Robert Steiner possède plus de vingt ans d’expérience dans le développement de produits conformes aux réglementations et la mise en place de partenariats dans les secteurs bancaire, pharmaceutique, industriel et des technologies d’entreprise. Il a su naviguer entre les normes PCI DSS, RGPD, GxP, SOX, PSD2, eIDAS et WCAG dans des environnements multi-juridictionnels, avec des équipes réparties sur les cinq continents. Il occupe aujourd’hui le poste de vice-président de COMPASS.

Question : Quelle est la mission de COMPASS ?

M. Steiner : L’Europe rédige de bonnes lois, mais les met mal en œuvre. Il existe un fossé considérable entre la loi telle qu’elle est publiée au Journal officiel et la loi telle qu’elle est vécue par une personne qui clique sur « Accepter tous les cookies » à 7 heures du matin. COMPASS a pour vocation de combler ce fossé.

La mission qui sous-tend tout cela est simple : la technologie numérique doit être au service des êtres humains, et non l’inverse. La réglementation est le mécanisme, tandis que l’expérience humaine, la dignité et la participation en constituent le fond. »

Question : Quel type de travail menez-vous ? Et comment l’organisation s’y prend-elle ?

M. Steiner : Nous menons quatre types d’activités : nous surveillons la mise en œuvre – en suivant la manière dont des réglementations telles que la loi sur l’IA, le RGPD et la DSA se comportent une fois qu’elles quittent Bruxelles et se heurtent à la réalité. Nous publions des analyses indépendantes : nos derniers articles portent sur le vote « Omnibus » de la loi européenne sur l’IA, un guide pratique sur l’application de cette loi sur le terrain, et le mécanisme de consentement aux cookies, qualifié de « théâtre de la vie privée ». Nous traduisons : les mêmes éléments de preuve doivent être compréhensibles aussi bien pour un responsable de la conformité que pour un adolescent de quinze ans, sans être édulcorés pour l’un ou l’autre. Et nous transmettons nos conclusions aux personnes chargées de rédiger et de faire appliquer les règles. À condition, bien sûr, qu’elles soient disposées à écouter .

La manière dont nous procédons compte autant pour nous que ce que nous faisons. Les affirmations que nous publions renvoient à des sources vérifiables, les constatations sont distinctes des déductions, et des rectificatifs sont publiés lorsque les faits l’exigent. Nous avons mis en place l’infrastructure de gouvernance – politique en matière de conflits d’intérêts, éthique du financement, protection des données dès la conception – dès le premier jour plutôt que de la mettre en place a posteriori, et nous mettons en pratique ce que nous prônons, jusqu’à disposer d’un site web sans « dark patterns », sans cookies – pas même fonctionnels – et sans aucune publicité ni script de profilage d’aucune sorte. Les seules analyses que nous effectuons sont sans cookies et agrégées.

Question : Qu’est-ce qui a motivé la création de COMPASS ? Y a-t-il eu un événement particulier ?

Logo COMPASS. Image : COMPASS

M. Steiner : Il s’agit moins d’un événement isolé que d’un schéma qui ne cessait de se répéter. L’exemple le plus révélateur est celui que tous les Européens connaissent intimement : le consentement aux cookies. Une loi destinée à protéger la vie privée qui, en raison d’une mauvaise mise en œuvre, a conditionné des centaines de millions de personnes à cliquer sur « Tout accepter », obtenant ainsi exactement le contraire de son objectif. Personne n’avait pour mission spécifique de surveiller cette lacune. Les universités étaient trop grandes pour agir assez rapidement, les régulateurs manquaient de profondeur opérationnelle, les cabinets de conformité au service des entreprises se consacraient à leurs clients payants, et les militants sont souvent trop facilement écartés comme des adversaires par les institutions qui doivent changer. Ce n’est peut-être pas une vérité très réjouissante, mais c’est malheureusement la réalité.

Lorsque nous avons examiné la loi sur l’IA (AI Act) arrivant dans ce même vide, à une échelle qui fait passer le RGPD pour gérable, la conclusion s’imposait d’elle-même.

Nous avons fondé COMPASS par conviction personnelle – par amour de la technologie et de l’Europe – car l’alternative aurait été de voir l’histoire des bannières de cookies se répéter avec des enjeux bien plus importants. Et tout cela s’est passé avant l’Omnibus numérique – nous ne l’avions très certainement pas vu venir. »

Question : Quelles lois ou réglementations européennes suivez-vous actuellement de plus près ? Y a-t-il une tendance émergente ou un enjeu que vous souhaiteriez mettre en avant ?

M. Steiner : Je surveille de très près la loi européenne sur l’IA et l’impact que l’« Omnibus numérique » a sur celle-ci, le RGPD tel qu’il est appliqué dans la pratique plutôt que tel qu’il est rédigé, la DSA, ainsi que le « Chat Control », qui constitue une menace législative concrète pour le chiffrement. C’est un sujet sur lequel vous vous êtes montré très franc – et cela nous a vraiment rendus fiers de vous avoir choisi.

La question fondamentale que je voudrais souligner est que le fossé de mise en œuvre que nous avons été créés pour surveiller se creuse désormais de manière délibérée. L’accord sur l’« Omnibus numérique » conclu en mai dernier repousse les obligations relatives aux risques élevés de la loi sur l’IA – les règles couvrant l’IA dans le recrutement, l’éducation et les services essentiels – du 2 août 2026 au 2 décembre 2027. L’UE a déjà décidé que ces systèmes présentaient des risques élevés ; elle vient également de décider qu’ils pouvaient attendre seize mois. Enfin… « décidé »… à l’issue d’un processus préparatoire au cours duquel, sur les 138 personnes invitées aux cinq réunions clés « Reality Check » de la Commission, 114 représentaient le monde des affaires et neuf la société civile — le Corporate Europe Observatory a documenté ces faits en novembre 2025.

Le lobbying est et reste un défi majeur pour l’UE. Nous avons analysé en détail le vote sur le paquet « Omnibus » au Parlement, et le nombre d’abstentions en dit long. Vous pouvez consulter la source des chiffres du « Reality Check » ici.

La carte des déficits structurels montre quelles réglementations numériques de l’UE COMPASS surveille. Capture d’écran : COMPASS

Trois tendances s’inscrivant dans ce cadre nous inquiètent particulièrement. Premièrement, le « contrôle des chats » : la normalisation de l’idée selon laquelle le chiffrement est négociable, ce que vos lecteurs savent mieux que quiconque.

Deuxièmement, ce que les chercheurs appellent les « monocultures algorithmiques » dans le recrutement — un sujet qui nous obsède quelque peu et qui a à peine été évoqué, même sur LinkedIn, là où on s’y attendrait le plus. Lorsque de nombreux employeurs utilisent les mêmes modèles de sélection par IA, un même candidat se voit rejeté partout en raison du même jugement statistique – un mode de défaillance que les obligations relatives aux risques élevés de la loi sur l’IA (AI Act) étaient censées corriger, à l’origine dans deux semaines. Jusqu’en décembre 2027, les seules mesures de protection sont des règles qui n’ont jamais été conçues pour ce problème, et le paquet Omnibus n’apporte aucune solution provisoire quant à la manière dont les Européens sont censés être protégés entre-temps.

Et troisièmement, un aspect culturel, voire de la culture populaire : le partage prolifique, quasi spam, sur les réseaux sociaux d’outils et de workflows de « vibe-coding », sans aucune évaluation critique des risques liés à la vie privée ou à la sécurité. On voit des influenceurs recommander des outils sans le moindre sens des responsabilités, même si quelqu’un devait subir des conséquences négatives en suivant leurs conseils. Le problème ne réside pas dans les outils, mais dans le manque d’esprit critique et l’adoption aveugle sans évaluation : des identifiants collés dans des invites, du code généré et déployé sans vérification, une posture de sécurité héritée d’un tutoriel. Il n’est vraiment pas difficile de copier-coller une politique de confidentialité dans n’importe quel LLM pour vérifier s’il existe des risques ; le problème, c’est qu’il n’y a aucune prise de conscience de la nécessité de le faire.

Question : Qu’est-ce qui est important pour vous en matière de communication par e-mail ?

M. Steiner : Il existe de nombreux aspects essentiels à prendre en compte lors du choix d’un fournisseur de messagerie, en particulier pour son organisation. Nous ne pouvons que partager ce que nous avons jugé le plus crucial pour la communication par e-mail : qu’elle soit sécurisée et confidentielle, que les traceurs, les adresses e-mail suspectes ou les liens soient soit supprimés, soit signalés comme un risque, que l’interface utilisateur soit facile à utiliser, et qu’il s’agisse d’un service européen.

Nous ne pourrions pas être plus satisfaits d’avoir choisi Tuta. Et ce, forts de notre expérience en gestion de produits et de vingt années d’utilisation intensive et quotidienne de la messagerie électronique. Le principal défi que nous souhaitions relever était d’utiliser une solution unique, simple, conviviale et sécurisée pour toutes nos adresses e-mail : une solution européenne jouissant d’une réputation irréprochable en matière de sécurité et de protection des données. »

Question : Pourquoi avez-vous choisi Tuta Mail plutôt qu’un autre fournisseur de messagerie ?

M. Steiner : Lorsque nous sélectionnons des prestataires – et il en va de même pour l’hébergement et d’autres services –, nous choisissons ceux dont les valeurs correspondent véritablement aux nôtres. Nous avons fondé COMPASS par conviction personnelle, par amour de la technologie et de l’Europe, et nous apprécions les prestataires qui croient sincèrement en ce qu’ils font.

Question : Qu’appréciez-vous le plus chez Tuta Mail et pourquoi est-ce important ?

M. Steiner : En tant que responsable produit, me demander de choisir une seule fonctionnalité préférée revient à me demander de choisir mon parfum de glace préféré : elles s’accordent si bien ensemble que je vais m’en autoriser trois. :) Ma préférée serait la possibilité de restreindre le partage de communications sensibles à l’aide d’un mot de passe. C’est tellement simple, si élégamment conçu et tellement utile lorsque l’on partage quelque chose et que l’on souhaite s’assurer de bénéficier de cette couche supplémentaire de sécurité et de confidentialité. Juste après, à égalité, je citerais la notification d’alerte lorsqu’un message provient d’une adresse e-mail qui n’a pas pu être vérifiée. Un petit moment d’inattention à la fin d’une journée particulièrement chargée en e-mails, ou une tentative de fraude sournoise et astucieuse, et en une fraction de seconde, on peut commettre une erreur, quel que soit le nombre de formations en cybersécurité que l’on a suivies – cette fonctionnalité toute simple est donc extrêmement utile. Enfin, il y a la tranquillité d’esprit de savoir que nos communications nous appartiennent : qu’aucun marketing n’est personnalisé à partir de celles-ci, qu’aucun modèle n’est entraîné sur ces données. Il est regrettable que cela soit si unique et si important en 2026, mais c’est le cas, et nous en sommes reconnaissants chaque jour.

Question : Pourquoi est-il important pour vous que Tuta Mail crypte de bout en bout toutes les données possibles ?

M. Steiner : Alors que Meta a supprimé le chiffrement de bout en bout des messages privés d’Instagram en mai dernier, et que Chat Control menace de compromettre une fonctionnalité qui, il n’y a pas si longtemps, était simplement considérée comme la norme d’un service de haute qualité, il est essentiel que des fournisseurs comme Tuta défendent les pratiques et les valeurs que nous n’aurions jamais pensé voir remises en question par les institutions mêmes auxquelles nous faisions confiance pour protéger notre vie privée. La raison invoquée par Meta, soit dit en passant, était que très peu de personnes optaient pour cette fonctionnalité — ce qui, à mon sens, plaide en faveur de meilleurs paramètres par défaut, et non de sa suppression.

Aujourd’hui plus que jamais, le chiffrement de bout en bout est essentiel pour la démocratie, la liberté d’expression, la participation civique et la capacité à communiquer librement. »

Comme beaucoup, Andrea et moi avions l’habitude d’observer ce qui se passait dans d’autres parties du monde et de nous estimer chanceux d’être Européens. Voir les institutions européennes s’éloigner aujourd’hui de cette norme – et être sur le point de créer un marché légal pour l’analyse des communications privées des Européens – est décourageant.

Question : On considère souvent que Tuta Mail offre à ses clients un avantage en termes de réputation grâce au chiffrement. Est-ce également le cas dans votre pays ? En quoi cela profite-t-il à COMPASS ?

M. Steiner : Comme Tuta fonctionne sous notre propre domaine, les bénévoles, les organisations et les responsables politiques avec lesquels nous communiquons ne savent pas vraiment quels prestataires nous utilisons — en fait, c’est à travers cette interview que nous le révélons publiquement, de manière délibérée. À l’exception, bien sûr, de ce commentaire où j’ai laissé transparaître ma fierté sur LinkedIn, en vous voyant vous battre pour préserver le chiffrement de bout en bout (E2EE). Je dirais que cela fonctionne dans l’autre sens : c’est une attente que l’autre partie a à notre égard, en raison de nos politiques publiques et de notre position sur la vie privée et la protection des données — et avec Tuta, notre infrastructure est à la hauteur de cette attente. En tant qu’ONG, nous veillons particulièrement à rester totalement indépendants de tous nos fournisseurs et partenaires, quelle que soit la relation que nous entretenons avec eux. Cela nous permet à la fois de vous tenir constamment responsables du respect de vos propres normes, et de conserver notre liberté de jugement si jamais nous devions remarquer quelque chose de suspect chez un fournisseur ou un partenaire.

Question : Que diriez-vous à une autre organisation qui envisagerait de passer à Tuta ?

M. Steiner : C’est incroyablement simple et agréable à utiliser. Je pense que la plupart des organisations redoutent l’idée de changer de fournisseur, s’attendant à ce que ce soit complexe, long ou extrêmement fastidieux — je peux vous assurer que ce n’est rien de tout cela. Nous avons transféré nos douze adresses e-mail sans aucun problème, et la prise en main est minime car l’interface utilisateur est assez intuitive. Bien sûr, comme pour tout nouveau service, il faut un jour ou deux pour acquérir la routine, mais l’interface rend vraiment les choses simples.

Impliquez-vous !

Ci-dessous, Robert vous propose trois façons de vous impliquer dans COMPASS, classées par ordre croissant d’engagement.

• Lisez et partagez nos travaux: ils sont publics, gratuits et rédigés de manière à être compréhensibles.

• Devenez bénévole chez nous: nous gérons un programme de bénévolat en pleine expansion à l’échelle de l’UE, proposant des missions concrètes (recherche politique, rédaction, données, conception, subventions) et un véritable portail, et non une boîte de réception où les CV finissent aux oubliettes.

• Soutenez-nous: COMPASS en est à ses débuts, indépendant par conception et autofinancé par nécessité, et chaque contribution est directement affectée au travail de suivi et de sensibilisation.