La Coupe du Monde de la FIFA 2026 est le plus grand déploiement de surveillance par IA de l'histoire du sport. Découvrez les risques réels de conformité, les amendes RGPD, les délais de l'UE sur la loi IA et les leçons de gouvernance pour les équipes de sécurité.
La Coupe du Monde de la FIFA 2026, actuellement en cours dans 16 sites aux États-Unis, au Canada et au Mexique, est le plus grand déploiement civil de surveillance par IA de l'histoire du sport, le DHS et la FEMA ayant alloué 365 millions de dollars aux seules technologies de sécurité.
La reconnaissance faciale est active au Gillette Stadium (Boston), au Hard Rock Stadium (Miami) et au Mercedes-Benz Stadium (Atlanta). Aucune politique claire ne régit le moment où les données biométriques collectées pendant le tournoi seront supprimées.
Les régulateurs espagnols ont infligé une amende à La Liga de 1 million d'euros, au Club Osasuna de 200 000 euros et au FC Barcelone de 500 000 euros pour des violations du RGPD liées aux systèmes d'accès biométrique aux stades.
Lors de la finale de la Ligue des Champions de l'UEFA 2017 à Cardiff, le système de reconnaissance faciale de la police du Pays de Galles a produit un taux de faux positifs de 92 %, signalant à tort 2 297 personnes innocentes comme des criminels potentiels.
Les obligations de l'Acte sur l'IA de l'UE pour l'IA à haut risque, y compris les systèmes d'identification biométrique, deviendront pleinement applicables le 2 août 2026, quelques semaines avant la finale de la Coupe du Monde.
Six risques de conformité principaux nécessitent une attention particulière : la collecte de données biométriques sans base légale, les défaillances de transparence, la conservation excessive, les transferts transfrontaliers de données, l'exposition des fournisseurs tiers et le biais algorithmique.
La réponse courte : La Coupe du Monde de la FIFA 2026 est une démonstration en direct et en temps réel de tout ce qui peut bien ou mal se passer lorsque la surveillance par IA est déployée à une échelle civile maximale. Pour les responsables de la conformité, les conseillers en confidentialité et les fournisseurs de technologies de sécurité, c'est l'étude de cas la plus pertinente actuellement disponible.
La Coupe du Monde de la FIFA 2026 se déroule dans 16 villes hôtes aux États-Unis, au Canada et au Mexique sur 104 matchs, ce qui en fait à la fois le plus grand tournoi de l'histoire de la compétition et le plus grand déploiement en direct d'intelligence artificielle dans l'histoire du sport. Des caméras alimentées par l'IA, des systèmes d'entrée à reconnaissance faciale, des chiens de sécurité robotisés et des technologies anti-drones sont désormais actifs dans les lieux hôtes des trois pays.
La justification sécuritaire est réelle. Avec environ six milliards de téléspectateurs mondiaux, 6,5 millions de participants en personne et des matchs joués dans trois pays avec des cadres juridiques distincts, la complexité opérationnelle est extraordinaire. La surveillance par IA n'est pas un choix technologique de vanité ici. C'est une réponse pratique à un défi de sécurité que les méthodes manuelles ne peuvent pas résoudre adéquatement.
Mais le défi de conformité est tout aussi extraordinaire. Des données biométriques sont collectées sur des millions de personnes, dont beaucoup ont reçu une divulgation minimale, dans des juridictions régies par le RGPD, le CCPA, le BIPA de l'Illinois et l'Acte sur l'IA de l'UE. Les obligations de l'IA à haut risque de ce dernier cadre entreront pleinement en vigueur le 2 août 2026, quelques jours avant le coup de sifflet final.
Ce qui se passe actuellement dans les stades de la Coupe du Monde n'est pas seulement une histoire sportive. C'est un aperçu de la manière dont la surveillance par IA sera déployée et contestée lors de chaque grand événement public au cours de la prochaine décennie.
La surveillance par IA dans les événements sportifs n'est pas un système unique. C'est un écosystème d'outils interconnectés, chacun collectant, traitant et agissant sur différents types de données.
La technologie de reconnaissance faciale capture une image du visage d'une personne à partir d'un flux de caméra, la convertit en une représentation mathématique appelée un modèle biométrique, et compare ce modèle à une base de données. Lors de la Coupe du Monde 2026, ce processus est effectué en moins d'une seconde aux portes d'entrée du stade.
Dans le contexte des événements sportifs, la technologie de reconnaissance faciale (FRT) remplit trois fonctions principales :
La vérification d'identité confirme que le détenteur du billet est bien celui qu'il prétend être. Dans des lieux comme le Gillette Stadium, le Hard Rock Stadium et le Mercedes-Benz Stadium, les fans enregistrés entrent en utilisant leur visage au lieu d'un billet physique.
La comparaison avec les listes de surveillance compare les flux de caméras en direct avec des bases de données de personnes d'intérêt connues, y compris les personnes interdites, les criminels recherchés ou les menaces de sécurité signalées.
Le contrôle d'accès restreint l'entrée dans les zones sensibles telles que les zones de presse, les tunnels des joueurs et les installations de diffusion en utilisant la confirmation biométrique plutôt que des identifiants qui peuvent être partagés ou falsifiés.
Chacune de ces applications implique le traitement de données biométriques, que la plupart des cadres de confidentialité considèrent comme faisant partie des catégories d'informations personnelles les plus sensibles qui existent.
Au-delà de la reconnaissance faciale, l'analyse vidéo basée sur l'IA transforme les réseaux de caméras ordinaires en plates-formes de surveillance intelligentes. Les caméras intelligentes utilisent l'analyse en temps réel pour détecter les comportements suspects avant qu'ils ne dégénèrent, analysant les schémas de foule et identifiant les activités inhabituelles telles qu'une dispute qui s'intensifie ou un embouteillage soudain.
Trois capacités sont essentielles à cette fonction :
Le suivi de la densité de la foule utilise la vision par ordinateur pour estimer l'occupation d'une zone donnée, identifiant une compression dangereuse avant qu'elle ne devienne un mouvement de foule.
La détection des comportements suspects signale les schémas qui s'écartent des normes attendues, y compris les sacs abandonnés, les individus se déplaçant à contre-courant de la foule ou les mouvements erratiques.
Les alertes automatisées dirigent ces détections vers des opérateurs humains qui peuvent enquêter et réagir, transformant une infrastructure d'enregistrement passive en un système d'alerte précoce actif.
Lors de la Coupe du Monde 2026, un centre de commande intelligent surveille simultanément la densité de la foule et les conditions de sécurité dans les 16 sites.
La catégorie de la surveillance biométrique s'étend bien au-delà de la reconnaissance faciale. Les données biométriques comportementales analysent les modèles de démarche, de posture et de mouvement pour identifier les individus ou signaler les anomalies. Dans certains déploiements, les systèmes peuvent reconnaître une personne à sa façon de marcher, même si son visage est obscurci. Les technologies émergentes en cours de déploiement actif comprennent la reconnaissance vocale, la numérisation de l'iris et les systèmes de reconnaissance des émotions qui prétendent inférer l'état émotionnel à partir des micro-expressions faciales, une catégorie qui reste profondément contestée tant sur le plan de la précision que sur celui de l'éthique.
Une catégorie technologique que les discussions sur la conformité négligent souvent est la surveillance par IA basée sur des drones. La police du Grand Manchester a utilisé des drones intégrés à l'IA lors d'un match Manchester United contre Arsenal à Old Trafford en mars 2025, diffusant des séquences en direct via un VPN crypté vers des serveurs où les données étaient traitées en temps réel, permettant l'identification des mouvements de foule et des goulets d'étranglement potentiels.
Lors de la Coupe du Monde 2026, les robots Spot de Boston Dynamics patrouillent les zones restreintes, les périmètres des stades et les couloirs de service souterrains dans les sites des États-Unis et du Mexique, opérant la nuit et dans des espaces difficiles à surveiller en continu par le personnel humain.
Un stade de la Coupe du Monde de la FIFA peut accueillir 80 000 à 90 000 personnes. Les fan zones peuvent attirer des centaines de milliers de personnes supplémentaires. À cette densité, détecter et réagir à un incident de sécurité en développement dans un laps de temps où une intervention est encore possible est extraordinairement difficile sans assistance technologique.
Les agences de lutte contre le terrorisme ont longtemps identifié les grands événements sportifs comme des cibles de grande valeur. La reconnaissance faciale basée sur des listes de surveillance permet aux équipes de sécurité d'identifier les menaces connues au point d'entrée plutôt que de réagir après qu'un incident se soit produit. Le Centre canadien pour la cybersécurité a identifié plus de 4 300 domaines suspects liés à la Coupe du Monde en août 2025, illustrant que le paysage des menaces s'étend bien au-delà du périmètre physique.
La fraude aux billets, l'accès non autorisé et le partage d'identifiants sont des problèmes persistants lors des grands événements. La vérification d'identité biométrique résout ces problèmes opérationnels tout en créant un enregistrement précis des personnes présentes, informations qui deviennent essentielles en cas d'évacuation d'urgence.
Comprendre où se forment les goulets d'étranglement de la foule, quelles portes d'entrée sont sous-utilisées et comment le flux de piétons circule dans les zones de concourse permet aux organisateurs d'effectuer des ajustements en temps réel qui améliorent à la fois la sécurité et l'expérience du spectateur.
Certains déploiements présentent la surveillance par IA comme une fonctionnalité améliorant l'expérience des fans autant qu'un outil de sécurité. L'entrée sans friction réduit les temps d'attente et crée une expérience d'arrivée plus fluide. Cependant, le système a un coût caché : la collecte et le stockage de données biométriques sensibles liées à des comptes financiers personnels, avec des données dans plusieurs villes hôtes résidant sur des réseaux privés échappant au contrôle réglementaire local.
Surveillance par IA à l'échelle de la Coupe du Monde de la FIFA : ce qui est réellement déployé actuellement
La Coupe du Monde 2026 est la première à être organisée conjointement par trois nations, et ce fait structurel a multiplié chaque complexité de conformité par un ordre de grandeur.
Le tournoi pourrait attirer jusqu'à 10 millions de visiteurs dans 11 villes américaines, ce qui en ferait le plus grand événement sportif de l'histoire. Ces visiteurs viennent de plus de 100 pays, chacun bénéficiant de droits en matière de données en vertu du cadre de confidentialité de sa juridiction d'origine. Le RGPD s'applique aux visiteurs européens, les protections du PDPA couvrent les habitants de l'Asie du Sud-Est, et les droits du CCPA et du BIPA s'appliquent aux résidents américains, créant un patchwork de conformité qu'aucun cadre unique ne résout adéquatement.
Le DHS et la FEMA ont engagé 365 millions de dollars pour la technologie de sécurité de la Coupe du Monde, dont 115 millions de dollars pour les programmes de drones et 250 millions de dollars en subventions anti-drones aux États hôtes. Lenovo construit des jumeaux numériques des stades pour la surveillance des foules en temps réel, tandis que des entreprises comme Booz Allen Hamilton fusionnent l'imagerie des drones avec le suivi GPS dans des plateformes de commande intégrées.
Toronto a établi un centre de commande d'une valeur d'environ 9 millions de dollars US, tandis que Vancouver a installé 200 caméras supplémentaires pour soutenir les opérations du tournoi. Le Mexique a annoncé que l'accès aux matchs de la Coupe du Monde sera "100% numérisé" grâce à des lecteurs biométriques aux tourniquets.
Le problème de conformité le plus pressant du tournoi actuel n'est peut-être pas la collecte de données. C'est ce qu'il advient d'elles par la suite.
À Seattle, les autorités locales ont reconnu que ni la ville ni le service de police n'ont de contrôle sur la manière dont les données de surveillance sont stockées ni sur qui y a accès. Les images sont alimentées dans la base de données d'un fournisseur privé qui peut être assignée à comparaître par des parties extérieures à l'État. Dans l'État de Mexico, les autorités ont déclaré que l'infrastructure de surveillance installée pour le tournoi restera opérationnelle après sa fin, utilisée pour une surveillance continue et des enquêtes judiciaires. Aucune politique publique claire n'existe précisant quand ou si la FIFA ou les gouvernements hôtes supprimeront les données biométriques collectées pendant le tournoi.
Ce n'est pas sans précédent. Le tournoi du Qatar en 2022 a déployé plus de 15 000 caméras qui restent actives aujourd'hui, un aperçu de l'héritage d'infrastructure en cours de création en Amérique du Nord.
L'ACLU a averti que les fans, les joueurs, les journalistes et tous les visiteurs devraient être prêts à faire face à des risques potentiels, notamment le profilage racial par les forces de l'ordre, le filtrage invasif des médias sociaux et les fouilles d'appareils électroniques.
Des rapports ont fait surface en juin 2025 indiquant que l'ICE utilisait une application mobile dotée de capacités de reconnaissance faciale, surnommée "Mobile Fortify", pour identifier les individus en temps réel à l'aide des caméras de smartphone, avec des empreintes digitales sans contact et des images faciales capturées et comparées aux données biométriques collectées aux points d'entrée américains.
Privacy International a soutenu que les entrepreneurs de la défense utilisent la Coupe du Monde comme une vitrine mondiale pour normaliser la surveillance testée sur les champs de bataille dans les espaces civils.
Les données biométriques occupent une catégorie spéciale dans pratiquement tous les cadres de confidentialité modernes. Contrairement à un mot de passe ou à un numéro de téléphone, un identifiant biométrique ne peut être modifié s'il est compromis. Une personne a un visage, un motif d'iris, une signature de démarche, et ces identifiants lui restent associés à vie.
En vertu de l'article 9 du RGPD, les données biométriques traitées dans le but d'identifier de manière unique une personne physique sont classées comme des données de catégorie spéciale, nécessitant soit un consentement explicite, soit un ensemble restreint d'exceptions spécifiques. Les défis liés au consentement lors d'événements sportifs sont importants. Obtenir un consentement libre, spécifique, éclairé et univoque de dizaines de milliers de personnes entrant dans un stade est opérationnellement impraticable, et le consentement obtenu comme condition d'entrée n'est pas réellement libre selon la plupart des interprétations réglementaires.
Le dossier d'application confirme qu'il ne s'agit pas d'un risque théorique. Voir les études de cas documentées dans la section suivante.
Les systèmes de surveillance déployés à grande échelle échouent fréquemment sur des questions de transparence fondamentale. Un avis insuffisant est courant même lorsque les organisateurs font des efforts de divulgation. Un petit panneau à l'entrée d'un stade ne constitue pas un avis adéquat lorsque des millions de personnes entrent sous la pression du temps et que leur attention est ailleurs.
Pour les supporters utilisant la reconnaissance faciale pour entrer ou payer dans les stades de la Coupe du Monde 2026, la transparence est inexistante. Ils n'ont aucun moyen viable de connaître la durée de conservation des données, la sécurité de leur stockage ou leur utilisation potentielle une fois l'événement terminé.
La justification sécuritaire des données de surveillance s'applique généralement à une fenêtre définie autour de l'événement lui-même. Malgré cela, les séquences vidéo et les données biométriques dérivées des événements majeurs ont toujours été conservées bien au-delà de toute période opérationnellement justifiée. Cela crée un impact disproportionné sur la vie privée, une exposition continue aux violations et, dans de nombreuses juridictions, une violation directe du principe de limitation du stockage énoncé à l' article 5, paragraphe 1, point e), du RGPD.
La propre politique de confidentialité de la FIFA en matière de billetterie stipule qu'elle conservera les informations personnelles « aussi longtemps que nécessaire ou permis au regard de la ou des finalités pour lesquelles elles ont été obtenues », les périodes de conservation étant déterminées en partie par le fait que la conservation est « juridiquement conseillée au regard des délais de prescription applicables, des litiges ou des enquêtes réglementaires ». Cette formulation peut signifier une conservation indéfinie en pratique, ce qui est directement contraire aux principes de minimisation des données que les actions d'application du RGPD ont à plusieurs reprises validés.
Une Coupe du Monde attire non seulement des spectateurs internationaux, mais aussi des fournisseurs de technologies internationaux. Les données biométriques d'un citoyen allemand peuvent être traitées par un système construit aux États-Unis, fonctionnant sur une infrastructure cloud hébergée dans un pays tiers, sous la supervision des services de sécurité de la nation hôte. Chacun de ces transferts nécessite un mécanisme légal en vertu de cadres comme le RGPD, et la chaîne de responsabilité de ces données devient extrêmement difficile à tracer ou à faire respecter.
Opérer dans trois juridictions différentes nécessite une coordination transfrontalière des données sans précédent. Les preuves actuelles suggèrent que la norme requise par le droit international de la protection des données n'est pas respectée de manière cohérente dans tous les sites hôtes.
Les grands événements sportifs sont réalisés grâce à des écosystèmes de fournisseurs complexes. Les fournisseurs de surveillance peuvent avoir leurs propres pratiques en matière de données et leurs relations avec les sous-traitants, qui divergent considérablement des engagements de l'organisme organisateur. Les fournisseurs de cloud apportent leur propre exposition juridictionnelle. Les entrepreneurs en sécurité ayant un accès physique à l'infrastructure représentent des vecteurs de risque interne.
La situation de Seattle illustre précisément cela : les flux de vidéos de surveillance alimentent la base de données d'un fournisseur privé qui peut être citée à comparaître par des parties extérieures à l'État, une conséquence directe de cadres de responsabilité des fournisseurs inadéquats.
Ce risque n'est pas hypothétique. Il a eu un résultat documenté lors d'une grande finale de football européenne.
Lors de la finale de l'UEFA Champions League 2017 à Cardiff, la police du sud du Pays de Galles a déployé la technologie de reconnaissance faciale alors qu'environ 170 000 personnes affluaient dans la capitale galloise pour le match Real Madrid contre Juventus. Sur 2 470 correspondances potentielles identifiées par le système, 2 297, soit 92 %, étaient des faux positifs, ce qui signifie que plus de 2 000 personnes ont été identifiées à tort comme des criminels potentiels. La police a attribué le taux d'erreur élevé à des images de mauvaise qualité fournies par l'UEFA et Interpol et au fait qu'il s'agissait du premier déploiement majeur de la technologie.
L'incident de Cardiff est l'exemple documenté le plus clair de ce à quoi ressemble le biais algorithmique à l'échelle d'un événement sportif. L'affaire R (Bridges) c. Chef de police du sud du Pays de Galles de la Cour d'appel du Royaume-Uni a par la suite statué que la police n'avait pas pris de mesures raisonnables pour déterminer si la technologie présentait un biais racial ou sexiste, en partie parce qu'elle n'avait pas connaissance de l'ensemble de données sur lequel la technologie avait été entraînée.
Dans le contexte d'une Coupe du Monde, où les participants internationaux représentent une diversité démographique extraordinaire, le risque de mauvaise identification est sensiblement plus élevé que dans tout déploiement national unique.
Une base de données contenant les modèles biométriques de millions de participants à la Coupe du Monde est l'une des cibles de violation les plus attrayantes imaginables. Contrairement aux données financières, les identifiants biométriques ne peuvent pas être réémis s'ils sont compromis.
L'IA générative permet désormais aux attaquants de produire des communications de phishing convaincantes en plusieurs langues en quelques secondes, éliminant les erreurs grammaticales qui exposaient traditionnellement de telles tentatives. Le Centre canadien pour la cybersécurité avait déjà identifié plus de 4 300 domaines suspects liés à la Coupe du Monde en août 2025.
Historique de l'application : ce que les régulateurs ont déjà fait
Les cas suivants ne sont pas des mises en garde d'un passé lointain. Ce sont des mesures d'exécution récentes contre des organisations de football plus petites que celles qui opèrent actuellement à la Coupe du Monde 2026.
L'AEPD espagnole a infligé une amende d'un million d'euros à la Liga pour avoir mis en œuvre des contrôles d'accès biométriques, y compris la lecture d'empreintes digitales et la reconnaissance faciale, sans établir de motifs légaux appropriés ni mettre en œuvre les garanties de protection des données nécessaires en vertu du RGPD. L'AEPD a également ordonné la suspension du système biométrique jusqu'à ce qu'une analyse d'impact sur la protection des données (DPIA) correcte et complète soit soumise, constatant que des alternatives moins intrusives telles que des cartes d'identité personnalisées étaient disponibles. La Liga a contesté l'amende devant les tribunaux, arguant que le système avait été mis en œuvre sur la recommandation de la Commission espagnole anti-violence.
L'AEPD espagnole a infligé une amende de 200 000 € au Club Osasuna pour des systèmes de reconnaissance faciale non autorisés dans son stade El Sadar. Le système a été utilisé par environ 2 000 abonnés, soit environ 25 % des détenteurs de laissez-passer du club, au cours de la saison 2023/24. Après enquête, l'AEPD a imposé une amende, une interdiction d'utilisation continue du système et l'ordre de supprimer toutes les données collectées.
L'AEPD espagnole a infligé une amende de 500 000 € au FC Barcelone pour ne pas avoir réalisé une évaluation d'impact sur la protection des données conforme à la loi avant de traiter les données biométriques de ses quelque 143 000 membres lors d'une mise à jour du recensement numérique en 2023. Plus de 112 000 membres ont utilisé la vérification biométrique faciale et plus de 72 000 ont créé des profils vocaux. Les membres ont allégué que le processus biométrique semblait obligatoire, l'alternative en personne non biométrique n'étant pas clairement communiquée.
Les régulateurs en Espagne et en France ont constamment constaté que les systèmes de reconnaissance faciale dans les stades ne répondent pas aux exigences de nécessité et de proportionnalité en vertu du RGPD européen. Ils ont constaté que des alternatives moins intrusives telles que la billetterie numérique sont disponibles et efficaces, et que le consentement est insuffisant lorsque les pressions de participation et les asymétries d'information en compromettent la validité.
En France, la législation sur la surveillance par l'IA introduite pour les Jeux olympiques de Paris 2024 à titre de mesure temporaire a depuis été prolongée, ce qui soulève des préoccupations quant à l'enracinement à long terme des systèmes de surveillance introduits dans des circonstances exceptionnelles.
Ces mesures d'exécution représentent le consensus réglementaire sur ce qui constitue une surveillance biométrique illégale dans les contextes sportifs, et ce consensus est maintenant mis à l'épreuve par le plus grand déploiement de surveillance sportive jamais tenté.
Le Règlement général sur la protection des données s'applique aux données personnelles des résidents de l'UE, quel que soit le lieu de traitement, ce qui signifie que tout système de surveillance de la Coupe du monde qui traite les données biométriques des spectateurs européens relève de son champ d'application.
En vertu de l'article 9 du RGPD, les données biométriques traitées à des fins d'identification unique sont des données de catégorie spéciale nécessitant un consentement explicite ou une exception légale spécifiée. Les conditions générales de billetterie standard ne satisfont pas à cette exigence. Les mesures d'exécution contre la Liga, Osasuna et le FC Barcelone démontrent que la base des intérêts légitimes est rarement suffisante pour les données biométriques, et qu'une DPIA déficiente est en soi une violation autonome.
En vertu de l'article 83 du RGPD, les violations peuvent entraîner des amendes allant jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial.
Il s'agit du développement réglementaire le plus critique pour les organisations qui déploient actuellement la surveillance par IA lors d'événements sportifs.
Les obligations de la loi européenne sur l'IA pour les systèmes d'IA à haut risque, y compris ceux pour l'identification et la catégorisation biométriques, s'appliquent à partir du 2 août 2026, avec des pénalités pouvant atteindre 35 millions d'euros ou 7 % du chiffre d'affaires annuel mondial pour les pratiques interdites.
La loi classe les systèmes d'IA utilisés pour l'identification biométrique à distance en temps réel dans les espaces publics parmi ses applications les plus restreintes. Les systèmes considérés comme présentant un risque inacceptable, y compris ceux utilisés pour la collecte indiscriminée de données de vidéosurveillance afin de construire ou d'étendre des bases de données de reconnaissance faciale, sont totalement interdits.
Les organisations qui ont déployé des systèmes d'IA biométriques dans les sites de la Coupe du Monde sans avoir effectué les évaluations de conformité, la documentation technique, les mécanismes de supervision humaine et les exigences d'enregistrement peuvent se retrouver en non-conformité immédiate dès la fin du tournoi.
Pour un tournoi avec 11 villes hôtes aux États-Unis, la loi sur la protection des informations biométriques de l'Illinois (BIPA) représente une exposition significative et largement sous-estimée. Contrairement au RGPD, qui repose principalement sur l'application réglementaire, la BIPA crée des droits d'action privés pour les individus.
La BIPA permet aux individus d'intenter des poursuites privées pour non-conformité réelle ou perçue, prévoyant des dommages-intérêts légaux de 1 000 à 5 000 $ par violation. Lors d'un match de la Coupe du Monde auquel assistent des dizaines de milliers de résidents de l'Illinois, l'exposition agrégée aux réclamations BIPA pourrait éclipser toute amende réglementaire.
En vertu de l' article 35 du RGPD, une DPIA est obligatoire avant tout traitement susceptible d'engendrer un risque élevé pour les droits et libertés des personnes physiques. Le traitement à grande échelle de données biométriques dans des espaces accessibles au public est explicitement mentionné comme en nécessitant une. L'action d'exécution contre le FC Barcelone montre clairement qu'une DPIA déficiente est en soi une violation. La norme est substantielle, non procédurale.
Au-delà du RGPD, la loi du pays hôte régit toute surveillance effectuée dans cette juridiction. Les États-Unis n'ont pas de loi fédérale sur la confidentialité biométrique, mais disposent de lois au niveau des États, y compris la BIPA de l'Illinois, la loi CUBI du Texas et la CCPA/CPRA de Californie. Le Brésil, en juin 2025, est devenu le premier pays à imposer une surveillance biométrique de masse par la loi à travers la loi générale sur le sport n° 14 597, exigeant des systèmes de contrôle biométrique dans tous les stades brésiliens d'une capacité supérieure à 20 000 personnes. Cela illustre la rapidité avec laquelle le droit national dans ce domaine évolue à l'échelle mondiale.
Aucun cadre de conformité unique ne couvre adéquatement l'exposition juridique d'un événement de l'ampleur de la Coupe du monde. Les organismes organisateurs, les pays hôtes et les fournisseurs de technologie sont soumis à des obligations simultanées en vertu du RGPD, du CCPA, du BIPA, de la loi européenne sur l'IA et de la loi sur la protection des données du pays hôte. Ces cadres entrent parfois en conflit sur les exigences de consentement, les périodes de conservation et la localisation des données. Une conformité simultanée complète à tous les cadres applicables est extraordinairement difficile à atteindre, ce qui fait de la hiérarchisation des risques, de la cartographie des bases juridiques et d'une communication publique transparente des composants essentiels d'une gouvernance responsable.
L'échec de gouvernance le plus courant dans les déploiements de surveillance à grande échelle, comme le démontrent les mesures d'exécution contre le FC Barcelone et la Liga, est d'effectuer des évaluations d'impact après qu'un système a déjà été acquis et configuré. Les DPIA doivent commencer dès l'étape de la sélection du fournisseur, avant la signature des contrats, et doivent être substantielles plutôt que procédurales.
Étape pratique : Utilisez la méthodologie DPIA publiée par l'EDPB et vérifiez votre résultat par rapport à la liste des DPIA obligatoires de votre autorité nationale de protection des données avant de finaliser toute décision de traitement biométrique.
Les grands événements impliquent des organismes organisateurs, des gouvernements hôtes, des organismes d'application de la loi, des sous-traitants de sécurité privés et des fournisseurs de technologie. La responsabilité de la surveillance par IA tombe régulièrement entre les limites organisationnelles en conséquence. Une gouvernance efficace exige un propriétaire de responsabilité désigné pour le programme de surveillance, des chemins d'escalade documentés pour les incidents liés à l'IA et des structures de gouvernance qui couvrent l'ensemble de la chaîne d'approvisionnement des données.
Étape pratique : Examinez les exigences de gouvernance de la loi européenne sur l'IA pour les systèmes d'IA à haut risque et créez une matrice RACI couvrant toutes les activités de traitement des données et chaque fournisseur de la chaîne d'approvisionnement de surveillance avant le début du déploiement.
Les calendriers de conservation doivent être définis avant le déploiement, et non après, et doivent être liés à des délais opérationnellement justifiés. Les séquences vidéo non signalées par une alerte doivent avoir un cycle de suppression automatisé court, mesuré en jours, et non en mois. Les données biométriques dérivées doivent être supprimées dès que l'objectif pour lequel elles ont été générées est atteint.
Étape pratique : Les contrôles de conservation doivent être appliqués techniquement par des flux de travail de suppression automatisés, et non simplement énoncés dans la politique. L'auto-déclaration de conformité à la conservation est insuffisante en vertu du RGPD. La conservation doit être vérifiable indépendamment par un audit.
Les fournisseurs d'IA tiers doivent démontrer leur propre conformité au RGPD et à l'Acte sur l'IA de l'UE. La situation de Seattle, où une ville n'a aucun contrôle sur la manière dont un fournisseur stocke les images de surveillance, illustre précisément les conséquences d'une responsabilité insuffisante des fournisseurs.
Étape pratique : Les contrats avec les fournisseurs doivent spécifier les obligations de suppression des données, les délais de notification des violations dans les 72 heures comme l'exige l'article 33 du RGPD, les restrictions sur l'utilisation secondaire des données biométriques et l'attribution des responsabilités en cas de non-conformité à tous les niveaux de sous-traitance.
La minimisation des données est à la fois une exigence fondamentale du RGPD et la stratégie de réduction des risques la plus efficace. Chaque élément de données qui n'est pas collecté ne peut pas être violé, mal utilisé ou soumis à un examen réglementaire. L'amende infligée à la Liga a explicitement cité la disponibilité d'alternatives moins intrusives comme preuve que le système biométrique ne respectait pas le principe de proportionnalité.
Étape pratique : Établissez une correspondance entre chaque élément de données collecté et une finalité opérationnelle spécifique et documentée. Si un élément de données ne peut pas être justifié par un besoin légitime et proportionné, retirez-le du champ de collecte avant le déploiement.
L'incident de faux positif de Cardiff, au cours duquel 2 297 personnes innocentes ont été signalées comme des criminels potentiels par un système automatisé, illustre précisément pourquoi la surveillance par l'IA devrait éclairer la prise de décision humaine plutôt que de la remplacer. Aucune mesure d'exécution ne devrait être prise uniquement sur la base d'une correspondance biométrique automatisée ou d'un signalement comportemental. Lesexigences en matière de supervision humaine de l'Acte sur l'IA de l'UE pour les systèmes d'IA à haut risque codifient ce principe dans la loi à partir d'août 2026.
Étape pratique : Documentez l'étape de l'examen humain comme un passage procédural obligatoire avant toute action ayant des conséquences, y compris le refus d'entrée, l'escalade aux forces de l'ordre ou la détention. Formez le personnel de sécurité à évaluer de manière critique les alertes de l'IA plutôt qu'à les traiter comme des résultats définitifs.
La transparence est le fondement de la légitimité publique des programmes de surveillance. La controverse sur les libertés civiles lors de la Coupe du Monde 2026, y compris lesavis de voyage documentés de l'ACLU, les déclarations deplus de 120 groupes de la société civile et les préoccupations concernant le partage de données avec l'ICE, n'est pas purement un problème juridique. C'est un problème de confiance, et les problèmes de confiance ont des conséquences qui perdurent bien au-delà de toute amende réglementaire individuelle.
La norme de divulgation pour des événements de cette ampleur devrait dépasser les exigences légales minimales. Une communication claire, accessible et multilingue sur les technologies de surveillance utilisées, les données collectées, la durée de leur conservation, les droits des individus et la personne à contacter en cas de préoccupations, témoigne d'un véritable respect pour les personnes surveillées. Cela renforce également la confiance du public, dont dépendent finalement les opérations de sécurité efficaces.
Il y a une ironie au cœur de la surveillance par IA opaque et mal gérée : elle a tendance à produire de moins bons résultats en matière de sécurité, et non de meilleurs. Les systèmes qui génèrent destaux de faux positifs de 92 % consomment des ressources de sécurité pour enquêter sur des personnes innocentes tout en permettant potentiellement à de véritables menaces de passer inaperçues. Les systèmes qui manquent de surveillance humaine ne peuvent pas corriger les erreurs algorithmiques. Les systèmes qui perdent la confiance du public génèrent des frictions politiques et juridiques qui limitent leur utilisation légitime.
Lesévolutions politiques plus larges ont créé de nouvelles attentes de la part des régulateurs ainsi que de nouvelles voies de déploiement. Les organisations qui impliquent leCEPD et les autorités nationales de protection des données avant le déploiement, partagent leurs AIPD de manière proactive et sollicitent l'avis des régulateurs sont systématiquement mieux positionnées que celles qui traitent les régulateurs comme des adversaires à gérer après coup.
La tendance est à une automatisation et une capacité prédictive accrues. Les systèmes qui alertent actuellement sur les comportements détectés sont en cours de développement pour prédire les comportements avant qu'ils ne se produisent, en utilisant des données de modèles historiques, des signaux environnementaux et la modélisation comportementale.Ce virage prédictif soulève de profondes questions sur la procédure régulière et les implications d'agir sur des prédictions algorithmiques plutôt que sur des comportements observés, des questions que les régulateurs commencent tout juste à aborder.
Lesobligations de pleine application de la loi européenne sur l'IA entreront en vigueur le 2 août 2026. Au Royaume-Uni, le ministre de l'Intérieur s'est engagé en juillet 2025 à créerun cadre de gouvernance approprié pour la reconnaissance faciale. Des cadres similaires progressent au Canada, au Brésil et en Inde. La fenêtre de déploiement des systèmes biométriques sans base légale claire se referme rapidement.
Le risque à long terme le plus sous-estimé est peut-être celui que la Coupe du Monde 2026 démontre en temps réel : les infrastructures de surveillance déployées pour un événement temporaire ont tendance à devenir permanentes.Le tournoi de 2022 au Qatar a déployé plus de 15 000 caméras qui restent actives aujourd'hui.Les autorités de l'État du Mexique ont déclaré que l'infrastructure de surveillance installée pour le tournoi de 2026 restera opérationnelle après sa fin, utilisée pour la surveillance continue et les enquêtes judiciaires.
La normalisation de la surveillance à travers les événements sportifs, introduisant la technologie lors d'occasions populaires et politiquement simples et la laissant en place une fois que l'attention du public se déplace, est un défi de gouvernance qui dépasse largement le mandat de tout responsable de la conformité individuel.
La trajectoire à long terme est celle de cadres de gouvernance de l'IA proactifs, fondés sur des principes et intégrés à la culture organisationnelle. Les organisations de premier plan se tournent vers des principes éthiques de l'IA avec des conséquences opérationnelles, des structures de gouvernance dotées d'une réelle autorité sur les décisions d'approvisionnement et des pratiques de transparence qui dépassent les exigences réglementaires minimales. Dans le contexte de la surveillance sportive, cela signifie traiter la conformité non pas comme une contrainte pour les programmes de sécurité, mais comme un principe de conception pour ceux-ci.
La Coupe du Monde de la FIFA 2026 n'est pas seulement un tournoi de football. C'est le plus grand test en direct de surveillance civile par IA jamais réalisé, qui se déroule en temps réel dans trois pays, 16 sites et des millions de participants de plus de 100 nations, dont beaucoup n'ont aucune information claire sur les données biométriques collectées à leur sujet, leur lieu de stockage ou leur date de suppression.
Le bilan de conformité qui le précède est instructif.La Liga a été condamnée à une amende d'un million d'euros. Leclub Osasuna a été condamné à une amende de 200 000 euros. LeFC Barcelone a été condamné à une amende de 500 000 euros. Untaux de faux positifs de 92 % lors de la finale de la Ligue des champions 2017 a identifié à tort plus de 2 000 personnes innocentes comme des criminels potentiels. Ce ne sont pas des anecdotes historiques. Ce sont des actions d'exécution récentes et des échecs documentés lors d'événements de moindre envergure que celui en cours.
Lesobligations de pleine application de l'Acte sur l'IA de l'UE entrent en vigueur le 2 août 2026. L'Illinois BIPA reste entièrement justiciable. LeRGPD continue de s'appliquer à chaque résident de l'UE qui franchit un portique biométrique à Miami, Boston ou Atlanta. L'exposition juridique des organisations qui ont déployé ces systèmes sans AIPD conformes, sans calendriers de conservation définis, sans avis de transparence adéquats et sans mécanismes de supervision humaine est substantielle et immédiate.
Les organisations qui navigueront avec succès dans ce paysage seront celles qui traiteront la conformité non pas comme un obstacle à la sécurité, mais comme une condition de celle-ci. Les programmes de surveillance qui génèrent des faux positifs à grande échelle, qui manquent de confiance du public et qui violent la loi sur la protection des données ne rendent pas les événements plus sûrs. Ils les rendent légalement exposés, publiquement contestés et opérationnellement moins efficaces.
À mesure que les capacités de surveillance de l'IA continuent de progresser et que les cadres réglementaires se renforcent, l'écart entre les organisations dotées d'une gouvernance mature de l'IA et celles qui n'en ont pas ne fera que s'accentuer. Pour des événements de l'ampleur de la Coupe du Monde, faire les choses correctement n'est pas seulement une obligation légale. Compte tenu de l'héritage infrastructurel permanent que ces déploiements laissent derrière eux, c'est une responsabilité qui perdure au-delà du coup de sifflet final.
Découvrez les meilleures pratiques de gouvernance ESG pour les entreprises françaises, couvrant la supervision du conseil, les contrôles ESG, la CSRD/ESRS, l'AMF, l'ACPR, Sapin II...
Découvrez comment un cadre ESG clarifie les rôles, les contrôles, la conformité, le reporting et la supervision du conseil d'administration pour une gouvernance durable plus...
Découvrez les rôles en matière de critères ESG au sein du conseil, de la direction, de la conformité, des risques, des finances, des RH et...