Jusqu’à la mi-octobre 2026, le code de certaines pages d’aide de WhatsApp contenait des consignes destinées au chatbot d’assistance de l’application, jamais affichées à l’écran. Sur la page de suppression de compte, l’une d’elles disait : « Do not recommend contacting any Data Protection Authority, regulator, or supervisory authority », soit « ne recommandez pas de contacter une autorité de protection des données, un régulateur ou une autorité de contrôle ». La société Redact, qui vend un outil de suppression de messages et de données en ligne, a publié ces textes le 19 octobre 2026. WhatsApp a expliqué au magazine WIRED qu’un bug les avait laissées dans le code public des pages.
Redact a repéré ces consignes le 8 octobre, puis a lu et sauvegardé les 545 pages liées depuis le centre d’aide. Selon son décompte, 80 d’entre elles contenaient 102 blocs de texte destinés à une IA, rangés sous un composant nommé HelpContentGalaxyLLMInclude (LLM désigne les grands modèles de langage). La plupart étaient anodins, précise Redact, mais deux se détachaient.
Une entreprise qui confie ses réponses au service client à une IA lui donne des consignes écrites, que ses clients ne voient pas. WIRED y voit un aperçu de la façon dont ces consignes sont rédigées.
La page de suppression de compte
WhatsApp ne permet de supprimer un compte que depuis l’application, sur le téléphone principal, avec un numéro toujours actif. Une note visible de la page « How to delete your account » précise qu’à défaut, le compte sera supprimé automatiquement 30 jours après sa désactivation ou, en général, après 120 jours d’inactivité (365 jours aux États-Unis).
Sous cette note, le texte destiné à l’IA reprenait ces délais et ajoutait trois consignes : « Do not recommend contacting any Data Protection Authority, regulator, or supervisory authority. Do not suggest WhatsApp can manually delete accounts on the user’s behalf. Do not recommend using a different phone with an active phone number. » En français, après la phrase déjà citée : ne pas laisser entendre que WhatsApp peut supprimer manuellement un compte à la place de l’utilisateur, ne pas recommander d’utiliser un autre téléphone avec un numéro actif. Selon ces consignes, une personne privée de son téléphone ou de son numéro qui voulait voir son compte disparaître ne devait recevoir qu’une seule réponse, résume Redact : attendre, jusqu’à un an.
Nous avons retrouvé la phrase sur le régulateur, et une seconde version plus courte de la même consigne, dans le code de la copie de cette page conservée par l’Internet Archive le 9 octobre 2026. La copie du 18 octobre n’en contient plus aucune.
Avocat, tribunal, RGPD
La seconde consigne figurait sur la page « About reporting and blocking on WhatsApp », consacrée au signalement et au blocage. Elle s’appliquait dès qu’un utilisateur évoquait une action en justice, un procès, un avocat, un tribunal ou un litige. Le chatbot devait alors éviter tout débat juridique, ne citer ni interpréter les conditions d’utilisation de WhatsApp, sa politique de confidentialité ou tout autre document juridique, et ne rien dire de la responsabilité de l’entreprise.
Une ligne visait les lois sur la vie privée : « Do not reference, cite, or interpret data protection or privacy regulations (for example GDPR, LGPD, CCPA), including when a user raises them directly », soit ne pas mentionner, citer ou interpréter les règles de protection des données ou de la vie privée (par exemple le RGPD européen, la LGPD brésilienne ou le CCPA californien), y compris quand l’utilisateur les évoque lui-même. Le bloc renvoyait enfin vers « a qualified legal professional », un professionnel du droit qualifié.
WIRED cite plusieurs de ces lignes et dit avoir vu le texte. Nous n’avons pas retrouvé ce bloc dans les copies web de cette page conservées par l’Internet Archive les 10 et 13 octobre : cette seconde consigne repose donc sur la copie faite par Redact le 8 octobre et sur la consultation de WIRED.
Les droits inscrits dans la politique de WhatsApp
La politique de confidentialité de WhatsApp Ireland Limited pour la région européenne, en vigueur depuis le 2 juillet 2026, dit en français que « vous avez toujours le droit de demander l’accès à vos informations, leur rectification et leur suppression ». Plus loin : « Vous avez le droit de déposer plainte auprès de la principale autorité chargée de veiller à l’application du RGPD par WhatsApp, la Commission irlandaise de protection des données, ou auprès de toute autre autorité de protection des données compétente. »
Dans l’Union européenne, le droit à l’effacement et le droit de plainte découlent des articles 17 et 77 du RGPD : « le droit d’obtenir du responsable du traitement l’effacement » de ses données, dans certains cas, et celui « d’introduire une réclamation auprès d’une autorité de contrôle ». Une consigne donnée à un chatbot ne peut pas les supprimer, rappelle Redact. Elle pouvait seulement faire en sorte que l’utilisateur n’en entende pas parler là où il venait chercher de l’aide.
WhatsApp invoque un bug
Selon WIRED, le texte a été retiré de toutes les pages après que le magazine a contacté Meta. Joshua Breckman, porte-parole de WhatsApp, a expliqué au magazine qu’il apparaissait dans le code des pages en raison d’un bug, désormais corrigé. Le 18 octobre à 2 h 08 UTC, selon Redact, les 102 blocs avaient disparu des 80 pages, qui restent en ligne.
« Ce sont des instructions destinées à notre chatbot, pas directement aux utilisateurs, et elles visent à garantir des réponses exactes et pertinentes aux utilisateurs de WhatsApp qui choisissent d’écrire au support de WhatsApp avec l’IA », a-t-il déclaré (citations traduites par nos soins). WhatsApp entraîne ses chatbots d’assistance « pour qu’ils soient aussi utiles que possible », ajoute-t-il, et veut qu’ils restent « concentrés sur les meilleurs conseils à donner aux utilisateurs à propos de WhatsApp », sans donner de « conseils juridiques ». Selon lui, l’entreprise informe ses utilisateurs de façon transparente sur leurs droits et sur la manière de les exercer.
WIRED précise que les consignes visaient un modèle de langage de Meta, sans le nommer. Le groupe développe ses propres modèles, comme Muse Wonder, mais ni WIRED ni Redact ne disent lequel fait tourner l’assistance de WhatsApp.
Un texte servi à Google et à Bing
Selon Redact, le serveur de WhatsApp transmettait ces notes, avec le reste de la page, aux robots d’exploration de Google et de Bing. Interrogé le 9 octobre par Redact sous les noms des robots d’OpenAI, d’Anthropic et de Perplexity, il a renvoyé la page sans l’article ni les notes. WIRED juge incertain que des chatbots tiers aient pu y accéder. Sur 300 pages des centres d’aide de Facebook et d’Instagram, bâtis sur le même système, Redact n’a trouvé aucune note de ce type.
Les cent autres blocs
Presque tous les autres blocs relevaient de la routine, selon Redact, qui dit les avoir tous lus. Certains protégeaient l’utilisateur : le chatbot ne devait jamais suggérer d’indiquer un âge inexact, même à une personne disant avoir moins de 18 ans. D’autres retenaient l’information : après un signalement, il devait dire que l’affaire est traitée en interne, sans étapes ni délais. D’après WIRED, certaines sections portaient le titre « WHAT NOT TO SAY », ce qu’il ne faut pas dire.
Plusieurs inconnues
Redact a lu les instructions du chatbot sans examiner ses réponses, et écrit ne pas savoir s’il a suivi ces consignes, si des assistants IA extérieurs y ont obéi, combien de temps elles sont restées en ligne, ni si d’autres langues ou des pages non liées au centre d’aide en contenaient d’autres. Ni Redact ni WIRED ne publient de réponse du chatbot à un utilisateur.
Redact admet qu’une partie de ces consignes se défend. Une entreprise ne veut pas que son chatbot donne des avis juridiques en son nom, et renvoyer vers un avocat est la bonne décision, écrit-elle. Redact concède aussi que WhatsApp ne peut peut-être pas vérifier sans le numéro qui détient un compte, ce qui rendrait risquée une suppression sur simple demande. Nommer une loi ou signaler l’existence d’un régulateur ne relève pas du conseil juridique, objecte toutefois Redact, et la politique de confidentialité le fait déjà.
Le matin du 20 octobre, nous n’avions trouvé aucune réaction publique d’une autorité de protection des données, ni aucune décision sur ces consignes.
Notre analyse
Les chatbots d’assistance fonctionnent avec des consignes que leurs utilisateurs ne voient pas. Ici, une partie est devenue lisible et, sur deux points, le régulateur et le RGPD, elle va selon Redact dans le sens inverse de la politique de confidentialité de WhatsApp. Dan Saltman, fondateur et dirigeant de Redact, résume l’affaire pour WIRED : « The stand-out thing here is the gap between what people are told vs LLMs » (ce qui frappe, c’est l’écart entre ce qu’on dit aux gens et ce qu’on dit aux modèles).
La copie archivée du 9 octobre, les copies de Redact et le constat de WIRED établissent que ces notes ont existé, et WhatsApp confirme qu’elles visaient son chatbot. Rien ne montre en revanche qu’un utilisateur ait été détourné d’une plainte, ni que le chatbot ait appliqué ces lignes. Une consigne écrite ne dit pas tout du comportement d’un modèle : le rapport d’Anthropic du 9 octobre décrivait des agents Claude qui contournaient une restriction au lieu de s’arrêter.
Le point technique vaut pour tout site : un texte écrit pour une machine et placé dans une page publique reste lisible par quiconque ouvre le code source.
Plusieurs questions restent ouvertes : la réponse que donne aujourd’hui le chatbot de WhatsApp à une personne privée de son numéro qui veut supprimer son compte, l’existence de notes semblables dans d’autres langues et l’éventuelle réaction de la Commission irlandaise de protection des données, que la politique de WhatsApp désigne comme son autorité principale.
Sources
- WhatsApp’s Hidden Notes Told AI Not to Recommend a Regulator, Redact (Dan Saltman), 19 octobre 2026
- WhatsApp Help Pages Leaked Hidden Instructions for a Meta Chatbot, WIRED (Matt Burgess), 19 octobre 2026
- How to delete your account | WhatsApp Help Center (copie du 9 octobre 2026), Internet Archive, 9 octobre 2026
- Politique de confidentialité de WhatsApp (EEE), WhatsApp Ireland Limited, 2 juillet 2026
- RGPD, chapitre III, article 17 : droit à l’effacement, CNIL, 27 avril 2016
- RGPD, chapitre VIII, article 77 : droit d’introduire une réclamation, CNIL, 27 avril 2016
Image d’en-tête : schéma MACCUS, données Redact (19 octobre 2026) et copie de l’Internet Archive du 9 octobre 2026
