Publié le 24 août 2026
L'EU Centre : ce que serait la nouvelle agence européenne de CSAR
Le règlement CSAR prévoit la création d'un Centre européen dédié à la lutte contre les abus sur enfants. Voici ses missions, ses pouvoirs et ses risques.
Le règlement CSAR, s'il est adopté, ne se contentera pas d'imposer des obligations aux plateformes de messagerie. Il créera aussi une nouvelle agence européenne dédiée : le Centre européen pour prévenir et lutter contre les abus sexuels sur enfants, communément appelé "EU Centre" ou "Centre UE CSAM".
Cette agence, moins médiatisée que le mécanisme de scan lui-même, jouera pourtant un rôle central dans l'architecture du dispositif. Comprendre ce qu'elle est, ce qu'elle fera et quels risques elle porte est essentiel pour saisir les enjeux du règlement CSAR.
Le siège et la structure
Selon la proposition de la Commission européenne, le siège de l'EU Centre serait établi à La Haye, aux Pays-Bas. Ce choix de localisation est significatif : La Haye est déjà le siège d'Europol (police européenne) et de plusieurs juridictions internationales. L'EU Centre s'inscrirait dans cet écosystème institutionnel spécialisé dans la sécurité et la justice pénale internationale.
L'agence disposerait d'un budget propre, d'un personnel spécialisé (juristes, cryptographes, ingénieurs, opérateurs de systèmes), et d'un conseil d'administration composé de représentants des États membres et de la Commission.
Sa taille exacte reste à définir dans les versions finales du règlement. Les estimations initiales évoquaient entre 100 et 200 personnes dans les premières années, avec une montée en charge progressive.
Les missions principales
Le règlement CSAR confie à l'EU Centre plusieurs missions distinctes, avec des degrés de pouvoir variables.
La centralisation des signalements. L'EU Centre serait le point d'entrée unique de tous les signalements de contenus CSAM générés par les plateformes en application du règlement. Aujourd'hui, ces signalements transitent par le NCMEC américain, une organisation à but non lucratif. Demain, ils passeraient par l'EU Centre, qui les transmettrait ensuite aux autorités nationales compétentes.
Cette centralisation soulève des enjeux techniques et politiques importants. Techniquement, l'EU Centre devrait gérer potentiellement des dizaines de millions de signalements par an, incluant du contenu extrêmement sensible. Politiquement, il devient un point de passage obligé qui donne à l'agence un pouvoir de fait sur la circulation de ces données.
La gestion des bases de données de référence. L'EU Centre gérerait les bases de données de "hachages" utilisées pour identifier les contenus CSAM connus. Ces bases contiennent des empreintes numériques de contenus déjà répertoriés comme problématiques.
La gestion de ces bases est délicate. Il faut décider quels contenus y intégrer, sur quelle base légale, avec quelles procédures de contestation. Il faut aussi les protéger contre les cyberattaques, alors que ces bases deviennent des cibles particulièrement stratégiques.
L'émission d'ordres de détection. C'est le pouvoir le plus contesté de l'EU Centre. Selon les versions du règlement, l'agence pourrait émettre des ordres contraignants obligeant les plateformes à activer leurs mécanismes de scan sur des utilisateurs individuels ou des groupes d'utilisateurs identifiés.
Le point critique est de savoir si ces ordres devraient être validés par un juge avant d'être exécutés, ou si l'EU Centre pourrait les émettre de manière purement administrative. Cette question est au cœur des blocages en trilogue depuis 2024.
La coopération avec Europol. L'EU Centre travaillerait en étroite collaboration avec Europol pour les enquêtes transfrontalières. Cette coopération peut inclure le partage d'informations, la coordination d'opérations, et la mise en commun de ressources.
Le soutien aux victimes. L'EU Centre serait aussi chargé d'accompagner les victimes d'abus sexuels sur enfants dans leurs démarches, notamment pour obtenir la suppression de contenus les concernant sur les plateformes.
La recherche. L'agence financerait et coordonnerait des recherches sur les technologies de détection, sur la prévention, sur les évolutions des menaces. Elle collaborerait avec les universités et les instituts spécialisés.
Les pouvoirs administratifs contestés
Le point le plus sensible dans la conception de l'EU Centre est l'étendue de ses pouvoirs administratifs.
Dans la version initiale de la Commission (2022), l'agence disposait de pouvoirs particulièrement larges, incluant la possibilité d'émettre des ordres contraignants sans validation judiciaire préalable. Cette architecture a été critiquée comme créant une "police européenne administrative" dotée de pouvoirs disproportionnés.
Le Parlement européen, dans sa position de 2023, a fortement encadré ces pouvoirs. Sa version exige un contrôle judiciaire systématique pour tous les ordres de détection, transformant l'EU Centre en un simple auxiliaire de la justice plutôt qu'en une autorité décisionnaire.
Le Conseil est divisé. Certains États (France, Espagne, Italie) soutiennent des pouvoirs administratifs larges pour l'EU Centre, au nom de l'efficacité. D'autres (Allemagne, Pays-Bas, Autriche) exigent un contrôle judiciaire strict, au nom des garanties procédurales.
Ce désaccord fondamental est l'un des trois grands blocages en trilogue depuis 2024, aux côtés du scan sans soupçon et de l'inclusion du chiffrement de bout en bout.
Les risques structurels de l'EU Centre
Plusieurs risques structurels caractérisent le projet d'EU Centre.
Le risque cyber. L'EU Centre concentrerait potentiellement des données extrêmement sensibles : contenus CSAM signalés, bases de hachages, informations sur des enquêtes en cours, données personnelles de millions de citoyens signalés (y compris les faux positifs). Cette concentration en fait une cible prioritaire pour les cyberattaques. Les fuites massives récentes ayant touché la France en août 2026 (Alaxione, DGFiP, Santé publique France) montrent que même les infrastructures théoriquement bien protégées peuvent être compromises.
Le risque de "function creep". Une fois créée, une agence dotée de pouvoirs administratifs a naturellement tendance à voir ses missions s'étendre. L'EU Centre, initialement dédié à la lutte contre le CSAM, pourrait progressivement voir son périmètre élargi à d'autres types de contenus considérés comme problématiques. Cette dynamique, bien documentée dans l'histoire des agences de renseignement, pose un risque de dérive institutionnelle.
Le risque démocratique. Les agences administratives européennes sont difficiles à contrôler démocratiquement. Le Parlement européen dispose de leviers limités sur leur fonctionnement quotidien. Les citoyens n'ont aucun recours direct contre leurs décisions, sauf via les longues procédures devant les juridictions européennes.
Le risque de dépendance technologique. L'EU Centre devra choisir les technologies de scan qu'il valide et déploie. Ces choix ont des implications économiques massives pour les entreprises qui produisent ces technologies. Le risque de capture réglementaire (une agence qui finit par servir les intérêts des entreprises qu'elle est censée réguler) est réel.
Le coût et le financement
Le coût de mise en place et de fonctionnement de l'EU Centre serait significatif. Les estimations initiales évoquaient un budget annuel de plusieurs dizaines de millions d'euros, financé par le budget de l'Union européenne.
Ce coût est à comparer avec l'efficacité réelle du dispositif. Les données de la police fédérale allemande sur les mécanismes de scan actuels montrent que 40 à 60 % des signalements sont pénalement sans intérêt. Investir des dizaines de millions dans une agence dont l'efficacité réelle est structurellement limitée pose une question d'allocation optimale des ressources publiques.
Plusieurs experts en criminologie ont souligné que les mêmes ressources, investies dans la prévention (éducation, protection sociale, accompagnement des familles à risque) ou dans les enquêtes ciblées, produiraient probablement des résultats plus tangibles en matière de protection réelle des enfants.
Le calendrier
Si le règlement CSAR est finalement adopté, la mise en place de l'EU Centre prendrait plusieurs années.
La première année serait consacrée à la mise en place administrative : recrutement du directeur, choix des locaux, définition des procédures internes, mise en place de l'infrastructure informatique.
Les deuxième et troisième années verraient la montée en charge opérationnelle : intégration des flux de signalements, mise en place des bases de données de référence, formation du personnel, coordination avec les autorités nationales et Europol.
L'agence ne serait probablement pleinement opérationnelle qu'après 4 à 5 ans de fonctionnement. Ce délai signifie que même en cas d'adoption rapide de CSAR, les effets pratiques de l'EU Centre ne se feraient sentir qu'à partir de 2029 ou 2030.
Ce que ça change pour vous
L'EU Centre, s'il voit le jour, sera l'autorité européenne à qui vos communications privées seront potentiellement signalées si un algorithme les considère comme "suspectes".
Cette autorité serait basée à La Haye. Vous ne pourriez pas la contacter facilement en cas de faux positif. Vous n'auriez aucun droit direct à savoir si vous avez fait l'objet d'un signalement. Vous n'auriez aucun recours simple contre ses décisions.
Dans ce contexte, la prudence recommande de ne pas laisser vos communications privées passer par des mécanismes susceptibles de générer des signalements à cette agence. Le chiffrement personnel, qui rend le contenu de vos messages illisible pour tout mécanisme de scan, est la parade technique la plus efficace.