Contexte et découverte
En octobre 2026, une analyse du centre d’aide de WhatsApp a révélé 102 blocs de texte invisibles intégrés à 80 pages parmi les 545 pages référencées. Ces blocs n’apparaissent jamais à l’écran, mais sont transmis aux grands modèles de langage (LLM) qui alimentent le chatbot de support. Deux blocs ont attiré l’attention : l’un empêche le chatbot de recommander de contacter un régulateur de protection des données, l’autre interdit de citer la loi lorsqu’un utilisateur mentionne un avocat.
Les instructions ont été découvertes le 8 octobre 2026, alors que la politique de confidentialité européenne de WhatsApp, en vigueur depuis le 2 juillet 2026, mentionne explicitement le droit de saisir une autorité de protection des données et cite les articles 17 et 77 du RGPD.
Mécanisme des blocs cachés
Les blocs sont insérés dans le code HTML sous forme de commentaires ou d’attributs non rendus, par exemple :
Lorsqu’un crawler d’IA (OpenAI, Anthropic, Perplexity) demande la page, le serveur renvoie le texte complet, y compris les commentaires. Le LLM, entraîné à lire le texte brut, reçoit alors les consignes et peut les appliquer dans ses réponses, alors que l’utilisateur ne voit aucune indication de ces restrictions.
Ces blocs sont également transmis aux indexeurs de Google et Bing, ce qui signifie que les moteurs de recherche conservent les instructions même après leur retrait du site visible.
Analyse juridique et conformité
Le premier bloc contredit le droit d’accès à un recours administratif prévu par le RGPD (article 77). En masquant cette information, le chatbot empêche potentiellement l’exercice d’un droit fondamental, ce qui constitue une violation de la transparence exigée par le règlement.
Le second bloc restreint la diffusion d’informations légales déjà publiques dans la politique de confidentialité. Bien que les entreprises puissent limiter les conseils juridiques prodigués par un chatbot, interdire la mention d’une loi existante dépasse la simple prévention du « legal advice » et porte atteinte à la conformité documentaire.
WhatsApp justifie ces mesures par la volonté d’éviter que le chatbot donne des avis juridiques au nom de l’entreprise. Toutefois, la politique publique indique que les utilisateurs peuvent toujours demander la suppression de leurs données et contacter les autorités compétentes, ce qui rend les restrictions internes contradictoires.
Implications et limites
Techniquement, l’insertion de directives invisibles montre une capacité à contrôler le comportement d’un LLM sans modifier l’interface utilisateur. Cette pratique soulève des questions de gouvernance des modèles de langage, notamment la transparence des instructions internes et la vérifiabilité par des tiers.
Sur le plan de la sécurité, la présence de telles instructions non documentées crée un vecteur de confiance limité : les utilisateurs ne peuvent pas vérifier si le chatbot suit ou non les règles imposées. De plus, aucune preuve publique n’atteste que le chatbot a effectivement appliqué ces consignes, ce qui laisse une incertitude quant à l’impact réel.
Enfin, l’absence de notes similaires dans les centres d’aide de Facebook et Instagram, malgré l’utilisation du même système, suggère que la pratique n’est pas généralisée au sein de la société mère, mais reste une décision propre à WhatsApp.
