Tolérance zéro

L’utilisation de l’IA générative dans le développement du jeu vidéo devient de plus en plus difficile à éviter, ce qui n’est pas sans poser un sérieux problème de conscience aux développeurs adeptes du 100 % fait main.

La petite équipe du studio australien House House a créé une des sensations vidéoludiques de l’année avec Big Walk, un jeu en co-op où les joueurs doivent résoudre des puzzles en explorant un monde plein de surprises. Évaluations « très positives » sur Steam et succès critique, Big Walk est un sérieux prétendant au titre de jeu de l’année dans plusieurs cérémonies.

Mais voilà : malgré son succès, le titre pourrait être interdit de participer à l’Independent Games Festival (IGF), durant lequel se tient un événement récompensant les meilleurs jeux indés. Une partie du jury s’est engagée à ne pas voter pour des jeux ayant été développés avec des outils d’IA générative.

Pas d’IA, même un peu

Après avoir rappelé les problématiques environnementales et économiques de cette technologie, les signataires estiment que son usage pour générer de la musique, des scripts, des dialogues, des visuels, des ressources marketing ou du code disqualifie les jeux à une participation aux IGF.

« Le recours à ces outils dans notre secteur n’a rien d’inéluctable, et leur adoption n’a pas toujours été volontaire. Nous sommes solidaires des développeurs qui ont la liberté de les refuser de leur propre initiative, mais aussi de ceux auxquels leur employeur en a imposé l’usage, de ceux qui œuvrent à établir ou à améliorer les règles qui encadrent leur utilisation au travail, et tout particulièrement des personnes en situation de précarité, si souvent soumises aux plus fortes pressions pour renoncer à leurs valeurs. »

Les 19 jurés ayant signé l’engagement demandent aux organisateurs de l’événement l’adoption, pour les prochaines éditions, d’une « politique ferme contre l’IA ». Pour l’édition dédiée aux meilleurs jeux indés de 2026, la date limite de participation est échue (elle était fixée au 13 septembre) ; la cérémonie aura lieu le 3 mars 2027.

Un petit coup de main encombrant

Big Walk, un des jeux indés les plus visibles de 2026, fera-t-il partie des gagnants ? Rien n’est moins sûr. À la suite de l’annonce de ces jurés, House House a en effet fait savoir que des modèles IA avaient été utilisés durant le développement du jeu « dans la dernière ligne droite », pour résoudre des problèmes techniques et des bugs.

Dans un courriel partagé par Aftermath, les développeurs expliquent avoir utilisé des chatbots pour trouver des solutions à « des problèmes rencontrés avec du code tiers », en l’occurrence dans le rendu du moteur Unity pour les objets projetant des ombres. Le bug ralentissait le jeu de 50 % pendant une vingtaine de secondes au lever et au coucher du soleil ; contacté, un ingénieur de Unity n’a pas trouvé de rustine.

Le bot a suggéré plusieurs correctifs, l’un d’eux a eu raison du bug. Cela n’a représenté qu’une dizaine de lignes de code : « Nous estimons que bien moins de 0,1 % du code de Big Walk est lié à cette utilisation. L’IA générative n’a été employée dans aucun autre contexte pendant le développement du jeu », assure House House. Pour autant, ce coup de main de l’IA ne doit pas être perçu comme une « approbation de l’utilisation des outils d’IA (…) ni un argument en leur faveur », affirme le studio gêné aux entournures.

Le précédent Clair Obscur

Les développeurs craignent que ce genre de déclaration volontaire contribuent à la banalisation de cette technologie « ou à la présenter comme « inévitable » ». Ils affirment soutenir « le travail de celles et ceux qui cherchent à limiter les dommages causés par l’IA générative au jeu vidéo et au monde en général » et présentent leurs excuses aux personnes qui pourraient considérer que « l’utilisation de LLM dans Big Walk ne respecte pas leurs exigences. » Une politique interne plus complète encadrant l’utilisation de l’IA au sein du studio va être mise en place.

Même avec si peu d’IA dans son code, Big Walk pourrait donc ne pas recevoir le vote des membres du jury de l’IGF signataires de l’engagement anti-IA.

L’affaire rappelle la mésaventure arrivée à Clair Obscur: Expedition 33, récipiendaire en décembre dernier de deux prix aux Indie Game Awards (dont celui de jeu de l’année) puis disqualifié par le comité. Après la remise des trophées, le studio Sandfall Interactive avait en effet admis publiquement l’utilisation d’une IA générative durant le processus de développement du jeu.

• Clair Obscur est disqualifié des Indie Game Awards pour utilisation de l’IA générative

Plus précisément, il s’agissait de textures provisoires qui s’étaient retrouvées par erreur dans la version commercialisée du jeu. Elles ont été remplacées par la suite. Le règlement de cette cérémonie interdit strictement les jeux développés à l’aide de l’IA générative, y compris quand des éléments sont retirées de la version finale. L’IGF ne prévoit pas une telle exclusion dans son règlement, mais cela pourrait changer avec l’annonce de ces jurés.

• L’IA remplit les rayons de Steam, les développeurs sont inquiets

Nintendo fait le ménage dans les services externes qui permettent de se connecter à un compte. À compter du 26 janvier 2027, les options de connexion avec Google ou avec Apple disparaitront. Cela signifie qu’il ne sera plus possible d’utiliser un compte Apple ou Google pour se connecter à un compte Nintendo, de même on ne pourra plus créer de compte Nintendo en utilisant son compte Apple ou Google.

À partir de la date fatidique, la connexion à un compte Nintendo passera par la saisie d’une adresse email et du mot de passe correspondant au compte, ou par une identification avec une clé de passe (passkey) si celle-ci a été générée au préalable. Elle permet de s’authentifier via une reconnaissance faciale ou l’empreinte digitale.

Pour les utilisateurs dont le compte Nintendo a été créé à partir d’un compte Apple ou Google, Nintendo propose de se rendre sur la page de connexion, puis de sélectionner l’option « Mot de passe oublié ? » (même si aucun mot de passe n’a été défini). L’adresse email enregistrée sur le compte Nintendo permettra de recevoir un lien pour définir un nouveau mot de passe.

Et en cas de gros souci, il est toujours possible de contacter le support pour recevoir de l’aide. Les appareils déjà connectés (peu importe le système choisi) ne demanderont pas forcément de nouvelle connexion.

Nintendo ne donne pas d’explication sur le retrait de ces deux options. On peut avancer la volonté de simplifier la gestion des connexions et de réduire la dépendance à d’autres services.

Les joueurs rongent leur frein en attendant la date fatidique du 19 novembre et le lancement, après tant d’années de développement, de GTA VI. Tous ceux qui ont précommandé le blockbuster de Rockstar peuvent d’ores et déjà télécharger le gros paquet sur leur console (plus de 200 Go de données) histoire d’être fin prêts pour le jour J – le jeu sera accessible à partir de minuit.

Et cette fois, c’est vraiment la bonne après plusieurs reports (GTA VI était à l’origine prévu pour l’automne 2025) : « [Le jeu] ne sera pas encore repoussé », a plaisanté Strauss Zelnick, le patron de Take-Two (l’éditeur de Rockstar) dans une interview à IGN ce lundi 9 novembre. Ouf !

• GTA VI peut-il casser Internet ?

À l’occasion du lancement du préchargement du jeu, Rockstar a donné quelques détails techniques. D’abord, le studio confirme que le jeu tourne à 30 images par seconde sur les consoles, et on comprend aussi que ce sera le cas de la PS5 Pro. La console la plus puissante de Sony aura droit au support de la technologie d’upscale PSSR et à des ombres plus réalistes grâce au ray tracing.

Pour du 60 FPS ou plus, il faudra probablement attendre la version PC du jeu, que les rumeurs annoncent pour le début de l’année prochaine, peut-être en tandem avec la déclinaison GTA Online du jeu.

La fonction de lecture à distance permettra de jouer à GTA VI sur un smartphone, une tablette, un ordinateur ou tout autre appareil compatible, à condition d’avoir une Xbox Series S/X ou d’une PS5 à la maison : c’est elle qui fera tourner le jeu.

Autre possibilité : le Xbox Cloud Gaming, le service de jeu dans le nuage de Microsoft, prendra lui aussi en charge le titre, mais uniquement sur Xbox Series S/X et Xbox One. Les possesseurs d’une Xbox One, qui ne peut pas faire tourner le jeu directement, pourront donc vivre les aventures de Jason et de Lucia grâce au cloud.

Le tribunal des doigts

Disney s’allie à Adobe pour développer des modèles d’IA générative adaptés à ses univers, en promettant que les artistes resteront aux commandes. Pas de quoi rassurer un public de plus en plus méfiant, comme le montre la polémique autour du dernier court métrage de Sylvain Chomet pour Dior.

Adobe et Disney ont signé un accord pluriannuel pour exploiter les technologies d’IA générative afin de « faire progresser la créativité, l’innovation et l’art de raconter des histoires ». Le géant du divertissement et l’éditeur de logiciels créatifs vont déployer de l’IA pour soutenir la « vision artistique » et dynamiser l’engagement des clients.

Des modèles sur mesure pour les univers Disney

Cette entente va servir aux parcs d’attraction, hôtels et croisières Disney, ainsi que pour ESPN Edge et StudioLAB. Ces deux derniers groupes sont moins connus : le premier teste et intègre des technologies émergentes pour les retransmissions sportives. Le StudioLAB est un peu l’équivalent pour les studios Disney : on y teste de nouvelles idées pouvant se transformer en opportunités pour raconter des histoires.

Plus concrètement, Disney et Adobe vont plancher sur des modèles d’IA générative propriétaires « centrés sur l’humain et guidés par les artistes ». Ils seront entraînés sur les caractéristiques propres aux univers du groupe (attributs des personnages, environnements, styles visuels), l’idée étant de produire rapidement davantage de « projets créatifs » exploitables commercialement « en toute sécurité et prêts pour la production ».

Disney et Adobe travaillent ensemble depuis des années. La division recherche et développement Disney Imagineering se sert déjà de Firefly Foundry, le service de création de modèles d’IA sur mesure d’Adobe, pour ses parcs d’attraction. Un des modèles de génération d’images conçoit des ressources graphiques « conformes à l’identité de la marque ».

Après l’annulation de l’accord avec OpenAI pour exploiter ses défunts modèles vidéo Sora, Disney est passé à autre chose. Le 18 septembre, le groupe a nommé son premier directeur technique (CTO), Karandeep Anand, qui était auparavant le directeur général de Character.AI. La startup permet de créer des personnages virtuels générés par IA et de discuter avec eux. Ce qui lui a valu une mise en demeure pour infraction au copyright de la part de… Disney. Anand va superviser l’ingénierie, l’infrastructure technique et les équipes IA au sein de l’entreprise.

Le soupçon permanent de l’IA

À ce rythme, si Mickey se retrouve un jour avec cinq doigts au lieu de quatre, tout le monde accusera l’IA générative même s’il s’agit d’une erreur d’un animateur ! Cette annonce ne fera rien pour dissiper les craintes d’une partie du public de voir leurs personnages favoris digérés et recrachés n’importe comment par la grande lessiveuse de l’IA générative.

La suspicion règne déjà, comme l’illustre la polémique autour du dernier court métrage de Sylvain Chomet, réalisateur des Triplettes de Belleville. Le film, commandité par Christian Dior, présente selon ses détracteurs des artefacts étranges, notamment un personnage avec six doigts.

C’est d’autant plus problématique que le métrage, Christian Dior’s Night in Color, est censé célébrer l’artisanat de la maison de luxe à quelques semaines de Noël. Le réalisateur, ainsi que son producteur Aton Soumache, sont montés au créneau pour défendre le film. « Certains affirment que Sylvain a été contacté il y a deux semaines et que le film a été entièrement réalisé avec de l’IA générative, sans le moindre dessin », explique Soumache à Variety.

Le film, « intégralement dessiné par des artistes », a demandé sept mois de travail à une équipe d’une vingtaine de personnes : six animateurs, des storyboardeurs, des designers, des décorateurs, des compositeurs d’images et des monteurs. En ce qui concerne les glitchs, la production a « utilisé un système d’interpolation automatisée pour une toute petite partie du processus, mais le film lui-même relève de l’animation 2D traditionnelle ».

Sylvain Chomet ajoute que l’outil d’interpolation a uniquement servi pour faciliter la création d’images intermédiaires pour le métrage de Christian Dior. « C’est une façon d’automatiser la partie répétitive et mécanique de l’animation, pas le travail créatif », précise-t-il. En ce qui concerne le personnage aux six doigts, le réalisateur se défend : « c’est un mouvement où la main se déploie comme un éventail. Dans ce type de dessin, on peut voir six ou sept doigts parce qu’on cherche à traduire le mouvement ».

Ce sont des choses qui arrivent aussi dans l’animation traditionnelle : « J’ai déjà vu un personnage tourner la tête et son nez changer soudainement complètement de forme en l’espace de cinq images. »

Prenez un enfant, et faites-en un roi

Anthropic a confirmé mardi l’imminence de son introduction en bourse. L’entreprise mettra en circulation 825 millions d’actions, qui devraient lui permettre de lever entre 56 et 72 milliards de dollars sur les marchés. La principale surprise vient de la valorisation retenue : elle atteindrait 1 020 milliards de dollars, bien loin des 1 500 ou 2 000 milliards évoqués il y a quelques semaines.

Pour Anthropic, les jeux seront bientôt faits. L’éditeur des modèles Claude a confirmé mardi 10 novembre l’ouverture de son roadshow, la tournée de présentation qui doit permettre à l’entreprise de rencontrer les grands investisseurs intéressés par son introduction en bourse.

L’annonce s’accompagne d’une version révisée du formulaire S-1, initialement déposé le 26 octobre dernier, qui révèle les modalités financières de l’opération.

825 millions d’actions mises en vente

Anthropic se prépare à mettre en vente un total de 825 millions d’actions de classe A sous le ticker ANT, à un prix d’introduction unitaire situé entre 70 et 78 dollars. L’entreprise prévoit par ailleurs une enveloppe de surallocation portant sur 123,75 millions d’actions supplémentaires.

À noter : une partie de ces actions (23,65 millions de titres) n’est pas mise en vente directement par l’entreprise, mais par ses actionnaires, ce qui signifie que le produit de la vente n’ira pas dans les caisses d’Anthropic.

En fonction du montant définitif retenu, l’opération devrait permettre à Anthropic de lever entre 56 milliards de dollars (sur la base de 801 millions de titres à 70 dollars, sans l’enveloppe de surallocation) et 72,16 milliards de dollars (78 dollars le titre, avec l’enveloppe d’actions supplémentaires).

À l’issue de l’opération, le capital d’Anthropic sera composé d’environ 13,087 milliards d’actions en circulation. En considérant une introduction au prix maximum de la fourchette (78 dollars), l’entreprise serait donc valorisée 1 020 milliards de dollars sur la base de ces actions en circulation (hors éléments de dilution spécifiques).

Une valorisation revue à la baisse

Comme son grand rival OpenAI, Anthropic travaille de longue date à cette introduction en bourse. L’entreprise dirigée par Dario Amodei était sortie du bois le 1^er juin dernier, en déposant sa déclaration d’intention auprès du gendarme de la bourse des États-Unis, la SEC.

Depuis, médias et analystes n’ont eu de cesse de spéculer sur les ambitions réelles de l’entreprise, dont le dernier tour de table, bouclé en mai dernier, lui avait permis de réunir 65 milliards de dollars d’argent frais, sur la base d’une valeur d’entreprise estimée à 965 milliards de dollars.

Jusqu’au mois d’octobre, le consensus tablait sur une capitalisation prévue entre 1 500 et 2 000 milliards de dollars, qui aurait placé Anthropic à peu près au même niveau que SpaceX lors de sa propre introduction en bourse.

Problème : depuis leurs plus hauts enregistrés au mois de juin 2026, puis début octobre 2026, les valeurs de la tech, et plus particulièrement celles qui touchent directement à l’IA ont été chamboulées en bourse ces dernières semaines, avec un paroxysme atteint le jeudi 5 novembre, en raison d’un double phénomène : la victoire des démocrates lors des élections de mi-mandat aux États-Unis et des craintes plus structurelles quant aux capacités de financement des grandes infrastructures dédiées à l’IA.

• Jeudi noir pour l’IA : la fin de l’investissement sans limite ?

Anthropic, qui vient par ailleurs de lancer son dernier modèle de pointe, Fable 5.2, a actualisé ses chiffres : l’entreprise indique avoir atteint un run rate annualisé de 81 milliards de dollars en octobre 2026. Rappelons que ce revenu annualisé est une projection : il correspond au chiffre d’affaires à un instant T (probablement le mois d’octobre) multiplié par une constante (probablement 12 mois) pour donner une tendance.

A man chooses, a slave obeys

Anthropic a ouvert lundi l’accès à Fable 5.2, la dernière version en date de son modèle le plus puissant accessible au public. Elle promet des progrès significatifs en code, en sciences, en robotique et en analyse d’images, avec des filtres plus permissifs et un coût en baisse par rapport à Fable 5.1. Sa déclinaison Mythos 5.2 reste cantonnée aux entreprises et organisations accréditées.

L’annonce tombe à pic pour séduire les investisseurs alors qu’Anthropic se prépare à dévoiler les modalités exactes de son introduction en bourse : l’éditeur des modèles Claude a publié lundi 9 novembre Fable 5.2 et Mythos 5.2, les deux déclinaisons de son modèle d’IA générative le plus puissant.

Des démonstrations brillantes, mais coûteuses

Dans son billet d’annonce, Anthropic donne deux exemples concrets censés illustrer ces progrès. Côté raisonnement, Fable 5.2 aurait réussi à formaliser la démonstration du dernier théorème de Fermat en seulement 30 heures, avec une intervention humaine « minimale », là où Opus 5.5 n’atteignait que 26 % de démonstration au bout de 18 heures, avant de ne quasiment plus avancer.

En matière de code, un employé d’Anthropic aurait réussi à concevoir, en partant d’une feuille blanche et en seulement huit jours, un système d’exploitation fonctionnel, capable de démarrer sur un ordinateur portable, avec pilotes, système de fichiers, interface graphique, authentification, accès à Internet et – bien sûr – intégration d’un client Claude.

Ces réussites ont toutefois été obtenues au prix d’une véritable débauche de tokens. Anthropic indique en effet que dans les deux cas, plus de mille agents (des instances parallèles) ont été mis en œuvre. Notons que ni la démonstration en question, ni le code de l’OS généré, n’ont été publiés.

En tête des tests liés aux capacités de raisonnement

Sur le volet des performances chiffrées, Anthropic avance l’habituelle panoplie de tests de performances, réalisés en interne, qui illustrent les avancées de Fable 5.2. Son dernier modèle dépasserait ainsi ses prédécesseurs, mais aussi les principaux modèles concurrents, dont GPT-6 Astra et Gemini 4 Carbon, sur tous les benchmarks envisagés, à l’exception de l’automatisation de processus métiers.

Les progrès seraient particulièrement marqués sur le terrain de la cybersécurité, réservé à Mythos :

« Lors de notre évaluation interne, CVE Rediscovery, Claude Mythos 5.2 a détecté 10,2 % de vulnérabilités supplémentaires par rapport à Claude Opus 5.5 et 14,4 % de plus que Claude Mythos 5.1. Claude Mythos 5.2 fait également preuve d’une meilleure capacité de jugement et d’un meilleur étalonnage : un testeur a constaté que les modèles précédents avaient surestimé la gravité d’environ 1 vulnérabilité sur 20, alors que Claude Mythos 5.2 n’en avait surestimé aucune. »

Les tests synthétiques indépendants réalisés par le site Artificial Analysis confirment que Fable 5.2 prend la tête dans les scénarios qui supposent de très longues phases de raisonnement, particulièrement quand elles sont appliquées à des problèmes scientifiques ou à de l’élaboration de code. Ils soulignent dans le même temps des résultats plus disparates sur des missions plus ciblées, notamment pour la délégation de tâches courantes. Opus 5.5 garde ainsi un certain avantage sur les tâches de bureau, de l’aveu même des benchmarks d’Anthropic.

Anthropic prétend dans le même temps que Fable 5.2 sait travailler de façon plus efficace que son prédécesseur (Fable 5.1) :

« Lors des premiers tests sur la plateforme d’évaluation FrontierCode 2.0, Fable 5.2, avec un effort élevé, a obtenu des résultats comparables à ceux d’Opus 5.5 avec un effort maximal, pour un coût par tâche environ deux fois inférieur. Avec un effort très élevé, il a également obtenu le meilleur score parmi tous les modèles testés ».

Fable 5.2 délivrerait également des performances en hausse en matière de pilotage robotique, une thématique moins anecdotique que d’aucuns pourraient le penser, dans la mesure où elle implique que le modèle soit capable de prendre en compte le contexte issu du monde réel, dans une logique de world model qui suscite de nombreux projets et convoitises. Dans un domaine connexe, Fable 5.2 aurait également été capable de concevoir seul, de A à Z, des appareils électroniques complets, allant du design de la carte mère à la conception 3D du boîtier, sur la base d’un seul prompt.

Sécurité et alignement

Modèle de pointe oblige, Anthropic conserve avec Fable 5.2 des filtres qui visent à limiter l’exploitation à des fins de cybersécurité offensive, de tests de pénétration ou de recherches biologiques. Les requêtes filtrées seront ainsi redirigées vers des modèles moins performants, Opus 4.8 pour la cybersécurité et Opus 5 pour la biologie. Les entreprises qui évoluent dans ces domaines peuvent quant à elles solliciter un accès à Mythos 5.2, la version « débridée » du modèle sur ces aspects précis.

Après avoir appelé à ralentir le développement des modèles de pointe sur fond de risque existentiel supposé pour l’humanité, et entretenu pendant des mois une communication relevant du marketing de la peur, Anthropic se devait également d’aborder les questions d’alignement et de sécurité générale.

L’entreprise affirme sur ce point avoir fait inspecter ses nouveaux modèles par quatre auditeurs externes, dont le controversé METR, et revendique des résultats supérieurs à ceux obtenus par ses modèles précédents sur tous les aspects qui touchent aux dérives comportementales ou aux hallucinations. Placé dans un scénario susceptible de le conduire à exploiter des codes d’accès à mauvais escient (pour par exemple outrepasser les limites de son environnement), Mythos 5.2 n’aurait ainsi cédé à la tentation que dans 3,1 % des cas, contre 21 % pour Mythos 5.1 et 39 % pour Mythos 5.

Anthropic admet toutefois qu’il est difficile de mesurer les limites de sécurité d’un modèle tant que celui-ci n’a pas été déployé à grande échelle :

« C’est pourquoi nous ne nous fions pas uniquement à ces évaluations pour obtenir une vision globale de la sécurité : nous nous appuyons sur le suivi pendant la formation, l’analyse des transcriptions d’utilisation interne, les tests réalisés par des évaluateurs externes et des techniques d’interprétabilité pour examiner le fonctionnement interne du modèle. »

Fable 5.2 est accessible publiquement aux utilisateurs de Claude à partir de la formule Pro, avec une tarification fixée à 8 dollars le million de tokens en entrée et 40 dollars le million en sortie, soit 20 % de réduction par rapport aux tarifs en vigueur pour Fable 5.1 (10 dollars / 50 dollars). Un mode rapide (fast mode) accélérant la génération d’un facteur jusqu’à 2,5 est également accessible pour un prix doublé (16 dollars/ 80 dollars).

La vague récente de cyberattaques menées à l’aide de l’IA a pris une telle ampleur que certaines des plus grandes entreprises états-uniennes de cybersécurité refusent désormais de prendre en charge de nouveaux clients qui sollicitent une aide d’urgence, révèle NBC News.

Des responsables de Mandiant (filiale de Google), CrowdStrike et Kroll avancent que leur secteur est submergé comme jamais auparavant, que le rythme des attaques n’a jamais été aussi intense et qu’ils ne s’attendent pas à ce qu’il ralentisse de si tôt.

Elles s’accordent aussi pour dire que la raison de l’augmentation du nombre de cyberattaques est évidente : les outils d’intelligence artificielle ont d’une part considérablement accéléré et simplifié les cyberattaques, tandis que, d’autre part, la remise en état d’une grande organisation victime de piratage reste un processus lent et exigeant en main-d’œuvre.

« Cette année, la croissance n’a cessé de s’accélérer »

« Ces dernières années, ce métier était beaucoup plus soumis aux variations saisonnières et beaucoup plus prévisible », explique Max Henderson, responsable mondial de la criminalistique numérique et de la gestion des incidents au sein de la société de cybersécurité Kroll, « alors que cette année, la croissance n’a cessé de s’accélérer. Chaque mois, le volume a été supérieur à celui du mois précédent. Nous nous attendons à ce qu’il y ait un pic à terme, mais ce pic ne cesse d’être repoussé à l’horizon. »

Un phénomène amplifié par le fait que les deux catégories de pirates informatiques les plus actives – les services de renseignement menant des opérations d’espionnage contre les gouvernements et les entreprises, et les cybercriminels qui piratent des entreprises dans le but de s’enrichir – ont toutes deux adopté des outils d’IA qui automatisent et accélèrent considérablement leurs opérations.

Un porte-parole de CrowdStrike précise que l’IA agentique permettait en outre à des cybercriminels moins expérimentés de mener des attaques dignes d’agences de renseignement sophistiquées :

« L’adversaire agentique est bien là : il utilise des agents pour démocratiser des tactiques autrefois réservées aux États-nations, et nous ne voyons aucun signe de ralentissement de l’activité dans ce nouveau paysage de menaces où les agents tiennent le rôle des États. La leçon à en tirer est simple : mettez en place un contrat de réponse aux incidents avant d’en avoir besoin. En cas de crise, les ressources sont allouées aux entreprises qui ont anticipé, tandis que toutes les autres doivent attendre. »

« C’est un problème qui touche l’ensemble du secteur »

« Les organismes spécialisés dans la gestion des incidents refusent en grande partie les demandes de la majorité des entreprises qui les contactent », constate Charles Carmakal, directeur technique chez Mandiant, qui souligne que « c’est actuellement un problème qui touche l’ensemble du secteur. »

« Des cybercriminels disposant d’équipes très réduites sont capables d’étendre leurs opérations d’intrusion à des centaines d’organisations. Une seule personne peut générer du travail pour des milliers d’autres », précise M. Carmakal :

« L’analogie que nous utilisons aujourd’hui est la suivante : imaginez que la maison de quelqu’un soit en feu. Vous appelez le 911. Vous demandez aux pompiers de vous venir en aide. Ils vous répondent : “Désolé, nous n’avons pas les moyens”, et ils essaient de vous rediriger vers une autre caserne dans une autre ville. Et cette caserne vous dit qu’elle n’a pas les moyens non plus. Voilà l’analogie ou la situation dans laquelle nous nous trouvons actuellement. »

La Norvège vient d’annoncer une pause dans l’acceptation de nouveaux projets de raccordement de data centers à son réseau électrique.

Le pays scandinave se situe dans une zone particulièrement intéressante pour installer des infrastructures comme les data centers : des ressources énergétiques importantes (provenant du pétrole mais aussi des barrages hydrauliques et des éoliennes) et un territoire plutôt froid. Le pays est encore actuellement exportateur net d’électricité.

Comme l’explique dans un communiqué l’entreprise publique locale de transport électrique Statnett, elle fournit déjà en électricité pour 800 MW de puissance à des data centers.

Mais le pays semble arriver quand même à une limite. Statnett ajoute qu’elle a déjà réservé 4,2 GW pour de nouvelles infrastructures de data centers, qu’elle a une liste d’attente pour 9,1 GW et enfin que des demandes de raccordement pour un total de 18 GW ont été déposées. À titre de comparaison, Statnett explique que la consommation maximale d’électricité en Norvège est de 25 GW.

L’entreprise publique, en accord avec le gouvernement norvégien, a donc décidé de poser un moratoire sur l’acceptation de nouvelles demandes de raccordement de data centers à son réseau jusqu’au 1ᵉʳ aout 2027. Celui-ci est mis en place de façon temporaire pour que la gestion de ces raccordements n’ait pas de conséquences sur le réseau électrique et son exploitation.

« L’objectif est de nous assurer que nous obtiendrons les centres de données dont nous avons vraiment besoin, ceux qui apportent un bénéfice à la société », explique Torgeir Micaelsen, ministre de la Numérisation et de la Gouvernance publique cité par RFI.

Selon nos confrères, le lobby norvégien des datacenters dit regretter « l’incertitude que cela crée pour les investissements et les emplois » dans ce secteur. Cette perspective d’emplois est souvent utilisée par les promoteurs des data centers, mais en France comme ailleurs, les promesses d’emploi sont souvent non tenues.

Dans le communiqué du gouvernement norvégien, Torgeir Micaelsen affirme que « nous ne souhaitons pas accueillir tous les types de centres de données en Norvège ». Il ajoute que le gouvernement réfléchit à la mise en place d’un régime d’autorisation pour fixer des exigences et conditions relatives à l’implémentation des data centers.

Selon Le Monde, le gouvernement norvégien envisage d’obliger les constructeurs de data centers à produire leur propre électricité. La correspondante régionale du journal explique que le Danemark et la Finlande sont eux aussi en train d’imaginer de nouvelles lois pour contraindre les installations de datacenters sur leurs territoires.

• [MàJ] Finlande : Google contraint de mettre en pause ses projets de datacenter

Le consentement en option

Cadeau empoisonné. Aux États-Unis, des employés des boutiques Apple auraient forcé la main à des clients pour qu’ils souscrivent à des abonnements à des services maison, sans leur accord. L’entreprise a mis fin à cette pratique.

Un essai gratuit n’est pas un cadeau. Louis Rossmann, réparateur et militant des droits des consommateurs, a levé un lièvre dans plusieurs vidéos postées sur YouTube ces dernières semaines. Des clients Apple aux États-Unis auraient souscrit à des abonnements à des services (comme Apple TV) sans leur consentement. Ces abonnements, parfois présentés comme des cadeaux, sont offerts avec une période d’essai gratuite ; mais pour continuer d’en profiter, il faut évidemment régler une certaine somme chaque mois.

Ces offres d’essai peuvent être annulées pour éviter la ponction, mais un oubli est vite arrivé. Selon l’enquête de Rossmann, l’entourloupe intervient après que les clients ont accepté de partager certaines de leurs informations dans le cadre de l’« expérience de shopping personnalisé » : après autorisation de l’utilisateur, l’employé peut connaitre les appareils et les services qu’il possède.

Un objectif de 40 % de clients

C’est ensuite que les choses se corsent. L’employé peut proposer au client de souscrire (ou pas) aux offres d’essai disponibles ; l’opération se déroule non pas sur l’appareil de l’utilisateur, mais sur l’iPhone de l’employé. Il se trouve que certains d’entre eux, un peu trop zélés, auraient eu tendance à valider l’offre sans attendre la réponse du client, ni leur expliquer ce qui les attendait vraiment.

« Les meilleurs vendeurs de mon magasin et de mon secteur ajoutent tout simplement les abonnements sans montrer au client l’écran lui permettant d’accepter ou de refuser au moment du paiement », explique un employé anonyme.

Les salariés des Apple Store avaient une bonne raison pour multiplier les abonnements. Pour atteindre l’objectif du programme de « taux de souscription aux services », ils devaient en effet faire souscrire au moins un abonnement à 40 % des clients qui achetaient un appareil en magasin.

D’après les témoignages recueillis par Louis Rossmann et par MacRumors, cet indicateur a été retiré la semaine dernière, quelques jours après la mise en ligne des vidéos. Un mémo interne aux employés retail leur a rappelé l’importance d’obtenir le consentement des clients, y compris pour les offres d’essai à des abonnements.

L’information a été donnée juste avant le lancement de la saison des fêtes chez Apple (elle a débuté vendredi dernier avec la publication du traditionnel guide d’achats de Noël). C’est aussi une période où les boutiques du constructeur embauchent des saisonniers : ce mémo fait aussi office de rappel pour les extras.

Déjà déployée en Europe et en Amérique du Nord pour Instagram et Facebook, la vérification d’âge automatisée par IA de Meta va faire l’objet d’une généralisation à l’échelle mondiale. Elle sera également implémentée sur Threads, le concurrent maison de X, d’ici la fin de l’année.

« Depuis le lancement de cette technologie, nous avons pu fournir à davantage d’adolescents des protections adaptées à leur âge et les résultats sont encourageants. Forts de ce succès, nous déployons aujourd’hui cette technologie à l’échelle mondiale », a annoncé le groupe le 9 novembre 2026.

Cette vérification d’âge vise pour mémoire à détecter si l’utilisateur d’un compte Instagram, Facebook ou Threads présente une activité susceptible de ne pas correspondre à l’âge déclaré lors de l’inscription.

Le compte peut alors être désactivé si la plateforme suspecte un utilisateur âgé de moins de 13 ans, ou transformé en « compte ado » (teen accounts, fonction introduite fin 2024 et généralisée au printemps 2025), une version soumise à des protections supplémentaires en matière de contrôle parental, de partage des informations de profil, de diffusion des publications ou de limites quotidiennes d’utilisation.

Meta admet utiliser des algorithmes d’analyse d’image pour procéder à cette vérification, mais assure qu’il ne s’agit pas de reconnaissance faciale au sens strict.

« Meta utilise l’intelligence artificielle et d’autres signaux pour estimer l’âge d’une personne et exige une vérification de l’âge si nécessaire. Ces signaux peuvent inclure des informations présentes dans les profils, les publications, les commentaires, les bios et les légendes, y compris les références aux anniversaires ou aux notes scolaires, écrit pour le compte de Meta Larry Magid, PDG de l’ONG ConnectSafely. Cette analyse visuelle n’est pas de la reconnaissance faciale. L’idée est de rechercher des caractéristiques visuelles générales qui suggèrent qu’une personne est sous l’âge autorisé, afin d’estimer une tranche d’âge, et non d’identifier la personne. »

En Australie, où les réseaux sociaux sont légalement interdits aux moins de 16 ans depuis novembre 2024, Meta devrait également s’appuyer sur les outils de catégorie d’âge mis en place par Apple à partir d’iOS 26.4.

La maison mère de Facebook en profite pour glisser un appel à peine voilé aux régulateurs :

« Nous soutenons depuis longtemps les lois exigeant la vérification de l’âge et l’obtention du consentement parental sur les plateformes de téléchargement d’applications. Un signal unique et vérifié provenant des appareils des utilisateurs, partagé de manière uniforme avec toutes les applications, est bien plus efficace et respectueux de la vie privée que de demander à chaque plateforme de vérifier l’âge individuellement. »

Ce déploiement à grande échelle de la vérification d’âge par IA intervient quelques semaines après que Meta a signé, aux États-Unis, un accord avec 52 procureurs généraux pour solder des plaintes l’accusant d’avoir développé des fonctions addictives pour les enfants, et de collecter des données personnelles d’utilisateurs mineurs de manière inappropriée.

Pour éviter ce qui s’annonçait comme un procès retentissant, Meta s’est engagé à régler une ardoise de 18 milliards de dollars, et à mettre en place des protections supplémentaires sur les comptes ado dans quatre États américains.

Rappelons qu’en France, l’interdiction des réseaux sociaux aux moins de 15 ans souhaitée par Emmanuel Macron a achoppé cet été devant le Conseil constitutionnel, mais n’a pas été abandonnée.

Sony a dévoilé au Japon un nouveau PlayStation Portal doté de stockage pour de « futures fonctionnalités » encore bien mystérieuses. L’appareil conserve son écran LCD et son prix, mais le constructeur reste muet sur l’usage qu’il compte faire de cette capacité.

On prête à Sony l’intention de lancer une nouvelle console portable, lointaine successeure de la PSP et de la Vita, qui complèterait la future offre PS6. Un appareil particulièrement important pour la stratégie du constructeur, en particulier pour le marché japonais qui n’a d’yeux que pour la Switch.

En attendant une hypothétique annonce, l’entreprise propose depuis 2023 un chemin de traverse avec le PlayStation Portal. Cet appareil n’est pas réellement une console portable ; c’est un périphérique pour jouer à des jeux en streaming, d’abord uniquement depuis la console PS5 de la maison, et désormais à partir du cloud (il faut ajouter un abonnement PlayStation Plus Premium).

Le streaming a trouvé sa place dans le salon

Malgré des avis mitigés de la part des premiers testeurs, le Portal a rapidement trouvé sa clientèle, notamment auprès des jeunes joueurs qui ne peuvent pas facilement monopoliser la télé du salon familial et qui cherchent malgré tout une « vraie » expérience PlayStation. Il est possible depuis des années de diffuser des jeux en streaming depuis sa console PS5 vers l’écran d’un smartphone ou d’une tablette, mais les sensations ne sont pas les mêmes.

Sony a eu la bonne idée d’intégrer un écran de 8 pouces entre deux moitiés de manette DualSense, le tout à un prix relativement abordable (250 euros). Le constructeur vient de dévoiler un tout nouveau modèle, pour le moment limité à une commercialisation au Japon.

Alors que la rumeur annonçait une version OLED, Sony a conservé le même écran LCD et les mêmes caractéristiques techniques (1080p, 60 FPS, audio 3D), mais y a tout de ajouté même un élément important : du stockage supplémentaire, en plus du minimum vital qui héberge le système. Sans dire combien, ni à quoi cela servira, si ce n’est « en prévision de futures fonctionnalités ».

Du stockage, mais pour quoi faire ?

Il sera raisonnablement impossible d’installer des jeux natifs PS5 sur ce nouveau Portal. D’une part, il lui faudrait une batterie et une puce autrement plus puissants. Le modèle actuel se contente d’une puce Qualcomm généralement identifiée comme un Snapdragon 662. Le type de silicium que l’on pouvait trouver dans les smartphones d’entrée de gamme en 2020.

D’autre part, la crise de la mémoire fait flamber les prix des SSD. Sachant qu’un jeu AAA pour PS5 peut peser 100 Go ou plus (212 Go pour GTA 6), il faudrait un minimum de 512 Go dans l’appareil pour ne pas se sentir trop à l’étroit. Ce Portal japonais sera commercialisé au même prix que la version actuelle (39 980 yens, soit environ 225 euros), il ne faudra pas attendre un gros SSD.

Cela ne nous renseigne pas sur la quantité de stockage embarquée dans le périphérique. Peut-être de quoi installer quelques applications comme YouTube ou Netflix ? Un portage ne devrait pas être trop compliqué, le système d’exploitation du Portal repose en effet sur Android 13.

Pour le moment, Sony n’a rien dit pour un lancement de ce modèle à l’international. À l’image de la PS5 spécifique au Japon, la mouture nipponne du Portal ne fonctionne qu’en langue japonaise avec un compte PSN basé au Japon. Le lancement est programmé pour le 10 décembre.

Apple entend bien facturer l’usage de ses fonctions d’intelligence artificielle. John Ternus, le nouveau directeur général de l’entreprise, n’a pas dit autre chose durant les derniers résultats trimestriels : les fonctions qui nécessitent un traitement sur les serveurs d’Apple (Siri AI, retouche photo…) sont soumises à des limites d’utilisation. « Ceux qui auront besoin d’une capacité supérieure pourront donc acheter un accès étendu ».

Sauf que jusqu’à maintenant, ces utilisateurs ignoraient à quelle sauce leur portefeuille allait être mangé. On a désormais une première indication : des « packs de consommation », autrement dit des crédits d’utilisation supplémentaires, sont maintenant proposés aux abonnés Creator Studio au prix de 49,99 dollars, comme le relève 9to5Mac.

L’offre Creator Studio regroupe les logiciels créatifs et bureautiques d’Apple, augmentés de fonctions IA. Pour 12,99 euros par mois (ou 129 euros par an), les utilisateurs peuvent générer 50 images, ou 250 formes, ou 50 présentations, ou des notes de l’intervenant (dans Keynote) pour 700 diapositives. Ces limites sont réinitialisées chaque mois.

La dernière mise à jour de Logic Pro permet d’acheter un pack, sans qu’on sache réellement le volume de contenus IA que l’on peut générer avec ces crédits. Le pack apparait une fois que l’abonné a épuisé son quota, il n’est pas compatible avec le partage familial et les crédits non consommés sont reportés d’un mois sur l’autre (ils expirent au bout de 12 mois). Apple ne garantit pas qu’« un nombre spécifique de packs produira le même résultat, ou un résultat particulier, à chaque utilisation ».

Les crédits d’un pack peuvent être utilisés dans tous les logiciels Creator Studio ; Final Cut Pro, Pixelmator Pro, Pages et les autres apps de la suite ne devraient pas tarder à proposer ces packs. Pour le moment, il n’existe qu’un seul tarif à 50 dollars.

Voilà pour les utilisateurs professionnels, mais qu’en sera-t-il de ceux qui atteindront les limites de leur quota avec Siri AI ? À l’heure actuelle, l’assistant affiche un message indiquant que la limite quotidienne de requêtes a été atteinte, sans possibilité d’aller plus loin. Apple a plusieurs possibilités, par exemple intégrer une option dans l’abonnement iCloud+ qui permet de bénéficier d’un stockage en ligne plus importants et de fonctions de sécurité.

C'est chaud cette histoire de froid

L’attaque perpétrée contre des frigos de supermarchés dans la nuit du 11 au 12 octobre est officiellement attribuée à l’Iran, annonce ce lundi 9 novembre le ministère des Affaires étrangères. Une première.

L’enquête a été menée tambour battant par le parquet de Paris et les services techniques du Centre de coordination des crises cyber C4 (ANSSI, COMCYBER, DGA, DGSE, DGSI). Le Quai d’Orsay attribue l’attaque contre les systèmes de réfrigération de plusieurs centaines de supermarchés en France à l’unité Shahid Kaveh du Corps des Gardiens de la Révolution Islamique (CGRI) iranien (PDF).

• Des frigos piratés dans les supermarchés à cause d’une console de gestion exposée

Cette unité est connue pour son intérêt pour les systèmes de commande d’équipements physiques, ce qui correspond assez bien au sabotage qui s’est déroulé dans la nuit du 11 au 12 octobre. Les contrôleurs de froid de la marque Danfoss d’environ 700 supermarchés ont été attaqués (notamment les groupes Casino, Leclerc, Coopérative U, Metro, Carrefour et Intermarché), provoquant une modification des paramètres de dégivrage des équipements fixés à haute température. Des pertes de marchandises importantes ont été déplorées, tout comme au moins 15 départs de feu.

Le C4 a également eu connaissance d’autres enseignes victimes de cette attaque : petites boucheries, un abattoir, des usines agroalimentaires coopératives, ainsi que de petites installations hydroélectriques en France fonctionnant avec des équipements Schneider Electric.

Un faisceau d’indices pointe vers l’unité Shahid Kaveh

L’enquête présente un faisceau d’indices menant vers l’unité Shahid Kaveh, qui cible des équipements industriels à grande échelle, principalement contre Israël et les États-Unis – l’armée américaine ayant contacté les enquêteurs français pour des cas similaires de sabotage de frigos dans des bases.

L’unité s’attaque également à la France et à d’autres pays européens. On lui doit une campagne contre la société israélienne Unitronics (constructeur de systèmes de contrôle industriel) en novembre 2023, ainsi que des équipements frigorifiques israéliens en mars et avril 2026.

« Au moins depuis juin 2024 », Shahid Kaveh possède des scripts permettant d’accéder et de contrôler des équipements de contrôle industriel Schneider, Siemens et Rockwell. En avril 2026, l’unité a utilisé le protocole Modbus TCP – qui permet à un logiciel de dialoguer avec des équipements – sur le port 502 « pour effectuer des actions massives de reconnaissance sur des systèmes de contrôle industriel Schneider Electric, notamment en France. » Ce protocole ne prévoit ni authentification ni chiffrement : si les équipements se connectent à internet, l’absence de protection peut devenir dangereuse.

Ce mode opératoire fait partie des indices qui mènent vers Shahid Kaveh. Le C4 relève en outre l’utilisation du logiciel de scan FOFA, qui fait partie de la boîte à outils de l’unité, mais également le fait que l’attaque a été relayée par l’organe de propagande CyberbanNews (associé à Shahid Kaveh) dès le 13 octobre, ainsi que des traces d’utilisation du farsi dans l’infrastructure d’attaque.

Le Centre de coordination des crises cyber ne se prononce pas, à ce stade, sur le piratage de chambres froides de l’Établissement français du sang, bien que le mode opératoire soit similaire.

Le C4 a par ailleurs identifié l’activité de Shahid Shoostari, aussi connue sous les noms de Iliyanet ou Emennet Pasargad, une autre unité affiliée au Centre électronique et cyber du Corps des Gardiens de la Révolution Islamique d’Iran (CGRI-CEC). Elle avait déjà mené des actes de déstabilisation ciblant la France : défiguration de la boutique en ligne de Charlie Hebdo et exfiltration de données en 2023, attaque d’une entreprise de gestion d’affichage vidéo dans le cadre des JO de Paris en 2024.

Mandats d’arrêt requis et riposte diplomatique française

Laure Beccuau, la procureure de la République, annonce l’ouverture par la section cybercriminalité du parquet de Paris d’une information judiciaire contre le chef du CGRI-CEC, Hamid Reza Lashgarian, contre deux de ses adjoints, Mahdi Lashgarian et Reza Salarvand, « et contre tout autre personne qui serait identifiée ».

Ces deux infractions sont aggravées par « la circonstance d’avoir été commises dans le but de servir une puissance étrangère », en l’espèce l’Iran. Le parquet de Paris requiert la délivrance de mandats d’arrêt internationaux. L’enquête est confiée à l’OFAC (l’Office anti-cybercriminalité) et la DGSI sur la base des chefs d’atteintes frauduleuses à un système de traitement automatisé de données en bande organisée, et de dégradations par un moyen dangereux pour les personnes.

« Il s’agit d’une campagne inédite par son ampleur et son niveau d’agressivité, constituant ainsi la première campagne cyberoffensive opérée purement à des fins de sabotage sur le territoire national », déclare pour sa part le ministère des Affaires étrangères. Il précise que « cet acteur [CGRI-CEC] constitue une menace persistante sur nos infrastructures critiques » :

« Ces cyberattaques destructrices sont injustifiables, inexcusables et vont à l’encontre du droit international. Elles sont également contraires aux principes du cadre normatif de comportement responsable des États dans le cyberespace des Nations unies auquel la République islamique d’Iran a souscrit. »

Paris va convoquer l’ambassadeur d’Iran « pour exprimer sa plus ferme condamnation face à ces cyberattaques ».

Yapluka

« Ouf ! Enfin ! C’est pas trop tôt ». Ce sont les mots de Philippe Latombe, président de la Commission spéciale sur la transposition de NIS2. Après des mois d’attente et des retards en dernière ligne droite, le projet de loi est en train d’être débattu à l’Assemblée nationale. Le chiffrement et l’article 16 bis sont déjà au cœur des débats. Le second a été supprimé mardi en séance.

Mise à jour, mardi 10 novembre, 17h28 : les députés se sont exprimés mardi après-midi sur le fameux article 16 bis, celui qui visait donc à empêcher que les autorités puissent contraindre les fournisseurs de services de chiffrement à introduire des portes dérobées dans leurs messageries. Au terme d’environ 40 minutes d’échange, l’article 16 bis a été supprimé, avec une majorité de 69 voix pour, et 37 voix contre.

Comme il l’avait annoncé, le gouvernement a soutenu la suppression.

Le ministre de l’Intérieur Laurent Nuñez a renouvelé l’engagement formulé plus tôt par la ministre du Numérique Anne Le Hénanff selon lequel le gouvernement ne tenterait pas de réintroduire un dispositif législatif visant à compromettre le chiffrement des messageries d’ici la fin de l’actuelle mandature.

Il a également défendu l’idée selon laquelle un tel article (introduit pour mémoire en réaction au tristement célèbre article 8 ter de la loi Narcotrafic, enterré lors du vote) porterait préjudice au travail de la justice et des services de police dont les travaux sont encadrés par la CNCTR. Il a par ailleurs fait valoir que le texte était mal rédigé, trop large dans la mesure où il interdisait toutes les interceptions non consenties, et relevait du cavalier législatif.

Deux groupes ont manifesté leur opposition à cette suppression : les Écologistes et la France Insoumise, qui ont donc voté contre. « Du PS au RN en passant par les macronistes : ils ont voté pour la suppression de l’article 16 bis du PJL cyber sécurité. Cet article permettait de protéger les conversations par messageries cryptées des Français. C’est un immense recul pour nos libertés numériques », a réagi à chaud le député (LFI) Arnaud Saint-Martin.

---

Publication initiale, 9 novembre, 17 heures :

C’est parti ! Après quelques faux départs, l’examen du projet de loi résilience des infrastructures critiques (NIS2, REC et DORA) vient de débuter à l’Assemblée nationale. La France est, pour rappel, largement en retard sur le calendrier européen puisque la date limite était fixée au 17 octobre 2024 pour NIS2 et REC, et au 17 janvier 2025 pour DORA.

À ce sujet, Catherine Hervieu, rapporteure de la Commission spéciale, rappelle que la Commission européenne a saisi la Cour de justice de l’Union européenne sur le retard de la transposition et que nous risquons « plus de 10 millions d’euros d’amende ».

Après le Sénat, la traversée du désert

Le projet de transposition est passé devant le Sénat début 2025 et… plus rien depuis. Il a beaucoup fait parler de lui, notamment à cause d’un point précis, comme le rappelait la Commission supérieure du numérique et des postes (CSNP). Il y a un « point de clivage » : l’article 16 bis, introduit au Sénat.

« Il ne peut être imposé aux fournisseurs de services de chiffrement, y compris aux prestataires de services de confiance qualifiés, l’intégration de dispositifs techniques visant à affaiblir volontairement la sécurité des systèmes d’information et des communications électroniques tels que des clés de déchiffrement maîtresses ou tout autre mécanisme ou processus permettant un accès non consenti aux données protégées ».

• Cybersécurité : la transposition des directives NIS2, DORA et REC passe le Sénat

Anne Le Hénanff : « La menace cyber est désormais une réalité »

Anne Le Hénanff , ministre déléguée, est la première à prendre la parole pour expliquer que ce texte « revient dans un contexte particulier : celui d’une menace cyber plus intense que jamais ». Elle cite au passage la cyberattaque contre les frigos.

Le député Éric Bothorel, rapporteur général, ajoute à cette liste les cyberattaques contre les lycées, l’administration publique et notamment France Travail avec « au moins cinq cyberattaques majeures ». Depuis des mois, les cyberattaques et fuites de données se multiplient.

Anne Le Henanff se la joue Captain Obvious, avec quelques trains de retard tout de même : « la menace cyber est désormais une réalité ». Elle l’est depuis longtemps. Elle appelle les députés à continuer les discussions lancées à la Commission spéciale. Comme d’autres intervenants, elle appelle à ne pas surtransposer le texte. Ils sont plusieurs rapporteurs à préciser que ce projet ne porte pas sur la « souveraineté numérique ».

L’Article 16 bis a déjà du plomb dans l’aile

« Près d’un tiers des amendements [il y en a 404, ndlr] vont au-delà des directives ou sont étrangers au texte ; plus d’une quarantaine portent sur des sujets en cours de négociations à Bruxelles », explique Éric Bothorel. Il ajoute que « cette surtransposition fragmenterait le marché intérieur, imposerait une notification à la Commission européenne et retarderait l’adoption du texte ».

Vincent Thiébaut, un autre rapporteur de la Commission spéciale, revient sur l’article 16 bis introduit au Sénat puis conservé en Commission : il « n’a pas de lien avec le texte et entraverait les techniques de renseignements et d’enquêtes autorisées sous contrôle d’un magistrat ; et je soutiendrai sa suppression ».

Philippe Latombe, président de la Commission spéciale, précise que « ce texte n’est pas que l’article 16 bis […] On trouvera certainement un chemin si le gouvernement renonce à porter atteinte au chiffrement de bout en bout et nous pourrons dans ce cas annoncer que le 16 bis ne sera plus dans le texte ».

C’était une des recommandations du rapport Boudié sur le chiffrement était justement de « renoncer aux dispositions de l’article 16 bis du projet de loi « résilience », compte tenu des sérieuses zones d’ombre juridiques qu’emporterait sa rédaction actuelle ».

Le gouvernement a déjà fait connaitre sa position sur l’Article 16 bis, comme l’explique Le Monde : « Le gouvernement a donc choisi de suivre ses préconisations et de faire machine arrière. Il « s’engagera à ne pas réintroduire ni soutenir une réintroduction » du mécanisme de portes dérobées dans les messageries « jusqu’à la fin de la session parlementaire », a promis Anne Le Hénanff devant les parlementaires, tout en précisant qu’il « soutiendra » également « la suppression » de l’article 16 bis ».

Les débats sur ce sujet devraient avoir lieu demain après-midi selon le rapporteur, affaire à suivre.

La CNIL a annoncé avoir prononcé dix sanctions simplifiées contre des collectivités territoriales et un établissement public, pour des manquements relatifs à la cybersécurité en ce mois de novembre.

L’autorité de protection des données explique que ces sanctions ont été prises dans le cadre du renforcement de ses contrôles de la cybersécurité des collectivités territoriales décidés en 2025.

Ainsi, elle a prononcé des amendes allant de 3 000 € à 20 000 € (maximum légal pour la procédure de sanctions simplifiées). « Ces montants tiennent notamment compte du nombre de manquements relevés et de leur gravité, des catégories de données traitées (données de mineurs, coordonnées bancaires, etc.), du budget de chacune des collectivités et du nombre de personnes concernées. Ils tiennent également compte des mesures prises pour se mettre en conformité », explique-t-elle.

L’autorité ne précise pas le nom des collectivités territoriales ni celui de l’établissement public (dont elle ne dit rien d’autre).

Elle explique que les manquements sanctionnés concernaient soit la sécurité (et l’article 32 du RGPD), soit l’obligation d’effectuer une analyse d’impact (articles 35 du RGPD et 90 de la loi Informatique et Libertés).

Elle note ainsi que, pour certaines collectivités, « les modalités d’authentification permettant aux agents […] de se connecter à distance (notamment en télétravail) n’étaient pas suffisamment robustes, en particulier pour ceux disposant de privilèges élevés (absence d’authentification multifacteur pour les administrateurs ».

Parmi les exemples donnés par la CNIL figurent aussi le fait que certains prestataires extérieurs pouvaient accéder au réseau de manière permanente, que certains systèmes d’exploitation utilisés par des serveurs étaient obsolètes ou encore que « certains mots de passe utilisés étaient insuffisamment robustes, transmis en clair aux usagers ou stockés dans des conditions ne permettant pas de garantir leur confidentialité ».

Le fiasco à la barre

eu-LISA, l’agence européenne chargée des grands systèmes informatiques de gestion des frontières et de sécurité, a porté plainte en fin d’année dernière contre le consortium ayant développé le système d’entrée et de sortie (EES). Ce dernier, qui enregistre les passages des ressortissants de pays hors UE, a provoqué bien des hoquets cet été dans les aéroports européens.

IBM, le groupe français Atos et l’industriel italien de la défense Leonardo font l’objet d’une plainte d’eu-LISA, déposée en Estonie (le pays de l’agence) en décembre 2025 selon ses comptes annuels (PDF). Le principal grief porte sur les retards de livraison du système d’entrée/sortie (EES) et le non-respect des échéances par ce consortium. Ces retards ont entraîné des coûts supplémentaires pour la maintenance des logiciels et du matériel.

Des années de retard et un été de perturbations

L’affaire a été portée devant le tribunal de Harju, le plus grand tribunal de première instance d’Estonie, a confirmé une porte-parole au Financial Times. Aucune audience n’a eu lieu ni a été programmée. eu-LISA a indiqué de son côté que la procédure en cours n’a aucun impact sur le fonctionnement de l’EES, « pleinement opérationnel dans toute l’Europe ».

Ce système a été un gros caillou dans la chaussure de la Commission européenne pendant des années. Initialement prévu en 2022, son déploiement dans les aéroports n’a véritablement débuté qu’en octobre 2025. Il est pleinement opérationnel depuis avril 2026. L’EES enregistre les entrées et les sorties des ressortissants de pays hors UE effectuant un court séjour dans l’espace Schengen (les pays européens ainsi que de l’Islande, le Liechtenstein, la Norvège et la Suisse), dans la limite de 90 jours sur une période de 180 jours. Il s’appuie notamment sur une photo du visage et, selon les cas, des empreintes digitales qui sont recueillies lors du premier enregistrement puis vérifiées aux passages suivants.

L’EES remplace les cachets apposés aux passeports afin d’accélérer les contrôles aux frontières, faciliter et accélérer le passage aux frontières, prévenir l’immigration irrégulière et renforcer la sécurité dans l’espace Schengen, vante eu-LISA. La mise en place du système a été très compliquée, et le baptême du feu de cet été marqué par de sérieuses perturbations dans les aéroports.

Le 1er juillet dernier, la Commission européenne confirmait avoir reçu une lettre du secteur de l’aviation inquiète des difficultés de l’EES, tout en les minimisant : « Dans la plupart des aéroports de l’UE, cet impact est effectivement limité », expliquait-on à Bruxelles. Le FT rappelle de son côté des cas de mauvais fonctionnement des scanners d’empreintes digitales un peu trop sensibles à la sueur.

Les retards de livraison du système EES durant son développement ne sont pas liés à son fonctionnement, a assuré la Commission au Guardian.

Bons baisers de Moscou

Pour ne rien arranger, l’Office européen de lutte antifraude (OLAF) a lancé une enquête l’an dernier sur des allégations concernant le recours, par Atos, de logiciels de provenance russe destinés à l’EES. En février 2025, la Commission se disait au courant de la possible implication d’une filiale russe dans la conception du système d’entrée/sortie.

Une telle implication aurait représenté une rupture du contrat, mais finalement le dossier est retourné entre les mains de l’eu-LISA, l’évaluation initiale de l’agence ayant été qualifiée d’« insuffisante » selon un rapport interne consulté par le FT. Un nouveau consortium, composé de Sword Services Greece, Netcompany et Sopra Steria (PDF), a depuis pris le relais pour le développement et la maintenance de l’EES.

Au lieu d’acheter l’énergie chez un sous-traitant, pourquoi ne pas acheter directement les générateurs ? C’est ce que s’est dit Anthropic, qui vient de conclure un accord pour acquérir, selon le Financial Times, deux générateurs au gaz pour faire tourner ses datacenters. Ils doivent lui fournir une puissance de 1,7 gigawatts.

Ces générateurs proviennent de l’entreprise d’ingénierie OnePWR, basée à San Antonio, au Texas. Le journal économique précise que l’entreprise d’IA générative n’a pas racheté cette société, mais que l’accord comprend les compétences en ingénierie pour installer les générateurs.

C’est l’acquisition la plus importante concernant l’énergie jamais réalisée par une entreprise d’IA générative. Cela montre que le secteur reste bien décidé à chercher coûte que coûte des sources d’énergie importantes aux États-Unis malgré les réticences clairement affichées par les Américains à propos de l’installation des datacenters IA sur leur sol, entre autres à cause de la pollution.

Selon le Financial Times, OpenPWR avait de fait commandé des générateurs à gaz à Caterpillar il y a deux ans mais cherchait à financer cet achat. Du côté d’Anthropic, l’idée était d’abord de devenir client de l’entreprise texane, mais elle a finalement choisi de reprendre à son compte les commandes passées auprès de Caterpillar.

• SpaceXAI remplace les turbines à gaz de son datacenter Colossus par d’autres turbines à gaz

Bataille de lobbys

La proposition de loi instaurant une présomption d’utilisation des contenus par les fournisseurs d’intelligence artificielle de Laure Darcos arrive bientôt devant l’Assemblée nationale. Le PDG de Mistral, Arthur Mensch, préfère une taxe à l’idée que les industriels de l’IA générative soient obligés de prouver qu’ils n’utilisent pas une œuvre quand un indice « rend vraisemblable cette utilisation ». De leur côté, les industries du numérique représentées par l’AFNUM préfèreraient « négocier plutôt que plaider ».

La proposition de loi sur l’entrainement des IA et le droit d’auteur de la sénatrice Laure Darcos (groupe Les indépendants) arrive à l’Assemblée nationale le 19 novembre via la niche parlementaire du groupe socialiste. À cette occasion, le patron de Mistral, Arthur Mensch, s’est fendu d’un message sur LinkedIn pour réaffirmer son opposition à ce texte au nom « de notre souveraineté technologique, de notre compétitivité industrielle, et de nos capacités de défense ».

En avril dernier, le Sénat avait voté à l’unanimité la proposition de loi visant à instaurer une présomption d’utilisation de contenus culturels protégés par un droit d’auteur au niveau des éditeurs d’IA. Ce texte, très court en l’état et porté par la sénatrice Horizons Laure Darcos, inverse le rapport de force entre l’industrie de l’IA générative et l’industrie culturelle. Son article unique pose :

« Sauf preuve contraire, dans toute contestation en matière civile, l’œuvre ou l’objet protégé par un droit d’auteur ou par un droit voisin, au sens du présent code, est présumé avoir été utilisé par le fournisseur du modèle ou du système d’intelligence artificielle, dès lors qu’un indice afférent au développement ou au déploiement de ce système ou au résultat généré par celui‑ci rend vraisemblable cette utilisation. »

Le secteur culturel devra donc quand même amener devant le tribunal un indice de l’utilisation d’une œuvre pour l’entrainement d’un modèle s’il est définitivement adopté. Mais il ne devra pas prouver de façon définitive son utilisation. Au contraire, ce sera au créateur du modèle de prouver que l’entrainement de son outil ne s’appuie pas sur cette œuvre.

Comme nous l’expliquions, devant le Sénat, le gouvernement marchait sur des œufs, gêné par cette proposition de loi : la ministre de la Culture, Catherine Pégard, et la ministre déléguée chargée de l’intelligence artificielle et du numérique, Anne Le Hénanff, ont appelé à privilégier la négociation au contentieux et ont renvoyé plutôt vers une évolution du cadre européen.

Une bataille sur le passage ou non devant l’Assemblée nationale

Depuis, les lobbys de l’industrie culturelle poussent pour que le texte passe devant l’Assemblée, tandis que ceux du numérique essayent, au contraire, de le repousser sine die. « Nous ne pouvons pas continuer à accepter qu’un secteur économique se construise sur le pillage généralisé d’un autre secteur au mépris de l’État de droit, alors qu’il existe une alternative vertueuse au bénéfice de tous », affirmaient ainsi, en mai, 81 organisations de la culture dans un texte intitulé « IA : Sacrifier les droits de propriété intellectuelle n’est pas un acte de souveraineté ».

De l’autre côté, Mistral était soupçonné de s’appuyer sur ses liens avec le groupe Ensemble pour que la proposition ne soit jamais débattue à l’Assemblée. Alors que la discussion devait avoir lieu dans l’hémicycle en juin dernier, les députés Ensemble ont déposé une centaine d’amendements.

Pour la représentante de la Sacem, Cécile Rap-Veber, ces propositions de modification du texte étaient clairement de l’obstruction : « Personne ne peut sérieusement soutenir que 110 amendements déposés sur un texte aussi limité visaient à en améliorer la rédaction. Leur effet était évident : empêcher le débat, repousser le vote », affirmait-elle sur LinkedIn. Les députés n’ont en tout cas pas eu le temps de se prononcer sur le texte.

• IA et conflits d’intérêts : Cédric O soutenu par la HATVP

Les députés socialistes ont donc repris le flambeau et annoncé fin octobre avoir mis le texte à l’ordre du jour de leur niche parlementaire qui doit avoir lieu le 19 novembre. Ce dimanche 8 novembre, l’industrie du numérique a commencé à s’activer publiquement contre le texte.

Arthur Mensch préfère une taxe européenne sur tous les acteurs de l’IA

Ainsi, Arthur Mensch, a publié sur LinkedIn un long post sur le sujet. Tout en assurant qu’il trouve son objectif « légitime », il pointe ce qu’il affirme être un problème pour les acteurs français du numérique : « en instaurant une présomption d’utilisation déclenchée par un simple indice, le texte inverse la charge de la preuve : prouver qu’une œuvre n’a pas servi, sur un corpus de milliards de mots, exige d’exposer ses secrets industriels ».

« Le risque juridique introduit pèsera d’abord sur les acteurs français, à l’heure où des décisions d’infrastructure se prennent pour dix ans. Quand il s’agira de construire et d’utiliser un data center en Essonne ou un autre hors de France, quand il s’agira de choisir où effectuer nos travaux de recherche, ce risque fera la différence pour nous et pour nos clients », ajoute-t-il.

À l’argument du fait que la présomption est réfragable, c’est-à-dire qu’elle peut être contestée par une preuve contraire, et limitée au civil, le patron de Mistral affiche qu’ « à l’échelle de l’entraînement d’un modèle frontière, prouver le négatif sans livrer ses méthodes est impossible ». Et il propose une taxe en alternative, sous la forme d’ « une contribution assise sur le chiffre d’affaires de tous les fournisseurs d’IA opérant commercialement en Europe, étrangers compris, alimentant un fonds pour la création européenne ».

De son côté, l’Alliance Française des Industries du Numérique (AFNUM), qui représente en France une bonne partie des multinationales du numérique comme Google, Nvidia ou encore Microsoft, assure dans un communiqué publié aussi ce dimanche [PDF] que le texte « permet d’engager des poursuites contre n’importe quel acteur (développeur, distributeur, utilisateur professionnel), indépendamment de son rôle réel dans l’intégration des données » :

« Les start-ups, exposées à des frais juridiques élevés et à une présomption quasi impossible à renverser, verraient leur capacité à lever des fonds compromise. Les entreprises françaises qui intègrent des outils d’IA seraient elles aussi exposées au risque contentieux. »

Ensemble accusé de « vouloir avant tout préserver les intérêts de Mistral AI »

Laure Darcos a répondu à Arthur Mensch en l’accusant à mots couverts de ne pas avoir accepté de signer des contrats de licences avec les secteurs culturels, ce qui aurait « ainsi montré l’exemple » pour mettre en place une discussion entre les deux secteurs.

Et pour répondre aux arguments sur le risque de « judiciarisation inextricable des relations entre ayants droit et acteurs de l’IA » en France que met en avant le patron de Mistral, la sénatrice le renvoie aux « plus de 160 procès [qui] sont en cours [aux États-Unis] sur ce sujet précis de l’entraînement des modèles avec des contenus culturels protégés ».

Les débats risquent d’être houleux à l’Assemblée nationale ce 19 novembre. Le groupe présidentiel est accusé par l’industrie culturelle d’avoir pris fait et cause pour l’autre camp. « Gabriel Attal [président du groupe EPR à l’Assemblée] donne l’impression de vouloir avant tout préserver les intérêts de Mistral AI », a ainsi affirmé la Sacem au Monde.

Le texte pourrait cependant être adopté si un amendement de compromis était adopté. Selon nos confrères, cette modification serait rédigée de manière à exclure le français Mistral. La niche parlementaire socialiste risque, par contre, d’être la dernière opportunité pour que ce texte passe devant les députés lors de cette mandature.

Un rapport interne de l’Union européenne que Reuters a pu consulter indique qu’une opération de désinformation russe aurait cherché à profiter des émeutes du mois dernier en France pour imputer ces troubles sur les réseaux sociaux à une immigration incontrôlée et présenter le gouvernement comme ayant perdu le contrôle de la situation, et ses dirigeants « comme faibles et de plus en plus autoritaires ».

Un autre rapport interne, émanant du ministère français des Affaires étrangères et auquel Reuters a également eu accès, indique pour sa part que des comptes sociaux liés à Israël et au mouvement américain MAGA diffusaient eux aussi sur les réseaux des « discours hostiles » au sujet des émeutes, en les associant à l’islamisme radical et à l’immigration.

Le réseau russe connu sous le nom d’« Opération Overload » (« surcharge » en français), diffusait des vidéos se faisant passer pour des médias occidentaux afin de cibler le public français, amplifier les tensions sociales et politiques, et d’éroder la confiance dans les médias. Certaines affirmaient à tort que des migrants avaient violé des manifestants ou que des attentats terroristes étaient imminents.

Également connu sous le nom de « Matriochka » (du nom des poupées russes placées les unes à l’intérieur des autres) et actif depuis au moins 2023 d’après VIGINUM, ce réseau cible les médias et la communauté des fact-checkers de plus d’une soixantaine de pays, pour leur demander d’enquêter sur ces faux contenus, leur faire perdre du temps tout en suscitant une « surcharge cognitive ».

• Guerre hybride : Viginum revient sur trois ans d’ingérence russe au sujet de l’Ukraine

Les experts en désinformation du service diplomatique européen n’ont par ailleurs trouvé aucune preuve indiquant que Moscou ou d’autres acteurs aient été à l’origine de ces manifestations ou en aient aggravé l’intensité, qualifiant ces agissements d’« exploitation opportuniste des troubles ».

Ceux du ministère français des Affaires étrangères estiment que les 10 publications X les plus consultées sur les troubles provenant de milieux pro-russes avaient totalisé 2,8 millions de vues entre le 16 et le 18 octobre.

Ces chiffres ont cela dit été largement surpassés par les 35 millions de vues enregistrées par les comptes liés à des responsables et influenceurs israéliens, et les 49 millions de vues des comptes liés au mouvement MAGA, souligne Reuters.