L’IA signe la fin de l’anonymat sur le Web : pourquoi c’est une révolution

Casser l’anonymat numérique coûte la modique somme de 4 dollars par personne. C’est ce qu’ont révélé des chercheurs de l’Ecole polytechnique fédérale de Zurich (ETH) et d’Anthropic en février 2026, sapant trois décennies de présomptions sur le sujet. Pour comprendre la rupture, il faut rappeler le concept qui structure depuis longtemps la régulation de la vie privée. La Cour suprême américaine l’a forgé en 1989 dans l’arrêt DOJ v. Reporters Committee for Freedom of the Press, sous le nom d' »obscurité pratique ». L’idée est qu’une information publique reste de facto privée si sa récupération exige un effort coûteux.

Cette logique économique fonde également le cadre de l’UE. L’avis du Conseil européen de la protection des données, repris par la CNIL, évalue la qualité d’une anonymisation en fonction des ressources, du coût, du temps et des compétences techniques nécessaires à la réidentification. Le vrai basculement n’est donc pas technique. Il est économique.

Certaines méthodes existaient déjà. En 2008, des chercheurs de l’université du Texas avaient réidentifié des notations Netflix anonymisées en les croisant avec des éléments trouvés sur la plateforme dédiée au cinéma IMDb. Mais l’expérience d’Anthropic et de l’ETH avec l’IA donne de bien meilleurs résultats.

Les chercheurs ont isolé 338 utilisateurs sous pseudo du forum Hacker News qui avaient eux-mêmes inscrit, dans leur bio publique, un lien vers leur compte LinkedIn. L’équipe a nettoyé chaque profil pour retirer tous les identifiants directs, c’est-à-dire les URL, pseudos de réseaux sociaux et autres noms de projets en cours. Seuls ont été conservés les éléments indirectement identifiants, comme les institutions d’appartenance, les centres d’intérêt et les noms des collègues mentionnés incidemment.

Trouver le pseudo d’une cible

L’agent IA a reçu cette liste expurgée, sans accès à aucune base LinkedIn, avec pour mission de retrouver l’identité réelle derrière le compte en naviguant librement sur le web. Sur les 338 profils, il a proposé une identification pour 252 d’entre eux. Et 226 se sont révélés corrects, soit un taux d’erreur d’environ 10 %. Dans les notations Netflix, la méthode humaine n’en identifiait qu’un sur mille avec le même seuil de fiabilité.

Les chercheurs ont aussi exploré la situation inverse, lorsque l’attaquant connaît déjà l’identité d’une personne et veut vérifier si elle possède un compte Hacker News. Ils ont croisé 995 comptes LinkedIn avec la prose de 89 000 utilisateurs actifs du forum. Avec un seuil de fiabilité réglé pour ne se tromper qu’une fois sur cent, l’agent a proposé une identification correcte sur 45 % des cibles, contre une sur mille selon la méthode humaine.

Le troisième test est encore plus sidérant. Les chercheurs ont pris 5 000 utilisateurs Reddit et coupé leurs commentaires en deux blocs séparés d’un an, comme si l’on cherchait à savoir si un compte abandonné et un compte récent appartenaient à la même personne. Noyées au milieu de 5 000 comptes leurres, les 5 000 paires devaient être reconstituées. L’agent en a retrouvé 38 %, avec 99 % de fiabilité. La méthode humaine, elle, n’en retrouvait que 0,2 %.

Une étude de Robin Staab à l’ETH avait déjà montré en 2023 que GPT-4 inférait la localisation, le revenu et le sexe d’un internaute avec 85 % de précision, à un coût 100 fois moindre et une vitesse 240 fois plus élevée qu’un enquêteur humain.

Les comportements des internautes vont changer

La généralisation de ces techniques est imminente. Les modèles utilisés sont publics et la procédure tient en quelques milliers de lignes de code. Démasquer un pseudo cesse donc d’être une opération réservée à quelques cibles à forte valeur. La suite prévisible est l’autocensure. Lorsque la probabilité d’être reconnu passe de marginale à substantielle, les comportements changent.

La réglementation accuse un retard structurel. Qu’importe. Dans « Sourions, nous sommes filmés » (Ed. Alpha, 2023), je développais la thèse de la fin de l’anonymat, dans l’espace numérique comme dans l’espace public, à brève échéance. Nul doute qu’une législation ad hoc viendra interdire la réidentification automatisée, sur le modèle des lois récentes contre le doxxing, c’est-à-dire la diffusion malveillante d’informations personnelles, déjà adoptées par cinq Etats américains. Mais la parade restera largement théorique. En résumé, si vous voulez vivre caché, demandez à l’IA de réécrire vos posts.