Lunettes intelligentes et RGPD : Hambourg sur les LED, les micros et les options de refus de l’IA

Une paire de lunettes est un mauvais endroit pour cacher une notice de confidentialité. C’est la leçon pratique du rapport final, ou Abschlussbericht, publié le 10 septembre 2026 par l’autorité de protection des données de Hambourg sur les lunettes Ray-Ban Meta AI Glasses. Le rapport n’est pas utile parce qu’il prédit un avenir de surveillance portée sur le visage. Il est utile parce qu’il traite de petits détails de produit comme des faits relevant du RGPD : ce que les personnes peuvent remarquer, quel son est capté, et qui peut utiliser les données plus tard. Pour les équipes d’entreprise, l’exemption domestique n’est pas le bon point de départ. Un appareil utilisé au travail n’est pas un appareil photo de vacances, même s’il arrive dans une boîte grand public. Si un employé porte des lunettes d’enregistrement auprès de collègues, de clients ou de visiteurs, la question de conformité passe de l’usage personnel au traitement organisationnel. C’est là que les présentations d’achat ont tendance à devenir moins réjouissantes.

Ce que Hambourg a réellement examiné

DataGuidance a décrit le travail du HmbBfDI comme un examen technique et de protection des données des lunettes Ray-Ban Meta AI, axé sur les rôles de responsable du traitement, les difficultés liées au consentement et la reconnaissance faciale potentielle. PPC Land a rapporté que le démontage technique n’avait trouvé aucune reconnaissance faciale active pour le moment. Ce point compte, car il distingue une constatation réelle de la version plus spectaculaire qui circule dans le folklore de la confidentialité.

Hambourg n’avait pas besoin d’une reconnaissance faciale active pour constater un problème. Selon l’examen de Hambourg décrit dans le résumé, la LED d’enregistrement n’est que partiellement visible, cinq microphones enregistrent à chaque vidéo, et les options de refus de l’entraînement de l’IA peuvent avoir une incidence sur la responsabilité avec Meta. Traduit en obligations de bureau, un voyant que certaines personnes peuvent ne pas remarquer n’est pas un programme d’information. L’audio n’est pas accessoire simplement parce que la caméra est la fonctionnalité que tout le monde photographie pour la note d’achat. Et un réglage d’entraînement de l’IA n’est pas un simple bouton décoratif de confidentialité s’il change qui est responsable du traitement en aval.

PPC Land a également rapporté que les données d’entraînement de l’IA ne peuvent pas s’appuyer sur le consentement ou l’intérêt légitime pour les données des personnes présentes à l’arrière-plan de la manière dont Meta en aurait besoin. C’est le point le plus incisif pour les concepteurs. La personne capturée en arrière-plan n’a pas rejoint le déploiement, n’a pas reçu la politique, et peut ne pas savoir que l’appareil enregistre. Le théâtre du consentement ne s’améliore pas lorsqu’il est monté sur l’arête du nez de quelqu’un.

Pourquoi l’exemption domestique échoue au travail

heise online a résumé le risque sans détour : toute personne qui filme des tiers non impliqués avec des lunettes intelligentes, ou qui autorise l’entraînement de l’IA de Meta, perd le privilège de l’exemption domestique. L’exemption domestique est étroite. Elle protège les activités purement personnelles ou domestiques, pas un appareil utilisé au sein d’une organisation pour produire, partager, analyser ou réutiliser des enregistrements liés au travail. Qualifier les lunettes de matériel grand public ne rend pas le traitement privé.

L’effet pratique est que les déploiements en entreprise nécessitent une base juridique, de la transparence et une analyse du rôle de responsable du traitement avant le premier pilote. Cela ne signifie pas que tous les usages sont interdits. Cela signifie que l’organisation doit expliquer ce qui est enregistré, quand l’audio est actif, qui reçoit le résultat, et si l’entraînement de l’IA de Meta est activé ou évité. Si la réponse est que le porteur s’en chargera de manière informelle, la politique a déjà échoué à sa première répétition d’audit.

La référence de DataGuidance aux rôles de responsable du traitement est importante ici. Si l’employeur définit le cas d’usage et bénéficie du résultat, il ne doit pas supposer que Meta porte toute la charge du RGPD. Si Meta utilise les données pour ses propres finalités d’IA, l’analyse change encore. C’est pourquoi la question du refus compte : ce n’est pas une préférence utilisateur enfouie dans les paramètres, cela peut être un indice de responsabilité.

Ce que les concepteurs devraient changer avant un pilote

Workplace Privacy, Data Management and Security Report note que les lunettes d’IA modernes peuvent enregistrer de la vidéo et de l’audio, traiter des conversations en temps réel avec des assistants d’IA, et effectuer des fonctions liées à la biométrie. Cela suffit à rendre un pilote de dispositif portable différent de la remise d’un casque ou d’un lecteur de badge. L’appareil observe des personnes qui ne l’ont pas choisi. Le périmètre de conformité inclut donc les personnes alentour, pas seulement l’employé qui porte la monture.

Pour les équipes produit et informatique, les constats de Hambourg se traduisent en quatre vérifications simples. Premièrement, ne vous fiez pas uniquement à la LED d’enregistrement si le régulateur dit qu’elle n’est que partiellement visible. Deuxièmement, traitez la capture par microphone comme un flux de données principal, pas comme une note de bas de page de la vidéo. Troisièmement, décidez avant le déploiement si les usages d’entraînement de l’IA sont désactivés, restreints ou évalués séparément. Quatrièmement, consignez par écrit qui est responsable du traitement, sous-traitant ou responsable du traitement indépendant pour chaque usage pertinent.

AI Business a rapporté le 5 mars 2026 que des parlementaires européens et l’Information Commissioner’s Office du Royaume-Uni avaient exprimé des inquiétudes après des articles de médias suédois alléguant que des travailleurs sous-traitants avaient visionné du contenu sensible enregistré par des lunettes d’IA. Ce rapport n’est pas le même que l’Abschlussbericht de Hambourg, mais il indique la même leçon pour les entreprises. Une fois que les enregistrements quittent l’écosystème de l’appareil pour l’étiquetage, l’examen, l’amélioration ou l’entraînement, l’histoire de confidentialité ne concerne plus la personne qui porte les lunettes. Elle concerne la chaîne de traitement.

La date limite de conformité précède le bon

de commande Le compte rendu de PPC Land sur l’examen de Hambourg indique que le problème est l’exposition des personnes présentes à l’arrière-plan sans consentement, tandis que heise online présente la conséquence comme la perte de l’exemption domestique lorsque des tiers non impliqués sont filmés ou que l’entraînement de l’IA de Meta est autorisé. Mis ensemble, l’enseignement est assez sobre et très utilisable. Les lunettes intelligentes ne deviennent pas sûres au regard du RGPD parce qu’elles ont l’air normales. Elles ne deviennent gérables que lorsque l’organisation peut expliquer à l’avance l’information, l’audio, la finalité, la responsabilité et les choix d’entraînement de l’IA.

La prochaine chose à surveiller est de savoir si d’autres régulateurs européens adoptent le cadrage de Hambourg pour les déploiements en milieu professionnel. Si c’est le cas, la question pour les concepteurs ne sera pas de savoir si les objets connectés portables sont enthousiasmants. Elle sera de savoir si le déploiement peut résister à la première plainte d’un employé, à la première demande d’accès d’un visiteur ou au premier examen de diligence raisonnable d’un fournisseur. C’est un critère moins glamour, ce qui est généralement le signe que c’est le bon.