Après la crise de Ceuta l’Europe doit apprendre à sécuriser ses frontières numériques

Tout l’été, le Grand Continent restera en mouvement. Chaque jour, nous vous apporterons où que vous soyez des idées que vous ne trouverez nulle part ailleurs (mais qui seront partout à la rentrée), des textes introuvables ou rafraîchissants avec nos Dimanches. Pour les recevoir directement dans votre boîte mail et soutenir cet élan, pensez à vous abonner à la revue

Entre le 30 et le 31 juillet 2026, entre 50 000 et 60 000 personnes ont franchi en quelques heures la frontière entre le Maroc et l’exclave espagnole de Ceuta. Plus de soixante-dix sont mortes. Ce n’est pas un fait divers migratoire de plus. C’est la première attaque hybride algorithmique de grande ampleur menée contre une frontière extérieure de l’Union. En un mot, c’est la démonstration que la désinformation ciblée peut désormais produire, en moins de vingt-quatre heures, un choc humain et politique équivalent à celui d’une opération de force.

Nous connaissions la « guerre des migrants » telle que Minsk et Moscou l’ont conduite depuis 2021 aux frontières de la Pologne, de la Lituanie et de la Finlande. Nous découvrons aujourd’hui sa version 2.0 : plus rapide, plus virale, plus démultipliée et moins attribuable. Il est de notre responsabilité collective d’en tirer, toutes affaires cessantes, les véritables leçons.

Ce que nous savons, ce que nous devons savoir

Les faits établis dessinent une mécanique désormais classique. Une interprétation délibérément déformée d’un arrêt du Tribunal suprême espagnol (selon laquelle la nage garantirait la non-expulsion, voire la régularisation) a circulé, doublée d’une rumeur horodatée : la frontière serait « ouverte à 22 heures » le mercredi soir. Dès le 27 juillet, un groupe Facebook, « Hraga Ceuta », rassemblant plus de 20 000 membres, partageait des cartes Google Maps indiquant les distances de nage autour de la digue du Tarajal, du matériel, des itinéraires et des cagnottes. TikTok, WhatsApp et Instagram ont fait le reste.

Ce que nous ignorons, et qui est pourtant essentiel, est infiniment plus important : nous ne savons rien des métriques de circulation de ces contenus. 

Combien de visualisations ? Quelle est leur portée géolocalisée ? Quelle est la courbe de propagation ? Quels sont les comptes déclencheurs ? Quelle est la part de l’amplification algorithmique, de bots, et de la viralité désespérée authentique ? 

Aucune plateforme n’a communiqué. Aucune demande formelle d’accès aux données n’a été rendue publique.

Ceuta est la première attaque hybride algorithmique de grande ampleur menée contre une frontière extérieure de l’Union.

Thierry Breton

En septembre 2024, une « ruée TikTok » similaire avait été précédée d’une vidéo visionnée plus de 500 000 fois, aimée 8 500 fois et partagée 1 200 fois, qui avait mobilisé quelques milliers de candidats au passage. Vingt-deux mois plus tard, avec des métriques inconnues, dix fois plus de personnes se sont présentées à la frontière. Cet écart doit être expliqué. Il ne peut pas ne pas l’être.

C’est la raison pour laquelle une enquête approfondie, indépendante et publique, semble aujourd’hui être indispensable. 

Elle doit répondre à cinq questions : qui a initié la rumeur ? Qui l’a amplifiée ? Selon quelles logiques algorithmiques ? Avec quels proxys, éventuellement étatiques ? Pourquoi les systèmes de recommandation des très grandes plateformes ont-ils, le cas échéant, hiérarchisé ces contenus plutôt que de les atténuer ? 

Sans ces réponses, nous naviguons à l’aveugle face à une menace qui, elle, apprend vite.

Une « expérience de pensée » : la ruée algorithmique de Ceuta aurait-elle été possible dans un espace pleinement régulé par le DSA ?

Posons la question franchement, car elle est pédagogique. Si cette mécanique s’était déployée dans un espace informationnel où les dispositifs européens, comme le DSA ¹ auraient été intégralement appliqués, aurions-nous vécu la même chose ?

Ma conviction est claire : non. Non pas parce que le DSA aurait censuré ces contenus. Il ne le peut, ni ne le veut, et c’est précisément sa valeur. Nous n’avons pas voulu construire ni le grand pare-feu chinois, ni le Roskomnadzor russe, ni la logique d’immunité totale des plateformes qui prévaut aux États-Unis depuis la section 230, ni les zones grises que la plupart des autres États, hors Union, laissent prospérer faute de cadre. Nous avons voulu un troisième modèle, européen : celui de la transparence contraignante et de la responsabilité ex ante des très grandes plateformes.

Concrètement, trois articles du DSA auraient été mis en œuvre.

L’article 34 oblige les très grandes plateformes à évaluer les risques systémiques que leurs services font peser sur le discours civique, la sécurité publique et l’intégrité des processus démocratiques. Une ruée frontalière provoquée par une rumeur virale relève sans ambiguïté de cette catégorie. 

L’article 35 leur impose de prendre des mesures d’atténuation proportionnées, comme : l’ajustement des systèmes de recommandation, la réduction algorithmique de la portée des contenus manifestement trompeurs, ou l’utilisation de ralentisseurs de virulence.

La souveraineté européenne commence par la maîtrise de sa frontière informationnelle.

Thierry Breton

L’article 36 permet à la Commission d’activer un mécanisme de réponse aux crises, obligeant les plateformes à documenter et à corriger en temps réel leurs choix de modération. 

Ajoutons à cela l’article 40, qui ouvre l’accès aux données des chercheurs agréés, et l’article 15, qui impose des rapports de transparence.

Rien de tout cela n’aurait empêché les Marocains de Fnideq d’espérer passer en Europe. Mais tout cela aurait rendu la manipulation traçable, contestable, et coûteuse pour ses initiateurs. C’est cette différence, entre un espace informationnel structurellement opaque et un espace structurellement redevable, qui définit aujourd’hui la souveraineté démocratique numérique européenne. 

Nous avons les instruments de notre puissance entre nos mains

C’est une leçon importante, qui n’a rien d’abstrait, et qu’il revient à la Commission et aux autorités européennes de rendre visible à l’ensemble des citoyens qui demandent à comprendre et à maîtriser ce qui se joue à nos frontières.

Cette exigence de clarté avait commencé à se traduire en actes le 11 décembre 2024 quand la Commission a adopté, pour son premier acte en collège de son second mandat, une communication sur la lutte contre l’instrumentalisation de la migration comme menace hybride et le renforcement des frontières extérieures. Ursula von der Leyen l’a rappelé, à juste titre, en début de mandature. 

Cette communication répondait alors à la pression exercée par le Bélarus aux frontières de la Pologne et de la Finlande. Elle doit aujourd’hui, être actualisée pour intégrer la dimension algorithmique de la menace. 

L’ennemi n’est plus seulement celui qui pousse physiquement des migrants vers une clôture ; c’est aussi celui qui pousse des flux d’informations vers des populations vulnérables.

Trois chantiers à ouvrir immédiatement

Activer sans délai le règlement 2024/1359 du Pacte migratoire 

Entré en pleine application le 12 juin 2026, ce règlement, que le PPE de Manfred Weber, Roberta Metsola et Ursula von der Leyen ont revendiqué, et que l’ECR de Giorgia Meloni a accompagné comme un premier pas nécessaire, a précisément été conçu pour ce type de situation. 

Son article 1 paragraphe 4, point b, définit l’instrumentalisation comme la situation dans laquelle « un pays tiers ou un acteur non étatique hostile encourage ou facilite le mouvement de ressortissants de pays tiers » vers les frontières extérieures, dans le but de déstabiliser un État membre et susceptible de mettre en péril ses fonctions essentielles. Ceuta relève sans ambiguïté de cette définition. 

L’ennemi n’est plus seulement celui qui pousse physiquement des migrants vers une clôture ; c’est aussi celui qui pousse des flux d’informations vers des populations vulnérables.

Thierry Breton

La question se pose donc en termes juridiques précis : l’Espagne a-t-elle formellement demandé à la Commission d’évaluer une situation d’instrumentalisation, ou compte-t-elle le faire ? La Commission a-t-elle engagé l’évaluation prévue à l’article 2 ? Une décision d’exécution du Conseil a-t-elle été proposée pour activer les mesures dérogatoires et de solidarité ? 

Parallèlement, le règlement 2024/1351 prévoit un mécanisme de solidarité obligatoire (relocalisations, contributions financières, soutien opérationnel) dont l’Espagne devrait bénéficier de plein droit. Frontex, dont le mandat a été renforcé, y a également toute sa place. 

Un règlement européen célébré mais inappliqué lors de sa première épreuve sérieuse, n’est pas un règlement, c’est une posture. Dans les prochaines semaines, le Conseil européen doit exiger un rapport factuel et sans complaisance.

Mobiliser le DSA sur ce qu’il peut et doit couvrir 

Il faut ici être précis, car le DSA n’a pas vocation à réguler ce qui se passe dans l’espace informationnel marocain vu du Maroc. Son champ d’application, défini à l’article 2, concerne les services intermédiaires offerts à des destinataires situés dans l’Union. Par exemple, Meta, TikTok et X sont des très grandes plateformes désignées, disposant d’établissements et de représentants légaux dans l’Union ; Ceuta est un territoire européen ; la crise a directement impacté l’ordre public d’un État membre et s’est soldée par plus de soixante-dix morts. Les contenus incriminés étaient largement accessibles depuis l’Union, notamment auprès des diasporas marocaines établies en Espagne, en France, en Belgique et aux Pays-Bas. 

Sur ces bases, trois leviers pourraient le cas échéant être actionnés. 

L’article 34 prévoit que les plateformes devraient, dans leurs évaluations de risques systémiques pour 2026, intégrer le risque que leurs systèmes de recommandation produisent, pour la sécurité publique dans l’Union, une amplification des contenus incitant à des franchissements massifs de la frontière extérieure, y compris lorsque l’audience primaire, mais non secondaire, est extra-européenne. 

En s’appuyant sur l’article 40, la Commission devrait permettre sans délai, aux chercheurs agréés d’accéder aux données de circulation, dans l’Union, des contenus relatifs à cet événement entre le 20 juillet et le 2 août. C’est la condition d’une enquête sérieuse. 

Nous payons nos partenaires pour qu’ils contrôlent leur frontière physique. Nous devons désormais exiger qu’ils contrôlent leur frontière informationnelle.

Thierry Breton

Puis, l’article 36 permet l’activation du mécanisme de réponse aux crises dès lors qu’une crise affecte gravement la sécurité publique dans l’Union, ce qui est manifestement le cas ici. Le silence sur ces questions n’est pas tenable. Si la Commission souhaite prouver sa capacité à défendre l’intérêt européen, elle doit agir sans délai.

Doter l’Union d’une doctrine explicite de riposte hybride algorithmique 

Cette doctrine doit articuler trois niveaux : l’attribution technique, la réponse diplomatique graduée et les instruments de coercition économique déjà existants (régime de sanctions cyber, instrument anti-coercition). Nous savons faire cela pour les cyberattaques depuis 2017 ; il est temps de le faire pour les attaques informationnelles à visée migratoire.

Ce que nous devons exiger de nos partenaires du Sud

L’Union verse environ 500 millions d’euros au Maroc dans le cadre de la coopération migratoire pour la période 2021-2027, dont 152 millions ont été signés en 2023. Cette coopération est utile et doit se poursuivre. Mais elle doit désormais s’accompagner d’une conditionnalité claire, assumée et contractualisée.

Nous payons nos partenaires pour qu’ils contrôlent leur frontière physique. Nous devons désormais exiger qu’ils contrôlent leur frontière informationnelle. Concrètement, cela implique trois obligations, à inscrire dans les prochains accords : le démantèlement effectif des réseaux de passeurs numériques opérant depuis leur territoire, avec une obligation de résultat mesurable ; la coopération judiciaire rapide sur les comptes et infrastructures identifiés ; l’adoption d’un cadre de régulation des contenus inspiré du DSA, avec une transparence des retraits et coopération avec la Commission. C’est à prendre ou à laisser. Une frontière ne se garde pas d’un seul côté. Une frontière informationnelle non plus.

La souveraineté ou l’impuissance

Cette crise ne s’est pas produite dans le vide. 

La concomitance entre la ruée du 31 juillet et plusieurs signaux hostiles visant Ceuta et Melilla émis par l’administration Trump, ou la relance du canal diplomatique espagnol à Alger, impose de se demander s’il y a eu ingérence.

Plutôt que de spéculer sur une éventuelle responsabilité — fût-elle américaine, russe, liée aux réseaux de l’internationale réactionnaire ou du crime organisé —, nos concitoyens devraient comprendre qu’ils disposent de moyens démocratiques pour établir les faits, et qu’ils peuvent réclamer que les autorités s’en servent au plus vite.

Seule une enquête peut les établir. Et les établir démontrerait que nos principes démocratiques ne protègent pas seulement mieux. Ils sont aussi plus efficaces.

Ceuta est un signal. Il nous dit trois choses. D’abord, que la frontière du XXIe siècle est à la fois physique et informationnelle et qu’on ne peut pas prétendre sécuriser l’une sans l’autre. 

Il est temps de démontrer que ce modèle fonctionne, non pas lors débats théoriques, mais aux frontières de l’Union, où des femmes et des hommes meurent parce qu’un algorithme leur a menti.

Thierry Breton

Puis, que l’Europe dispose déjà, avec le DSA et le Pacte migratoire, des instruments juridiques pour y répondre, à condition de les appliquer avec la célérité que la menace exige. 

Enfin, il nous dit que refuser de choisir entre le modèle chinois de surveillance, le laisser-faire américain et l’incapacité à agir n’est pas une posture tenable : c’est la définition même du projet européen.

L’esprit du DSA, que nous avons porté, est celui d’un espace informationnel européen qui soit à la fois libre et régulé, ouvert et redevable, protecteur des libertés et intraitable envers ceux qui les instrumentalisent. 

Il est temps de démontrer que ce modèle fonctionne, non pas dans des débats théoriques, mais aux frontières de l’Union, où des femmes et des hommes meurent parce qu’un algorithme leur a menti.