Meta suspend son programme de surveillance des employés après une fuite de données

Meta a suspendu son programme Model Capability Initiative (MCI) les 22 et 23 juin 2026 après qu'une mauvaise configuration de sécurité a exposé une quantité massive de données sensibles des employés à l'ensemble de l'entreprise, un incident classé en interne SEV 2 (deuxième niveau de gravité le plus élevé, derrière SEV 0 et SEV 1) . Cette pause fait suite à des mois de mécontentement interne face au programme, qui suivait l'activité informatique des employés pour entraîner des agents d'IA — mais c'est la fuite de données, et non les protestations, qui a finalement contraint Meta à agir.

Pourquoi la suspension a eu lieu

Un employé a signalé que les bases de données dorsales du MCI — couvrant plus de 45 000 tables de base de données — avaient été laissées accessibles à tous les employés de Meta sans contrôles d'accès appropriés . Les données exposées comprenaient :

• Les conversations privées et les transcriptions de chats des employés
• Les requêtes et transcriptions des interactions avec les outils d'IA internes
• Les informations de gestion des performances
• Selon certains rapports, des données fiscales et médicales non cryptées pourraient également avoir été capturées

La fuite a été découverte avant que des parties externes n'y accèdent, et Meta a déclaré qu'aucun accès inapproprié n'avait eu lieu . Mais le niveau de gravité (SEV 2) a provoqué une pause immédiate .

Portée du programme : ce que le MCI collectait réellement

• Date de lancement : avril 2026, dans le cadre de l'effort plus large Agent Transformation Accelerator (ATA)
• Ce qui était collecté : mouvements de souris, emplacements des clics, frappes clavier et captures d'écran périodiques depuis des applications et sites Web professionnels désignés
• Qui était concerné : les employés de base basés aux États-Unis ; la participation était effectivement obligatoire
• Objectif : entraîner les agents d'IA de Meta sur la façon dont le travail de bureau est réellement effectué, en capturant les flux de travail réels pour améliorer l'automatisation de l'IA
• Extension prévue : la documentation interne montrait que Meta prévoyait d'étendre ensuite la collecte aux employés non américains, soulevant des préoccupations concernant le RGPD européen

L'opposition interne antérieure

Les réactions négatives ont été immédiates et durables dès le lancement du programme en avril :

• Pétition : plus de 1 500 employés ont signé une pétition s'opposant au suivi obligatoire
• Message du CTO : Andrew Bosworth, le directeur technique, aurait envoyé aux employés un message direct indiquant que le programme était obligatoire
• Premières concessions (début juin) : Meta a réduit la portée du MCI — les employés ont eu la possibilité de suspendre la collecte jusqu'à 30 minutes à la fois, et certaines catégories de données ont été exclues
• Problèmes de confidentialité et juridiques : les employés ont soulevé des plaintes concernant d'éventuelles violations du règlement général sur la protection des données (RGPD) européen, car les communications impliquant des collègues basés dans l'UE pouvaient être collectées

Problèmes de confidentialité et risques réglementaires

Le programme capturait des données à partir d'applications et de sites Web professionnels désignés, mais Reuters a rapporté que Meta a reconnu qu'il pouvait également capturer des communications impliquant des employés non américains . Les régulateurs européens de la protection de la vie privée ont commencé à examiner si le MCI violait les exigences du RGPD concernant le consentement, la minimisation des données et la surveillance des employés .

La fuite de données elle-même — des bases de données non cryptées contenant des conversations privées et des dossiers de performance — a été l'événement culminant qui a forcé la suspension . Elle a transformé des mois de plaintes internes pour violation de la vie privée en une violation de données concrète que Meta ne pouvait ignorer.

En résumé

Le MCI a été suspendu non pas à cause du seul mécontentement des employés, mais à cause d'une défaillance de configuration de sécurité qui a exposé l'ensemble des données extrêmement sensibles du programme à l'ensemble de l'entreprise. L'incident a transformé des mois de plaintes internes pour violation de la vie privée en une violation de données concrète, forçant Meta à interrompre l'initiative le temps de mener son enquête.