Les pages d'aide de WhatsApp contenaient des instructions cachées destinées uniquement à une IA, et deux d'entre elles se détachent : l'une ordonnait au robot d'assistance de ne pas recommander d'autorité de protection des données aux utilisateurs incapables de supprimer leur compte ; l'autre exigeait, dès qu'un utilisateur mentionne un avocat ou un procès, de ne plus citer les lois sur la vie privée comme le RGPD, même lorsque l'utilisateur les évoque le premier. L'entreprise spécialisée Redact a révélé ces textes cachés dans un rapport d'enquête publié le 19 octobre 2026 ; WIRED a consulté de façon indépendante des copies archivées des pages et interrogé Meta. Le porte-parole de WhatsApp, Joshua Breckman, a répondu que l'exposition résultait d'un bogue désormais corrigé, que ces textes étaient des instructions destinées au robot d'assistance maison et que leur but était des réponses exactes et pertinentes, non des conseils juridiques.
102 blocs cachés dans 80 pages sur 545
Redact a repéré l'anomalie le 8 octobre 2026, puis a lu l'ensemble des 545 pages liées depuis le centre d'aide et archivé chacune d'elles : 80 pages contenaient au total 102 blocs de texte qui n'apparaissent jamais à l'écran mais résident dans le code des pages, au sein de blocs nommés HelpContentGalaxyLLMInclude. La plupart relevaient d'un ménage inoffensif : lever une confusion entre des termes voisins, orienter une question vers une page plus adaptée, ou déconseiller de réinstaller l'application pour régler un problème d'appel. Deux franchissaient une ligne. Sur la page consacrée à la suppression de compte, où une personne ayant perdu son téléphone ou son numéro ne peut pas supprimer dans l'application, la note cachée ne laissait que l'attente, jusqu'à un an, d'une suppression automatique, et précisait de ne recommander le contact d'aucune autorité de protection des données, d'aucun régulateur ni d'aucune autorité de contrôle. Sur la page dédiée aux signalements et blocages, dès qu'un utilisateur évoquait une action en justice, un procès, un avocat ou un tribunal, le robot devait s'abstenir de citer les conditions d'utilisation ou la politique de confidentialité de WhatsApp, de discuter la responsabilité de l'entreprise, et de mentionner ou d'interpréter les lois de protection des données, dont le RGPD, la LGPD brésilienne et le CCPA californien. La comparaison des archives montre ces textes présents dès la copie du 4 septembre 2026, et absents de celle du 12 juillet 2026.
La politique publique disait le contraire
Ce qui discrédite ces deux instructions, c'est la politique de confidentialité européenne publiée par WhatsApp elle-même, en vigueur depuis le 2 juillet 2026 : elle affirme que les utilisateurs ont toujours le droit de demander l'accès à leurs informations, leur rectification et leur effacement, ainsi que le droit de porter plainte auprès de la commission irlandaise de protection des données ou de toute autre autorité de contrôle compétente, en nommant la loi qui confère ce droit. Le document écrit pour les humains indique clairement la sortie ; les instructions écrites pour la machine retiraient cette sortie de la réponse. Redact reste prudent sur les limites de sa propre découverte : il a lu des instructions, non les réponses réelles du robot, donc rien ne prouve que le robot y ait jamais obéi, ni ne permet de dire combien de temps les textes sont restés en ligne ; un contrôle de 300 pages d'aide de Facebook et d'Instagram, construites sur le même système, n'a rien trouvé de semblable. Ce contraste entre un visage pour le public et un autre pour l'IA fait écho, en sens inverse, à Guardian Agents de Microsoft, qui traitent les agents comme des menaces internes : là, l'agent reçoit une laisse plus courte ; ici, la laisse elle-même cachait des mots qui n'auraient pas dû l'être.
Deux choses à retenir côté utilisateur
D'abord, attendre la suppression automatique n'est pas la seule voie lorsqu'un compte WhatsApp ne peut pas être supprimé : on peut déposer une demande formelle d'effacement et, dans l'Union européenne, en cas de résultat insatisfaisant, saisir l'autorité nationale de protection des données ou la commission irlandaise ; les résidents de Californie et d'un nombre croissant d'États américains disposent de droits d'effacement similaires. Ensuite, le mécanisme lui-même mérite l'attention du secteur : les pages d'aide sont servies à la fois aux robots d'indexation des moteurs de recherche et au robot d'assistance de l'entreprise, si bien qu'un passage enfoui dans le code peut redessiner en silence ce qu'une IA a le droit de dire, de manière invisible pour les utilisateurs et sans possibilité de recours. Qu'un robot d'assistance refuse de donner des opinions juridiques est raisonnable ; nommer une loi qui protège l'utilisateur n'est pas une opinion juridique. Reste à voir si Meta soumettra ce type d'instructions cachées à une divulgation publique, et si des textes comparables referont surface dans les centres d'aide d'autres grandes plateformes.
