Formateurs d’IA : la vie privée derrière les modèles

Un modèle peut répondre en une seconde. Quelqu’un a pourtant comparé les versions, signalé une erreur ou rédigé l’exemple que le produit semble avoir toujours connu. Le 27 octobre 2026, ce travail est devenu un litige européen de vie privée. Le litige, ce sont des allégations et un démenti. Ce n’est pas un jugement.

La question utile pour un acheteur est plus étroite que « qui a raison ». Les textes publics décrivent déjà des formes de suivi différentes. Les traiter comme un seul système de surveillance conduit à poser la mauvaise question au fournisseur suivant. Une plainte ouvre un contrôle. Un communiqué d’entreprise n’est pas un audit.

Cinq plaintes, et toujours aucune décision

Le 27 octobre 2026, noyb a indiqué avoir déposé cinq plaintes contre Scale AI, avec Intérêt à Agir, DiPLab et Reversing.Works, en France, en Italie, aux Pays-Bas et en Autriche. La page précise que Scale AI exploite Outlier, qui « emploie plus de 900 000 travailleurs “freelance” ». Le mot freelance est entre guillemets, et le verbe est « emploie ». C’est la description de l’organisation. Ce n’est pas un décompte audité de personnes actives, d’emplois à temps plein, ou de personnes dont le revenu principal vient de la plateforme.¹

La même annonce nomme des clients. L’ouverture cite Meta, OpenAI, Google et le gouvernement des États-Unis. Un paragraphe ultérieur ajoute xAI et Anthropic à la liste des clients « les plus connus ». Cet article rapporte la liste de noyb. Il ne relit pas des contrats.¹

Reuters, dans une dépêche du 27 octobre, a rapporté les mêmes cinq plaintes et les mêmes quatre pays, et a écrit que noyb demandait aux régulateurs d’infliger une amende à Scale AI et d’examiner la façon dont la plateforme attribue les tâches. Reuters a écrit que plus de 900 000 freelances accomplissent des tâches enregistrées pour produire des données d’entraînement destinées à des clients comme Meta, OpenAI et Google, et que Meta détient 49 % de Scale AI. Ces phrases sont de Reuters, pas une ligne de la page noyb lue pour cet article. reuters.com a renvoyé une erreur HTTP 401 : la dépêche a été lue dans la reprise de Yahoo.²

Cinq plaintes dans quatre pays supposent une répartition que la page noyb, telle que récupérée le 5 novembre 2026, ne détaille pas. Euronews, citant le communiqué de noyb, a rapporté deux plaintes en Autriche et une en France, une aux Pays-Bas et une en Italie.³

La fiche de dossier C109-04 de noyb, consultée le même jour, indique un dépôt le 27 octobre 2026 et le statut « Pending (0 - 6 months) », soit en cours, horizon 0 à 6 mois. Le résumé de cette fiche est au singulier : suivi, vérification biométrique par Persona, et absence de réponse à la demande d’accès « du plaignant ». Une fiche publique n’est pas une décision publiée sur les cinq dossiers.⁴

Thomas Le Bonniec, présenté sur la page noyb comme chercheur en sociologie à DiPLab, y est cité : le travail de plateforme semble un terrain fertile pour une nouvelle forme de surveillance au travail, qui serait jugée inacceptable dans toute autre forme d’emploi dans l’Union européenne, et ce système ne prospère que par un manque délibéré de transparence. La traduction resserre la citation anglaise, dont le sens est conservé. Reuters a cité une autre remarque, après deux ans d’étude de la plateforme : on ne travaille pas quand on veut ; on travaille quand la plateforme le veut, et quand des tâches sont disponibles. La dépêche originale contient une contraction ; cet article la paraphrase. Les entretiens derrière cette remarque ne sont pas reproduits dans le fil.¹²

Trois récits du suivi, pas un seul système

Le mot « suivi » fait trop de travail dans la couverture. Les documents lus ici décrivent des mécanismes différents. Il faut les laisser séparés.

noyb affirme que son analyse technique a trouvé, pendant que les personnes sont sur Outlier, des traceurs d’entreprises comme TikTok, LinkedIn, Facebook, la plateforme d’enquête Sprig et la société d’analyse Datadog, placés sur leurs appareils. Toutes les quelques secondes, dit noyb, ces traceurs envoient des données personnelles à des tiers : adresses IP, coordonnées, identifiants uniques et information sur la page visitée. noyb dit que ces données peuvent servir à la publicité ciblée et au profilage. Lisa Steinfeld Leiser, juriste en protection des données chez noyb, est citée : un suivi aussi constant et étendu pendant le travail va vraiment à l’encontre de toute attente raisonnable. La phrase suivante du communiqué demande pourquoi LinkedIn ou Facebook sauraient sur quelles tâches une personne travaille. L’original contient une contraction ; cette phrase est une paraphrase.¹

Reuters, citant des plaintes qu’il dit avoir vues, ajoute une autre description : jusqu’à 19 traceurs suivent les travailleurs pendant le travail, y compris l’enregistrement des frappes et des mouvements de souris toutes les quelques secondes. Reuters écrit aussi qu’une enquête de DiPLab a conclu que le fichier résultant pouvait être reconstruit en une vidéo rejouant une session de travail du début à la fin. Cette affirmation sur la vidéo est le récit de Reuters sur DiPLab. Ce n’est pas une phrase de la page de presse de noyb, et elle n’a pas été revérifiée dans un PDF de rapport.²

The Record, le 28 octobre, cite Mickey Manakas, porte-parole de noyb, par courriel : une analyse a identifié 18 traceurs tiers utilisés pour suivre les données de freelances en France. Manakas a dit qu’il y en a « définitivement plus », que le nombre varie selon le pays, et que le décompte n’est pas exhaustif parce que noyb s’est concentré d’abord sur les traceurs de réseaux sociaux et d’analytique. Dix-huit dans ce courriel, et « jusqu’à 19 » dans les plaintes telles que Reuters les décrit, ne sont pas le même recensement. Cet article ne les fusionne pas. Le titre de The Record dit que noyb « poursuit », et une phrase parle de tribunaux. La page de noyb parle de plaintes RGPD et suggère une amende administrative. Reuters parle de régulateurs. Cet article suit noyb et Reuters sur ce point.⁵

Scale AI a répondu le 28 octobre. Dans une déclaration rapportée ce jour-là par Reuters, l’entreprise a rejeté les plaintes comme infondées. Elle a dit que les pratiques de la plateforme avaient été communiquées aux travailleurs et exigeaient leur consentement. La phrase envoyée par courriel était : « The report’s claims are unfounded and inaccurate », soit les affirmations du rapport sont infondées et inexactes. Scale a dit utiliser des outils courants pour vérifier les identités, prévenir la fraude, protéger des informations confidentielles de projet et assurer des paiements exacts, et que les contributeurs connaissent leur rémunération avant d’accepter une tâche. Un porte-parole a dit que certains projets utilisent un outil distinct qui enregistre le temps passé et l’activité à l’écran, que les contributeurs activent eux-mêmes après un opt-in, avant de commencer. Scale a dit ne pas vendre les données personnelles des travailleurs à des tiers et ne pas les utiliser pour entraîner les modèles d’IA des clients. Le récit de The Record ajoute que Scale conteste les allégations sur la façon dont les traceurs tiers surveillent les travailleurs, juge les pratiques biométriques appropriées, et permet de demander l’effacement des données.⁵⁶

Une page de publication DiPLab datée du 15 octobre 2026 annonce un rapport, Surveillance at Scale : How AI Training Platforms Gather Personal Data from European Workers, avec Reversing.Works et Intérêt à Agir. La page dit qu’Outlier collecte des données personnelles, des dossiers financiers, des informations biométriques et des scans de reconnaissance faciale, utilisés pour la surveillance « et probablement pour un entraînement ultérieur de l’IA ». Elle dit aussi que le projet révèle une extraction de données personnelles à des fins allant d’un entraînement clandestin de l’IA à d’éventuelles applications militaires. Ce sont les mots de l’annonce. Le PDF n’a pas été lu pour cet article : ces phrases ne sont pas traitées comme des constats démontrés. Elles voisinent avec la déclaration de Scale selon laquelle les informations personnelles ne servent pas à entraîner les modèles des clients. Cet article ne départage pas une page et un démenti.⁶⁷

Pour un service qui utilise déjà un logiciel pour noter ou planifier des personnes, la même prudence vaut à plus petite échelle. Un journal de fournisseur, une balise d’analytique et un enregistrement d’écran sur opt-in sont des outils différents. Demander « surveillons-nous le personnel ? » est moins précis que de demander quelles données, pour quelle finalité, qui les reçoit, et qui peut contester un score. C’est la question de qui supervise le manager algorithmique. Le temps de vérification est un autre problème, traité dans pourquoi la revue humaine devient le goulot quand les agents sont rapides.

Contrôles d’identité, accès, et une phrase retirée

noyb dit que Scale AI oblige les personnes à repasser par une vérification biométrique d’une société nommée Persona, avec des enregistrements vidéo du visage et le téléversement d’un document d’identité. noyb dit que les raisons avancées par Scale AI sont de prévenir la fraude à l’identité et de « vérifier les compétences des travailleurs », et que la collecte va au-delà du nécessaire. noyb dit aussi que Persona s’accorde le droit de collecter adresses IP, informations d’appareil, géolocalisation, adresses et données de crédit à la consommation. C’est la description par noyb des conditions de Persona. Cet article n’a pas lu ces conditions.¹

Un contrôle d’identité n’est pas abusif du seul fait qu’il existe. Une plateforme qui paie des personnes a des raisons de résister à la fraude, à l’usurpation et aux comptes en double. La question ouverte est de savoir si chaque catégorie est nécessaire, si les personnes sont informées de la finalité, et si une base légale existe. Appeler une pratique « sécurité » ne répond pas à cela.

Reuters, citant les plaintes, a écrit que quatre travailleurs ont demandé à Outlier une copie de leurs données entre décembre 2025 et mai 2026, et qu’aucun n’a reçu de réponse. noyb dit que l’absence de réponse viole le droit d’accès. Si ce récit est établi, c’est une question distincte de la licéité d’un traceur. Cela reste une allégation. The Record attribue les mêmes quatre demandes à noyb.¹²⁵

Il y a aussi une phrase qui ne doit pas circuler. Le 29 octobre 2026, noyb a mis à jour le communiqué. Le texte avait affirmé à tort qu’en octobre 2025 des pirates avaient exposé environ 70 000 photos de pièces d’identité gouvernementales stockées chez Persona. Cette affirmation est retirée. Elle n’est pas rapportée ici comme un événement. La correction ne clôt pas les plaintes sur les traceurs, les contrôles d’identité ou les demandes d’accès.¹

Ce que le texte du RGPD demande, et ce qu’il ne tranche pas

Cette section n’est pas un conseil juridique. EUR-Lex a renvoyé HTTP 202 et un corps vide le 5 novembre 2026. Le libellé ci-dessous suit le texte du règlement tel que reproduit le même jour sur gdpr-info.eu, pas un nouveau téléchargement d’EUR-Lex.

L’article 5, paragraphe 1, point c, dispose que les données personnelles doivent être adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités. C’est le principe de minimisation que noyb dit enfreint. L’article 6 dit qu’un traitement n’est licite que si au moins une condition s’applique, dont le consentement, un contrat, une obligation légale, les intérêts vitaux, une mission d’intérêt public, ou des intérêts légitimes qui ne sont pas écartés. Le consentement est une base, pas la seule. noyb dit qu’il n’existe pas de base légale valable pour placer des traceurs sur les appareils des plaignants sans consentement. Scale dit que les pratiques ont été communiquées et que le consentement était exigé, et que l’outil d’écran est en opt-in et démarré manuellement. Savoir si un consentement était spécifique et libre relève des autorités, pas d’un échange de communiqués.⁸⁹

L’article 9, paragraphe 1, interdit le traitement des données biométriques aux fins d’identifier une personne physique de manière unique, sauf exception. L’article 9, paragraphe 2, point a, vise le consentement explicite. Le point b vise un traitement nécessaire à l’exécution d’obligations ou à l’exercice de droits en droit du travail et de la sécurité sociale, lorsque le droit de l’Union ou d’un État membre, ou une convention collective, l’autorise et prévoit des garanties. Une vidéo du visage n’est pas automatiquement dans l’article 9, ni automatiquement en dehors. Le pivot est la finalité d’identification unique, puis l’exception. Cet article n’a pas vu le dispositif de vérification.¹⁰

L’article 15 donne le droit d’obtenir la confirmation que des données sont ou non traitées et, dans l’affirmative, l’accès aux données et à des informations prévues : finalités, catégories, destinataires, et si possible la durée de conservation, entre autres. Une demande sans réponse, si les plaintes sont fondées, compte même si la collecte est ensuite jugée licite.¹¹

Ces dossiers sont des plaintes RGPD. Ils ne sont pas une décision au titre du règlement sur l’IA, et cet article ne classe pas Outlier comme système à haut risque. Une autre règle peut compter pour le logiciel d’un employeur. L’annexe III, point 4, b), du règlement européen sur l’IA vise les systèmes destinés à prendre des décisions affectant les conditions d’une relation de travail, une promotion ou une rupture, à répartir des tâches selon le comportement ou des traits personnels, ou à surveiller et évaluer les performances et le comportement. Le service desk de la Commission indique que les règles de l’annexe III s’appliquent à partir du 2 décembre 2027. Les pratiques interdites, certaines obligations de transparence et les règles pour les modèles d’IA à usage général sont applicables depuis le 2 août 2026. Une question dans un formulaire d’achat n’est pas, à elle seule, un tel système. Le classement dépend de la finalité prévue.¹²¹³

noyb renvoie à une infographie du Conseil de l’UE pour affirmer que plus de 40 millions de personnes ont déjà leur travail organisé par des plateformes. Cette page du Conseil a renvoyé HTTP 403 le 5 novembre 2026 : cet article ne reprend pas le chiffre.

Un acheteur peut interroger avant toute décision

Imaginez un prestataire chargé de vérifier une explication médicale produite par un modèle. La personne s’attarde sur une phrase incertaine. Un minuteur qui ne compte que les minutes peut traiter ce soin comme un retard. La scène est hypothétique. Ce n’est pas une tâche Outlier documentée, ni un constat des cinq plaintes.

La réponse pratique, pour une petite entreprise, une organisation sociale ou un service, est une liste de questions à tout fournisseur qui organise le travail ou enregistre l’activité du personnel. Aucune ne remplace un juriste.

• Quelles catégories de données personnelles sont collectées, pour quelle finalité, combien de temps, et quels sous-traitants les reçoivent ? Inclure les balises d’analytique et les sociétés de vérification d’identité, pas seulement l’écran vu par la personne.
• Quelle est la base légale de chaque catégorie, et qu’est-ce qu’une personne obtient vraiment quand elle demande une copie ?
• Si un outil enregistre un écran ou un score, est-il en opt-in, et une personne nommée peut-elle revenir sur un signalement qui bloque une paie ou un accès ?
• Les objectifs de vitesse rendent-ils un contrôle attentif irrationnel ? Si le travail exige un jugement, la mesure doit pouvoir montrer l’exactitude et l’escalade, pas seulement le rythme.

Ces questions ne supposent ni le récit de noyb ni celui de Scale. Elles supposent que l’acheteur ne saura pas lequel correspond tant que quelqu’un n’aura pas écrit la piste de données. Les organisations qui vivent déjà avec des outils de planning et de notation peuvent commencer là, sans attendre une décision sur une plateforme américaine. Le recrutement de cette supervision est un autre sujet, traité dans ce qu’est vraiment le travail de supervision de l’IA.

Une autorité a-t-elle jugé que Scale AI a enfreint le RGPD ?

Non. noyb a déposé cinq plaintes le 27 octobre 2026. La fiche C109-04 était encore en cours le 5 novembre 2026. Une plainte ouvre un contrôle. Scale AI a dit à Reuters le 28 octobre que les griefs sont infondés, que les pratiques concernées avaient été communiquées, et qu’un enregistrement d’écran sur certains projets est en opt-in. Ni le dépôt ni le démenti n’est une décision.¹⁴⁶

« Plus de 900 000 » veut-il dire 900 000 emplois ?

Non. noyb dit qu’Outlier emploie plus de 900 000 travailleurs « freelance », le mot étant entre guillemets. Reuters décrit une plateforme où plus de 900 000 freelances accomplissent des tâches. Aucun des deux chiffres n’est un décompte audité de comptes actifs, d’emplois à temps plein, ou de personnes dont c’est le revenu principal. Une inscription, une tâche occasionnelle et un moyen de vivre sont des mesures différentes.¹²

Des pirates ont-ils exposé environ 70 000 photos d’identité chez Persona ?

Il ne faut pas traiter cela comme un fait. Le 29 octobre 2026, noyb a dit que son communiqué avait affirmé à tort qu’en octobre 2025 des pirates avaient exposé environ 70 000 photos de pièces d’identité gouvernementales stockées chez Persona. La phrase a été retirée. La mise à jour ne tranche pas les allégations restantes sur les traceurs, les contrôles d’identité ou les demandes d’accès sans réponse.¹

Comment hilighter peut aider

hilighter n’audite pas les traceurs d’un fournisseur, ne tranche pas une plainte RGPD et n’enregistre pas les frappes. La question que ce litige laisse à un employeur est de savoir quelles tâches d’un rôle dépendent encore d’une personne, et comment cette personne peut montrer un jugement qu’un minuteur ne capture pas.

hilighter aide les équipes à cartographier les compétences par rôle, à comparer les personnes à ces exigences dans Compétences et talents, à enregistrer une preuve de capacité dans Reconnaissance des acquis et à définir des parcours de développement. Sa vue Impact de l’IA sur les métiers est indicative. Ce n’est pas une prédiction de disparition d’un rôle, ni une lecture du risque de surveillance de quiconque. Une offre gratuite couvre jusqu’à trois métiers, avec un nombre illimité de personnes.

Sources

1. noyb, AI training platform Outlier illegally surveils European platform workers, 27 octobre 2026, mis à jour le 29 octobre 2026. Cinq plaintes avec Intérêt à Agir, DiPLab et Reversing.Works, en France, en Italie, aux Pays-Bas et en Autriche. Plus de 900 000 travailleurs « freelance ». Clients nommés sur la page. Traceurs dont TikTok, LinkedIn, Facebook, Sprig et Datadog. Vidéo du visage et documents d’identité via Persona. Demandes d’accès. Correction du 29 octobre retirant l’affirmation d’environ 70 000 photos de pièces d’identité stockées chez Persona. Le titre de la page affirme une illicéité : c’est le cadre du plaignant, pas une décision.
2. Reuters, Leo Marchandon, « Privacy group files complaints against Scale AI over alleged worker surveillance », 27 octobre 2026. Lu dans la reprise Yahoo parce que reuters.com a renvoyé HTTP 401 : copie Yahoo. Cinq plaintes ; régulateurs ; plus de 900 000 freelances ; clients comme Meta, OpenAI et Google ; Meta détient 49 % de Scale AI. Plaintes vues par Reuters : jusqu’à 19 traceurs, dont frappes et souris. Récit DiPLab sur la reconstruction vidéo, tel que Reuters le rapporte. Quatre travailleurs, décembre 2025 à mai 2026, sans réponse, « the complaints said ».
3. Euronews, Why should Big Tech know what you are working on? Scale AI accused of spying on AI trainers, Jonathan Benton avec AP, 27 octobre 2026. Deux plaintes en Autriche et une en France, une aux Pays-Bas et une en Italie, attribuées au communiqué de noyb. L’URL du titre contient une contraction anglaise ; le libellé du lien est reformulé. Le reste du contexte politique de l’article n’est pas utilisé.
4. noyb, dossier C109-04, déposé le 27 octobre 2026, statut « Pending (0 - 6 months) » lors de la consultation du 5 novembre 2026. Plaignant au singulier sur cette fiche.
5. The Record, Suzanne Smalley, European digital rights nonprofit noyb sues Scale AI for "invasive" worker surveillance, 28 octobre 2026. Manakas : 18 traceurs tiers pour des freelances en France, « définitivement plus », variable selon le pays, non exhaustif. Porte-parole de Scale sur les traceurs, la biométrie, l’activité d’écran et la durée en opt-in, l’effacement, et l’absence de vente des données ou d’usage pour entraîner les modèles des clients. Le « sues » du titre et une phrase sur les tribunaux ne sont pas suivis ici. Le « 900,00 » de la page est traité comme une coquille, pas comme une seconde statistique.
6. Reuters, « Scale AI rejects claims it illegally surveils AI-training workers », 28 octobre 2026. Lu dans la reprise Yahoo : copie Yahoo. Plaintes rejetées comme infondées ; pratiques communiquées et consentement exigé ; citation anglaise « The report’s claims are unfounded and inaccurate ». Outils d’identité, fraude, informations confidentielles de projet, paiements exacts, rémunération connue avant la tâche. Outil distinct sur certains projets : temps passé et activité d’écran ; opt-in et activation manuelle. Données non vendues à des tiers et non utilisées pour entraîner les modèles d’IA des clients.
7. DiPLab, New DiPLab Report: Surveillance at Scale, page de publication de Stella Lopez, 15 octobre 2026. Titre et auteurs tels qu’imprimés (Thomas Le Bonniec, Antonio A. Casilli, Mathilde Abel, Simone Robutti, Gaetano Priori, Donatella D., Paul S.), avec Reversing.Works et Intérêt à Agir. Le « probably » pour un entraînement ultérieur, et la formule sur l’entraînement clandestin et d’éventuelles applications militaires, sont le libellé de l’annonce. Le PDF n’a pas été lu.
8. Règlement (UE) 2016/679, article 5, paragraphe 1, point c, minimisation. Texte lu sur gdpr-info.eu, article 5 le 5 novembre 2026, après un HTTP 202 à corps vide d’EUR-Lex. Pas un conseil juridique.
9. Règlement (UE) 2016/679, article 6, paragraphe 1, licéité. Texte lu sur gdpr-info.eu, article 6 le même jour, avec la même limite.
10. Règlement (UE) 2016/679, article 9, paragraphes 1 et 2, points a et b. Texte lu sur gdpr-info.eu, article 9.
11. Règlement (UE) 2016/679, article 15, paragraphe 1, droit d’accès. Texte lu sur gdpr-info.eu, article 15.
12. Commission européenne, AI Act Service Desk, annexe III, point 4, b). Lu le 5 novembre 2026.
13. Commission européenne, AI Act Service Desk, When does enforcement start?. Pratiques interdites, certaines transparences et règles des modèles d’IA à usage général : applicables depuis le 2 août 2026. Règles de l’annexe III : à partir du 2 décembre 2027.

Sources relues le 5 novembre 2026. Les cinq plaintes sont des allégations. La déclaration de Scale du 28 octobre est un démenti, pas un acquittement. Le courriel des 18 traceurs et la ligne « jusqu’à 19 » de Reuters ne sont pas un seul décompte. Le PDF DiPLab et les conditions de Persona n’ont pas été lus. L’infographie du Conseil derrière un effectif du travail de plateforme a renvoyé HTTP 403 : le chiffre est omis. EUR-Lex n’a pas renvoyé le texte du RGPD ce jour-là. Les dates de l’UE suivent le service desk de la Commission. Cet article n’est pas un conseil juridique. Ni un score de détecteur d’IA ni l’absence de pénalité Google ne peuvent être garantis. Traduction à relire par un natif.