question qui reste ouverte, et elle vaut pour les deux côtés de la Manche : que se passe-t-il le jour où l’un de ces systèmes vous désigne, et où personne dans le magasin n’a l’idée de vérifier ? Matt Arnold a eu des excuses le lendemain. Il n’avait pas ses courses.

À lire aussi : Google paie 10 M$ pour les mails d’une compagnie aérienne morte, une autre histoire de données personnelles qui échappent à ceux qu’elles concernent.

Sources

The Register, qui a recueilli la réaction de Sainsbury's · LSA sur l'exclusion des commerces du dispositif français