Que faire si votre équipe utilise Checks ?

Exporter les rapports et les constats en premier, parce que l’opération coûte une heure et que l’absence de la pièce coûte cher : un contrôle ou une réclamation arrive souvent des années après les faits en cause. Ensuite, recenser ce que ces sorties alimentaient, déclaration de la fiche du magasin, registre, documentation interne, et décider pour chaque usage où la preuve vivra désormais.

Un agent d’IA peut-il faire l’analyse de conformité d’une application mobile ?

Il peut faire la partie lecture et rédaction : rapprocher un registre d’une politique, classer des finalités, préparer une réponse. Il ne peut pas faire l’acquisition, qui est un geste physique. La CNIL décrit elle-même la méthode attendue : un banc de tests, un téléphone ou un émulateur, et une interception des communications réseaux pour vérifier ce qui part avant le consentement. Un modèle dit ce qu’une application devrait faire ; seule l’observation dit ce qu’elle a fait. Reste la question que pose tout outil construit en interne : il faut ensuite prouver que l’instrument de preuve est lui-même fiable.

Combien de temps faut-il conserver une analyse d’application ?

Aucun texte ne fixe de durée pour ces pièces. La bonne mesure est la période pendant laquelle les faits qu’elles documentent peuvent encore être examinés : la décision irlandaise du 21 septembre 2026 porte sur une période close le 4 février 2020, six ans et sept mois plus tôt. Une analyse utile est donc une analyse datée, rattachée à une version précise de l’application, conservée dans un format que vous pouvez rouvrir sans le prestataire qui l’a produite.

Tous les articles

Quand l’outil qui produit la preuve ferme : le cas Google Checks

22 septembre 2026 · 8 min de lecture · Mohamed

Google ferme Checks, sa plateforme de conformité pour les développeurs d’applications, à la fin du mois de septembre 2026. Les comptes actifs ont reçu un courriel de dépréciation à la mi-août ; les inscriptions et les dépôts d’applications sont déjà fermés, et les comptes comme les données seront supprimés automatiquement à l’arrêt. Il reste donc quelques jours pour sortir ce qui doit l’être.

Deux choses méritent qu’on s’y arrête. Le geste à faire tout de suite, parce qu’une preuve supprimée ne se reconstitue pas. Et le motif avancé, qui vaut bien au-delà de ce produit : si chacun construit désormais son outil de conformité sur une plateforme d’agents, que devient la preuve, et qui audite l’agent ?

Ce qu’est Checks, et à qui il s’adresse

Checks naît dans Area 120, l’incubateur interne de Google, où il apparaît en février 2022. Son passage dans Google est annoncé le 3 mai 2023. Le 14 mai 2024, le blog des développeurs annonce sa disponibilité générale pour tous les développeurs Android et iOS, avec des rapports de conformité automatisés sur les pratiques de collecte et de partage de données. Deux autres lignes sont alors en aperçu privé : Code Compliance, un assistant qui analyse le code pendant son écriture, et AI Safety, un banc de tests contradictoires pour les fonctionnalités d’IA générative.

Aujourd’hui, le site de Checks nomme ces trois domaines : App Compliance, Code Compliance, AI Safety. La page App Compliance décrit une surveillance des intégrations de briques logicielles tierces, des permissions et des flux de données, avec des recommandations rattachées aux exigences de déclaration de la fiche du magasin d’applications.

Un point mérite d’être posé tout de suite, parce qu’il décide de ce que cette fermeture change pour un DPO. Checks est un outil d’éditeur : il s’adresse à celui qui a écrit l’application, pour l’aider à déclarer correctement ce qu’elle fait. La question du DPO commence là où celle de l’éditeur s’arrête : vérifier, sur l’appareil, ce que l’application envoie vraiment.

Ce que dit le courriel, et ce que Google n’a pas publié

Le courriel, intitulé « Deprecation of the Checks product », est parti le 19 août 2026 vers les comptes actifs. Il fixe le calendrier : dépréciation engagée le 17 août, arrêt à la fin du mois de septembre, inscriptions et dépôts d’applications déjà fermés, accès à certaines fonctionnalités susceptible d’être réduit d’ici là. À l’arrêt, les comptes et les données associées sont supprimés automatiquement ; une suppression anticipée peut être demandée à l’assistance, en indiquant son numéro de compte. Le motif est cité en toutes lettres : l’entrée dans l’ère agentique, où les développeurs construiraient désormais leurs propres outils de conformité sur une plateforme d’agents.

Un point pratique, pour éviter de la chercher : cette fermeture n’a pas de page publique. Au 22 septembre 2026, le site de Checks est en ligne et invite toujours à créer un compte, le billet de disponibilité générale du blog des développeurs est toujours publié sans mention d’arrêt, et l’inventaire communautaire Killed by Google n’a pas encore ouvert de fiche. Rien d’anormal pour un produit vendu à des équipes : la notification part par courriel vers les comptes actifs, la page suit quand elle suit. Cela veut simplement dire qu’il ne faut pas attendre une confirmation en ligne pour agir, parce que la date, elle, est dans quelques jours.

Le calcul est asymétrique, et c’est lui qui doit décider. Exporter coûte une heure. Ne pas l’avoir fait coûte une pièce qu’aucune démarche ne reconstitue, le jour où un contrôle porte sur la période qu’elle documentait.

Cet article sera mis à jour si Google publie une page sur cette fermeture, ou si le calendrier change.

Ce n’est pas le premier, et le calendrier se tient

Le même calendrier a déjà été tenu ailleurs, à la semaine près. Le 15 décembre 2025, Google annonce l’arrêt de son « dark web report », le service qui signalait à un utilisateur l’apparition de ses données dans une fuite. Le calendrier annoncé est précis : plus aucune recherche de nouvelles fuites à partir du 16 janvier 2026, fonctionnalité arrêtée et données associées supprimées le 16 février 2026. Deux mois entre l’annonce et la suppression.

Ce n’est pas un procès en instabilité. Tout éditeur de logiciel ferme des produits, et Google expliquait alors vouloir concentrer ses efforts sur des outils qui indiquent plus clairement quoi faire ensuite. C’est un rappel de proportion. Une fonctionnalité vit deux ou trois ans. Une obligation de rendre compte, elle, porte sur des années révolues : la sanction de 403 millions d’euros prononcée contre Google le 21 septembre 2026 par l’autorité irlandaise porte sur une période close le 4 février 2020, soit six ans et sept mois entre le dernier jour examiné et la décision.

Une preuve se juge sur sa date, et sur ce que vous en détenez

L’article 5.2 du RGPD pose le principe de responsabilité : le responsable du traitement doit être en mesure de démontrer le respect des principes, et cette démonstration lui incombe. Ce n’est pas une formule. Dans la décision irlandaise citée plus haut, l’un des quatre manquements retenus ne porte pas sur l’illicéité d’un traitement, mais sur l’incapacité à démontrer qu’il était licite, loyal et transparent. Ne pas pouvoir prouver est un manquement en soi.

La conséquence pratique est simple à énoncer et coûteuse à découvrir trop tard. Un tableau de bord n’est pas une preuve : c’est une vue sur une base qui appartient à quelqu’un d’autre, et qui se ferme avec lui. La preuve est la pièce que vous détenez, dans un format que vous pouvez rouvrir sans le fournisseur qui l’a produite, portant sa date et la version précise de l’application qu’elle documente.

D’où trois questions d’inventaire, à poser une fois pour toutes les analyses déjà faites : où vit chaque pièce aujourd’hui, sous quelle forme l’avez-vous chez vous, et de quand date-t-elle. Un constat qui n’existe que dans l’interface d’un prestataire est un constat que vous ne possédez pas.

L’argument des agents, et le geste qu’il n’accomplit pas

Reste le motif avancé, et il mérite mieux qu’un haussement d’épaules, parce que vous l’entendrez ailleurs : les agents remplaceraient les outils de conformité, chacun construisant le sien.

Ce qui est juste dans cet argument : la conformité comporte beaucoup de lecture et de rédaction. Rapprocher un registre d’une politique de confidentialité, classer des finalités, reformuler une mention, préparer une réponse à un questionnaire. Un modèle y est utile, et cette part du travail va effectivement changer.

Ce qui manque est en amont, et c’est l’acquisition. Aucun modèle n’installe une application sur un téléphone, ne la fait vivre écran par écran, et ne relève ce qui en sort. La CNIL décrit d’ailleurs la méthode sans ambiguïté dans sa recommandation sur les applications mobiles : pour vérifier le respect des engagements pris par une brique logicielle tierce, « une méthode d’audit par interception des communications réseaux peut être envisagée » (page 56) ; et pour contrôler le recueil du consentement, elle recommande un banc de tests avec « un téléphone de test ou un émulateur pour l’interception des communications réseaux », afin de s’assurer qu’aucune requête symptomatique d’un traceur ne parte avant que le consentement soit obtenu (page 37). Un banc, un téléphone, une interception : trois objets, pas un raisonnement.

Un agent sait dire ce qu’une application devrait faire. Il ne sait pas ce qu’elle a fait. Entre les deux, il y a un appareil, une session réelle, et une trace.

Le second oubli tient dans une question que ce motif appelle de lui-même : si l’outil devient un agent que chacun se construit, qui l’audite ? Une méthode tierce, décrite et reproductible, est ce qu’on pose devant un contrôleur. Un agent interne déplace la charge, puisqu’il faut désormais prouver que l’instrument de preuve est lui-même fiable. La CNIL, sur ce point, prévoit explicitement les deux voies : l’éditeur « peut mettre en place (ou engager un prestataire tiers à cette fin) un banc de tests ».

Ce que nous en retenons

Un produit ferme, et ce qu’il avait produit part avec lui. Ce qu’un DPO doit pouvoir sortir si on le lui demande dans cinq ans n’est ni un accès à une interface ni une capture d’écran : c’est un relevé daté de ce qu’une version précise de l’application a réellement envoyé, et à qui.

C’est le travail de Skanopy. Une application Android est installée sur un vrai téléphone, pilotée automatiquement à travers un parcours réel, et ce qui en sort est relevé : les acteurs tiers contactés, les données transmises, le moment de chaque envoi par rapport au choix de l’utilisateur. Le résultat est une pièce datée, rattachée à une version, que vous exportez et gardez version après version. Nous fournissons les constats et la preuve technique ; le rapport remis à votre client reste le vôtre.

C’est tout l’objet d’une analyse d’application mobile : elle ne dit pas le droit, elle fournit la pièce datée sur laquelle le droit s’applique. Quels que soient les outils qui vont et viennent, c’est cette pièce qui reste, et elle est à vous.

Sources

Chaque constat de cet article renvoie à l’un de ces documents, consultés le 22 septembre 2026.

Checks ’26Site public de Checks, encore en ligne au 22 septembre 2026Google
Google ’24The power of Checks is now available to all Android and iOS DevelopersGoogle Developers Blog, 14 mai 2024
TechCrunch ’23Checks, le projet incubé dans Area 120, rejoint officiellement GoogleTechCrunch, 3 mai 2023
DEV ’26Google Checks Is Shutting Down: What the Privacy Compliance Platform Deprecation Means for Developersjamilxt, DEV Community, 19 août 2026
TechCrunch ’25Arrêt du « dark web report » : fin des recherches le 16 janvier, suppression des données le 16 février 2026TechCrunch, 15 décembre 2025
CNIL ’25Recommandation relative aux applications mobiles, version modifiée (pages 37 et 56)CNIL, 8 avril 2025
DPC ’26Sanction de 403 millions d’euros à l’issue de l’enquête sur le traitement des données de localisationData Protection Commission (Irlande), 21 septembre 2026
Killed by GoogleInventaire communautaire des produits et services Google arrêtéskilledbygoogle.com, consulté le 22 septembre 2026

Questions fréquentes

Quand Google Checks ferme-t-il, et que deviennent les données ?: À la fin du mois de septembre 2026, selon le courriel de dépréciation adressé aux comptes actifs le 19 août. La dépréciation a été engagée le 17 août ; les inscriptions et les dépôts d’applications sont déjà fermés. À l’arrêt, les comptes et les données associées sont supprimés automatiquement, et une suppression anticipée peut être demandée à l’assistance. La fermeture a été notifiée par courriel, sans page publique sur le site de Checks au 22 septembre 2026 : il ne faut donc pas attendre une confirmation en ligne pour exporter.
Que faire si votre équipe utilise Checks ?: Exporter les rapports et les constats en premier, parce que l’opération coûte une heure et que l’absence de la pièce coûte cher : un contrôle ou une réclamation arrive souvent des années après les faits en cause. Ensuite, recenser ce que ces sorties alimentaient, déclaration de la fiche du magasin, registre, documentation interne, et décider pour chaque usage où la preuve vivra désormais.
Un agent d’IA peut-il faire l’analyse de conformité d’une application mobile ?: Il peut faire la partie lecture et rédaction : rapprocher un registre d’une politique, classer des finalités, préparer une réponse. Il ne peut pas faire l’acquisition, qui est un geste physique. La CNIL décrit elle-même la méthode attendue : un banc de tests, un téléphone ou un émulateur, et une interception des communications réseaux pour vérifier ce qui part avant le consentement. Un modèle dit ce qu’une application devrait faire ; seule l’observation dit ce qu’elle a fait. Reste la question que pose tout outil construit en interne : il faut ensuite prouver que l’instrument de preuve est lui-même fiable.
Combien de temps faut-il conserver une analyse d’application ?: Aucun texte ne fixe de durée pour ces pièces. La bonne mesure est la période pendant laquelle les faits qu’elles documentent peuvent encore être examinés : la décision irlandaise du 21 septembre 2026 porte sur une période close le 4 février 2020, six ans et sept mois plus tôt. Une analyse utile est donc une analyse datée, rattachée à une version précise de l’application, conservée dans un format que vous pouvez rouvrir sans le prestataire qui l’a produite.