Comprendre les limites juridiques et éthiques du renseignement en sources ouvertes afin d’en faire un outil fiable, responsable et utile à la décision.

L’essentiel

Le développement du numérique, des réseaux sociaux, des bases de données accessibles en ligne et des outils d’analyse a considérablement augmenté la quantité d’informations disponibles en sources ouvertes.

Pour les professionnels de l’intelligence économique, de la sécurité, de la sûreté ou de l’analyse des risques, ces informations constituent une ressource précieuse pour comprendre un environnement, identifier des risques, anticiper certaines évolutions et éclairer la prise de décision.

Cependant, une information accessible n’est pas nécessairement une information librement exploitable.

La collecte, la conservation, l’analyse, la reproduction ou la diffusion de données peuvent être soumises à différentes règles juridiques, contractuelles ou déontologiques.

Le renseignement en sources ouvertes doit donc s’inscrire dans une démarche reposant sur plusieurs principes fondamentaux : légalité, légitimité, proportionnalité, traçabilité et éthique.

Le renseignement en sources ouvertes : de quoi parle-t-on ?

Le renseignement en sources ouvertes, couramment désigné par l’acronyme OSINT – Open Source Intelligence, consiste à rechercher, collecter, recouper et analyser des informations accessibles à partir de sources ouvertes afin de produire une information exploitable.

Ces sources peuvent notamment comprendre :

• les sites internet accessibles au public ;
• les publications institutionnelles ;
• les registres et bases de données accessibles légalement ;
• les médias ;
• les publications scientifiques et professionnelles ;
• les réseaux sociaux ;
• les rapports publics ;
• les données géographiques ou cartographiques ;
• les documents librement consultables ;
• certaines bases accessibles sur abonnement.

La notion de « source ouverte » ne signifie donc pas nécessairement source gratuite.

Une information peut être accessible légalement tout en étant soumise à un abonnement, à des conditions d’utilisation ou à certaines restrictions concernant sa reproduction et sa réutilisation.

L’enjeu ne consiste ainsi pas uniquement à déterminer si une information peut techniquement être trouvée, mais également à comprendre dans quelles conditions elle peut être obtenue et utilisée.

1. Distinguer les différents niveaux d’accès à l’information

Dans une démarche de renseignement, toutes les informations ne présentent pas le même niveau d’accessibilité.

Cette distinction constitue une première étape essentielle.

Les sources ouvertes

Les sources ouvertes correspondent aux informations accessibles légalement au public.

Elles peuvent être gratuites ou payantes, mais leur consultation ne nécessite normalement pas de contourner un mécanisme de sécurité ou d’utiliser un accès auquel la personne n’est pas autorisée.

Il peut notamment s’agir d’informations publiées par une administration, une entreprise, un média, une organisation ou un particulier.

Les sources à accès restreint

À l’inverse, certaines informations sont protégées par des mécanismes d’accès spécifiques : authentification, droits particuliers, habilitation, autorisation ou environnement informatique fermé.

Le fait qu’une information présente un intérêt pour une enquête ou une analyse ne donne évidemment pas le droit de contourner les protections permettant d’y accéder.

L’obtention d’informations par intrusion, usurpation, contournement d’un dispositif de sécurité ou utilisation frauduleuse d’identifiants peut entraîner des conséquences juridiques importantes.

Les situations intermédiaires

Entre ces deux catégories peuvent apparaître des situations plus complexes.

Une information peut par exemple être techniquement accessible tout en provenant :

• d’une fuite de données ;
• d’une publication accidentelle ;
• d’un document dont l’origine est incertaine ;
• d’un espace initialement destiné à un public limité ;
• d’une plateforme imposant des conditions particulières d’utilisation ;
• d’une base dont la réutilisation est encadrée.

L’accessibilité technique d’une donnée ne suffit donc pas, à elle seule, à déterminer la légitimité de son exploitation.

2. Se poser les bonnes questions avant toute recherche

Avant d’engager une démarche de renseignement en sources ouvertes, plusieurs questions permettent de sécuriser la méthode utilisée.

01 — Suis-je légitime à rechercher cette information ?

La première interrogation doit porter sur l’objectif de la recherche.

Pourquoi cette information est-elle recherchée ?

Dans quel cadre ?

Pour répondre à quel besoin ?

Lorsqu’une mission est réalisée pour le compte d’une organisation ou d’un client, son périmètre doit être suffisamment défini.

Une lettre de mission, un cahier des charges ou tout autre document permettant de préciser l’objectif et les limites de la recherche peut contribuer à clarifier ce cadre.

02 — Quelle est l’origine de l’information ?

Une information trouvée sur internet n’est pas nécessairement une information dont l’origine est légitime.

Il convient notamment de s’interroger lorsqu’un document semble provenir :

• d’une fuite de données ;
• d’un accès non autorisé ;
• d’un piratage informatique ;
• d’une divulgation accidentelle ;
• d’une source dont l’authenticité ne peut être déterminée.

Cette question devient particulièrement importante lorsque les informations concernent des données sensibles ou personnelles.

03 — Puis-je collecter et conserver ces données ?

L’accès à une information ne signifie pas nécessairement que toutes les formes de collecte ou de conservation sont autorisées.

Selon la nature des informations et leur utilisation, différentes règles peuvent notamment concerner :

• la protection des données personnelles ;
• la durée de conservation ;
• la sécurité des données ;
• les droits des personnes concernées ;
• les finalités du traitement.

Le principe de proportionnalité doit également être pris en considération : collecter davantage d’informations que nécessaire n’améliore pas forcément la qualité d’une analyse.

04 — Puis-je reproduire et réutiliser cette information ?

Une information accessible publiquement peut rester protégée.

Il convient notamment de prendre en compte :

• la propriété intellectuelle ;
• les droits d’auteur ;
• les droits associés aux bases de données ;
• les conditions générales d’utilisation d’un service ;
• les restrictions relatives à la reproduction ou à la diffusion.

L’accessibilité d’un contenu ne doit donc pas être confondue avec une autorisation générale de reproduction ou d’exploitation.

05 — Puis-je démontrer l’origine de mes informations ?

La traçabilité constitue l’un des fondements d’une analyse professionnelle.

Une information importante doit pouvoir être reliée à une source identifiable.

Le sourçage permet notamment :

• de vérifier l’information ;
• d’évaluer la fiabilité de la source ;
• de retrouver son contexte ;
• de distinguer les faits des interprétations ;
• de permettre une réévaluation ultérieure de l’analyse.

Une analyse de qualité ne repose donc pas uniquement sur la quantité d’informations collectées, mais sur leur fiabilité, leur contextualisation et leur traçabilité.

3. De l’information au renseignement : la nécessité de vérifier et de recouper

Trouver une information ne constitue que la première étape.

Une information disponible en ligne peut être exacte, partiellement exacte, obsolète, sortie de son contexte, manipulée ou totalement fausse.

Le travail d’analyse consiste donc à transformer une masse d’informations en éléments suffisamment fiables pour contribuer à la compréhension d’une situation.

Cela implique notamment de :

• identifier l’origine de l’information ;
• évaluer la crédibilité de la source ;
• rechercher la date de publication ;
• replacer l’information dans son contexte ;
• rechercher des sources indépendantes permettant de la confirmer ;
• distinguer les faits des opinions ;
• identifier les éventuelles contradictions ;
• signaler les incertitudes.

Cette démarche est particulièrement importante dans un environnement numérique marqué par la circulation rapide de contenus manipulés, de désinformation et de documents sortis de leur contexte.

Le renseignement ne consiste pas seulement à trouver. Il consiste à vérifier, comprendre, contextualiser et analyser.

4. L’éthique, une composante essentielle de la démarche

Le respect du droit constitue une condition fondamentale, mais il ne répond pas nécessairement à toutes les situations rencontrées dans une activité de renseignement ou d’intelligence économique.

Une démarche peut parfois être techniquement possible sans être pour autant proportionnée ou éthiquement justifiable.

C’est pourquoi les professionnels doivent également s’interroger sur les conséquences de leurs pratiques.

Parmi les principes essentiels figurent notamment :

• le respect de la confidentialité ;
• la protection des informations confiées par un client ou une organisation ;
• le respect de la propriété intellectuelle ;
• la proportionnalité des recherches ;
• l’intégrité professionnelle ;
• la transparence sur les limites d’une analyse ;
• le refus de méthodes manifestement contraires au droit ou à l’éthique.

La confiance constitue en effet une composante essentielle des métiers de l’intelligence économique et du renseignement en sources ouvertes.

5. Le rôle des chartes professionnelles

Plusieurs organisations professionnelles ont développé des principes déontologiques destinés à encadrer les pratiques de l’intelligence économique.

Ces démarches rappellent notamment la nécessité de :

• respecter la législation applicable ;
• préserver la confidentialité ;
• protéger les informations obtenues dans le cadre d’une mission ;
• respecter la propriété intellectuelle ;
• informer un client lorsque la mission demandée présente un risque juridique ou éthique ;
• refuser une mission incompatible avec les principes professionnels ;
• préserver les intérêts fondamentaux de l’État.

Les chartes professionnelles ne remplacent évidemment pas la loi.

Elles permettent néanmoins de définir des standards de comportement et de responsabilité professionnelle.

6. Le renseignement comme outil d’aide à la décision

Dans le domaine de l’intelligence économique, le renseignement n’a pas pour seule finalité d’accumuler des informations.

Sa valeur repose sur sa capacité à réduire l’incertitude et à éclairer une décision.

Une démarche structurée peut notamment permettre à une organisation :

• d’identifier des opportunités ;
• d’anticiper certaines évolutions ;
• de mieux comprendre son environnement ;
• d’identifier des risques ;
• de protéger ses collaborateurs ;
• de protéger son patrimoine informationnel ;
• d’analyser un environnement concurrentiel ;
• d’améliorer sa capacité d’anticipation ;
• d’appuyer une décision stratégique.

La collecte n’est donc qu’un moyen.

La finalité demeure la production d’une information contextualisée et exploitable par le décideur.

7. Intelligence artificielle et OSINT : de nouvelles responsabilités

L’arrivée massive des outils d’intelligence artificielle renforce encore les capacités d’exploitation des sources ouvertes.

Ces technologies permettent notamment d’accélérer :

• la recherche documentaire ;
• le classement de grandes quantités d’informations ;
• l’analyse de contenus ;
• la traduction ;
• l’identification de relations entre différentes données ;
• la synthèse de documents.

Mais l’automatisation ne supprime ni les obligations juridiques ni la responsabilité humaine.

Elle introduit également de nouveaux risques : erreurs d’interprétation, informations inventées ou incorrectes, biais, perte du contexte initial, difficulté à déterminer l’origine d’une information ou reproduction d’informations non vérifiées.

L’utilisation de l’intelligence artificielle dans une démarche OSINT doit donc s’accompagner d’une vérification humaine et d’une traçabilité suffisante des sources utilisées.

L’outil peut assister l’analyste. Il ne doit pas remplacer son jugement critique.

Points de vigilance

Une démarche de renseignement en sources ouvertes doit notamment éviter plusieurs confusions.

Accessible ne signifie pas librement exploitable.

Public ne signifie pas nécessairement réutilisable sans restriction.

Disponible en ligne ne signifie pas authentique.

Une information unique ne constitue pas nécessairement une information fiable.

La possibilité technique de collecter une donnée ne suffit pas à justifier sa collecte.

L’intelligence artificielle ne dispense jamais de vérifier les sources et les résultats produits.

Ces principes doivent accompagner l’ensemble du cycle de recherche, de collecte et d’analyse.

Ce qu’il faut retenir

Le renseignement en sources ouvertes n’est pas une zone de non-droit.

L’efficacité d’une démarche OSINT ne se mesure pas uniquement à la quantité d’informations trouvées.

Elle repose sur la capacité à rechercher des informations de manière légale et légitime, à en vérifier l’origine, à les recouper, à les contextualiser et à respecter les droits associés à leur utilisation.

Une pratique professionnelle doit ainsi rechercher un équilibre entre performance de la collecte, fiabilité de l’analyse, protection des données, traçabilité et éthique.

Perspectives

La multiplication des données accessibles en ligne, le développement des réseaux sociaux et l’essor de l’intelligence artificielle vont continuer à transformer profondément les pratiques de recherche et d’analyse.

Les capacités techniques permettant d’identifier, de croiser et d’exploiter des informations deviennent toujours plus importantes.

Cette évolution ne réduit pas la nécessité d’un cadre juridique et éthique. Elle la renforce.

La valeur du renseignement en sources ouvertes ne reposera donc pas uniquement sur la capacité à trouver rapidement une information, mais également sur la capacité à démontrer son origine, évaluer sa fiabilité, comprendre son contexte et justifier son utilisation.

Dans cet environnement informationnel toujours plus complexe, la maîtrise des outils doit rester indissociable de la responsabilité de ceux qui les utilisent.

Publication ADESS – Analyse stratégique

ADESS – Association des Experts en Sécurité et Sûreté

Cette publication contribue à la compréhension et à la réflexion sur les enjeux liés à la sécurité, à la sûreté et à l’intelligence économique. Elle présente des éléments généraux d’analyse et ne constitue pas un avis juridique individualisé.

Pierre VERDIN – ID : 7319745