Bataille de lobbys

La proposition de loi instaurant une présomption d’utilisation des contenus par les fournisseurs d’intelligence artificielle de Laure Darcos arrive bientôt devant l’Assemblée nationale. Le PDG de Mistral, Arthur Mensch, préfère une taxe à l’idée que les industriels de l’IA générative soient obligés de prouver qu’ils n’utilisent pas une œuvre quand un indice « rend vraisemblable cette utilisation ». De leur côté, les industries du numérique représentées par l’AFNUM préfèreraient « négocier plutôt que plaider ».

La proposition de loi sur l’entrainement des IA et le droit d’auteur de la sénatrice Laure Darcos (groupe Les indépendants) arrive à l’Assemblée nationale le 19 novembre via la niche parlementaire du groupe socialiste. À cette occasion, le patron de Mistral, Arthur Mensch, s’est fendu d’un message sur LinkedIn pour réaffirmer son opposition à ce texte au nom « de notre souveraineté technologique, de notre compétitivité industrielle, et de nos capacités de défense ».

En avril dernier, le Sénat avait voté à l’unanimité la proposition de loi visant à instaurer une présomption d’utilisation de contenus culturels protégés par un droit d’auteur au niveau des éditeurs d’IA. Ce texte, très court en l’état et porté par la sénatrice Horizons Laure Darcos, inverse le rapport de force entre l’industrie de l’IA générative et l’industrie culturelle. Son article unique pose :

« Sauf preuve contraire, dans toute contestation en matière civile, l’œuvre ou l’objet protégé par un droit d’auteur ou par un droit voisin, au sens du présent code, est présumé avoir été utilisé par le fournisseur du modèle ou du système d’intelligence artificielle, dès lors qu’un indice afférent au développement ou au déploiement de ce système ou au résultat généré par celui‑ci rend vraisemblable cette utilisation. »

Le secteur culturel devra donc quand même amener devant le tribunal un indice de l’utilisation d’une œuvre pour l’entrainement d’un modèle s’il est définitivement adopté. Mais il ne devra pas prouver de façon définitive son utilisation. Au contraire, ce sera au créateur du modèle de prouver que l’entrainement de son outil ne s’appuie pas sur cette œuvre.

Comme nous l’expliquions, devant le Sénat, le gouvernement marchait sur des œufs, gêné par cette proposition de loi : la ministre de la Culture, Catherine Pégard, et la ministre déléguée chargée de l’intelligence artificielle et du numérique, Anne Le Hénanff, ont appelé à privilégier la négociation au contentieux et ont renvoyé plutôt vers une évolution du cadre européen.

Une bataille sur le passage ou non devant l’Assemblée nationale

Depuis, les lobbys de l’industrie culturelle poussent pour que le texte passe devant l’Assemblée, tandis que ceux du numérique essayent, au contraire, de le repousser sine die. « Nous ne pouvons pas continuer à accepter qu’un secteur économique se construise sur le pillage généralisé d’un autre secteur au mépris de l’État de droit, alors qu’il existe une alternative vertueuse au bénéfice de tous », affirmaient ainsi, en mai, 81 organisations de la culture dans un texte intitulé « IA : Sacrifier les droits de propriété intellectuelle n’est pas un acte de souveraineté ».

De l’autre côté, Mistral était soupçonné de s’appuyer sur ses liens avec le groupe Ensemble pour que la proposition ne soit jamais débattue à l’Assemblée. Alors que la discussion devait avoir lieu dans l’hémicycle en juin dernier, les députés Ensemble ont déposé une centaine d’amendements.

Pour la représentante de la Sacem, Cécile Rap-Veber, ces propositions de modification du texte étaient clairement de l’obstruction : « Personne ne peut sérieusement soutenir que 110 amendements déposés sur un texte aussi limité visaient à en améliorer la rédaction. Leur effet était évident : empêcher le débat, repousser le vote », affirmait-elle sur LinkedIn. Les députés n’ont en tout cas pas eu le temps de se prononcer sur le texte.

• IA et conflits d’intérêts : Cédric O soutenu par la HATVP

Les députés socialistes ont donc repris le flambeau et annoncé fin octobre avoir mis le texte à l’ordre du jour de leur niche parlementaire qui doit avoir lieu le 19 novembre. Ce dimanche 8 novembre, l’industrie du numérique a commencé à s’activer publiquement contre le texte.

Arthur Mensch préfère une taxe européenne sur tous les acteurs de l’IA

Ainsi, Arthur Mensch, a publié sur LinkedIn un long post sur le sujet. Tout en assurant qu’il trouve son objectif « légitime », il pointe ce qu’il affirme être un problème pour les acteurs français du numérique : « en instaurant une présomption d’utilisation déclenchée par un simple indice, le texte inverse la charge de la preuve : prouver qu’une œuvre n’a pas servi, sur un corpus de milliards de mots, exige d’exposer ses secrets industriels ».

« Le risque juridique introduit pèsera d’abord sur les acteurs français, à l’heure où des décisions d’infrastructure se prennent pour dix ans. Quand il s’agira de construire et d’utiliser un data center en Essonne ou un autre hors de France, quand il s’agira de choisir où effectuer nos travaux de recherche, ce risque fera la différence pour nous et pour nos clients », ajoute-t-il.

À l’argument du fait que la présomption est réfragable, c’est-à-dire qu’elle peut être contestée par une preuve contraire, et limitée au civil, le patron de Mistral affiche qu’ « à l’échelle de l’entraînement d’un modèle frontière, prouver le négatif sans livrer ses méthodes est impossible ». Et il propose une taxe en alternative, sous la forme d’ « une contribution assise sur le chiffre d’affaires de tous les fournisseurs d’IA opérant commercialement en Europe, étrangers compris, alimentant un fonds pour la création européenne ».

De son côté, l’Alliance Française des Industries du Numérique (AFNUM), qui représente en France une bonne partie des multinationales du numérique comme Google, Nvidia ou encore Microsoft, assure dans un communiqué publié aussi ce dimanche [PDF] que le texte « permet d’engager des poursuites contre n’importe quel acteur (développeur, distributeur, utilisateur professionnel), indépendamment de son rôle réel dans l’intégration des données » :

« Les start-ups, exposées à des frais juridiques élevés et à une présomption quasi impossible à renverser, verraient leur capacité à lever des fonds compromise. Les entreprises françaises qui intègrent des outils d’IA seraient elles aussi exposées au risque contentieux. »

Ensemble accusé de « vouloir avant tout préserver les intérêts de Mistral AI »

Laure Darcos a répondu à Arthur Mensch en l’accusant à mots couverts de ne pas avoir accepté de signer des contrats de licences avec les secteurs culturels, ce qui aurait « ainsi montré l’exemple » pour mettre en place une discussion entre les deux secteurs.

Et pour répondre aux arguments sur le risque de « judiciarisation inextricable des relations entre ayants droit et acteurs de l’IA » en France que met en avant le patron de Mistral, la sénatrice le renvoie aux « plus de 160 procès [qui] sont en cours [aux États-Unis] sur ce sujet précis de l’entraînement des modèles avec des contenus culturels protégés ».

Les débats risquent d’être houleux à l’Assemblée nationale ce 19 novembre. Le groupe présidentiel est accusé par l’industrie culturelle d’avoir pris fait et cause pour l’autre camp. « Gabriel Attal [président du groupe EPR à l’Assemblée] donne l’impression de vouloir avant tout préserver les intérêts de Mistral AI », a ainsi affirmé la Sacem au Monde.

Le texte pourrait cependant être adopté si un amendement de compromis était adopté. Selon nos confrères, cette modification serait rédigée de manière à exclure le français Mistral. La niche parlementaire socialiste risque, par contre, d’être la dernière opportunité pour que ce texte passe devant les députés lors de cette mandature.

🐍 Aie confiance 🐍

La Commission européenne estime à titre préliminaire que TikTok a enfreint le réglement sur les services numériques (DSA) en raison de l’effet de spirale de surutilisation de son système de recommandation sur l’onglet « Pour toi » de son application. Le réseau social a mis en place des modifications mais Bruxelles considère qu’elles sont inefficaces.

TikTok est de nouveau dans le viseur de la Commission européenne concernant de potentielles infractions au DSA. En effet, Bruxelles explique avoir bouclé une enquête préliminaire concernant le réseau social et la spirale de surutilisation (« rabbit holes » en anglais) mise en place par son système de recommandation et ouvrir une enquête formelle.

Des spirales de surutilisation poussées par l’algorithme de TikTok

Dans un communiqué, l’institution affirme que son enquête montre que « TikTok n’a pas suffisamment évalué la manière dont son algorithme de recommandation pouvait entraîner les utilisateurs dans de telles spirales, mettant ainsi leur bien-être en danger ». Elle ajoute que ses conclusions préliminaires font apparaitre « que la conception de l’algorithme pourrait jouer un rôle important dans l’apparition de ces spirales ». « L’algorithme utilise des informations relatives à l’engagement des utilisateurs, telles que le visionnage et les likes attribués aux vidéos, afin de personnaliser le contenu qui leur est recommandé », ajoute la Commission.

Elle donne notamment l’exemple d’un utilisateur qui regarderait ou « likerait » des contenus susceptibles « d’être source de détresse, comme ceux portant sur la perte de poids ou l’image corporelle », et affirme que dans ces conditions, le système « interprète ces interactions comme des signes positifs d’intérêt et lui recommande davantage de contenus du même type ».

« Une exposition répétée à ce type de contenu peut avoir de graves répercussions négatives sur le bien-être des utilisateurs, notamment un sentiment accru de tristesse ou d’anxiété, une insatisfaction vis-à-vis de son corps, une baisse de l’estime de soi ou une aggravation des troubles alimentaires et des troubles psychiques existants », commente-t-elle.

Les mesures mises en place par TikTok ne sont pas efficaces

L’information n’est pas nouvelle puisque nous vous parlions en septembre 2024 d’une étude scientifique montrant que les femmes exposées aux vidéos de TikTok perdent de l’estime pour leur propre corps. Les autrices de l’étude expliquaient que les vidéos du mouvement pro-anorexie profitent particulièrement de l’algorithme de recommandation « Pour vous » de l’application.

D’ailleurs, en février 2024, la Commission européenne avait déjà ouvert une procédure à ce sujet contre les « rabbit holes » de TikTok, soupçonnant déjà le réseau social d’être en infraction avec le DSA. La Commission explique que TikTok a mis certaines mesures en place censées atténuer l’effet, mais selon elle, ces mesures ne sont pas efficaces.

Son enquête constate que les dispositifs pour recommander des contenus diversifiés « ne réduisent pas suffisamment la fréquence à laquelle des contenus similaires sont recommandés, notamment ceux liés aux difficultés de santé mentale et à l’image corporelle ».

Elle ajoute que les outils donnés par TikTok à ses utilisateurs pour contrôler les contenus recommandés sont aussi inefficaces. Ainsi, elle donne l’exemple de l’utilisation du bouton « pas intéressé » qui n’a parfois aucun effet sur le flux de contenus de l’onglet « Pour toi ». « L’algorithme privilégie l’affichage de contenus en fonction du temps passé à les regarder, plutôt que du choix des utilisateurs de voir moins de certains contenus », explique la Commission.

L’institution européenne demande à TikTok de prendre réellement en compte les préférences explicites de ces utilisateurs.

TikTok a désormais la possibilité de défendre les changements qu’elle a mis en place en répondant à la Commission. L’entreprise n’a pas encore réagi publiquement. L’institution européenne ajoute qu’elle va, en parallèle, consulter le Comité européen des services numériques. Elle précise que si son enquête préliminaire est confirmée, elle pourra imposer à Bytedance (la maison mère chinoise de TikTok) une amende pouvant aller jusqu’à 6 % de son chiffre d’affaires annuel total mondial.

En France, l’année dernière, l’application avait fait l’objet quasiment à elle toute seule d’une enquête parlementaire qui avait fait des constats accablants sur les conséquences violentes de l’utilisation de TikTok sur les mineurs.

Mais les parlementaires ont surtout choisi d’interdire les réseaux sociaux aux plus jeunes. La Commission européenne a d’ailleurs récemment affiché sa volonté d’imposer un calendrier commun aux États sur ces questions avec le KIDS Act qu’elle veut mettre en place.

Tout faire pour accéder aux contenus journalistiques sans les payer ?

Le journal américain vient de déposer plainte contre Brave, l’accusant de passer outre son paywall pour vendre l’accès à ses contenus aux entreprises d’IA générative comme Anthropic, Perplexity, Mistral, xAI et Cohere. Accompagné d’autres médias, le New York Times cible aussi l’option « paywall blocker » et d’autres fonctionnalités du navigateur.

Le New York Times, suivi par d’autres titres de presse états-uniens, a déposé plainte devant la cour fédérale de Manhattan lundi 2 novembre contre l’éditeur du navigateur Brave.

Dans les deux documents très proches déposés devant la justice (un premier PDF ici et un autre là), ces médias pointent le « rôle central » de l’entreprise de Brendan Eich concernant la copie et la distribution de leurs articles copyrightés aux utilisateurs de son navigateur mais aussi aux entreprises d’IA génératives les plus en vue du marché.

Brave vendrait un accès aux articles sous paywall via une API

« Brave est le fournisseur, le revendeur et le distributeur de contenus copyrightés et obtenus illicitement, destinés à ses propres utilisateurs ainsi qu’à bon nombre des plus grandes entreprises spécialisées dans l’IA générative, notamment Anthropic, Perplexity, Mistral, xAI et Cohere », écrivent-ils.

Les entreprises de presse estiment, dans leur plainte, que Brave a engrangé plus de 100 millions de dollars en copiant et revendant leurs articles. Pour elles, Brave a pivoté et changé de modèle en monétisant son index de pages web scrapées.

D’une part, en déployant sa fonctionnalité IA « Ask Brave », un bot IA comme tant d’autres, mais qui, selon les plaignants, permet « souvent » d’accéder à des verbatim de leurs textes ou à des résumés détaillés.

D’autre part, Brave propose une API via laquelle elle donne accès , toujours selon la plainte, à « une source illicite de contenus copyrightés dont elle ne possède pas les droits, y compris des contenus copyrightés appartenant aux éditeurs, à d’autres sociétés du secteur de l’IA ».

Les éditeurs de presse ciblent aussi les différentes options mises en place dans le navigateur de Brave pour permettre de lire les contenus de médias en passant outre leur paywall. Ainsi, ils citent l’option « Paywall blocker », qui activée, permet aux internautes de passer outre leurs paywalls, mais aussi le portail Brave News et les fonctionnalités de blocage de publicités incluses dans le navigateur.

Ils demandent que Brave soit empêché de continuer à proposer ce genre de fonctionnalité et de vendre l’accès de cette API aux entreprises d’IA générative mais aussi « la restitution intégrale de l’ensemble des recettes et bénéfices obtenus par Brave grâce à son système de substitution publicitaire, majorés des intérêts ».

Perplexity s’énerve

Interrogées par The Verge, Brave ainsi que la plupart des entreprises d’IA générative citées n’ont pas donné suite. Seule Perplexity a vivement réagi en affirmant que « le New York Times paie ses avocats trop cher et sous-paie ses journalistes. (Qui auraient pourtant facilement pu repérer les fausses informations contenues dans cette plainte) ».

ArsTechnica, qui a reçu la même réponse, affirme que la déclaration de Perplexity ne contient aucune information sur ces prétendues fausses allégations. Nos confrères rappellent cependant que l’entreprise est déjà attaquée par le New York Times dans une affaire engagée depuis décembre 2025 concernant la reproduction illégale d’articles copyrightés.

• Le gouvernement américain vole au secours d’OpenAI dans son litige avec le New York Times

OpenAI mais pas open bar

Selon l’avocat général de la CJUE, le scraping et la réutilisation de publications de presse en ligne par les chatbots IA pour générer des réponses doivent respecter certains critères, et notamment qu’elles aient été obtenues légalement (donc sans passer outre un paywall), mais aussi que le chatbot ne réutilise pas le style utilisé dans l’article.

La presse européenne est suspendue au sort qui sera réservé à l’affaire qui oppose l’éditeur hongrois Like Compagny à Google. C’est, selon le communiqué de presse [PDF] de la Cour de justice de l’Union européenne (CJUE), la première affaire relative à l’IA générative portée devant elle.

Et l’avocat général à la Cour, Maciej Szpunar, vient de rendre ses conclusions. Rappelons qu’il doit donner un éclairage à la Cour mais que celle-ci n’est pas liée à ses conclusions. Les juges commencent tout juste à délibérer dans cette affaire et leur arrêt sera rendu ultérieurement. Mais le regard de l’avocat général permet de mieux cerner les enjeux de cette décision.

En l’occurrence, devant la Cour régionale de Budapest, Like Compagny accuse Google (en fait, sa maison mère, Alphabet) d’avoir violé les droits qu’elle possède sur les articles publiés sur le site Balaton Környéke en les utilisant entre juin 2023 et juin 2024, sans son accord, pour entrainer ses modèles, mais aussi dans son processus de RAG (pour retrieval-augmented generation) afin de générer des réponses aux utilisateurs de son chatbot Gemini en allant les chercher sur le web. Elle l’accuse aussi d’avoir « reproduit » ces articles et de les avoir « rendus accessibles » aux utilisateurs du chatbot.

• Dis Next, c’est quoi un « RAG » en IA générative ?

Avant de statuer, cette cour hongroise a voulu consulter la Cour de justice de l’Union européenne pour vérifier comment le droit européen encadre ce genre de problèmes. Elle lui a demandé si le processus d’entrainement d’un modèle de langage peut être considéré comme un acte de reproduction illicite ou si il relève de l’exception au « text and data mining » que la loi européenne permet. La Cour hongroise a aussi interrogé la CJUE sur la reproduction des articles de presse par les chatbots.

Pas de preuve d’utilisation pour l’entrainement, pas de question

L’avocat général Maciej Szpunar demande à la CJUE d’évacuer les questions sur l’entrainement du modèle de langage avec les textes de Like Compagny car il considère qu’elles ne sont pas recevables. Pour lui, l’entreprise hongroise ne donne pas de preuve que Google a utilisé ses textes pour entrainer ses modèles.

Il demande à la Cour de se concentrer sur les questions relatives à la reproduction des articles par les chatbots via les processus de Retrieval-Augmented Generation (RAG).

Concernant la réutilisation d’articles en ligne par un chatbot pour générer une réponse, Maciej Szpunar estime que l’éditeur n’a pas un monopole sur l’information qu’il a publiée. Ainsi, selon lui, le droit européen permet à un chatbot de réutiliser une information publiée par un média sans avoir à lui demander son consentement.

Un chatbot ne peut pas réutiliser un contenu sous paywall ou utiliser le style d’un article

Par contre, le chatbot qui réutilise une information doit le faire sans y accéder de manière illicite, « notamment en contournant les mesures techniques efficaces destinées à restreindre l’accès à cette publication ou son extraction ».

Il ne doit pas non plus reproduire le style utilisé « dans tout ou partie de la publication de presse » en question, ce qui dispenserait le lecteur d’accéder à l’article originel. L’avocat général semble donc considérer que le droit européen protège la forme des articles de presse librement accessibles sur Internet mais pas le fond.

Il souligne aussi que, pour qu’ils soient retenus contre le fournisseur d’un chatbot, les actes de reproduction reprochés doivent être inhérents à son modèle économique, ou que ce fournisseur n’ait pas mis en place de mesures appropriées pour lutter contre ce genre de pratique de manière crédible et efficace.

Rappelons que les conclusions de l’avocat général ne sont pas contraignantes pour la CJUE, mais que, généralement, les juges de la Cour les suivent.

Une seule loi pour les gouverner tous

Sur la question de la protection des enfants, pas question de présenter un front européen fragmenté et désuni. Pour Bruxelles, tous les États membres doivent se ranger sous la bannière du KIDS Act présenté en septembre.

Le KIDS Act présenté par l’exécutif européen le 17 septembre fixe l’interdiction des réseaux sociaux aux moins de 13 ans ainsi qu’une autonomie progressive et sous surveillance jusqu’à 15 ans : système de « mini compte » adossé au compte d’un parent et limite d’une heure de consultation par jour. Au-delà de 15 ans, la création de comptes autonomes est autorisée sur des services « sûrs ».

• Réseaux sociaux, jeux, IA : ce que l’EU KIDS Act va changer pour les mineurs

Bruxelles veut éviter un patchwork de lois nationales

La proposition tombe à point nommé : plusieurs pays ont déjà voté pour des mesures plus ou moins proches, comme en France ou en Grèce, d’autres sont en passe de le faire. Le hic, c’est que tous ces textes contiennent des mesures différentes qui peuvent se chevaucher ou se contredire d’un État à un autre. C’est pourquoi la Commission veut harmoniser ces lois à l’échelle européenne, sous la bannière du Kids Act, comme le rapporte Le Monde.

Thomas Regnier, le porte-parole de la Commission, l’a dit sans ambages jeudi 29 octobre : si les pays partent en ordre dispersé sur cette question, « vous aurez des âges différents et des lois différentes selon les États membres. Cela deviendra quasiment impossible à gérer. ». Il ajoute que « les plateformes ne pourront pas se conformer aux règles d’un marché aussi fragmenté et, au bout du compte, nous nous retrouverons tous sans protection. »

La Commission européenne a été notifiée de plusieurs propositions de lois, et leur examen se poursuit, « mais cela ne changera pas notre position de principe : nous ne laisserons pas notre marché intérieur se fragmenter. » C’est pourquoi Bruxelles a décidé de reporter de douze mois tout projet national de loi qui chevaucherait les futures règles harmonisées.

La France et la Grèce échappent au gel

Les textes français et grec échappent à ce report, puisque la période de statu quo ouverte par leur notification auprès de la Commission européenne a expiré avant la présentation du Kids Act. Ça ne sera pas le cas de la loi autrichienne, déposée auprès de Bruxelles en juillet. Le pays veut interdire les réseaux sociaux aux moins de 14 ans.

« Concernant le calendrier, nous appelons bien entendu nos co-législateurs à avancer », a indiqué Thomas Regnier. « Nous souhaitons travailler avec tous ces États membres, qui ont accompli un travail solide et pris des initiatives pour protéger leurs enfants en ligne. » Pour ce qui concerne l’Autriche, la vice-présidente Henna Virkkunen s’est entretenue avec le gouvernement pour l’informer de la décision annoncée aujourd’hui. « La coopération est très bonne », assure-t-il.

L’Autriche souhaite une fin des travaux au Conseil d’ici janvier 2027, puis un accord politique d’ici le mois de mars. Si les négociations devaient s’éterniser, Vienne demandera à la Commission d’autoriser les initiatives nationales.

Appauvrissement du débat

Les cyberviolences « affectent les conditions de participation à l’espace public et produisent, à ce titre, des effets politiques », constate Féministes contre le cyberharcèlement dans un nouveau rapport. L’association appelle à considérer les conséquences de ces violences sur le débat démocratique.

Pour 86 % des Français, les cyberviolences conduisent certains internautes à minimiser leurs discours, voire à quitter certains espaces en ligne. Pour 80 % d’entre eux, ces violences numériques peuvent rendre certaines opinions, expériences ou causes moins visibles. Tels sont certains des résultats partagés par l’association Féministes contre le cyberharcèlement dans un nouveau rapport titré « Atteintes contre la liberté d’expression en ligne. Expériences, impacts et stratégies face aux cyberviolences et à la censure numérique ».

Dans un contexte international et national qui pose la question des discours politiques possibles, l’association interroge les conditions d’exercice de la liberté d’expression en ligne, au prisme du genre. Outre se pencher sur les conséquences concrètes que certaines vagues de violence ont sur leurs victimes, elle interroge le rôle des plateformes sur lesquelles se déploient ces violences, de leur régulation par les pouvoirs publics, et de l’accueil fait à celles et ceux qui subissent des vagues de violence.

Au Brésil comme aux États-Unis, des partis politiques demandent des comptes sur la manière dont Meta organise les discours en amont des élections politiques. En France, en plein mouvements lycéens, le premier ministre Sébastien Lecornu a demandé aux opérateurs d’étudier la possibilité de suspendre l’accès à plusieurs services numériques pendant certaines manifestations. Mais dans la vie quotidienne des internautes, le sujet prend une forme plus insidieuse : l’autocensure, voire le retrait de certains espaces numériques. 



« Parmi les Français·es victimes ou témoins de cyberviolences interrogé·es sur les conséquences de leurs expériences, note ainsi Féministes contre le cyberharcèlement, 46 % déclarent avoir renoncé à parler de certains sujets, 41 % à participer à certains débats ou discussions en ligne, 36 % avoir publié moins souvent et 28 % avoir renoncé à une prise de parole publique ou à une exposition médiatique. »

À quelques mois des élections présidentielles, l’association presse donc les régulateurs de reconnaître les cyberviolences « comme une atteinte aux conditions mêmes de la participation démocratique ». Et fait ce constat : quand on leur demande quelles mesures prendre pour protéger la liberté d’expression, 2 Français interrogés sur 3 (61%) citent la lutte contre le cyberharcèlement en tête. 


Un environnement qui reste difficilement compréhensible pour les internautes

Mené par la chercheuse Natalia Briceño-Lagos, le rapport s’appuie sur un sondage mené auprès de 1000 personnes représentatives de la population française, un autre mené auprès de 500 femmes qui publient au moins une fois par mois sur les réseaux sociaux, et une vingtaine d’entretiens semi-directifs avec des femmes ou des associations actives sur les réseaux sociaux. Il vient objectiver un phénomène sur lequel les alertes se multiplient depuis plusieurs années, en France comme ailleurs : outre atteindre la santé mentale des victimes, les campagnes de cyberviolences influent directement sur le débat public.

Je refuse ! Ok, osef !

Fnac Darty collectait et traitait des données personnelles de ses utilisateurs sans recueillir leur consentement ; même lorsqu’ils refusaient explicitement. L’entreprise estimait que ses usages étaient « strictement nécessaires ». La CNIL sanctionne l’entreprise à 7 millions d’euros d’amende et à prouver sa mise en conformité sous peine d’une astreinte de 10 000 euros par jour.

La CNIL vient d’annoncer qu’elle avait sanctionné Fnac Darty Participations et Services et Fnac Direct d’une « amende de 7 millions d’euros pour non-respect des règles applicables en matière de traceurs (cookies) ». 6 millions d’euros pour la première entité, 1 million pour Fnac Direct. Les deux écopent aussi d’une astreinte de 10 000 euros par jour de retard pour justifier s’être mises en conformité, à l’issue d’un délai d’un mois suivant la notification de la délibération.

La Commission explique que « les sociétés avaient recours à un traceur, dont les utilisateurs n’avaient pas consenti au dépôt, collectant notamment leur historique de navigation afin de leur afficher des recommandations de produits et d’entrainer son algorithme de recommandations ».

Plainte en septembre 2023, contrôle en mars 2024

Dans sa délibération, la CNIL explique que, le 15 septembre 2023, elle a été saisie d’une plainte de l’association noyb (None of Your Business) « reprochant aux sociétés d’utiliser des technologies de traçage au sein de son application mobile ». Le 6 décembre 2023, « la vice-présidente déléguée de la CNIL a chargé le secrétaire général de procéder ou de faire procéder à une mission de contrôle ». Contrôle effectué le 6 mars 2024, suivi par des questions à Fnac Darty.

« Les sociétés ont expliqué avoir lancé, après avoir eu connaissance de la saisine de la CNIL par noyb, une revue de la collecte des données effectuée par les traceurs de l’application mobile et avoir identifié un mauvais paramétrage d’un traceur utilisé sur la version Android. Elles ont précisé avoir effectué des correctifs sur l’application mobile et avoir mis à disposition une version corrigée de celle-ci dans sa version Android, le 19 septembre 2023 ». Quatre jours après la plainte, six mois avant les contrôles de la CNIL.

Mais ce n’était visiblement pas suffisant. Lors du contrôle de l’application mobile, « les sociétés réalisaient des opérations de lecture et/ou d’écriture sur le téléphone mobile des utilisateurs de leur application mobile via l’API […], sans recueillir leur consentement préalable et alors même qu’ils avaient cliqué au sein de la bannière de recueil du consentement  » plateforme de gestion du consentement « , sur le bouton  » Continuer sans accepter  » ».

Fnac Darty a confirmé à la CNIL « que les requêtes émises vers le domaine  » […]  » contenaient un identifiant attribué, par la FNAC, à l’utilisateur ainsi que des informations relatives à son activité, telles que les produits consultés, et ont indiqué que ces opérations étaient effectuées à des fins de personnalisation de contenus et d’entrainement de l’algorithme de recommandation de produits au sein de leur application ».

Strictement nécessaires : oui selon Fnac Darty, non selon la CNIL

Pour le rapporteur, ces fonctions n’étaient pas « strictement nécessaires » au fonctionnement du service et le consentement devait être recueilli. Pour Fnac Darty, sans surprise, c’est le contraire : « les opérations en cause visaient à aider l’utilisateur dans sa navigation sur l’application, en filtrant la présentation des produits, et que l’aide à la navigation est une fonctionnalité essentielle, strictement nécessaire du point de vue des utilisateurs dès lors qu’elle leur permet de naviguer de manière lisible au sein du catalogue de produits ».

La CNIL entre davantage dans les détails sur la notion d’affichage de produits similaires qui « pourrait être, en théorie, selon les modalités de mise en œuvre, considérée comme strictement nécessaire à la fourniture du service de communication demandé par l’utilisateur ». Néanmoins, cette fonctionnalité ne peut être isolée des autres finalités « dès lors qu’elle est réalisée par le biais de la même et unique opération de lecture et écriture via l’API ». La CNIL rappelle qu’« un cookie poursuivant plusieurs finalités ne peut relever des exemptions […] que dans l’hypothèse où aucune des finalités poursuivies par les opérations de lecture et/ou écriture considérées ne nécessite le recueil préalable du consentement ».

Fnac Darty explique avoir décommissionné son API en décembre 2024 sur Android et iOS, remplacée par « un nouvel outil dénommé  » […] « , reposant sur un fonctionnement différent, en janvier 2025 ». Suffisant ? Pas pour la CNIL, qui refuse de croire l’entreprise sur parole et demande des preuves que le nouvel outil est bien conforme à la loi.

Dans sa délibération, elle explique que Fnac Darty a produit « un courrier d’un cabinet de conseil présentant une analyse des évolutions qu’elles prévoient de mettre en place », notamment en matière de respect de l’article 82 de la loi Informatique et Libertés. Pour la CNIL, prévoir n’est pas suffisant : les sociétés « ne démontrent pas que les mesures évoquées ont à ce stade été mises en œuvre ». D’où l’injonction en attendant des preuves.

Publier la décision ? Fnac Darty brandit la crainte d’un « préjudice important »

Comme toujours en pareille situation, Fnac Darty demandait à la CNIL de ne pas publier la décision, car cela « serait susceptible de causer un préjudice important au groupe FNAC DARTY actuellement engagé dans une offre publique d’achat et risquerait de fragiliser son équilibre commercial ainsi que la confiance de leurs adhérents, sans apporter de bénéfice à l’intérêt général et tout en favorisant leurs concurrents ».

Pour la CNIL, au contraire, la publication se justifie au « regard de la gravité du manquement en cause, de la portée du traitement et du nombre de personnes concernées ». Selon la CNIL, entre mars 2023 et mars 2024, l’application mobile a été téléchargée plus de 1,5 million de fois en France et a été utilisée en moyenne par 37 400 utilisateurs par jour.

La CNIL parle de négligence, pas d’un acte délibéré : « elle estime que les sociétés ne pouvaient ignorer leurs obligations au titre de l’article 82 de la loi Informatique et Libertés et qu’elles ont fait preuve de négligence en ne les respectant pas ». Fnac Darty peut déposer un recours contre cette décision devant le Conseil d’État pendant deux mois.

L’OPA en cours est celle de Daniel Kretinsky, qui détient déjà 28,5 % du groupe. Comme l’explique Challenges, il « compte avec cette OPA franchir le seuil de 50 %, empêchant de facto le géant chinois du commerce en ligne JD.com d’obtenir davantage de poids dans les décisions de l’entreprise ». La Commission européenne vient tout juste de donner son accord à cette opération.

C’est désormais la dernière ligne droite pour cette opération : « l’Autorité des marchés financiers fera connaître dans les prochains jours le calendrier définitif de l’Offre et notamment la date de clôture de l’Offre ». Le prix est déjà fixé : « 35 euros par action après le paiement le 5 juin 2026 d’un dividende au titre de l’exercice 2025 d’un euro par action et de 81,16 euros par OCEANE [Obligation Convertible En Actions Nouvelles ou Existantes, ndlr] ».

Fuite ou pas fuite ?

Fuites de données en série, chez les partis en campagne pour l’élection présidentielle ? En un week-end, un même pirate affirme avoir récupéré des données du Parti communiste français, de La France Insoumise et de Renaissance. Les deux derniers démentent toute nouvelle intrusion.

Un pirate informatique revendique avoir attaqué et récupéré des données de trois partis français, au cours du week-end du 23 au 25 octobre. Le Parti communiste (PCF), la France Insoumise (LFI) et Renaissance auraient été touchés, mais les deux derniers affirment que les données concernées étaient déjà accessibles en ligne.

Le Parti communiste va déposer plainte

Alerté par l’Agence nationale de la sécurité des systèmes d’information (ANSSI), le PCF a publié le 23 au soir un communiqué dans lequel il indiquait avoir « immédiatement engagé la sécurisation de ses systèmes, de ses outils informatiques et de ses bases de données ».

D’après ses constatations, la fuite affecte son fichier des adhérents et sympathisants – des données sensibles par essence, les opinions politiques faisant partie des données personnelles plus spécifiquement protégées par la loi –, mais ne comprend aucune donnée bancaire. Le parti de Fabien Roussel affirme par ailleurs qu’il va déposer plainte.

De son côté, le pirate revendique des données sur 190 000 personnes avec des noms, prénoms, adresses postales, emails et numéros de téléphone. Comme trop souvent en pareille situation, la victime ne communique pas, elle, sur l’ampleur précise du piratage. Cela rend impossible l’estimation du nombre de données directement issues de cette fuite du PCF, et du nombre de celles issues d’attaques antérieures. Or, une pratique « courante » des pirates consiste à multiplier les données ou à les agréger depuis diverses sources pour augmenter artificiellement le volume de ce qu’ils annoncent faire fuiter.

La France Insoumise et Renaissance démentent

Sous le pseudonyme de ChimeraZ, le pirate, qui multiplie les « coups d’éclat » depuis plusieurs mois, a de nouveau sévi les deux jours suivants. Le samedi, il affirmait avoir mis la main sur un fichier de près de 1,2 million de lignes de données de militants LFI. Le dimanche, rebelote, avec un fichier de 4,1 millions de lignes issues du parti Renaissance.

Dans ces deux cas, les partis démentent toute nouvelle intrusion. Le 24 octobre, le coordinateur LFI Manuel Bompard affirmait avoir « été informé de la circulation d’un ensemble de fichiers présentés comme issus de nos systèmes ». Après vérification interne, il indiquait : « aucune donnée personnelle de membres de la France insoumise n’a été divulguée au-delà de celles déjà disponibles publiquement (contacts d’événements par exemple) ».

En mai, LFI avait déjà été victime d’une fuite de liste d’adhérents ou sympathisants. Celle-ci était issue de son réseau social dédié, Action populaire. Dans le cas présent, le Fuites Infos et Le Parisien constatent que des numéros et des e-mails de militants sont aussi disponibles dans le fichier qui circule en ligne. Viennent-ils tous de la même source, ou bien s’agit-il de données agrégées de plusieurs fuites ? Impossible à dire.

De plus, ils relèvent que le document contient des éléments relatifs aux opérations de porte-à-porte pour les municipales de 2026 et pour la présidentielle de 2027. C’est notamment là qu’apparaît un doute sur le type de données collectées, relève Cyberattaque.org : la présence d’adresses au format Base Adresse Nationale ne permet pas de suggérer que ces données désignent les domiciles de militants. Elle indique seulement que ces données ont été incluses dans un outil pour l’organisation d’un porte-à-porte sur un territoire donné ou dans le cadre d’une campagne précise.

• Quels sont les risques liés aux multiples fuites de vos données personnelles ?

Chez Renaissance, de même, la direction affirme auprès du Parisien qu’« aucune donnée personnelle n’a été divulguée ». Concrètement, les données concernées incluent des adresses postales, des coordonnées GPS, des identifiants de campagnes politique, des suivis de visites de porte à porte et d’autres statistiques de terrain.

Le parti de Gabriel Attal déclare que les « éléments décrits correspondent à des informations publiques, soit disponibles via l’Insee, soit affichées sur notre plate-forme militante, consultables publiquement. Ils semblent avoir été collectés par extraction automatisée de ces pages ».

Période agitée pour les sites de partis politiques

Sans lien apparent, le site du parti Les Républicains a de son côté subi un défaçage, c’est-à-dire une modification de sa page d’accueil pour afficher des revendications, le 16 octobre.

D’après nos constatations, l’attaque visait principalement à appeler à la manifestation du lendemain et à adresser des insultes aux membres du parti. Ses auteurs affirmaient avoir récupéré des données internes, ce que des membres du parti politique ont nié auprès du Monde.

• Fuites de données : devant Bercy, des féministes demandent des comptes à l’État



Liberté de protester

Insultée sur LinkedIn puis sommée de retirer la publication qu’elle avait mise en ligne pour dénoncer ce traitement sexiste, Tara Heuzé-Sarmini a finalement obtenu gain de cause. La Cour d’appel de Douai déclare notamment que les captures d’écran d’un échange en message privé permettent, dans un tel contexte, d’établir une base factuelle solide pour ouvrir le débat sur un sujet comme celui du sexisme auquel les femmes sont exposées en ligne.

Le 26 août 2026, Tara Heuzé-Sarmini était approchée sur LinkedIn, par message privé, par le créateur du réseau « Band of Brothers », qu’elle venait à peine d’accepter parmi ses contacts. Alors qu’elle réagit par la négative au message qu’elle reçoit, celui-ci répond en ironisant sur la possibilité de l’intégrer à « une band of connasses ».

Le lendemain, agacée, l’entrepreneure et formatrice prend une capture d’écran de l’échange puis publie un message sur son fil LinkedIn, dans lequel elle s’irrite publiquement du fait qu’ « exister pour une femme, aussi bien sur les réseaux que dans l’espace public, c’est encore s’exposer au (cyber)harcèlement, aux insultes, au dénigrement… » Sur le réseau professionnel, la publication fait un premier buzz.

Problème : la publication renvoie vers le profil de Nicolas Belnou, celui qui l’a insultée. Début septembre, Tara Heuzé-Sarmini se voit assignée en justice, en référé (une procédure d’urgence). Elle est ensuite condamnée à retirer sa publication, sous peine d’astreinte financière quotidienne, et à verser 1 500 euros au titre des frais de justice. Le 4 septembre un procès-verbal constate « 4 581 réactions, 960 commentaires et 118 republications » de cette première publication.

• Quand un « relou » numérique obtient une sanction… contre celle qu’il a insultée

Dans une décision rendue ce 22 octobre, la Cour d’appel de Douai infirme ce jugement. Elle a néanmoins intimé à Tara Heuzé-Sarmini de modifier sa publication pour en retirer deux éléments n’apportant pas d’information utile au débat qu’elle a ouvert : le lien vers le profil de Nicolas Belnou et sa photo, visible sur la capture d’écran de leurs échanges. Sur LinkedIn, toujours, l’avocat de Tara Heuzé-Sarmini, Jean-Baptiste Soufron, se félicite de la décision comme de la pédagogie de la Cour. Dans une décision de 34 pages, cette dernière « a clarifié les règles pour tout le monde », estime-t-il.

Vie privée ou liberté d’expression ?

Début octobre, alors que Tara Heuzé-Sarmini était de nouveau sommée par l’autre partie d’organiser sa défense en appel en urgence, ce dernier détaillait auprès de Next certaines des questions juridiques que soulevait l’affaire.

Face à la justice, Nicolas Belnou contestait par exemple l’impact de la diffusion publique d’échanges initialement tenus par messages privés. En l’occurrence, le premier message reçu par Tara Heuzé-Sarmini – et qu’elle indique avoir tout de suite considéré comme généré par IA – « relevait du démarchage commercial, autrement dit d’un spam comme on en reçoit désormais régulièrement sur LinkedIn », estimait Jean-Baptiste Soufron. Il s’interrogeait sur la manière de considérer ce type de messages commerciaux envoyés par des canaux utilisés aussi pour entretenir des échanges relevant de la vie privée.

• Insultée sur LinkedIn, Tara Heuzé-Sarmini doit de nouveau se défendre en urgence

Face à la Cour, Tara Heuzé-Sarmini et sa défense ont fait valoir que « la mise en balance entre le respect de la vie privée et le droit à la liberté d’expression est nécessaire, conformément à la jurisprudence européenne, pour arbitrer le conflit », indique la minute de l’audience.

Jeu, set et match

La fondation suisse qui fournit des services de DNS jette l’éponge en France après avoir été contrainte de bloquer des noms de domaine de sites de streaming sportifs dont BeIN Sports France avait les droits exclusifs.

Les internautes français ne pourront bientôt plus utiliser les serveurs DNS du fournisseur Quad9. En effet, après une décision de justice, l’entreprise suisse a annoncé ne pas pouvoir assurer son service correctement auprès de ses utilisateurs dans le monde tout en s’y conformant à long terme.

• [Dossier] Internet, mode d’emploi : de l’URL à l’IP avec le DNS (partie 2)
• [Tuto] Installer facilement son propre résolveur DNS sur Raspberry Pi, VM Freebox, VPS

Ce n’est pas la première fois qu’un fournisseur de DNS prend une telle décision. En effet, en 2024, OpenDNS s’était résolu à arrêter de proposer ses services en France à cause d’une décision de justice similaire. À l’époque, l’entreprise américaine était en conflit avec Canal+.

Le litige : le blocage de sites de streaming du tournoi de tennis féminin de la WTA

Cette fois-ci, c’est BeIN Sports France qui incite la fondation suisse à suivre. Le 13 mai dernier [PDF], la chaîne de télévision sportive qatarie avait obtenu devant le Tribunal judiciaire de Paris l’ordre donné à Google et à Quad9 de bloquer, sur le territoire français, l’accès via leurs serveurs DNS respectifs à une liste de sites et services IPTV qui permettaient de regarder le tournoi de tennis féminin de la WTA. Cette décision prévoyait un blocage jusqu’à la fin du tournoi, c’est-à-dire jusqu’au 14 novembre prochain, et ce dans un délai de trois jours maximums suivant la signification de la décision.

Mais Quad9 ne s’y est pas plié et a fait appel. Problème, le jugement était revêtu d’une exécution provisoire. BeIN a relancé la procédure en septembre en faisant assigner la fondation suisse devant le même tribunal pour la forcer à appliquer la décision de justice prise en mai. Le jugement rendu ce 21 octobre (dont Quad9 diffuse la décision, PDF) a décidé d’une astreinte de 1 000 euros par jour de retard à compter du prononcé de la décision jusqu’à la fin du tournoi. BeIN Sports demandait « une astreinte de 10 000 euros par jour de retard et par nom de domaine ou sous-domaine demeurant accessible via les services de Quad9 », ce qui, selon la fondation, aurait donné un total de 580 000 € par jour.

Quad9 retire l’accès à ses services en France à partir du 24 novembre

Dans un billet de blog intitulé « Ce n’est qu’un au revoir, la France », Quad9 qualifie de « bonne nouvelle » le fait que le tribunal a « considérablement réduit » la pénalité financière. Elle annonce, cependant, qu’ « à compter du 24 novembre, Quad9 ne sera plus en mesure d’offrir son service gratuit de cyberprotection aux utilisateurs situés en France ». Pour la fondation suisse, la mise en conformité de la décision juridique française « est techniquement irréalisable, et son exécution contredit directement notre mandat d’intérêt public ».

Elle explique sa décision par son refus de mettre en place un dispositif qui altérait les réponses DNS : « Nous ne pouvons pas nous conformer à cette décision sur le long terme tout en restant fidèles à notre mission de protéger votre vie privée, de vous défendre contre les cybermenaces et de préserver l’intégrité d’Internet. Pour nous, la résolution DNS récursive est un service neutre et passif. Nous refusons catégoriquement d’altérer ou de vous mentir sur les réponses DNS que vous recevez contre vos attentes ».

Quad9 précise que son appel est toujours en cours et que « nous continuerons de défendre notre position devant les tribunaux dans cette affaire comme dans toutes celles que nos moyens permettront de mener ».

Brèche dans la prison dorée d'Apple

La justice australienne force la main à Apple, qui devra ouvrir l’écosystème iOS aux boutiques alternatives, au sideloading et aux services de paiement tiers.

Après l’Union européenne (via le DMA), le Japon ou encore le Brésil, l’Australie rejoint donc la cohorte de pays exigeant d’Apple l’ouverture d’iOS à la concurrence. Un nouveau coup dur pour le business de l’App Store, dont le modèle s’effrite en raison des régulateurs et de la justice.

• L’App Store rapporte toujours gros, mais le modèle d’Apple se fissure

Boutiques alternatives et paiements tiers imposés à Apple

Suite à une action en justice engagée par Epic Games en 2020, un tribunal australien avait constaté les infractions en août 2025 : le juge estimait alors que le constructeur de Cupertino avait usé de pratiques anticoncurrentielles. En abusant de sa position sur le marché des apps iOS, Apple a bloqué d’autres canaux de distribution ainsi que des services de paiement alternatifs au sien (qui lui permet de prélever une dîme de 15 à 30 % sur les transactions).

Suite à cette décision, il fallait encore décider des mesures à appliquer. C’est chose faite depuis ce jeudi 22 octobre par une cour fédérale. Celle-ci exige d’Apple la possibilité d’installer des applications sur un iPhone sans passer par l’App Store. L’entreprise doit autoriser les téléchargements directs (sideloading) et les boutiques alternatives, les utilisateurs devant bénéficier par ailleurs des outils nécessaires pour installer et mettre à jour les apps.

Un système de notarisation devra également être mis en place (par Apple ou un tiers qualifié) pour vérifier la sécurité et la confidentialité des apps distribuées par des moyens alternatifs. Il s’agira d’une vérification technique, pas d’un moyen détourné de contrôler ces applications. Apple va aussi devoir faire une place aux systèmes de paiement concurrents, et les développeurs pourront intégrer dans leurs applications des liens vers des achats externes.

L’entreprise ne pourra pas facturer de frais sur les achats de contenus numériques effectués avec des moyens de paiement tiers pour les apps distribuées en dehors de l’App Store. Pour celles présentes dans la boutique officielle, les frais sur ces achats ne pourront pas dépasser ceux appliqués aux achats de biens ou services physiques avec un paiement tiers, augmentés des seuls coûts supplémentaires réellement et raisonnablement supportés par Apple pour les achats numériques. La décision ne fixe aucun pourcentage.

Des garde-fous pour empêcher Apple de verrouiller l’ouverture

Le texte de la cour contient aussi des ordonnances empêchant Apple de complexifier inutilement la mise en œuvre de ces solutions alternatives – les déclinaisons byzantines des dispositifs de conformité au DMA du groupe américain ont servi d’exemples à ne pas suivre.

Apple ne pourra pas facturer l’accès aux boutiques alternatives ou leur utilisation. Aucun frais ne pourra être imposé pour les outils indispensables à la distribution des apps, ni de conditions décourageant cette distribution. Les frais sur les paiements alternatifs sont également strictement limités.

Dans le même esprit, Apple a l’interdiction d’obliger un développeur à proposer le système de paiement de l’App Store en plus du sien, elle ne peut pas empêcher un développeur de vendre moins cher ailleurs, ou de le pénaliser parce qu’il utilise une boutique ou un paiement concurrent. Aucun rapport d’activité ou d’audit sur les transactions réalisées avec un moyen de paiement alternatif ne peut être réclamé par l’entreprise.

Enfin, Apple ne peut pas abuser des « scare screens » avant l’installation d’une boutique alternative. Il s’agit de ces panneaux prévenant l’utilisateur des risques supposés que représente une boutique tierce.

L’entrée en vigueur de ces mesures est fixée au 1er mars 2027. Apple a la possibilité de demander un report jusqu’au 3 mai, si le tribunal l’autorise. Le groupe a néanmoins annoncé son intention de contester la décision de la cour fédérale. « Nous demanderons une suspension de l’exécution de la décision et ferons appel afin d’obtenir une solution qui respecte notre propriété intellectuelle et préserve l’expérience sûre et sécurisée que les consommateurs et les développeurs attendent de l’App Store », a déclaré un porte-parole d’Apple à Reuters.

Sans attendre, Epic a annoncé le retour de Fortnite dans l’App Store australien dès ce jeudi.

Mega Meta amende

L’entreprise de Mark Zuckerberg a été condamnée, suite à l’affaire Cambridge Analytica, à payer 25 milliards de dollars dans l’État américain du Nouveau-Mexique pour avoir menti à ses utilisateurs concernant la confidentialité de leurs données. C’est l’une des plus lourdes sanctions contre une entreprise du numérique jamais prononcées.

Ce n’est pas la sanction la plus lourde que le juge aurait pu prononcer, mais son ampleur reste historique : Meta a été condamnée à payer 25 milliards de dollars. Comme nous l’expliquions fin septembre, l’entreprise de Mark Zuckerberg pouvait craindre une addition encore plus salée, avec une sanction potentielle de 219 milliards de dollars.

Le verdict tombé le 25 septembre concernait les suites de l’affaire Cambridge Analytica. Ce cabinet britannique avait organisé, à partir de 2014, un microciblage politique en collectant des données sur 87 millions d’utilisateurs de Facebook, puis les avait exploitées pour différentes campagnes électorales, dont la première de Donald Trump en 2016 et celle du Brexit.

Comme d’autres États américains, le Nouveau-Mexique avait porté plainte contre Facebook (devenu ensuite Meta). Mais son procureur est le seul à ne pas avoir signé d’accord avec l’entreprise et à avoir poussé le procès jusqu’au bout. Au final, le jury a constaté que Facebook s’est rendu coupable de 43 899 725 infractions à la loi sur les pratiques déloyales en vigueur dans l’État et 26 des 29 déclarations de Meta pointées par l’accusation ont été désignées trompeuses par le jury. Notamment, l’entreprise a menti sur le contrôle par ses utilisateurs du partage de leurs informations, sur leur vente ou leur cession à des annonceurs ou encore sur l’achat et la vente de données utilisateurs par Meta. Mais il restait à un juge de décider quelles en seraient les conséquences financières pour Meta.

Des pratiques « au cœur même des pratiques commerciales fondamentales de l’entreprise »

« Les agissements répréhensibles de Facebook – qui se sont étalés sur plusieurs années et ont été systématiquement portés à la connaissance du public – touchent au cœur même des pratiques commerciales fondamentales de l’entreprise », a affirmé le juge Francis J. Mathew dans son ordonnance [PDF] suivant le verdict du jury. « Cela concerne la manière dont Facebook attire les utilisateurs sur sa plateforme et parvient à les y fidéliser. Cela concerne également la principale ressource que les utilisateurs apportent à Facebook — leurs données —, qui est précisément ce qui a permis à Facebook d’atteindre un tel niveau de rentabilité », a-t-il ajouté.

« L’ampleur du préjudice causé dans cette affaire est difficile à évaluer et touche au cœur même du modèle économique de Facebook », y écrit-il encore. Il souligne le « nombre extraordinaire de violations délibérées […], la durée et la répétition » qui « justifient l’application de la sanction la plus sévère ».

25 milliards et 15 % d’intérêt par an jusqu’au paiement intégral

Le juge a néanmoins ramené l’amende que devra payer Meta de 219 milliards à 25 milliards de dollars mais a ajouté que « les intérêts sur cette amende courront au taux de 15 % par an jusqu’à son paiement intégral ».

« C’est un jour historique pour le Nouveau-Mexique et pour les consommateurs de tout le pays », a déclaré le procureur général Raúl Torrez. « Depuis trop longtemps, de puissantes entreprises technologiques agissent comme si leur taille et leur influence les plaçaient hors de portée de la loi. Un jury du Nouveau-Mexique a constaté près de 44 millions d’infractions à notre loi sur la protection des consommateurs, et cette décision de sanction démontre que ces infractions entraînent des conséquences réelles. Nous nous sommes attaqués à l’une des plus grandes entreprises au monde parce que les habitants du Nouveau-Mexique méritent l’honnêteté, la responsabilité et la protection de leurs données personnelles. Le résultat d’aujourd’hui montre clairement qu’aucune entreprise n’est trop puissante pour être tenue de rendre des comptes. »

« Cette décision, ainsi que l’approche adoptée par le procureur général dans le cadre de cette application de la loi, rend pratiquement impossible toute activité commerciale dans l’État du Nouveau-Mexique », a affirmé le directeur juridique de Meta, C.J. Mahoney, dans une déclaration citée par l’agence Reuters. « Au fond, cette action en justice vise à imposer une taxe sur la liberté d’expression afin d’imposer de nouvelles règles sur ce que les gens peuvent dire en ligne », s’indigne-t-il. Il précise que son entreprise va faire appel.

Les GAFAM et les agents d'abord

Un mois après avoir demandé à effectuer une « pause » au vu des risques que poseraient les IA les plus avancées, Anthropic a rédigé un projet de loi de régulation. Il prévoit de permettre aux États-Unis de bloquer celles qui pourraient tuer ou blesser gravement « plus de 50 personnes », ou causer « plus d’un milliard de dollars de dommages », mais limite le montant des amendes à 0,2 % de leurs revenus.

POLITICO s’est procuré le projet confidentiel de régulation de la sécurité et de la sûreté des IA (« AI safety » en VO) de pointe qu’Anthropic a discrètement présenté à des représentants du Congrès états-unien. Une initiative qui intervient un peu plus d’un mois après que Dario Amodei a appelé à faire une « pause » dans le développement des IA (quand bien même leurs dépenses montrent l’inverse), puis que les patrons de l’IA ont réclamé une régulation mondiale à l’ONU.

• Anthropic, OpenAI et Elon Musk veulent ralentir sur l’IA, la Maison-Blanche dit non
• À l’ONU, les patrons de l’IA réclament une régulation mondiale

L’objectif serait de permettre au gouvernement d’émettre un « ordre de blocage » de mise sur le marché ou d’utilisation d’un modèle « uniquement si celui-ci présente un risque prévisible et imminent de causer plus d’un milliard de dollars de dommages, ou de tuer ou de blesser gravement plus de 50 personnes », souligne POLITICO.

Ce type de « risque catastrophique » est cela dit cantonné à trois possibilités limitatives : « fournir une assistance de niveau expert dans la création ou la libération d’un produit chimique, arme biologique, radiologique, cybernétique ou nucléaire » (NRBC), « s’engager, sans surveillance, intervention ou supervision humaine significative, dans une cyberattaque », ou bien « échapper au contrôle de son développeur ou utilisateur ». La proposition exclut en outre toute « activité légale du gouvernement fédéral ».

« En d’autres termes, si un modèle semblait susceptible de tuer ou de blesser gravement seulement quelques personnes, ou de causer des dégâts matériels d’une valeur inférieure à un milliard de dollars, le gouvernement ne serait pas en mesure de le réglementer », ironise de son côté Mother Jones.

Pour rappel, le PDG d’Anthropic, Dario Amodei, qui n’avait « jamais soulevé d’objections à l’égard d’opérations militaires », avait déjà refusé, en février dernier, que ses IA puissent être utilisées pour de la surveillance de masse à l’intérieur du pays, ainsi que par des armes totalement autonomes.

Donald Trump avait alors publiquement ordonné à toutes les agences des États-Unis de cesser d’utiliser Claude et les produits d’intelligence artificielle d’Anthropic en février dernier, le qualifiant de « fournisseur à risque pour la sécurité nationale ».

• Donald Trump ordonne à toutes les administrations US de rompre avec Anthropic
• Derrière la polémique entre Trump et Anthropic, les enjeux de l’usage militaire de l’IA

Des amendes plafonnées à 0,2 % du revenu annuel, et conditionnées

POLITICO relève par ailleurs qu’Anthropic propose aussi que des évaluateurs indépendants, enregistrés auprès du ministère du Commerce, soient par ailleurs chargés d’évaluer périodiquement le laboratoire et ses modèles de pointe. Le document précise que ces évaluateurs pourraient être rémunérés par le laboratoire lui-même, à condition que cette rémunération ne dépende pas des résultats des évaluations.

En cas de « risque imminent et précis », ces évaluateurs devraient le signaler dans les 72 heures suivant la fin de leur évaluation au ministère du Commerce. Ce dernier pourrait de son côté demander au juge de suspendre la mise sur le marché d’un modèle présentant un risque. Le texte interdit par contre explicitement à tout autre ministère, agence ou fonctionnaire de suspendre le développement, le déploiement ou l’utilisation interne d’un modèle.

Éditeur de désinfo

Le mode IA de Google a indiqué à certains internautes qu’un médecin d’Aix-la-Chapelle avait été condamné pour agression sexuelle, des faits qui concernaient un autre homme. La Justice estime Google responsable du contenu produit.

Un médecin d’Aix-la-Chapelle a découvert que les résumés IA de Google lui inventaient toute une biographie. Mais pas n’importe laquelle : selon les textes générés par la fonctionnalité de résumé de recherche, l’homme aurait été condamné pour agression sexuelle et suspendu de ses fonctions de direction de clinique.

Ce 24 septembre, la cour régionale d’Aix-la-Chapelle a déclaré Google responsable de ces erreurs et lui a interdit de reproduire cet élément de désinformation. C’est la deuxième condamnation de ce type en Allemagne, étoffant un raisonnement juridique selon lequel Google est éditeur, et donc responsable, des informations générées par ses outils d’IA.

• Vous ne voulez pas des Aperçus IA de Google ? Voici comment s’en débarrasser

Sollicité, Google refuse de réagir

Dans le cas présent, un professeur de médecine et ancien dirigeant d’une clinique de neuroradiologie s’est vu affublé par Google d’une fausse biographie. Dans les résumés de recherche, le système d’IA de l’entreprise californienne indiquait en effet que l’homme avait été suspendu en février 2024 après avoir été poursuivi en justice par sa secrétaire, et qu’il aurait été condamné pour agression sexuelle en mars 2026.

Aucun de ces éléments ne correspond à l’homme explicitement nommé par la machine. D’après sa plainte, ils correspondent aux faits commis et vécus par un autre professeur d’université. Ces éléments ont pu être confirmés par la cour d’Aix, puisque l’affaire réelle a été jugée devant un tribunal pénal.

Les cas d’erreurs et de mélanges d’informations par les moteurs d’IA, souvent qualifiés d’hallucinations, sont documentés depuis longtemps. Certains ont même été produits par des systèmes d’IA dédiés à manipuler des textes juridiques. Dans le cas présent, en revanche, ces erreurs sont liées au nom d’une personne réelle, et accessibles sans préconisation particulière sur le moteur de recherche le plus utilisé au monde.

• L’hallucination d’une IA a failli provoquer un affrontement entre les États-Unis et la Chine

Alerté par un collègue, le médecin a envoyé le 28 août un mail à l’adresse « removals@google.com », demandant aux équipes de modération de l’entreprise de supprimer ce récit trompeur. Le 15 septembre, l’entreprise lui a répondu qu’elle avait décidé de ne rien faire. Après une mise en demeure, l’entreprise n’a pas plus réagi, rapporte le Frankfurter Allgemeine Zeitung. L’homme s’est donc tourné vers la justice, qui a enjoint Google à corriger les éléments produits par ses machines, au motif qu’ils violaient les droits individuels du médecin décrit à tort comme condamné.

Déjà déclarée responsable en Bavière, l’entreprise a renoncé à faire appel

En juin, en Bavière, le tribunal régional de Munich interdisait à l’entreprise de continuer de diffuser des éléments faux générés dans les réponses du résumé IA (AI Overview) et associant des sociétés légitimes à des escroqueries qu’elles n’avaient pas commises.

• Un tribunal allemand déclare Google responsable des réponses fausses de son AI Overview

À l’époque, Google avait annoncé son intention de faire appel, précisément pour éviter que l’affaire ne fasse jurisprudence. D’après The Decoder, l’entreprise a finalement renoncé et conclu un accord avec les plaignants, dont les détails ne sont pas connus.

Dans le cas présent, le tribunal d’Aix fait directement référence à la décision prise avant l’été à Munich. Il cite notamment la décision prise, qui estimait que les outils d’IA de Google produisent « des affirmations indépendantes, neuves et substantielles appuyées sur l’évaluation et la combinaison de plusieurs sites web tiers ».

Google pourrait, de nouveau, tenter de trouver un accord avec le plaignant pour éviter qu’une décision contraignante ne soit prise à son encontre. Le problème est que ce procédé pourrait finir par faire naître une incitation problématique.

Si des cours de justice continuent de qualifier Google de responsable des contenus générés par ses machines, et que l’entreprise règle le problème à coups d’accords impliquant probablement des compensations financières, estime The Decoder, alors des individus ou des cabinets spécialisés pourraient juger utile de pousser des modèles d’IA jusqu’à ce qu’ils génèrent des textes faux ou potentiellement dommageables à la réputation. Il deviendrait ensuite possible, en tout cas en Allemagne, de poursuivre l’éditeur en justice s’il ne corrige pas le problème, puis de négocier un accord.

• L’IA générative empêche d’admettre que nous ne savons pas

« Il faut être impitoyable envers les casseurs parce qu’ils trahissent la France », a déclaré Gérald Darmanin au JT de 20H de TF1 ce lundi 19 octobre, en réponse aux pillages effectués en marge des manifestations du samedi 17 octobre.

« Il y a eu 2.513 gardes à vue au moment où je parle », a précisé le ministre de la Justice, soulignant que l’immense majorité des personnes concernées étaient encore en garde à vue devant les services de police et que « la réponse pénale, on la saura définitive en fin de semaine » :

« Déjà plus d’un demi-millier de ces personnes, plus de 500 personnes, sous escorte policière, ont été déférées au tribunal pour être présentées aujourd’hui, demain et après-demain en comparution immédiate. »

Le garde des Sceaux a également envoyé lundi matin une instruction à tous les parquets de France « pour leur demander de passer en qualification de criminalité organisée ce qui s’est passé », afin de leur permettre de recourir à des techniques dites « techniques spéciales d’enquête » qualifiées par Valéry Muller, vice-président chargé de l’instruction au tribunal judiciaire de Paris,, de « particulièrement offensives ».

« Ça veut dire d’abord qu’on pourra passer les gardes à vue de 48 à 72 heures pour que les services de police puissent faire leur travail vu l’afflux de gardes à vue », a précisé Gérald Darmanin :

« Ça veut dire aussi qu’on va pouvoir faire des géolocalisations, des écoutes téléphoniques, qui vont nous permettre de savoir, en regardant les téléphones des personnes qui sont en garde à vue, s’ils ont participé et comment ils ont participé, où ils étaient au moment où on a pillé des magasins, attaqué des mairies. Et puis surtout, on va utiliser le moyen de la reconnaissance faciale sur le TAJ (Traitement des antécédents judiciaires), c’est-à-dire le fichier des policiers, il y a des millions de personnes qui sont dans ce fichier, pour regarder si sur les réseaux sociaux, on n’a pas les mêmes images. »

• 24 millions et moi, et moi… : l’équivalent du tiers de la population est « défavorablement connue » de la police
• 12 ans que la CNIL dénonce le fichier TAJ des personnes « défavorablement connues »… en vain

Interrogé ce mardi matin sur CNEWS (X.com / Facebook), Gérald Darmanin précise qu’ « aujourd’hui, 123 personnes sont incarcérées, soit en détention provisoire soit en mandat de dépôt », et que « plus de 700 personnes sont déférées dans les dépôts, c’est-à-dire les endroits où l’on attend d’être condamné ».

Le département états-unien de la Sécurité intérieure (DHS) ordonne le retrait des produits DeepSeek et services tiers utilisant le modèle d’IA chinois des systèmes informatiques des agences civiles fédérales, rapporte l’agence Reuters. Le DHS leur interdit également d’acquérir des produits DeepSeek, ainsi que des services tiers développés à l’aide des outils de l’entreprise chinoise.

L’AFP précise que le DHS, qui a autorité sur les services civils du gouvernement (mais pas sur l’armée ni le renseignement américain), ne motive pas sa décision dans l’avis.

Reuters souligne cela dit que dans une note de service datée de juillet et rendue publique ce lundi, en annexe du mémo, le DHS avait déjà demandé aux agences fédérales de surveiller le trafic entrant et sortant des sites web gouvernementaux afin de faire face aux risques potentiels liés à DeepSeek.

Le DHS expliquait que les modèles DeepSeek comportent « plusieurs vecteurs de menace », qu’ils « peuvent contenir des logiciels malveillants ou d’autres vulnérabilités de sécurité », et que « plusieurs vulnérabilités critiques » avaient été découvertes dans son application mobile iOS en 2025.

Il s’inquiétait également du fait que l’utilisation de ce produit « pourrait entraîner le transfert de données sensibles vers la République populaire de Chine s’il était utilisé par des employés du gouvernement américain ou des prestataires ». Le DHS indiquait enfin que l’utilisation de DeepSeek par des agences gouvernementales « pourrait générer des renseignements exploitables concernant des ressortissants américains et/ou des agences gouvernementales ».

Cette interdiction n’est pas la première aux États-Unis, relève Reuters. Plusieurs agences américaines, notamment le ministère du Commerce et la Marine, avaient ainsi déjà interdit l’utilisation de DeepSeek sur les appareils gouvernementaux. Plusieurs États, dont New York, le Tennessee et la Virginie, avaient pris des mesures similaires.

En juillet, la Federal Communications Commission (FCC) avait par ailleurs voté l’interdiction de la vente aux États-Unis d’appareils contenant des composants matériels clés provenant d’entreprises chinoises considérées comme présentant un risque pour la sécurité nationale. La FCC avait aussi proposé d’interdire aux opérateurs de télécommunications américains de s’interconnecter avec des entreprises de télécommunications chinoises considérées comme présentant un risque pour la sécurité nationale.

Le réseau social pour adultes Mym est dans le viseur de l’Arcom. Le régulateur des communications suspecte la plateforme de deux infractions au règlement européen sur les services numériques (DSA).

Suite à une première analyse de conformité, l’Arcom a envoyé une demande d’information à Mym le 14 octobre concernant deux infractions potentielle au DSA. La première concerne la protection des mineurs, notamment sur les modalités et l’activation du contrôle de l’âge ; la seconde porte sur la transparence du service.

L’article 28 du texte impose aux plateformes accessibles aux mineurs des mesures « appropriées et proportionnées pour garantir un niveau élevé de protection de la vie privée, de sûreté et de sécurité des mineurs sur leur service. ».

Contrairement à l’App Store (Apple), Amazon ou, pour rester dans le même secteur d’activité, Pornhub (Aylo), Mym n’est pas une très grande plateforme en ligne (VLOP) au titre du DSA.

Mais même sans atteindre le seuil des 45 millions d’utilisateurs actifs mensuels qui qualifie une VLOP, les plateformes en ligne accessibles aux mineurs doivent respecter ces mesures. L’Arcom est chargée de faire appliquer le DSA en France depuis la loi Sren de 2024. L’Autorité contrôle les plateformes établies dans l’Hexagone comme c’est le cas pour Mym.

Le deuxième grief du régulateur touche à la transparence du site : conditions générales d’utilisation incomplètes, informations insuffisantes sur le fonctionnement des systèmes de recommandation, etc. Mym a maintenant quinze jours pour répondre à l’Arcom, sous peine de sanction.