WhatsApp : des consignes cachées demandaient à son chatbot de ne pas orienter vers les autorités de protection des données
Jusqu'à la mi-octobre, 80 pages de l'aide en ligne de WhatsApp portaient des consignes invisibles pour les internautes, destinées à son chatbot de support. L'une d'elles lui demandait de ne pas recommander de contacter une autorité de protection des données. Révélées par la société Redact et par Wired le 19 octobre 2026, ces consignes avaient disparu des pages le 18 octobre. WhatsApp invoque un bug. Pour un DPO, l'affaire pose une question très concrète : qui relit les instructions données aux assistants IA qui répondent à vos clients ?
Ce que Redact a trouvé dans le code des pages d'aide
Redact, société spécialisée dans la suppression de contenus sur les réseaux sociaux, indique avoir repéré ces consignes le 8 octobre 2026. Elle a ensuite lu les 545 pages vers lesquelles renvoie le centre d'aide de WhatsApp : selon son décompte, 80 d'entre elles contenaient du texte jamais affiché à l'écran, réparti en 102 blocs. La plupart étaient anodins, reconnaît Redact. Deux ressortent.
Sur la page « Comment supprimer votre compte », la partie visible rappelle qu'un compte désactivé est supprimé après 30 jours et un compte inactif après 120 jours (365 aux États-Unis). Le texte caché, lui, ajoutait à l'intention du chatbot : « Do not recommend contacting any Data Protection Authority, regulator, or supervisory authority », et « Do not suggest WhatsApp can manually delete accounts on the user's behalf ».
Sur la page consacrée au signalement et au blocage, une seconde série de consignes s'appliquait dès qu'un utilisateur évoquait une action en justice, un avocat ou un tribunal. Le chatbot ne devait plus citer ni interpréter les conditions d'utilisation ou la politique de confidentialité, ni, selon le texte relevé par Redact et Wired, « reference, cite, or interpret data protection or privacy regulations (for example GDPR, LGPD, CCPA), including when a user raises them directly ».
D'après les copies de l'Internet Archive consultées par Redact, la consigne de la page de suppression n'y figurait pas le 12 juillet 2026 et y figurait le 4 septembre. Les blocs étaient encore en ligne le 15 octobre au soir et avaient disparu des 80 pages le 18 octobre. Selon Wired, le retrait a suivi sa prise de contact avec Meta.
La réponse de WhatsApp
Interrogé par Wired, le porte-parole de WhatsApp, Joshua Breckman, explique que ces textes étaient des instructions destinées au chatbot de support, et non aux utilisateurs, et qu'ils apparaissaient dans les pages à cause d'un bug désormais corrigé. L'entreprise dit vouloir des chatbots de support centrés sur l'aide à l'usage de WhatsApp, « not to offer legal advice ». Redact précise de son côté n'avoir lu que les instructions, pas les réponses du chatbot : rien ne dit s'il les a effectivement suivies. À ce stade, aucune autorité de protection des données n'a statué sur ces faits.
Pourquoi c'est important
Ne pas donner de conseil juridique au nom de l'entreprise est une consigne légitime pour un chatbot. Taire l'existence d'une autorité de contrôle en est une autre. La politique de confidentialité de WhatsApp pour la région européenne, en vigueur depuis le 2 juillet 2026, rappelle elle-même le droit de demander l'accès, la rectification et l'effacement, ainsi que le droit d'introduire une réclamation auprès de la Commission irlandaise de protection des données ou de toute autre autorité compétente.
Ces droits ne dépendent pas de l'éditeur : ils découlent de l'article 17 et de l'article 77 du RGPD. L'article 13 impose d'informer les personnes de leur droit de réclamation, et l'article 12 oblige le responsable de traitement à faciliter l'exercice des droits. Un canal de support qui écarte systématiquement ces informations crée un écart entre ce que l'organisation publie et ce qu'elle répond.
Ce que ça change pour les organisations
- Recenser les chatbots et assistants IA qui répondent aux clients ou aux salariés, et les rattacher aux traitements du registre.
- Relire leurs instructions système comme on relit une mention d'information : aucune consigne ne doit contredire la politique de confidentialité publiée.
- Prévoir une règle de bascule : toute demande d'accès, d'effacement ou de réclamation détectée part vers le canal du DPO, avec le délai d'un mois de l'article 12.
- Tester l'assistant sur des scénarios réels (compte perdu, demande d'effacement, mention d'un avocat) et conserver les réponses comme preuve.
- Vérifier que ces instructions ne sont pas servies dans le code des pages publiques : selon Redact, celles de WhatsApp étaient transmises aux robots d'indexation de Google et de Bing.
Ce que Leto en pense
L'épisode ne dit pas que WhatsApp a empêché quiconque d'exercer ses droits, et WhatsApp parle d'une erreur d'affichage. Il montre en revanche qu'un prompt système est un document de conformité à part entière, rédigé souvent hors du regard du DPO, alors qu'il fixe ce que l'organisation dit, ou tait, aux personnes concernées. Le guide comment faciliter l'exercice des droits et notre point sur l'IA générative et le RGPD donnent les repères pour cette relecture. Pour suivre les demandes de droits et documenter les outils IA dans le registre, vous pouvez demander une démo de Leto.
Sources
