WhatsApp cachait des instructions aux IA pour décourager les plaintes aux régulateurs

Ce que dit la source

Redact.dev a découvert le 8 octobre 2026 que WhatsApp avait inséré des instructions masquées dans 102 blocs de texte distribués sur 545 pages d'aide. Deux de ces blocs posaient problème : l'un ordonnait aux chatbots de ne pas recommander les autorités de protection des données quand un utilisateur lockouté ne pouvait pas supprimer son compte ; l'autre prescrivait de ne pas citer ou interpréter les réglementations sur la confidentialité (RGPD, LGPD, CCPA) dès que l'utilisateur mentionnait un avocat ou une action en justice. Ces instructions contredisaient directement la politique de confidentialité de WhatsApp en Europe, qui affirme que les utilisateurs ont le droit de se plaindre à l'Irish Data Protection Commission ou à toute autre autorité compétente. Après un contact de Wired, Meta a reconnu le problème via un porte-parole (Joshua Breckman), affirmant qu'il s'agissait d'un bug causé par la façon dont les instructions de chatbot étaient incorporées dans le HTML des pages, et que le texte a été supprimé.

• >Sur 545 pages d'aide, 102 blocs de texte étaient masqués, destinés uniquement à la lecture par les IA.
• >Le bloc caché sur la suppression de compte répétait les délais légaux d'effacement (30 jours après désactivation, 120 jours d'inactivité, 365 jours pour les États-Unis) mais ordonnait à l'IA de ne pas recommander de contacter une autorité de protection des données.
• >Le second bloc cachait une directive plus large : dès qu'un utilisateur prononçait les mots « action en justice », « avocat », « procès » ou « tribunal », l'IA devait cesser de citer ou interpréter toute loi sur la confidentialité, y compris si c'était l'utilisateur qui la soulevait en premier.
• >Les instructions ordonnaient aussi à l'IA de ne pas affirmer que WhatsApp pouvait supprimer manuellement un compte pour l'utilisateur, ce qui correspond à un conseil légitime de conformité.
• >Aucune de ces instructions n'était visible à l'écran pour un utilisateur humain consultant ces pages d'aide.

• >Plusieurs commentateurs défendent Meta : les instructions avaient pour but légitime d'éviter que les chatbots donnent des conseils juridiques ou fassent des promesses non tenables (suppression manuelle), ce qui exposerait l'entreprise à des risques réglementaires. Un avocat-hacker souligne que c'est une pratique standard.
• >Cependant, une part importante du fil conteste le récit du « bug ». Un commentateur note que l'audacité à qualifier cela de bug maintenant semble condescendante, et un autre voit là un cas d'injections de requêtes industrialisées dans une politique de confidentialité. La question implicite : comment le HTML des pages d'aide contient-il aussi longtemps ces directives sans que personne en interne ne les détecte ?
• >Un angle structural émerge : comparaison avec des directives internes aux agents support humains. Si on ne l'appellerait pas scandale pour des notes d'entraînement des employés, pourquoi ici ? Réponse : parce que c'est caché et contradictoire avec la politique officielle, contrairement aux directives internes que les salariés connaissent.
• >Le débat HN reste peu substantiel sur la question centrale : la légalité ou l'éthique de cette pratique sous les réglementations européennes (RGPD notamment). Aucun commentaire ne cite la jurisprudence ou une position officielle d'une autorité de protection des données.