Les pages d'aide de WhatsApp contenaient un texte invisible demandant aux assistants IA de ne pas recommander les régulateurs de protection des données et d'éviter de citer les lois sur la confidentialité lorsque les utilisateurs mentionnaient des avocats, selon une étude publiée par Redact, un service qui aide les utilisateurs à supprimer leurs comptes en ligne. WhatsApp a déclaré à WIRED, qui a rapporté les résultats le 19 octobre, que les notes cachées étaient des instructions pour son propre chatbot d'assistance qui ont atteint les pages publiques en raison d'un bug, et que le problème a été résolu.

Le chercheur, Dan Saltman, a écrit qu'il avait découvert le texte caché le 8 octobre, puis avait lu les 545 pages liées depuis le centre d'aide de WhatsApp, en enregistrant une copie de chacune. Parmi celles-ci, 80 pages contenaient des blocs cachés – 102 au total – écrits d’une manière qui ne serait jamais affichée à l’écran mais serait transmise à un système d’IA lisant la page. Pour plus de contexte sur cette histoire, consultez notre dernières avancées en IA.

Ce que disent les notes cachées

La plupart des 102 blocs cachés étaient inoffensifs, selon le rapport. Mais deux se sont démarqués.

Sur la page d'aide expliquant comment supprimer un compte, la note visible indique aux utilisateurs que les comptes désactivés sont supprimés après 30 jours et les comptes inactifs après 120 jours, soit 365 aux États-Unis. En dessous, le texte envoyé aux systèmes d'IA répétait ces délais d'attente, puis ajoutait trois directives : informer les utilisateurs des délais de suppression automatique et "ne pas recommander de contacter une autorité de protection des données, un régulateur ou une autorité de contrôle". Il a également été demandé à l'IA de ne pas suggérer que WhatsApp puisse supprimer manuellement des comptes au nom d'un utilisateur, ni de recommander l'utilisation d'un autre téléphone avec un numéro actif.

Le contexte compte. WhatsApp autorise uniquement la suppression de compte depuis l'application sur le téléphone principal, le numéro de téléphone étant toujours actif. Une personne qui perdait son téléphone ou son numéro et souhaitait que son compte soit effacé recevrait l’ordre d’attendre jusqu’à un an – alors que l’IA avait explicitement reçu pour instruction de ne pas la diriger vers les régulateurs qui supervisent de telles pratiques.

Un silence sur les lois sur la protection de la vie privée

Le deuxième bloc notable se trouvait sur la page concernant le signalement et le blocage des contacts. Il s'active chaque fois qu'un utilisateur mentionne une action en justice, des poursuites, des avocats, des tribunaux ou un litige. À partir de ce moment-là, il a été demandé à l’IA de ne pas citer, citer, interpréter ou faire référence aux conditions d’utilisation, à la politique de confidentialité ou à tout document juridique de WhatsApp ; ne pas faire de déclarations sur la responsabilité légale de l'entreprise ; et ne pas fournir d’avis ou d’interprétations juridiques au nom de WhatsApp.

Une instruction a particulièrement attiré l'attention : il a été demandé à l'IA de ne pas faire référence, citer ou interpréter les réglementations en matière de protection des données ou de confidentialité – la note cite les exemples GDPR, LGPD et CCPA – « y compris lorsqu'un utilisateur les soulève directement ». En d’autres termes, un utilisateur qui poserait explicitement des questions sur ses droits en vertu du RGPD ne se verrait pas expliquer ces droits par l’assistant, même s’il avait évoqué la loi en premier. L’instruction invitait les utilisateurs à consulter plutôt un professionnel du droit qualifié.

En contradiction avec la propre politique de confidentialité de WhatsApp

Le rapport de Redact souligne que les notes cachées étaient en conflit avec ce que WhatsApp dit à ses utilisateurs européens dans la documentation officielle. La politique de confidentialité de l'entreprise pour la région européenne, en vigueur le 2 juillet 2026, informe les utilisateurs qu'ils peuvent se plaindre auprès d'un régulateur de protection des données et nomme la loi qui leur donne ce droit.

Ainsi, alors que la politique officielle indiquait aux Européens où déposer leurs plaintes, la couche invisible du centre d'aide demandait à l'IA de l'entreprise de ne pas divulguer ces mêmes informations.

WhatsApp : un bug, désormais corrigé

Selon le rapport de WIRED du 19 octobre, WhatsApp a déclaré que les notes cachées étaient des instructions destinées à son chatbot d'assistance – l'assistant que les utilisateurs atteignent lorsqu'ils envoient un message au support WhatsApp avec l'IA – et qu'elles apparaissaient sur les pages d'aide publiques en raison d'un bug qui a depuis été corrigé. Un porte-parole a déclaré à WIRED que la société souhaitait que ses chatbots d'assistance "se concentrent sur la fourniture des meilleurs conseils aux utilisateurs sur WhatsApp" et "ne fournissent pas de conseils juridiques".

Expurgation a vérifié la suppression directement. Les blocs cachés étaient toujours présents lors de leur vérification à 21h40 UTC le 15 octobre ; à 02h08 UTC le 18 octobre, les 102 blocs avaient disparu des 80 pages, tandis que les pages d'aide elles-mêmes restaient en ligne. Les copies archivées sur Internet Archive corroborent la chronologie : l'instantané du 9 octobre de la page de suppression du compte contient le texte masqué, contrairement à l'instantané du 18 octobre.

Pourquoi les instructions invisibles de l'IA sont un problème

L’épisode est un exemple classique d’une pratique qui s’est développée aux côtés des assistants IA : intégrer du texte destiné à la machine dans des pages Web que les lecteurs humains ne voient jamais. Lorsqu’une page contient deux messages – un pour les personnes, un pour les modèles qui la lisent – ​​la version invisible peut remodeler discrètement ce qu’une IA dit aux utilisateurs, sans aucune trace visible de la modification.

Dans ce cas, le public concerné était l'assistant d'assistance de WhatsApp plutôt que des chatbots tiers, et la société attribue l'exposition publique à un bug. Mais le choix de conception sous-jacent – ​​demander à une IA de cacher les informations réglementaires et juridiques aux utilisateurs qui posent des questions sur leurs propres comptes – est désormais documenté dans des copies archivées des pages, et il montre à quel point le comportement d'un assistant est déterminé par un texte que la plupart des utilisateurs ne connaîtront jamais.

Le point pratique pour les utilisateurs reste inchangé par rapport à avant : toute personne exclue d'un compte WhatsApp et souhaitant le supprimer peut toujours contacter directement son autorité de protection des données, un droit affirmé dans la politique de confidentialité européenne de WhatsApp.

---

Restez à la Pointe de l'IA

Les dernières actualités, analyses et percées en IA — au même endroit.

Lire plus d'actualités IA →