Au Canada, un étudiant qui avait une petite faim a découvert un message un peu perturbant sur un distributeur de M&M's : une fenêtre d'erreur de Windows — le fait d'utiliser Windows n'est pas le problème — indiquant que le processus Invenda.Vending.FacialRecognition.App.exe avait eu un souci. Le nom de l'application l'a évidemment fait réagir.

Il a posté l'image sur Reddit, ce qui a médiatisé l'affaire dans un journal de l'Université de Waterloo. Visiblement, la machine gérée par Invenda est capable d'estimer l'âge et le genre de la personne qui achète quelque chose, sans nécessiter son consentement. La compagnie, contactée par Ars Technica, indique d'ailleurs que son dispositif est conforme au RGPD européen (qui n'a pas cours au Canada), que l'appareil ne collecte pas de données au sujet de ses utilisateurs et qu'il n'a pas les capacités d'identifier une personne en particulier. Si le RGPD demande un consentement explicite pour le traitement des photos du visage, la marque explique que ce n'est pas nécessaire : elle n'effectue pas de reconnaissance faciale mais effectue de l'analyse faciale et de la détection de personnes.

La nuance semble importante : la machine ne tente pas d'identifier une personne qui aime les M&M's, mais de déterminer combien de personnes aiment les M&M's, avec des informations supposément basiques sur l'âge et le genre. Elle indique par ailleurs que les données ne sont pas stockées ni transmises. Reste que dans les faits, sans ce bug, les étudiants de l'université de Waterloo — et probablement de nombreuses autres personnes dans le monde — n'auraient pas pu découvrir que la machine les enregistrait à leur insu. Qui plus est, il faut le prendre en compte, si la machine n'enregistre pas de données personnelles¹, les données analysées, elles, sont bien fournies aux clients d'Inveda (dans le cas présent, le groupe Mars). Et la prochaine fois que vous achèterez des M&M's (ou des Treets pour les plus vieux d'entre-vous), vous regardez peut-être la machine d'un autre œil.