Le commerce de l’occasion vit sous une contrainte ancienne : le brocanteur inscrit sur un registre tout ce qui passe entre ses mains, le vendeur et l’objet. Le livre de police n’a pas été créé pour honorer la profession, mais pour que le recel laisse une trace. Il produit un effet que le législateur assumait : quand un objet volé refait surface, c’est la comptabilité du marchand qui l’établit.
La publicité en ligne a reçu son équivalent. C’est dans la bibliothèque publicitaire de Meta, registre public que l’entreprise présente comme un geste de transparence, que des chercheurs du Tech Transparency Project, centre de veille américain, ont trouvé plus de cinquante annonces payantes mettant en scène des mineurs dans des situations sexuelles, images et vidéos confondues, produites par des systèmes génératifs. Wired a publié leur enquête le 5 août 2026.
Rien de clandestin dans ce parcours. Examinées, approuvées, ciblées puis facturées, ces annonces ont circulé neuf mois sur Facebook, Instagram, Messenger et Threads, de novembre 2025 au début du mois d’août 2026, vers les États-Unis, le Royaume-Uni et plus d’une douzaine de pays européens ; l’une d’elles a touché 2 563 comptes en Europe, et plusieurs renvoyaient vers des applications de déshabillage automatique. Le décompte, l’instrument qui l’a rendu lisible, la mécanique du ratage, l’économie de la régie et les échéances ouvertes valent d’être repris un à un.
Plus de cinquante annonces trouvées dans la vitrine de Meta
Un décompte qui a grossi pendant l’enquête
Le chiffre n’est pas resté stable. Les chercheurs avaient d’abord identifié environ deux douzaines d’annonces ; quelques heures avant la parution, ils en ont repéré une trentaine de plus, portant le total au-delà de cinquante. Plus troublant que le volume : certaines sont apparues après les premières questions adressées à Meta. L’examen a continué d’approuver pendant que l’entreprise était interrogée.
Une application retirée par une boutique, pas par la régie
Plusieurs annonces conduisaient à MaskAI, qui incrustait le visage d’une personne réelle dans des scènes sexuelles générées ; Apple l’a retirée de l’App Store après avoir été contactée par Wired. Le Tech Transparency Project a signalé les contenus au National Center for Missing and Exploited Children, ce que Meta, qui avait validé les annonces, n’avait pas fait. Les points de contrôle qui ont réagi sont ceux qui ne facturaient pas la diffusion.
La preuve produite par l’instrument que Bruxelles a imposé
Le chiffre que la réglementation a rendu lisible
Facebook a lancé son Ad Archive en mai 2018, après l’affaire Cambridge Analytica, pour les seules publicités politiques américaines, avant de l’étendre à toutes les annonces en mars 2019. Mais le chiffre de 2 563 comptes n’est lisible qu’en vertu de l’article 39 du règlement européen sur les services numériques, qui impose un registre public interrogeable par critères multiples, conservé un an après la dernière diffusion, portée et ciblage compris.
Un registre jamais formellement mis en cause
L’instrument n’est pas irréprochable pour autant. Le tableau de bord de l’article 39, mis à jour le 13 juillet 2026, relève six points de manquement pour l’Ad Library, dont la vérification purement déclarative de l’annonceur, tout en la qualifiant du registre le plus fonctionnel mesuré. Aucun grief formel n’a jamais été opposé à Meta sur ce fondement, et la bibliothèque a perdu sa catégorie la plus surveillée le 6 octobre 2025, avec l’arrêt des publicités politiques dans l’Union.
Un filtre qui n’avait rien à reconnaître
L’empreinte perceptuelle ne connaît que le déjà-vu
L’examen préalable est confié pour l’essentiel à des systèmes automatiques, qui passent chaque visuel en revue avant sa diffusion. Ni les images ni les textes explicites qui les accompagnaient ne les ont alertés. La détection des contenus pédocriminels s’appuie en effet sur l’empreinte perceptuelle, PhotoDNA et ses dérivés, qui rapproche chaque image d’une base d’empreintes déjà identifiées. Une image entièrement générée n’en possède aucune.
Le générateur ne contourne pas le filtre : il le rend hors sujet. Seuls des classifieurs entraînés reconnaissent de l’inédit, au prix d’une incertitude bien plus élevée. Cela éclaire un détail resté sans explication : certaines annonces avaient déjà disparu une première fois pour non-respect des règles, et leur republication n’a déclenché aucun blocage. Sans empreinte partagée, chaque remise en ligne redevient un contenu neuf.
Ni marginal, ni sans victime
L’Internet Watch Foundation a évalué en 2025 8 029 images et vidéos générées comme constituant des abus sexuels sur enfants réalistes, dont 3 443 vidéos contre treize l’année précédente. À l’idée qu’une image produite sans enfant réel serait sans victime, la revue déposée en octobre 2025 par Caoilte Ó Ciardha, John Buckley et Rebecca S. Portnoff oppose la revictimisation de survivants identifiables, la facilitation du grooming et l’abaissement du seuil de passage à l’acte.
Une régie calibrée sur un seuil de rentabilité
Ce que Meta oppose aux chercheurs
Katie Paul, qui dirige le Tech Transparency Project, déplace le point de mire : les applications comptent moins que le fait qu’aucun de ces contenus n’ait été déposé par un tiers. La régie de Meta a instruit chaque annonce, lui a donné son feu vert, l’a laissée courir et en a tiré recette. L’entreprise a fini par les retirer sans rien concéder sur ses filtres : leur portée serait restée faible pour la plupart, et elle avance 36 millions de contenus d’exploitation d’enfants supprimés l’an dernier.
Elle rappelle avoir assigné en justice plusieurs éditeurs d’applications de déshabillage et mis en service une détection appliquée au dépôt des annonces. Les alertes se sont pourtant répétées : la BBC a décrit en juillet 2026 des annonces comparables sur Instagram en Inde, renvoyant vers des canaux Telegram qui vendaient des contenus illégaux, et les mêmes chercheurs avaient recensé peu avant des milliers d’annonces pour des applications de déshabillage.
Le seuil des 95 %, et un revendeur primé
Des documents internes révélés en novembre 2025 replacent ces chiffres dans une économie. Meta y prévoyait de tirer environ 10 % de son chiffre d’affaires 2024, près de 16 milliards de dollars, de publicités pour des escroqueries et des biens interdits ; elle n’exclut un annonceur qu’à partir de 95 % de probabilité de fraude estimée, et lui facture entre-temps des tarifs majorés. Le seuil de déclenchement a été fixé entre le risque juridique et la marge.
Le canal industriel a un nom. Le 26 juillet 2026, ces chercheurs décrivaient GatherOne, revendeur publicitaire chinois agréé par Meta, à l’origine de 210 pages Facebook et de 30 800 annonces pour des applications de swap de visage et d’IA, dont plus de 7 600 de déshabillage. Cent soixante-dix-neuf de ces pages ont diffusé des annonces retirées ensuite pour violation, et GatherOne a été primé au sommet des agences Meta de Hong Kong en janvier 2026.
Les moyens de contrôle diminuaient pendant ce temps. En janvier 2025, Meta recentrait ses systèmes automatisés sur les violations les plus graves, exploitation sexuelle des enfants comprise ; en mai 2025, des documents internes révélaient un projet d’automatiser jusqu’à 90 % des évaluations de risques ; le 20 mai 2026, le groupe supprimait 8 000 postes en touchant d’abord la modération.
Ce que le règlement européen impose, et ce qu’il n’impose pas
Ces annonces payantes tombent sous le coup du règlement européen sur les services numériques, et la Commission peut infliger des amendes atteignant 6 % du chiffre d’affaires mondial. La formule qui circule à ce propos, une obligation de résultat sur les contenus illicites, décrit mal le texte : son article 8 interdit au contraire d’imposer aux intermédiaires une obligation générale de surveiller ce qu’ils transmettent ou stockent.
Leurs obligations sont des obligations de diligence : évaluer les risques systémiques engendrés par leurs services à l’article 34, y appliquer des mesures d’atténuation proportionnées à l’article 35. L’écart n’a rien de cosmétique. La question n’est plus de savoir s’il restait des contenus illicites, mais si le dispositif d’examen était adapté à un risque déjà connu et publié.
Le point de bascule est peut-être ailleurs. Le 16 juin 2026, la Cour de justice de l’Union européenne, en grande chambre, a jugé dans les affaires jointes C-188/24 WebGroup Czech Republic et C-190/24 Coyote System qu’un intermédiaire dont les algorithmes déterminent, dans son propre intérêt, si et comment les informations des utilisateurs sont diffusées perd l’exonération de l’hébergeur. Une annonce approuvée, ciblée et facturée n’est plus un contenu neutre.
Deux droits pénaux, et un dispositif français qui n’a rien vu
Qu’un enfant réel ait été filmé ou non ne change rien en droit français. L’article 227-23 du code pénal vise l’image ou la représentation d’un mineur à caractère pornographique, et s’applique aux images d’une personne dont l’aspect physique est celui d’un mineur : cinq ans et 75 000 euros pour la diffusion, sept ans par un réseau électronique, dix ans en bande organisée. Le droit américain, depuis Ashcroft contre Free Speech Coalition en 2002, protège au contraire la pédopornographie virtuelle au titre du Premier Amendement, sauf obscénité.
Une plateforme qui règle sur un standard américain des annonces ciblant l’Europe n’applique pas le droit du pays de diffusion. Le dispositif français, lui, existe et n’a rien vu passer : l’Arcom est coordinateur des services numériques depuis 2024, e-Enfance a été désignée premier signaleur de confiance en novembre 2024, et 96 % des demandes de retrait contrôlées en 2025 portaient sur des contenus pédopornographiques. Cette chaîne fonctionne sur signalement, et nul n’était chargé de lire une vitrine ouverte à tous.
Les rendez-vous que l’affaire trouve devant elle
Trois procédures visent déjà Meta au titre du règlement. La plus ancienne, ouverte le 30 avril 2024, porte sur la publicité trompeuse, les mécanismes de notification et l’accès des chercheurs aux données. Le 29 avril 2026, la Commission a adressé des conclusions préliminaires sur l’accès des moins de 13 ans, jugeant l’évaluation des risques inadéquate, incomplète et arbitraire ; le 10 juillet 2026, de nouvelles conclusions ont visé la conception addictive. Aucune décision finale n’est intervenue.
Le plafond de 6 % représenterait environ 12 milliards de dollars pour un groupe dont le chiffre d’affaires 2025 a atteint 200,97 milliards, mais la pratique en reste loin : 120 millions d’euros contre X le 5 décembre 2025, 200 millions contre Temu, 550 millions contre AliExpress le 20 juillet 2026. Un grief fondé sur l’article 39 serait une première ; un grief fondé sur les articles 34 et 35 nourrirait des procédures déjà engagées, sur l’adéquation du dispositif plutôt que sur la qualité du registre.
Les juridictions américaines vont plus vite. Le procès du Nouveau-Mexique, ouvert le 9 février 2026 à Santa Fe, a exposé des documents internes où des chercheurs de l’entreprise estimaient l’ordre de grandeur à un demi-million de cas d’exploitation d’enfants par jour ; un jury a prononcé le 24 mars 375 millions de dollars de pénalités civiles, et le 6 août le juge Bryan Biedscheid y a ajouté 567 millions en qualifiant les plateformes de nuisance publique. Meta a annoncé faire appel.
Traiter l’épisode comme un incident de modération, c’est manquer que la publicité n’est qu’un maillon. Les sites de déshabillage tiennent debout grâce à l’hébergement d’Amazon ou de Cloudflare pour 62 des 85 analysés à l’été 2025, à l’authentification Google pour 53 d’entre eux et à des paiements passant par Coinbase, PayPal ou Telegram, pour jusqu’à 36 millions de dollars de revenus annuels. Les boutiques d’applications tiennent le même rang, avec 483 millions de téléchargements.
Chaque anneau appartient à une entreprise différente et respectable, et aucune ne se tient pour responsable de la chaîne. C’est ce que la recherche reproche à la méthode dominante : une cartographie déposée en février 2026 par Michelle L. Ding, Harini Suresh et Suresh Venkatasubramanian identifie onze catégories de technologies qui créent, diffusent et monétisent ces images, et plaide contre les interventions fragmentaires. L’acte délégué du 2 juillet 2025 ouvre par ailleurs aux chercheurs agréés l’accès aux données internes des plateformes.
Le livre de police n’empêche pas le recel : il le rend démontrable, et la démonstration coûte plus cher à celui qui tient le registre qu’à celui qui n’en tient aucun. La bibliothèque publicitaire vient de jouer ce rôle contre l’entreprise qui l’a construite. Ce qui se décidera à Bruxelles portera moins sur cinquante annonces que sur la nature de ce registre : vitrine consultée faute de mieux, ou pièce opposable dont l’exactitude engage celui qui la publie.
Aller plus loin
Le maillon industriel le plus souvent laissé dans l’ombre est nommé dans l’enquête du Tech Transparency Project sur le partenaire chinois derrière le déluge de publicités de déshabillage, qui reconstitue le trajet d’une annonce depuis un revendeur agréé jusqu’aux pages Facebook, et compte les récompenses qu’il a reçues.
L’économie du secteur est chiffrée dans le relevé d’Indicator intitulé AI nudifiers continue to reach millions and make millions, qui remonte la chaîne d’appui de quatre-vingt-cinq sites de déshabillage, hébergeurs, authentification et paiement compris, et donne la mesure de ce que la régie alimentait.
Le décompte de référence des images figure dans le rapport de l’Internet Watch Foundation Harm without limits, écrit du point de vue des analystes qui les évaluent une par une. Il documente le basculement vers la vidéo et ce qui rend ces contenus indiscernables.
La position de l’entreprise se lit sans intermédiaire dans la note Our Work to Fight Child Exploitation on Our Apps, publiée après l’enquête de la BBC en Inde : on y trouve les 36 millions de contenus retirés que Meta oppose aux chercheurs et la description de son examen publicitaire.
L’instrument par lequel la preuve a été produite est lui-même noté dans le tableau de bord de l’article 39, qui compare registre par registre la conformité des très grandes plateformes. La bibliothèque de Meta y est à la fois la plus fonctionnelle mesurée et créditée de six points de manquement.
Le déplacement juridique le plus lourd est exposé par Lorna Woods dans son analyse The End of Immunity for Internet Service Providers?, consacrée à l’arrêt de grande chambre du 16 juin 2026 : la connaissance et le contrôle y deviennent des critères alternatifs, ce qui range une annonce facturée hors du régime de l’hébergeur.
Quelques lignes suffisent au législateur français, et l’article 227-23 du code pénal vaut d’être lu tel quel : il vise l’image ou la représentation d’un mineur et couvre celle d’une personne dont l’aspect physique est celui d’un mineur. La génération d’images n’y ouvre aucune échappatoire.
Le versant français apparaît dans le rapport d’activité 2025 de la personnalité qualifiée de l’Arcom, ce membre du collège chargé de contrôler les demandes de retrait adressées aux plateformes : la pédopornographie y occupe l’essentiel de l’activité et continue de progresser.
Le trou juridique ouvert en pleine période de diffusion est retracé dans le communiqué du Parlement européen sur les mesures de détection volontaire qui ne seront pas prolongées, qui détaille le vote du 25 mars 2026 : la dérogation a expiré le 3 avril avant d’être rétablie le 9 juillet, jusqu’en avril 2028.
L’argument du contenu sans victime est démonté par la revue AI Generated Child Sexual Abuse Material: What’s the Harm?, qui rassemble la littérature clinique et criminologique sur la revictimisation par deepfake, la sextorsion, la normalisation des représentations et l’abaissement du seuil de passage à l’acte.
Lus ensemble, ces travaux décrivent une défaillance qui n’a rien d’accidentel. Un registre imposé par la régulation a produit la preuve qu’aucun contrôle interne n’avait produite ; un appareil conçu pour reconnaître le déjà-vu s’est trouvé sans objet devant des images inédites ; un droit européen de la diligence côtoie un droit pénal qui, lui, qualifie l’image de synthèse. Le retrait de cinquante annonces ferme un incident, jamais le circuit qui les a produites.