Sécurité offensive
Gouvernance & conformité
Protection des données
Mis à jour en juillet 2026. Le métavers a quitté les gros titres. Les questions qu’il pose sur les données captées et sur la responsabilité, elles, ont trouvé une partie de leurs réponses dans le droit européen. Ce dossier reprend le sujet à la base : ce que le terme recouvre, les obstacles techniques, le modèle économique, puis ce que le RGPD et le règlement sur l’IA imposent à ces environnements. Il s’appuie en partie sur les interventions de la conférence consacrée au métavers par le Master 2 droit du numérique de l’Université de Rennes, à laquelle notre équipe juridique a participé.
1. Définition du métavers
Le terme de métavers ou metaverse en anglais provient de la contraction de meta et universe. Il s’agit, même si aucune définition n’a pour l’heure été fixée, d’espaces virtuels persistants, partagés et 3D liés dans un univers virtuel perçu. On ne sait pas encore si l’on parle d’un métavers ou de plusieurs. Ces espaces virtuels permettent notamment de jouer, d’acheter, de créer, de vendre, d’échanger avec d’autres personnes et leurs avatars. Le métavers est un espace dont le nombre de participants n’est pas limité. Il sera peuplé de contenus et d’expériences diverses (participer à un match de foot, faire du gameplay, visiter un musée etc.). Chaque utilisateur aura une identité qui pourra être détachée de son identité réelle.
2. Métavers : historique
La notion a été introduite en 1992 par Neal Stephenson. En 2003, le jeu Second Life permettait des interactions sociales entre les participants. En 2005, Spell of genesis constitue le premier jeu connecté à la blockchain dont les cartes peuvent se revendre en dehors du jeu. L’émergence du métavers n’est donc pas liée uniquement à des évènements individuels indépendants les uns des autres mais plutôt à un phénomène dit de continuum.
Si la notion a été introduite en partie grâce aux jeux vidéo, une distinction est tout de même à opérer entre métavers et jeu vidéo. Le métavers promet, en effet, une expérience de jeu plus fluide ainsi qu’un nombre de participants illimité. Le panorama d’activités est beaucoup plus étendu que dans le simple jeu vidéo : participation à un concert, à une réunion de travail, enseignement à distance, etc. Les équipements eux-mêmes seront différents et permettront une expérience encore plus immersive.
3. Métavers : des obstacles techniques
Les obstacles techniques à la mise en œuvre du métavers sont liés aux capacités de mise en réseau et de calcul à l’échelle mondiale. Un monde numérique persistant pouvant être expérimenté en temps réel par des millions d’utilisateurs de manière simultanée est complexe à mettre en œuvre et nécessite des investissements colossaux pour les entreprises privées qui le développent.
Dans le cas où il y aurait plusieurs métavers la question de l’interopérabilité entre ces métavers se pose. Les utilisateurs devront pouvoir recréer leur propre contenu généré sur d’autres plateformes. On ne sait pas encore si chaque métavers sera construit avec ses propres codes et technologies ou s’il y aura une standardisation des codes.
4. Le métavers aura son propre système économique
Les investissements considérables réalisés par les acteurs privés dans le développement de ces métavers devront être récompensés. Ainsi, ces entreprises pourront récupérer un ensemble de données personnelles sur les utilisateurs du métavers. Ces données personnelles pourront ensuite être monnayées pour être revendues grâce à l’utilisation d’algorithmes. Ces acteurs devront assurer la modération de contenus au sein du métavers. Ils pourront se rémunérer grâce à la publicité et à l’arrivée de nouveaux acteurs sur la plateforme.
Il est aussi possible d’imaginer que ces plateformes se rémunèrent par le biais de sanctions financières que l’utilisateur devra payer en cas de non-respect de la règlementation. Les possibilités de gains sur ce nouvel espace virtuel attirent déjà des marques comme Nike, Adidas, Dolce&Gabbana etc. mais aussi le secteur de l’enseignement avec l’ouverture d’un Metaverse College en octobre dans le quartier de La Défense à Paris.
5. La réglementation du métavers
La question de la régulation de ces plateformes est encore en cours de réflexion. Quels acteurs règlementeront cet espace ? Quels sont les moyens de réglementer le métavers ? Les États ne pourront à priori pas réglementer le métavers puisqu’il ne connaît pas de frontières. Certaines autorités régulatrices, telles que l’AMF ou la DGCCRF, pourront contrôler respectivement les transactions dans le métavers ainsi que les questions de concurrence. Les sociétés privées à l’origine de ces espaces pourraient également avoir un rôle à jouer dans la règlementation, et notamment concernant la modération des contenus.
Comment réglementer le métavers ?
Les conditions générales d’utilisation (CGU) et conditions générales de vente (CGV) de ces espaces pourraient inclure les règles relatives au métavers. L’acceptation des conditions générales d’utilisation dès l’inscription de l’utilisateur permettrait d’avoir accès au service et de faire respecter des règles à chaque utilisateur. En s’inspirant du modèle des jeux vidéo, il est également permis d’imaginer l’octroi de « vies » à chacun des utilisateurs. L’avatar dispose alors d’un nombre de vies limité, ce qui crée une passerelle entre l’avatar et la personne physique, entre le monde virtuel et le monde réel. Dès lors que la personne ne respecte pas les CGU une vie sera perdue. Lorsque le nombre maximal de vies utilisées est atteint, la personne est automatiquement bloquée pour un laps de temps ou désinscrite du service. Des moyens techniques devront être mis en place afin que la personne ne puisse pas se réinscrire. Dans ce cas, il faudra lier l’identité réelle de la personne physique et l’identité virtuelle de l’avatar.
La question de la preuve d’un acte illicite doit également être envisagée, afin que les utilisateurs sachent en amont de quelle manière un acte illicite pourra être puni.
6. Une multitude de questions juridiques
La réflexion législative, au niveau national, comme au niveau européen, est bien présente mais le législateur est dépassé par la technologie et les questions juridiques à envisager. Les matières juridiques sont bouleversées par la création de ce nouvel espace et ne sont pas adaptées à cet environnement. Du point de vue du droit de la concurrence on se demande si sur ce marché plusieurs acteurs seront présents ou si, au contraire, il y aura une position dominante.
La question de la responsabilité des utilisateurs est au centre de ces interrogations : l’avatar sera-t-il responsable au même titre que la personne physique dans le monde réel ? Peut-on considérer que l’avatar est le prolongement de la personne physique qui l’a créé ? Dès lors, la responsabilité se reporte-t-elle sur la personne physique ? Un régime de responsabilité propre à ces espaces verra-t-il le jour ? Quels agissements seront incriminés ? Seront-ils les mêmes que dans le monde réel ?
Les sociétés privées proposant des biens et services sur ces plateformes seront également contrôlées. Les vendeurs proposant leurs produits dans une galerie marchande virtuelle devront s’assurer d’obtenir les droits de propriété intellectuelle sur les produits vendus. S’agissant des marques, les classes de dépôt devront être revues puisqu’aucune classe de dépôt des droits ne comprend pour le moment la commercialisation dans le métavers.
Le droit de la consommation sera également bouleversé par cette nouvelle technologie et méritera d’être adapté à ces nouveaux espaces.
7. Quid de la protection des données personnelles ?
Le Règlement Général sur la Protection des Données (RGPD) s’appliquera au métavers pour les utilisateurs situés sur le territoire de l’Union Européenne. L’absence de frontières dans le métavers aura des conséquences sur l’application de la règlementation ainsi que sur le transfert des données personnelles de citoyens européens en dehors de l’Espace Économique Européen (EEE).
La quantité de données personnelles collectées est considérable. Les données liées au comportement, à la température corporelle, aux mouvements et émotions de la personne physique seront collectées et exploitées. La récupération de ces données sera constante. Des données sensibles (biométriques par exemple) seront traitées afin que l’avatar puisse interagir avec cet espace.
La finalité de traitement des données personnelles sera l’accès et l’utilisation du service. Les personnes concernées devront être informées des modalités de traitement de leurs données personnelles. En particulier, elles devront pouvoir s’opposer au traitement de leurs données biométriques en ayant toujours la possibilité de poursuivre leur achat, sans être gênées par le refus de transmission de ces données.
Certaines questions restent pour le moment sans réponse : qui sera chargé du contrôle du respect de cette règlementation ? Où seront stockées les données personnelles ? Quel usage sera fait de ces données via les algorithmes ? Le responsable de traitement sera-t-il le vendeur du service ou la société privée à l’origine du métavers ? Est-ce qu’il y aura une co-responsabilité entre ces deux acteurs ?
8. Quels sont les risques en matière de cybersécurité ?
Ce qu’il faut bien comprendre avant d’évoquer tout risque lié à ce nouvel espace, c’est la possibilité qui est offerte aux utilisateurs de se cacher derrière un pseudonyme, un avatar. De la même manière que sur Internet, il sera plus tentant pour tout utilisateur de réaliser des actions malveillantes dès lors que l’identité de leur auteur est cachée.
Dans ces cyberespaces, le premier risque est lié aux contenus proposés. Il peut s’agir de propos faisant l’apologie du terrorisme, incitant à la haine, à la pornographie ou pédopornographie, à des contenus de propagande politique etc. Tout type d’utilisateur pouvant être présent sur cet espace, il est aisé d’imaginer la présence de groupes politiques, terroristes, religieux etc.
Le second risque est lié aux données personnelles des utilisateurs du métavers. Le piratage de données personnelles en vue de les revendre est envisageable. Les cybercriminels pourront également usurper l’identité des utilisateurs du métavers afin de commettre des actions sur cet espace : phishing, vol de NFT, transactions, arnaque au président etc.
En utilisant la technique du deepfake dans le métavers, un attaquant pourrait pirater le compte d’une personne et se faire passer pour lui en prenant l’apparence de son avatar. Les réunions professionnelles permettront de capter l’image et la voix des participants afin d’usurper leur identité.
Des actes tels que le harcèlement ou le raid numérique pourront être menés sur ces espaces. La création d’avatars dans ce cas constitue un obstacle à l’identification de la personne physique qui se cache derrière cet avatar.
Le phishing, dans le métavers, est susceptible de prendre une nouvelle dimension. Il ne s’agirait plus de mails mais d’un avatar prenant l’apparence de votre banquier ou de votre collègue afin de vous demander vos informations.
9. Les mesures de sécurité
Il est évident que ces risques doivent être intégrés afin de mettre en œuvre des mesures de sécurité techniques. Les moyens d’authentification des utilisateurs doivent être divers afin de renforcer la sécurité dans l’accès au métavers (MFA). L’utilisation de la blockchain pourrait être une solution tout comme l’identification par biométrie grâce au casque de réalité virtuelle. Pour les entreprises présentes sur ces plateformes, l’enjeu est celui de la protection des données confidentielles. Il faudra donc s’assurer que la personne à laquelle on s’adresse est effectivement la personne qu’elle prétend être. Dans le cas contraire des données sensibles pourraient être transmises. L’utilisation du métavers n’est donc pas adapté pour le moment à un usage professionnel.
10. Ce qui a changé depuis 2022
Cet article a été écrit en 2022, au plus fort de l’emballement. Il partait d’une hypothèse : les États ne pourraient pas encadrer un espace sans frontières, et tout resterait à inventer. Sur ce point précis, la suite lui a donné tort.
Le 11 juillet 2023, la Commission européenne a adopté une stratégie « Web 4.0 et mondes virtuels », organisée autour de quatre axes : les personnes et les compétences, les entreprises, l’action publique et la gouvernance. Elle s’appuie sur un panel de 150 citoyens tirés au sort, réuni entre février et avril 2023, dont 23 recommandations ont nourri le texte.
Le 5 décembre 2023, le Parlement européen a adopté un rapport d’initiative sur les mondes virtuels. Il liste les risques que nous évoquions plus haut : désinformation, contenus illicites, usurpation d’identité numérique, cybercriminalité, cyberterrorisme, abus sexuels sur mineurs, cyberharcèlement. Il en ajoute deux que nous n’avions pas vus venir : la conception addictive et les interfaces truquées. Et il demande à la Commission un rapport bisannuel sur l’évolution de ces environnements.
Le changement le plus concret pour un DPO ou un RSSI est ailleurs. Depuis le 2 février 2025, l’article 5 du règlement européen sur l’intelligence artificielle interdit deux usages qui touchent directement les casques immersifs : inférer les émotions d’une personne sur son lieu de travail ou dans un établissement d’enseignement, sauf raison médicale ou de sécurité, et catégoriser des personnes à partir de leurs données biométriques pour en déduire leur origine, leurs opinions politiques, leur appartenance syndicale, leurs convictions religieuses ou leur orientation sexuelle. Le suivi du regard et la mesure des réactions émotionnelles par les capteurs d’un casque ne relèvent donc plus d’une zone grise. Le LINC, le laboratoire de la CNIL, avait identifié ces collectes dès la fin 2022.
Côté investissement, l’Europe a engagé des moyens. Le 10 décembre 2025, un partenariat européen sur les mondes virtuels a été signé : jusqu’à 200 millions d’euros de la Commission, au moins autant de la part des membres de l’association, sur la période 2025-2030. La Commission table sur un marché mondial passant de 27 milliards d’euros en 2022 à plus de 800 milliards d’euros en 2030.
La promesse de 2022, celle d’un métavers unique et grand public, ne s’est pas concrétisée. Ce qui s’installe, ce sont des usages sectoriels : industrie, santé, éducation, culture, précisément les domaines prioritaires de ce partenariat. Pour une entreprise, la question n’est donc plus de savoir s’il faut « aller dans le métavers ». Elle est de savoir ce que deviennent les données que ces environnements captent. Et sur ce terrain, le cadre existe désormais.
Sources
- Commission européenne, « Une initiative de l’UE sur le Web 4.0 et les mondes virtuels », COM(2023) 442, 11 juillet 2023
- Parlement européen, rapport d’initiative sur les mondes virtuels, 2022/2198(INI), 5 décembre 2023
- Règlement (UE) 2024/1689 sur l’intelligence artificielle, article 5, interdictions applicables depuis le 2 février 2025
- Commission européenne, lancement du partenariat européen sur les mondes virtuels, 10 décembre 2025
- LINC, laboratoire d’innovation numérique de la CNIL, travaux prospectifs sur les métavers, 2022-2023
Conclusion
Le métavers n’est, pour l’heure, pas défini de manière stable et de nombreux obstacles techniques s’interposent avant qu’il ne soit réellement permis de parler de métavers. L’ensemble du système économique liant les entreprises ayant développé le métavers, celles présentes dans ce nouvel espace, ainsi que les utilisateurs reste à déterminer.
Le cadre juridique, lui, s’est largement installé depuis la première version de cet article : RGPD, règlement sur l’intelligence artificielle, stratégie européenne sur les mondes virtuels. Ce qui reste ouvert n’est plus le droit applicable mais son application concrète, et la coopération entre les autorités concernées : CEPD, CNIL, Commission européenne, OMPI, Autorité de la concurrence, AMF.