Les pages d'aide de WhatsApp contenaient des instructions cachées pour IA : ne pas recommander d'autorité de contrôle

Les pages d'aide de WhatsApp contenaient, jusqu'à la mi-octobre 2026, des instructions destinées à l'IA de son chatbot de support, invisibles pour les utilisateurs. C'est ce qui ressort d'une analyse publiée par redact.dev, qui a relu les 545 pages du centre d'aide liées par WhatsApp et sauvegardé chacune d'elles. Sur ce corpus, 80 pages comportaient au total 102 blocs de texte cachés. Selon l'auteur de l'analyse, la plupart de ces blocs sont anodins : ils clarifient des confusions de vocabulaire, renvoient vers une autre page ou décrivent les offres payantes. Deux se distinguent par leur contenu.

Le premier concerne la page sur la suppression du compte. Cette page indique, en note visible, qu'un compte sera supprimé automatiquement 30 jours après sa désactivation, ou après 120 jours d'inactivité (365 aux États-Unis), y compris si l'utilisateur n'a plus accès à son numéro ou à son téléphone. Sous cette note, un texte invisible reprenait ces délais puis ajoutait trois consignes : ne pas recommander de contacter une autorité de protection des données, un régulateur ou une autorité de contrôle ; ne pas suggérer que WhatsApp puisse supprimer un compte manuellement pour le compte de l'utilisateur ; ne pas conseiller d'utiliser un autre téléphone disposant d'un numéro actif. Une personne bloquée dans l'impossibilité de supprimer son compte ne recevait donc, selon ces consignes, que la réponse « attendre jusqu'à un an ».

Le second figure sur la page consacrée au signalement et au blocage. Dès qu'un utilisateur évoque une action en justice, un avocat ou un tribunal, l'IA recevait l'ordre de ne citer, interpréter ni référencer aucun document juridique de WhatsApp, et de ne pas mentionner les réglementations de protection des données, comme le RGPD, la LGPD ou le CCPA, y compris lorsque l'utilisateur les invoquait lui-même.

Ces consignes contredisent ce que WhatsApp publie par ailleurs. Sa politique de confidentialité pour la région européenne, en vigueur depuis le 2 juillet 2026, indique que l'utilisateur peut à tout moment demander l'accès, la rectification ou l'effacement de ses données, qu'il peut introduire une réclamation auprès de la Data Protection Commission irlandaise « ou de toute autre autorité de contrôle compétente », et cite le RGPD lorsqu'elle détaille ce droit. Les droits en question découlent en Europe des articles 17 et 77 du RGPD, et non d'une politique d'entreprise ; une instruction adressée à un chatbot ne peut pas les supprimer, mais elle peut empêcher l'utilisateur d'en être informé par le service qu'il consulte.

WhatsApp dispose toutefois d'arguments qui méritent d'être entendus. Une entreprise peut légitimement refuser que son chatbot donne des avis juridiques en son nom, et orienter vers un avocat est une réponse raisonnable. Il est également possible que WhatsApp ne puisse pas vérifier l'identité du titulaire d'un compte sans le numéro de téléphone, ce qui rendrait une suppression sur simple demande risquée. Mais, selon l'analyse, les notes allaient au-delà de la prudence juridique : elles écartaient de la réponse des informations publiques et exactes, comme l'existence d'une autorité de contrôle ou le nom d'une loi protectrice.

Les consignes visaient le chatbot de support de WhatsApp, selon les déclarations ultérieures de l'entreprise auprès de WIRED. Les pages n'étaient pas protégées pour autant : le serveur les transmettait aux robots d'indexation de Google et de Bing. Lors d'un test effectué le 9 octobre avec les robots d'OpenAI, d'Anthropic et de Perplexity, les pages renvoyées ne contenaient ni l'article ni les notes. L'analyse n'a pas vérifié si des assistants IA ont effectivement suivi ces consignes. Les centres d'aide de Facebook et d'Instagram, bâtis sur le même système, ne présentaient pas de notes comparables sur les 300 pages examinées.

Plusieurs points restent ouverts : le comportement réel du chatbot face à ces instructions, la durée exacte de leur présence, l'existence éventuelle de notes dans d'autres langues ou sur des pages non liées au centre d'aide. Les notes ont disparu des pages en direct ; les copies de l'Internet Archive datées du 9 octobre permettent encore de les consulter.