Après un an de critiques, Microsoft déploie sa fonctionnalité IA Windows Recall.

L'entreprise promet une expérience sécurisée pour capturer toute votre activité, mais les experts restent sceptiques

Microsoft a finalement lancé au grand public Windows Recall, une fonctionnalité controversée de Windows 11 qui avait été dévoilée il y a presque un an puis retardée. Initialement annoncée en mai 2024, cette fonction devait offrir une « mémoire photographique » à l’ordinateur, en enregistrant en continu l’activité de l’utilisateur pour lui permettre de retrouver facilement des informations consultées précédemment. Cependant, les inquiétudes sur la vie privée ont rapidement éclaté, forçant Microsoft à revoir sa copie. Désormais déployé sur les PC compatibles Copilot+ (les PC Windows 11 équipés de capacités d’IA avancées), Windows Recall arrive avec des améliorations de sécurité et de confidentialité significatives, mais continue de soulever des questions chez les experts en cybersécurité et en protection des données.

Windows Recall se présente comme un outil d’historique intelligent visant à améliorer la productivité des utilisateurs. Concrètement, la fonctionnalité prend des instantanés de l’écran à intervalles réguliers – toutes les quelques secondes – et conserve un journal consultable de tout ce que l’utilisateur fait sur son PC​. Applications ouvertes, fenêtres actives, documents consultés, pages web lues… tout est capturé sous forme de captures d’écran périodiques. L’objectif affiché est de permettre à l’utilisateur de retrouver rapidement un contenu sur lequel il a travaillé ou qu’il a vu précédemment, via une recherche naturelle ou une chronologie visuelle.

Cette « mémoire numérique » est alimentée par l’IA : sur les machines équipées d’un processeur avec unité de traitement neuronal (NPU), les captures sont analysées localement pour créer un index sémantique​. L’utilisateur peut ainsi rechercher un terme ou un contexte, et Recall lui affichera l’instantané correspondant dans son historique. En somme, Windows Recall veut offrir aux professionnels un moyen de ne plus jamais perdre une information vue à l’écran, en comblant les lacunes de la mémoire humaine par une indexation exhaustive de l’activité passée.


Une annonce initiale entachée par la controverse

Dès sa présentation en 2024, Windows Recall a suscité un vif débat autour de la confidentialité. La presse spécialisée et les experts ont rapidement pointé du doigt le potentiel intrusif de cette fonctionnalité capable « d'enregistrer tout ce que fait l’utilisateur sur son PC ». Certains l’ont même comparée à un spyware, parlant de « cauchemar pour la vie privée ». En effet, enregistrer et stocker chaque mot de passe tapé, chaque message confidentiel affiché ou chaque document sensible ouvert revient à constituer une mine d’or de données personnelles. « Recall prend des captures d’écran de tout ce que vous faites dans Windows », résumait un expert, alertant sur le fait que ces données pourraient, en cas d’abus ou de fuite, servir à surveiller les utilisateurs.

Les critiques ne provenaient pas seulement de la communauté technique. Des organismes de régulation se sont également manifestés. Le ICO britannique (Information Commissioner’s Office), le régulateur de protection des données au Royaume-Uni, a indiqué avoir interpellé Microsoft afin de « comprendre quelles mesures de sauvegarde sont en place pour protéger la vie privée des utilisateurs ». Ce parallèle fait avec des outils malveillants (on a parlé de keylogger, ou enregistreur de frappe​ et l’attention des autorités ont mis en évidence un risque : Windows Recall, tel qu’initialement conçu, pourrait créer un gisement de données extrêmement sensible – une cible tentante pour des pirates s’ils parvenaient à l’exploiter.

Face à ce tollé et aux préoccupations en matière de conformité (notamment vis-à-vis du RGPD, le règlement général sur la protection des données en Europe), Microsoft a préféré jouer la prudence. Quelques jours avant la date de lancement prévue en juin 2024, l’entreprise a finalement fait marche arrière et reporté la sortie de Recall​. Ce délai, qui aura duré près d’un an, devait permettre de renforcer la sécurité de la fonctionnalité et de rassurer utilisateurs comme régulateurs.


Un an de retard et des améliorations axées sur la confidentialité

Pendant de longs mois, Microsoft a retravaillé Windows Recall afin de répondre aux critiques formulées. La principale modification annoncée a été de rendre l’outil désactivé par défaut, c’est-à-dire entièrement opt-in. Autrement dit, Recall ne s’activera que si l’utilisateur le choisit expressément – une concession cruciale pour respecter le consentement utilisateur exigé par la réglementation.

Ensuite, Microsoft a verrouillé l’accès aux données capturées. Pour activer Recall la première fois, l’utilisateur doit prouver son identité via le système biométrique Windows Hello (reconnaissance faciale, empreinte digitale ou code PIN sécurisé). Cette authentification forte est également requise à chaque fois que l’on souhaite consulter l’historique des captures dans l’application Recall, assurant que seul l’utilisateur légitime puisse voir ces images. « La première fois que vous activez Recall, vous devez biométriquement prouver que vous êtes l’utilisateur connecté », souligne David Weston, vice-président Sécurité chez Microsoft. Microsoft utilise même une version renforcée de Windows Hello pour éviter qu’un malware ne usurpe l’identité biométrique de l’utilisateur via la caméra​.

En parallèle, toutes les données de Recall sont chiffrées de bout en bout et stockées localement. Microsoft assure qu’aucune des captures n’est jamais transmise sur ses serveurs ou dans le cloud. Les clichés restent dans le stockage de l’appareil, dans un format chiffré et isolé. Weston explique que les clés de chiffrement et les images sont même isolées du reste du système en les plaçant dans le module de sécurité TPM et au sein d’une machine virtuelle sécurisée dédiée. Ainsi, même si le système principal était compromis par...