Yapluka

« Ouf ! Enfin ! C’est pas trop tôt ». Ce sont les mots de Philippe Latombe, président de la Commission spéciale sur la transposition de NIS2. Après des mois d’attente et des retards en dernière ligne droite, le projet de loi est en train d’être débattu à l’Assemblée nationale. Le chiffrement et l’article 16 bis sont déjà au cœur des débats. Le second a été supprimé mardi en séance.

Mise à jour, mardi 10 novembre, 17h28 : les députés se sont exprimés mardi après-midi sur le fameux article 16 bis, celui qui visait donc à empêcher que les autorités puissent contraindre les fournisseurs de services de chiffrement à introduire des portes dérobées dans leurs messageries. Au terme d’environ 40 minutes d’échange, l’article 16 bis a été supprimé, avec une majorité de 69 voix pour, et 37 voix contre.

Comme il l’avait annoncé, le gouvernement a soutenu la suppression.

Le ministre de l’Intérieur Laurent Nuñez a renouvelé l’engagement formulé plus tôt par la ministre du Numérique Anne Le Hénanff selon lequel le gouvernement ne tenterait pas de réintroduire un dispositif législatif visant à compromettre le chiffrement des messageries d’ici la fin de l’actuelle mandature.

Il a également défendu l’idée selon laquelle un tel article (introduit pour mémoire en réaction au tristement célèbre article 8 ter de la loi Narcotrafic, enterré lors du vote) porterait préjudice au travail de la justice et des services de police dont les travaux sont encadrés par la CNCTR. Il a par ailleurs fait valoir que le texte était mal rédigé, trop large dans la mesure où il interdisait toutes les interceptions non consenties, et relevait du cavalier législatif.

Deux groupes ont manifesté leur opposition à cette suppression : les Écologistes et la France Insoumise, qui ont donc voté contre. « Du PS au RN en passant par les macronistes : ils ont voté pour la suppression de l’article 16 bis du PJL cyber sécurité. Cet article permettait de protéger les conversations par messageries cryptées des Français. C’est un immense recul pour nos libertés numériques », a réagi à chaud le député (LFI) Arnaud Saint-Martin.

---

Publication initiale, 9 novembre, 17 heures :

C’est parti ! Après quelques faux départs, l’examen du projet de loi résilience des infrastructures critiques (NIS2, REC et DORA) vient de débuter à l’Assemblée nationale. La France est, pour rappel, largement en retard sur le calendrier européen puisque la date limite était fixée au 17 octobre 2024 pour NIS2 et REC, et au 17 janvier 2025 pour DORA.

À ce sujet, Catherine Hervieu, rapporteure de la Commission spéciale, rappelle que la Commission européenne a saisi la Cour de justice de l’Union européenne sur le retard de la transposition et que nous risquons « plus de 10 millions d’euros d’amende ».

Après le Sénat, la traversée du désert

Le projet de transposition est passé devant le Sénat début 2025 et… plus rien depuis. Il a beaucoup fait parler de lui, notamment à cause d’un point précis, comme le rappelait la Commission supérieure du numérique et des postes (CSNP). Il y a un « point de clivage » : l’article 16 bis, introduit au Sénat.

« Il ne peut être imposé aux fournisseurs de services de chiffrement, y compris aux prestataires de services de confiance qualifiés, l’intégration de dispositifs techniques visant à affaiblir volontairement la sécurité des systèmes d’information et des communications électroniques tels que des clés de déchiffrement maîtresses ou tout autre mécanisme ou processus permettant un accès non consenti aux données protégées ».

• Cybersécurité : la transposition des directives NIS2, DORA et REC passe le Sénat

Anne Le Hénanff : « La menace cyber est désormais une réalité »

Anne Le Hénanff , ministre déléguée, est la première à prendre la parole pour expliquer que ce texte « revient dans un contexte particulier : celui d’une menace cyber plus intense que jamais ». Elle cite au passage la cyberattaque contre les frigos.

Le député Éric Bothorel, rapporteur général, ajoute à cette liste les cyberattaques contre les lycées, l’administration publique et notamment France Travail avec « au moins cinq cyberattaques majeures ». Depuis des mois, les cyberattaques et fuites de données se multiplient.

Anne Le Henanff se la joue Captain Obvious, avec quelques trains de retard tout de même : « la menace cyber est désormais une réalité ». Elle l’est depuis longtemps. Elle appelle les députés à continuer les discussions lancées à la Commission spéciale. Comme d’autres intervenants, elle appelle à ne pas surtransposer le texte. Ils sont plusieurs rapporteurs à préciser que ce projet ne porte pas sur la « souveraineté numérique ».

L’Article 16 bis a déjà du plomb dans l’aile

« Près d’un tiers des amendements [il y en a 404, ndlr] vont au-delà des directives ou sont étrangers au texte ; plus d’une quarantaine portent sur des sujets en cours de négociations à Bruxelles », explique Éric Bothorel. Il ajoute que « cette surtransposition fragmenterait le marché intérieur, imposerait une notification à la Commission européenne et retarderait l’adoption du texte ».

Vincent Thiébaut, un autre rapporteur de la Commission spéciale, revient sur l’article 16 bis introduit au Sénat puis conservé en Commission : il « n’a pas de lien avec le texte et entraverait les techniques de renseignements et d’enquêtes autorisées sous contrôle d’un magistrat ; et je soutiendrai sa suppression ».

Philippe Latombe, président de la Commission spéciale, précise que « ce texte n’est pas que l’article 16 bis […] On trouvera certainement un chemin si le gouvernement renonce à porter atteinte au chiffrement de bout en bout et nous pourrons dans ce cas annoncer que le 16 bis ne sera plus dans le texte ».

C’était une des recommandations du rapport Boudié sur le chiffrement était justement de « renoncer aux dispositions de l’article 16 bis du projet de loi « résilience », compte tenu des sérieuses zones d’ombre juridiques qu’emporterait sa rédaction actuelle ».

Le gouvernement a déjà fait connaitre sa position sur l’Article 16 bis, comme l’explique Le Monde : « Le gouvernement a donc choisi de suivre ses préconisations et de faire machine arrière. Il « s’engagera à ne pas réintroduire ni soutenir une réintroduction » du mécanisme de portes dérobées dans les messageries « jusqu’à la fin de la session parlementaire », a promis Anne Le Hénanff devant les parlementaires, tout en précisant qu’il « soutiendra » également « la suppression » de l’article 16 bis ».

Les débats sur ce sujet devraient avoir lieu demain après-midi selon le rapporteur, affaire à suivre.

Bataille de lobbys

La proposition de loi instaurant une présomption d’utilisation des contenus par les fournisseurs d’intelligence artificielle de Laure Darcos arrive bientôt devant l’Assemblée nationale. Le PDG de Mistral, Arthur Mensch, préfère une taxe à l’idée que les industriels de l’IA générative soient obligés de prouver qu’ils n’utilisent pas une œuvre quand un indice « rend vraisemblable cette utilisation ». De leur côté, les industries du numérique représentées par l’AFNUM préfèreraient « négocier plutôt que plaider ».

La proposition de loi sur l’entrainement des IA et le droit d’auteur de la sénatrice Laure Darcos (groupe Les indépendants) arrive à l’Assemblée nationale le 19 novembre via la niche parlementaire du groupe socialiste. À cette occasion, le patron de Mistral, Arthur Mensch, s’est fendu d’un message sur LinkedIn pour réaffirmer son opposition à ce texte au nom « de notre souveraineté technologique, de notre compétitivité industrielle, et de nos capacités de défense ».

En avril dernier, le Sénat avait voté à l’unanimité la proposition de loi visant à instaurer une présomption d’utilisation de contenus culturels protégés par un droit d’auteur au niveau des éditeurs d’IA. Ce texte, très court en l’état et porté par la sénatrice Horizons Laure Darcos, inverse le rapport de force entre l’industrie de l’IA générative et l’industrie culturelle. Son article unique pose :

« Sauf preuve contraire, dans toute contestation en matière civile, l’œuvre ou l’objet protégé par un droit d’auteur ou par un droit voisin, au sens du présent code, est présumé avoir été utilisé par le fournisseur du modèle ou du système d’intelligence artificielle, dès lors qu’un indice afférent au développement ou au déploiement de ce système ou au résultat généré par celui‑ci rend vraisemblable cette utilisation. »

Le secteur culturel devra donc quand même amener devant le tribunal un indice de l’utilisation d’une œuvre pour l’entrainement d’un modèle s’il est définitivement adopté. Mais il ne devra pas prouver de façon définitive son utilisation. Au contraire, ce sera au créateur du modèle de prouver que l’entrainement de son outil ne s’appuie pas sur cette œuvre.

Comme nous l’expliquions, devant le Sénat, le gouvernement marchait sur des œufs, gêné par cette proposition de loi : la ministre de la Culture, Catherine Pégard, et la ministre déléguée chargée de l’intelligence artificielle et du numérique, Anne Le Hénanff, ont appelé à privilégier la négociation au contentieux et ont renvoyé plutôt vers une évolution du cadre européen.

Une bataille sur le passage ou non devant l’Assemblée nationale

Depuis, les lobbys de l’industrie culturelle poussent pour que le texte passe devant l’Assemblée, tandis que ceux du numérique essayent, au contraire, de le repousser sine die. « Nous ne pouvons pas continuer à accepter qu’un secteur économique se construise sur le pillage généralisé d’un autre secteur au mépris de l’État de droit, alors qu’il existe une alternative vertueuse au bénéfice de tous », affirmaient ainsi, en mai, 81 organisations de la culture dans un texte intitulé « IA : Sacrifier les droits de propriété intellectuelle n’est pas un acte de souveraineté ».

De l’autre côté, Mistral était soupçonné de s’appuyer sur ses liens avec le groupe Ensemble pour que la proposition ne soit jamais débattue à l’Assemblée. Alors que la discussion devait avoir lieu dans l’hémicycle en juin dernier, les députés Ensemble ont déposé une centaine d’amendements.

Pour la représentante de la Sacem, Cécile Rap-Veber, ces propositions de modification du texte étaient clairement de l’obstruction : « Personne ne peut sérieusement soutenir que 110 amendements déposés sur un texte aussi limité visaient à en améliorer la rédaction. Leur effet était évident : empêcher le débat, repousser le vote », affirmait-elle sur LinkedIn. Les députés n’ont en tout cas pas eu le temps de se prononcer sur le texte.

• IA et conflits d’intérêts : Cédric O soutenu par la HATVP

Les députés socialistes ont donc repris le flambeau et annoncé fin octobre avoir mis le texte à l’ordre du jour de leur niche parlementaire qui doit avoir lieu le 19 novembre. Ce dimanche 8 novembre, l’industrie du numérique a commencé à s’activer publiquement contre le texte.

Arthur Mensch préfère une taxe européenne sur tous les acteurs de l’IA

Ainsi, Arthur Mensch, a publié sur LinkedIn un long post sur le sujet. Tout en assurant qu’il trouve son objectif « légitime », il pointe ce qu’il affirme être un problème pour les acteurs français du numérique : « en instaurant une présomption d’utilisation déclenchée par un simple indice, le texte inverse la charge de la preuve : prouver qu’une œuvre n’a pas servi, sur un corpus de milliards de mots, exige d’exposer ses secrets industriels ».

« Le risque juridique introduit pèsera d’abord sur les acteurs français, à l’heure où des décisions d’infrastructure se prennent pour dix ans. Quand il s’agira de construire et d’utiliser un data center en Essonne ou un autre hors de France, quand il s’agira de choisir où effectuer nos travaux de recherche, ce risque fera la différence pour nous et pour nos clients », ajoute-t-il.

À l’argument du fait que la présomption est réfragable, c’est-à-dire qu’elle peut être contestée par une preuve contraire, et limitée au civil, le patron de Mistral affiche qu’ « à l’échelle de l’entraînement d’un modèle frontière, prouver le négatif sans livrer ses méthodes est impossible ». Et il propose une taxe en alternative, sous la forme d’ « une contribution assise sur le chiffre d’affaires de tous les fournisseurs d’IA opérant commercialement en Europe, étrangers compris, alimentant un fonds pour la création européenne ».

De son côté, l’Alliance Française des Industries du Numérique (AFNUM), qui représente en France une bonne partie des multinationales du numérique comme Google, Nvidia ou encore Microsoft, assure dans un communiqué publié aussi ce dimanche [PDF] que le texte « permet d’engager des poursuites contre n’importe quel acteur (développeur, distributeur, utilisateur professionnel), indépendamment de son rôle réel dans l’intégration des données » :

« Les start-ups, exposées à des frais juridiques élevés et à une présomption quasi impossible à renverser, verraient leur capacité à lever des fonds compromise. Les entreprises françaises qui intègrent des outils d’IA seraient elles aussi exposées au risque contentieux. »

Ensemble accusé de « vouloir avant tout préserver les intérêts de Mistral AI »

Laure Darcos a répondu à Arthur Mensch en l’accusant à mots couverts de ne pas avoir accepté de signer des contrats de licences avec les secteurs culturels, ce qui aurait « ainsi montré l’exemple » pour mettre en place une discussion entre les deux secteurs.

Et pour répondre aux arguments sur le risque de « judiciarisation inextricable des relations entre ayants droit et acteurs de l’IA » en France que met en avant le patron de Mistral, la sénatrice le renvoie aux « plus de 160 procès [qui] sont en cours [aux États-Unis] sur ce sujet précis de l’entraînement des modèles avec des contenus culturels protégés ».

Les débats risquent d’être houleux à l’Assemblée nationale ce 19 novembre. Le groupe présidentiel est accusé par l’industrie culturelle d’avoir pris fait et cause pour l’autre camp. « Gabriel Attal [président du groupe EPR à l’Assemblée] donne l’impression de vouloir avant tout préserver les intérêts de Mistral AI », a ainsi affirmé la Sacem au Monde.

Le texte pourrait cependant être adopté si un amendement de compromis était adopté. Selon nos confrères, cette modification serait rédigée de manière à exclure le français Mistral. La niche parlementaire socialiste risque, par contre, d’être la dernière opportunité pour que ce texte passe devant les députés lors de cette mandature.

🐍 Aie confiance 🐍

La Commission européenne estime à titre préliminaire que TikTok a enfreint le réglement sur les services numériques (DSA) en raison de l’effet de spirale de surutilisation de son système de recommandation sur l’onglet « Pour toi » de son application. Le réseau social a mis en place des modifications mais Bruxelles considère qu’elles sont inefficaces.

TikTok est de nouveau dans le viseur de la Commission européenne concernant de potentielles infractions au DSA. En effet, Bruxelles explique avoir bouclé une enquête préliminaire concernant le réseau social et la spirale de surutilisation (« rabbit holes » en anglais) mise en place par son système de recommandation et ouvrir une enquête formelle.

Des spirales de surutilisation poussées par l’algorithme de TikTok

Dans un communiqué, l’institution affirme que son enquête montre que « TikTok n’a pas suffisamment évalué la manière dont son algorithme de recommandation pouvait entraîner les utilisateurs dans de telles spirales, mettant ainsi leur bien-être en danger ». Elle ajoute que ses conclusions préliminaires font apparaitre « que la conception de l’algorithme pourrait jouer un rôle important dans l’apparition de ces spirales ». « L’algorithme utilise des informations relatives à l’engagement des utilisateurs, telles que le visionnage et les likes attribués aux vidéos, afin de personnaliser le contenu qui leur est recommandé », ajoute la Commission.

Elle donne notamment l’exemple d’un utilisateur qui regarderait ou « likerait » des contenus susceptibles « d’être source de détresse, comme ceux portant sur la perte de poids ou l’image corporelle », et affirme que dans ces conditions, le système « interprète ces interactions comme des signes positifs d’intérêt et lui recommande davantage de contenus du même type ».

« Une exposition répétée à ce type de contenu peut avoir de graves répercussions négatives sur le bien-être des utilisateurs, notamment un sentiment accru de tristesse ou d’anxiété, une insatisfaction vis-à-vis de son corps, une baisse de l’estime de soi ou une aggravation des troubles alimentaires et des troubles psychiques existants », commente-t-elle.

Les mesures mises en place par TikTok ne sont pas efficaces

L’information n’est pas nouvelle puisque nous vous parlions en septembre 2024 d’une étude scientifique montrant que les femmes exposées aux vidéos de TikTok perdent de l’estime pour leur propre corps. Les autrices de l’étude expliquaient que les vidéos du mouvement pro-anorexie profitent particulièrement de l’algorithme de recommandation « Pour vous » de l’application.

D’ailleurs, en février 2024, la Commission européenne avait déjà ouvert une procédure à ce sujet contre les « rabbit holes » de TikTok, soupçonnant déjà le réseau social d’être en infraction avec le DSA. La Commission explique que TikTok a mis certaines mesures en place censées atténuer l’effet, mais selon elle, ces mesures ne sont pas efficaces.

Son enquête constate que les dispositifs pour recommander des contenus diversifiés « ne réduisent pas suffisamment la fréquence à laquelle des contenus similaires sont recommandés, notamment ceux liés aux difficultés de santé mentale et à l’image corporelle ».

Elle ajoute que les outils donnés par TikTok à ses utilisateurs pour contrôler les contenus recommandés sont aussi inefficaces. Ainsi, elle donne l’exemple de l’utilisation du bouton « pas intéressé » qui n’a parfois aucun effet sur le flux de contenus de l’onglet « Pour toi ». « L’algorithme privilégie l’affichage de contenus en fonction du temps passé à les regarder, plutôt que du choix des utilisateurs de voir moins de certains contenus », explique la Commission.

L’institution européenne demande à TikTok de prendre réellement en compte les préférences explicites de ces utilisateurs.

TikTok a désormais la possibilité de défendre les changements qu’elle a mis en place en répondant à la Commission. L’entreprise n’a pas encore réagi publiquement. L’institution européenne ajoute qu’elle va, en parallèle, consulter le Comité européen des services numériques. Elle précise que si son enquête préliminaire est confirmée, elle pourra imposer à Bytedance (la maison mère chinoise de TikTok) une amende pouvant aller jusqu’à 6 % de son chiffre d’affaires annuel total mondial.

En France, l’année dernière, l’application avait fait l’objet quasiment à elle toute seule d’une enquête parlementaire qui avait fait des constats accablants sur les conséquences violentes de l’utilisation de TikTok sur les mineurs.

Mais les parlementaires ont surtout choisi d’interdire les réseaux sociaux aux plus jeunes. La Commission européenne a d’ailleurs récemment affiché sa volonté d’imposer un calendrier commun aux États sur ces questions avec le KIDS Act qu’elle veut mettre en place.

Tout faire pour accéder aux contenus journalistiques sans les payer ?

Le journal américain vient de déposer plainte contre Brave, l’accusant de passer outre son paywall pour vendre l’accès à ses contenus aux entreprises d’IA générative comme Anthropic, Perplexity, Mistral, xAI et Cohere. Accompagné d’autres médias, le New York Times cible aussi l’option « paywall blocker » et d’autres fonctionnalités du navigateur.

Le New York Times, suivi par d’autres titres de presse états-uniens, a déposé plainte devant la cour fédérale de Manhattan lundi 2 novembre contre l’éditeur du navigateur Brave.

Dans les deux documents très proches déposés devant la justice (un premier PDF ici et un autre là), ces médias pointent le « rôle central » de l’entreprise de Brendan Eich concernant la copie et la distribution de leurs articles copyrightés aux utilisateurs de son navigateur mais aussi aux entreprises d’IA génératives les plus en vue du marché.

Brave vendrait un accès aux articles sous paywall via une API

« Brave est le fournisseur, le revendeur et le distributeur de contenus copyrightés et obtenus illicitement, destinés à ses propres utilisateurs ainsi qu’à bon nombre des plus grandes entreprises spécialisées dans l’IA générative, notamment Anthropic, Perplexity, Mistral, xAI et Cohere », écrivent-ils.

Les entreprises de presse estiment, dans leur plainte, que Brave a engrangé plus de 100 millions de dollars en copiant et revendant leurs articles. Pour elles, Brave a pivoté et changé de modèle en monétisant son index de pages web scrapées.

D’une part, en déployant sa fonctionnalité IA « Ask Brave », un bot IA comme tant d’autres, mais qui, selon les plaignants, permet « souvent » d’accéder à des verbatim de leurs textes ou à des résumés détaillés.

D’autre part, Brave propose une API via laquelle elle donne accès , toujours selon la plainte, à « une source illicite de contenus copyrightés dont elle ne possède pas les droits, y compris des contenus copyrightés appartenant aux éditeurs, à d’autres sociétés du secteur de l’IA ».

Les éditeurs de presse ciblent aussi les différentes options mises en place dans le navigateur de Brave pour permettre de lire les contenus de médias en passant outre leur paywall. Ainsi, ils citent l’option « Paywall blocker », qui activée, permet aux internautes de passer outre leurs paywalls, mais aussi le portail Brave News et les fonctionnalités de blocage de publicités incluses dans le navigateur.

Ils demandent que Brave soit empêché de continuer à proposer ce genre de fonctionnalité et de vendre l’accès de cette API aux entreprises d’IA générative mais aussi « la restitution intégrale de l’ensemble des recettes et bénéfices obtenus par Brave grâce à son système de substitution publicitaire, majorés des intérêts ».

Perplexity s’énerve

Interrogées par The Verge, Brave ainsi que la plupart des entreprises d’IA générative citées n’ont pas donné suite. Seule Perplexity a vivement réagi en affirmant que « le New York Times paie ses avocats trop cher et sous-paie ses journalistes. (Qui auraient pourtant facilement pu repérer les fausses informations contenues dans cette plainte) ».

ArsTechnica, qui a reçu la même réponse, affirme que la déclaration de Perplexity ne contient aucune information sur ces prétendues fausses allégations. Nos confrères rappellent cependant que l’entreprise est déjà attaquée par le New York Times dans une affaire engagée depuis décembre 2025 concernant la reproduction illégale d’articles copyrightés.

• Le gouvernement américain vole au secours d’OpenAI dans son litige avec le New York Times

OpenAI mais pas open bar

Selon l’avocat général de la CJUE, le scraping et la réutilisation de publications de presse en ligne par les chatbots IA pour générer des réponses doivent respecter certains critères, et notamment qu’elles aient été obtenues légalement (donc sans passer outre un paywall), mais aussi que le chatbot ne réutilise pas le style utilisé dans l’article.

La presse européenne est suspendue au sort qui sera réservé à l’affaire qui oppose l’éditeur hongrois Like Compagny à Google. C’est, selon le communiqué de presse [PDF] de la Cour de justice de l’Union européenne (CJUE), la première affaire relative à l’IA générative portée devant elle.

Et l’avocat général à la Cour, Maciej Szpunar, vient de rendre ses conclusions. Rappelons qu’il doit donner un éclairage à la Cour mais que celle-ci n’est pas liée à ses conclusions. Les juges commencent tout juste à délibérer dans cette affaire et leur arrêt sera rendu ultérieurement. Mais le regard de l’avocat général permet de mieux cerner les enjeux de cette décision.

En l’occurrence, devant la Cour régionale de Budapest, Like Compagny accuse Google (en fait, sa maison mère, Alphabet) d’avoir violé les droits qu’elle possède sur les articles publiés sur le site Balaton Környéke en les utilisant entre juin 2023 et juin 2024, sans son accord, pour entrainer ses modèles, mais aussi dans son processus de RAG (pour retrieval-augmented generation) afin de générer des réponses aux utilisateurs de son chatbot Gemini en allant les chercher sur le web. Elle l’accuse aussi d’avoir « reproduit » ces articles et de les avoir « rendus accessibles » aux utilisateurs du chatbot.

• Dis Next, c’est quoi un « RAG » en IA générative ?

Avant de statuer, cette cour hongroise a voulu consulter la Cour de justice de l’Union européenne pour vérifier comment le droit européen encadre ce genre de problèmes. Elle lui a demandé si le processus d’entrainement d’un modèle de langage peut être considéré comme un acte de reproduction illicite ou si il relève de l’exception au « text and data mining » que la loi européenne permet. La Cour hongroise a aussi interrogé la CJUE sur la reproduction des articles de presse par les chatbots.

Pas de preuve d’utilisation pour l’entrainement, pas de question

L’avocat général Maciej Szpunar demande à la CJUE d’évacuer les questions sur l’entrainement du modèle de langage avec les textes de Like Compagny car il considère qu’elles ne sont pas recevables. Pour lui, l’entreprise hongroise ne donne pas de preuve que Google a utilisé ses textes pour entrainer ses modèles.

Il demande à la Cour de se concentrer sur les questions relatives à la reproduction des articles par les chatbots via les processus de Retrieval-Augmented Generation (RAG).

Concernant la réutilisation d’articles en ligne par un chatbot pour générer une réponse, Maciej Szpunar estime que l’éditeur n’a pas un monopole sur l’information qu’il a publiée. Ainsi, selon lui, le droit européen permet à un chatbot de réutiliser une information publiée par un média sans avoir à lui demander son consentement.

Un chatbot ne peut pas réutiliser un contenu sous paywall ou utiliser le style d’un article

Par contre, le chatbot qui réutilise une information doit le faire sans y accéder de manière illicite, « notamment en contournant les mesures techniques efficaces destinées à restreindre l’accès à cette publication ou son extraction ».

Il ne doit pas non plus reproduire le style utilisé « dans tout ou partie de la publication de presse » en question, ce qui dispenserait le lecteur d’accéder à l’article originel. L’avocat général semble donc considérer que le droit européen protège la forme des articles de presse librement accessibles sur Internet mais pas le fond.

Il souligne aussi que, pour qu’ils soient retenus contre le fournisseur d’un chatbot, les actes de reproduction reprochés doivent être inhérents à son modèle économique, ou que ce fournisseur n’ait pas mis en place de mesures appropriées pour lutter contre ce genre de pratique de manière crédible et efficace.

Rappelons que les conclusions de l’avocat général ne sont pas contraignantes pour la CJUE, mais que, généralement, les juges de la Cour les suivent.

Une seule loi pour les gouverner tous

Sur la question de la protection des enfants, pas question de présenter un front européen fragmenté et désuni. Pour Bruxelles, tous les États membres doivent se ranger sous la bannière du KIDS Act présenté en septembre.

Le KIDS Act présenté par l’exécutif européen le 17 septembre fixe l’interdiction des réseaux sociaux aux moins de 13 ans ainsi qu’une autonomie progressive et sous surveillance jusqu’à 15 ans : système de « mini compte » adossé au compte d’un parent et limite d’une heure de consultation par jour. Au-delà de 15 ans, la création de comptes autonomes est autorisée sur des services « sûrs ».

• Réseaux sociaux, jeux, IA : ce que l’EU KIDS Act va changer pour les mineurs

Bruxelles veut éviter un patchwork de lois nationales

La proposition tombe à point nommé : plusieurs pays ont déjà voté pour des mesures plus ou moins proches, comme en France ou en Grèce, d’autres sont en passe de le faire. Le hic, c’est que tous ces textes contiennent des mesures différentes qui peuvent se chevaucher ou se contredire d’un État à un autre. C’est pourquoi la Commission veut harmoniser ces lois à l’échelle européenne, sous la bannière du Kids Act, comme le rapporte Le Monde.

Thomas Regnier, le porte-parole de la Commission, l’a dit sans ambages jeudi 29 octobre : si les pays partent en ordre dispersé sur cette question, « vous aurez des âges différents et des lois différentes selon les États membres. Cela deviendra quasiment impossible à gérer. ». Il ajoute que « les plateformes ne pourront pas se conformer aux règles d’un marché aussi fragmenté et, au bout du compte, nous nous retrouverons tous sans protection. »

La Commission européenne a été notifiée de plusieurs propositions de lois, et leur examen se poursuit, « mais cela ne changera pas notre position de principe : nous ne laisserons pas notre marché intérieur se fragmenter. » C’est pourquoi Bruxelles a décidé de reporter de douze mois tout projet national de loi qui chevaucherait les futures règles harmonisées.

La France et la Grèce échappent au gel

Les textes français et grec échappent à ce report, puisque la période de statu quo ouverte par leur notification auprès de la Commission européenne a expiré avant la présentation du Kids Act. Ça ne sera pas le cas de la loi autrichienne, déposée auprès de Bruxelles en juillet. Le pays veut interdire les réseaux sociaux aux moins de 14 ans.

« Concernant le calendrier, nous appelons bien entendu nos co-législateurs à avancer », a indiqué Thomas Regnier. « Nous souhaitons travailler avec tous ces États membres, qui ont accompli un travail solide et pris des initiatives pour protéger leurs enfants en ligne. » Pour ce qui concerne l’Autriche, la vice-présidente Henna Virkkunen s’est entretenue avec le gouvernement pour l’informer de la décision annoncée aujourd’hui. « La coopération est très bonne », assure-t-il.

L’Autriche souhaite une fin des travaux au Conseil d’ici janvier 2027, puis un accord politique d’ici le mois de mars. Si les négociations devaient s’éterniser, Vienne demandera à la Commission d’autoriser les initiatives nationales.

Microsoft vient de déployer une mise à jour facultative qui introduit un nombre significatif de nouveautés. Elle inaugure d’importantes améliorations à l’Explorateur de fichiers, dont la possibilité de personnaliser le menu contextuel du clic droit.

Je refuse ! Ok, osef !

Fnac Darty collectait et traitait des données personnelles de ses utilisateurs sans recueillir leur consentement ; même lorsqu’ils refusaient explicitement. L’entreprise estimait que ses usages étaient « strictement nécessaires ». La CNIL sanctionne l’entreprise à 7 millions d’euros d’amende et à prouver sa mise en conformité sous peine d’une astreinte de 10 000 euros par jour.

La CNIL vient d’annoncer qu’elle avait sanctionné Fnac Darty Participations et Services et Fnac Direct d’une « amende de 7 millions d’euros pour non-respect des règles applicables en matière de traceurs (cookies) ». 6 millions d’euros pour la première entité, 1 million pour Fnac Direct. Les deux écopent aussi d’une astreinte de 10 000 euros par jour de retard pour justifier s’être mises en conformité, à l’issue d’un délai d’un mois suivant la notification de la délibération.

La Commission explique que « les sociétés avaient recours à un traceur, dont les utilisateurs n’avaient pas consenti au dépôt, collectant notamment leur historique de navigation afin de leur afficher des recommandations de produits et d’entrainer son algorithme de recommandations ».

Plainte en septembre 2023, contrôle en mars 2024

Dans sa délibération, la CNIL explique que, le 15 septembre 2023, elle a été saisie d’une plainte de l’association noyb (None of Your Business) « reprochant aux sociétés d’utiliser des technologies de traçage au sein de son application mobile ». Le 6 décembre 2023, « la vice-présidente déléguée de la CNIL a chargé le secrétaire général de procéder ou de faire procéder à une mission de contrôle ». Contrôle effectué le 6 mars 2024, suivi par des questions à Fnac Darty.

« Les sociétés ont expliqué avoir lancé, après avoir eu connaissance de la saisine de la CNIL par noyb, une revue de la collecte des données effectuée par les traceurs de l’application mobile et avoir identifié un mauvais paramétrage d’un traceur utilisé sur la version Android. Elles ont précisé avoir effectué des correctifs sur l’application mobile et avoir mis à disposition une version corrigée de celle-ci dans sa version Android, le 19 septembre 2023 ». Quatre jours après la plainte, six mois avant les contrôles de la CNIL.

Mais ce n’était visiblement pas suffisant. Lors du contrôle de l’application mobile, « les sociétés réalisaient des opérations de lecture et/ou d’écriture sur le téléphone mobile des utilisateurs de leur application mobile via l’API […], sans recueillir leur consentement préalable et alors même qu’ils avaient cliqué au sein de la bannière de recueil du consentement  » plateforme de gestion du consentement « , sur le bouton  » Continuer sans accepter  » ».

Fnac Darty a confirmé à la CNIL « que les requêtes émises vers le domaine  » […]  » contenaient un identifiant attribué, par la FNAC, à l’utilisateur ainsi que des informations relatives à son activité, telles que les produits consultés, et ont indiqué que ces opérations étaient effectuées à des fins de personnalisation de contenus et d’entrainement de l’algorithme de recommandation de produits au sein de leur application ».

Strictement nécessaires : oui selon Fnac Darty, non selon la CNIL

Pour le rapporteur, ces fonctions n’étaient pas « strictement nécessaires » au fonctionnement du service et le consentement devait être recueilli. Pour Fnac Darty, sans surprise, c’est le contraire : « les opérations en cause visaient à aider l’utilisateur dans sa navigation sur l’application, en filtrant la présentation des produits, et que l’aide à la navigation est une fonctionnalité essentielle, strictement nécessaire du point de vue des utilisateurs dès lors qu’elle leur permet de naviguer de manière lisible au sein du catalogue de produits ».

La CNIL entre davantage dans les détails sur la notion d’affichage de produits similaires qui « pourrait être, en théorie, selon les modalités de mise en œuvre, considérée comme strictement nécessaire à la fourniture du service de communication demandé par l’utilisateur ». Néanmoins, cette fonctionnalité ne peut être isolée des autres finalités « dès lors qu’elle est réalisée par le biais de la même et unique opération de lecture et écriture via l’API ». La CNIL rappelle qu’« un cookie poursuivant plusieurs finalités ne peut relever des exemptions […] que dans l’hypothèse où aucune des finalités poursuivies par les opérations de lecture et/ou écriture considérées ne nécessite le recueil préalable du consentement ».

Fnac Darty explique avoir décommissionné son API en décembre 2024 sur Android et iOS, remplacée par « un nouvel outil dénommé  » […] « , reposant sur un fonctionnement différent, en janvier 2025 ». Suffisant ? Pas pour la CNIL, qui refuse de croire l’entreprise sur parole et demande des preuves que le nouvel outil est bien conforme à la loi.

Dans sa délibération, elle explique que Fnac Darty a produit « un courrier d’un cabinet de conseil présentant une analyse des évolutions qu’elles prévoient de mettre en place », notamment en matière de respect de l’article 82 de la loi Informatique et Libertés. Pour la CNIL, prévoir n’est pas suffisant : les sociétés « ne démontrent pas que les mesures évoquées ont à ce stade été mises en œuvre ». D’où l’injonction en attendant des preuves.

Publier la décision ? Fnac Darty brandit la crainte d’un « préjudice important »

Comme toujours en pareille situation, Fnac Darty demandait à la CNIL de ne pas publier la décision, car cela « serait susceptible de causer un préjudice important au groupe FNAC DARTY actuellement engagé dans une offre publique d’achat et risquerait de fragiliser son équilibre commercial ainsi que la confiance de leurs adhérents, sans apporter de bénéfice à l’intérêt général et tout en favorisant leurs concurrents ».

Pour la CNIL, au contraire, la publication se justifie au « regard de la gravité du manquement en cause, de la portée du traitement et du nombre de personnes concernées ». Selon la CNIL, entre mars 2023 et mars 2024, l’application mobile a été téléchargée plus de 1,5 million de fois en France et a été utilisée en moyenne par 37 400 utilisateurs par jour.

La CNIL parle de négligence, pas d’un acte délibéré : « elle estime que les sociétés ne pouvaient ignorer leurs obligations au titre de l’article 82 de la loi Informatique et Libertés et qu’elles ont fait preuve de négligence en ne les respectant pas ». Fnac Darty peut déposer un recours contre cette décision devant le Conseil d’État pendant deux mois.

L’OPA en cours est celle de Daniel Kretinsky, qui détient déjà 28,5 % du groupe. Comme l’explique Challenges, il « compte avec cette OPA franchir le seuil de 50 %, empêchant de facto le géant chinois du commerce en ligne JD.com d’obtenir davantage de poids dans les décisions de l’entreprise ». La Commission européenne vient tout juste de donner son accord à cette opération.

C’est désormais la dernière ligne droite pour cette opération : « l’Autorité des marchés financiers fera connaître dans les prochains jours le calendrier définitif de l’Offre et notamment la date de clôture de l’Offre ». Le prix est déjà fixé : « 35 euros par action après le paiement le 5 juin 2026 d’un dividende au titre de l’exercice 2025 d’un euro par action et de 81,16 euros par OCEANE [Obligation Convertible En Actions Nouvelles ou Existantes, ndlr] ».

Fuite ou pas fuite ?

Fuites de données en série, chez les partis en campagne pour l’élection présidentielle ? En un week-end, un même pirate affirme avoir récupéré des données du Parti communiste français, de La France Insoumise et de Renaissance. Les deux derniers démentent toute nouvelle intrusion.

Un pirate informatique revendique avoir attaqué et récupéré des données de trois partis français, au cours du week-end du 23 au 25 octobre. Le Parti communiste (PCF), la France Insoumise (LFI) et Renaissance auraient été touchés, mais les deux derniers affirment que les données concernées étaient déjà accessibles en ligne.

Le Parti communiste va déposer plainte

Alerté par l’Agence nationale de la sécurité des systèmes d’information (ANSSI), le PCF a publié le 23 au soir un communiqué dans lequel il indiquait avoir « immédiatement engagé la sécurisation de ses systèmes, de ses outils informatiques et de ses bases de données ».

D’après ses constatations, la fuite affecte son fichier des adhérents et sympathisants – des données sensibles par essence, les opinions politiques faisant partie des données personnelles plus spécifiquement protégées par la loi –, mais ne comprend aucune donnée bancaire. Le parti de Fabien Roussel affirme par ailleurs qu’il va déposer plainte.

De son côté, le pirate revendique des données sur 190 000 personnes avec des noms, prénoms, adresses postales, emails et numéros de téléphone. Comme trop souvent en pareille situation, la victime ne communique pas, elle, sur l’ampleur précise du piratage. Cela rend impossible l’estimation du nombre de données directement issues de cette fuite du PCF, et du nombre de celles issues d’attaques antérieures. Or, une pratique « courante » des pirates consiste à multiplier les données ou à les agréger depuis diverses sources pour augmenter artificiellement le volume de ce qu’ils annoncent faire fuiter.

La France Insoumise et Renaissance démentent

Sous le pseudonyme de ChimeraZ, le pirate, qui multiplie les « coups d’éclat » depuis plusieurs mois, a de nouveau sévi les deux jours suivants. Le samedi, il affirmait avoir mis la main sur un fichier de près de 1,2 million de lignes de données de militants LFI. Le dimanche, rebelote, avec un fichier de 4,1 millions de lignes issues du parti Renaissance.

Dans ces deux cas, les partis démentent toute nouvelle intrusion. Le 24 octobre, le coordinateur LFI Manuel Bompard affirmait avoir « été informé de la circulation d’un ensemble de fichiers présentés comme issus de nos systèmes ». Après vérification interne, il indiquait : « aucune donnée personnelle de membres de la France insoumise n’a été divulguée au-delà de celles déjà disponibles publiquement (contacts d’événements par exemple) ».

En mai, LFI avait déjà été victime d’une fuite de liste d’adhérents ou sympathisants. Celle-ci était issue de son réseau social dédié, Action populaire. Dans le cas présent, le Fuites Infos et Le Parisien constatent que des numéros et des e-mails de militants sont aussi disponibles dans le fichier qui circule en ligne. Viennent-ils tous de la même source, ou bien s’agit-il de données agrégées de plusieurs fuites ? Impossible à dire.

De plus, ils relèvent que le document contient des éléments relatifs aux opérations de porte-à-porte pour les municipales de 2026 et pour la présidentielle de 2027. C’est notamment là qu’apparaît un doute sur le type de données collectées, relève Cyberattaque.org : la présence d’adresses au format Base Adresse Nationale ne permet pas de suggérer que ces données désignent les domiciles de militants. Elle indique seulement que ces données ont été incluses dans un outil pour l’organisation d’un porte-à-porte sur un territoire donné ou dans le cadre d’une campagne précise.

• Quels sont les risques liés aux multiples fuites de vos données personnelles ?

Chez Renaissance, de même, la direction affirme auprès du Parisien qu’« aucune donnée personnelle n’a été divulguée ». Concrètement, les données concernées incluent des adresses postales, des coordonnées GPS, des identifiants de campagnes politique, des suivis de visites de porte à porte et d’autres statistiques de terrain.

Le parti de Gabriel Attal déclare que les « éléments décrits correspondent à des informations publiques, soit disponibles via l’Insee, soit affichées sur notre plate-forme militante, consultables publiquement. Ils semblent avoir été collectés par extraction automatisée de ces pages ».

Période agitée pour les sites de partis politiques

Sans lien apparent, le site du parti Les Républicains a de son côté subi un défaçage, c’est-à-dire une modification de sa page d’accueil pour afficher des revendications, le 16 octobre.

D’après nos constatations, l’attaque visait principalement à appeler à la manifestation du lendemain et à adresser des insultes aux membres du parti. Ses auteurs affirmaient avoir récupéré des données internes, ce que des membres du parti politique ont nié auprès du Monde.

• Fuites de données : devant Bercy, des féministes demandent des comptes à l’État



Jeu, set et match

La fondation suisse qui fournit des services de DNS jette l’éponge en France après avoir été contrainte de bloquer des noms de domaine de sites de streaming sportifs dont BeIN Sports France avait les droits exclusifs.

Les internautes français ne pourront bientôt plus utiliser les serveurs DNS du fournisseur Quad9. En effet, après une décision de justice, l’entreprise suisse a annoncé ne pas pouvoir assurer son service correctement auprès de ses utilisateurs dans le monde tout en s’y conformant à long terme.

• [Dossier] Internet, mode d’emploi : de l’URL à l’IP avec le DNS (partie 2)
• [Tuto] Installer facilement son propre résolveur DNS sur Raspberry Pi, VM Freebox, VPS

Ce n’est pas la première fois qu’un fournisseur de DNS prend une telle décision. En effet, en 2024, OpenDNS s’était résolu à arrêter de proposer ses services en France à cause d’une décision de justice similaire. À l’époque, l’entreprise américaine était en conflit avec Canal+.

Le litige : le blocage de sites de streaming du tournoi de tennis féminin de la WTA

Cette fois-ci, c’est BeIN Sports France qui incite la fondation suisse à suivre. Le 13 mai dernier [PDF], la chaîne de télévision sportive qatarie avait obtenu devant le Tribunal judiciaire de Paris l’ordre donné à Google et à Quad9 de bloquer, sur le territoire français, l’accès via leurs serveurs DNS respectifs à une liste de sites et services IPTV qui permettaient de regarder le tournoi de tennis féminin de la WTA. Cette décision prévoyait un blocage jusqu’à la fin du tournoi, c’est-à-dire jusqu’au 14 novembre prochain, et ce dans un délai de trois jours maximums suivant la signification de la décision.

Mais Quad9 ne s’y est pas plié et a fait appel. Problème, le jugement était revêtu d’une exécution provisoire. BeIN a relancé la procédure en septembre en faisant assigner la fondation suisse devant le même tribunal pour la forcer à appliquer la décision de justice prise en mai. Le jugement rendu ce 21 octobre (dont Quad9 diffuse la décision, PDF) a décidé d’une astreinte de 1 000 euros par jour de retard à compter du prononcé de la décision jusqu’à la fin du tournoi. BeIN Sports demandait « une astreinte de 10 000 euros par jour de retard et par nom de domaine ou sous-domaine demeurant accessible via les services de Quad9 », ce qui, selon la fondation, aurait donné un total de 580 000 € par jour.

Quad9 retire l’accès à ses services en France à partir du 24 novembre

Dans un billet de blog intitulé « Ce n’est qu’un au revoir, la France », Quad9 qualifie de « bonne nouvelle » le fait que le tribunal a « considérablement réduit » la pénalité financière. Elle annonce, cependant, qu’ « à compter du 24 novembre, Quad9 ne sera plus en mesure d’offrir son service gratuit de cyberprotection aux utilisateurs situés en France ». Pour la fondation suisse, la mise en conformité de la décision juridique française « est techniquement irréalisable, et son exécution contredit directement notre mandat d’intérêt public ».

Elle explique sa décision par son refus de mettre en place un dispositif qui altérait les réponses DNS : « Nous ne pouvons pas nous conformer à cette décision sur le long terme tout en restant fidèles à notre mission de protéger votre vie privée, de vous défendre contre les cybermenaces et de préserver l’intégrité d’Internet. Pour nous, la résolution DNS récursive est un service neutre et passif. Nous refusons catégoriquement d’altérer ou de vous mentir sur les réponses DNS que vous recevez contre vos attentes ».

Quad9 précise que son appel est toujours en cours et que « nous continuerons de défendre notre position devant les tribunaux dans cette affaire comme dans toutes celles que nos moyens permettront de mener ».

Brèche dans la prison dorée d'Apple

La justice australienne force la main à Apple, qui devra ouvrir l’écosystème iOS aux boutiques alternatives, au sideloading et aux services de paiement tiers.

Après l’Union européenne (via le DMA), le Japon ou encore le Brésil, l’Australie rejoint donc la cohorte de pays exigeant d’Apple l’ouverture d’iOS à la concurrence. Un nouveau coup dur pour le business de l’App Store, dont le modèle s’effrite en raison des régulateurs et de la justice.

• L’App Store rapporte toujours gros, mais le modèle d’Apple se fissure

Boutiques alternatives et paiements tiers imposés à Apple

Suite à une action en justice engagée par Epic Games en 2020, un tribunal australien avait constaté les infractions en août 2025 : le juge estimait alors que le constructeur de Cupertino avait usé de pratiques anticoncurrentielles. En abusant de sa position sur le marché des apps iOS, Apple a bloqué d’autres canaux de distribution ainsi que des services de paiement alternatifs au sien (qui lui permet de prélever une dîme de 15 à 30 % sur les transactions).

Suite à cette décision, il fallait encore décider des mesures à appliquer. C’est chose faite depuis ce jeudi 22 octobre par une cour fédérale. Celle-ci exige d’Apple la possibilité d’installer des applications sur un iPhone sans passer par l’App Store. L’entreprise doit autoriser les téléchargements directs (sideloading) et les boutiques alternatives, les utilisateurs devant bénéficier par ailleurs des outils nécessaires pour installer et mettre à jour les apps.

Un système de notarisation devra également être mis en place (par Apple ou un tiers qualifié) pour vérifier la sécurité et la confidentialité des apps distribuées par des moyens alternatifs. Il s’agira d’une vérification technique, pas d’un moyen détourné de contrôler ces applications. Apple va aussi devoir faire une place aux systèmes de paiement concurrents, et les développeurs pourront intégrer dans leurs applications des liens vers des achats externes.

L’entreprise ne pourra pas facturer de frais sur les achats de contenus numériques effectués avec des moyens de paiement tiers pour les apps distribuées en dehors de l’App Store. Pour celles présentes dans la boutique officielle, les frais sur ces achats ne pourront pas dépasser ceux appliqués aux achats de biens ou services physiques avec un paiement tiers, augmentés des seuls coûts supplémentaires réellement et raisonnablement supportés par Apple pour les achats numériques. La décision ne fixe aucun pourcentage.

Des garde-fous pour empêcher Apple de verrouiller l’ouverture

Le texte de la cour contient aussi des ordonnances empêchant Apple de complexifier inutilement la mise en œuvre de ces solutions alternatives – les déclinaisons byzantines des dispositifs de conformité au DMA du groupe américain ont servi d’exemples à ne pas suivre.

Apple ne pourra pas facturer l’accès aux boutiques alternatives ou leur utilisation. Aucun frais ne pourra être imposé pour les outils indispensables à la distribution des apps, ni de conditions décourageant cette distribution. Les frais sur les paiements alternatifs sont également strictement limités.

Dans le même esprit, Apple a l’interdiction d’obliger un développeur à proposer le système de paiement de l’App Store en plus du sien, elle ne peut pas empêcher un développeur de vendre moins cher ailleurs, ou de le pénaliser parce qu’il utilise une boutique ou un paiement concurrent. Aucun rapport d’activité ou d’audit sur les transactions réalisées avec un moyen de paiement alternatif ne peut être réclamé par l’entreprise.

Enfin, Apple ne peut pas abuser des « scare screens » avant l’installation d’une boutique alternative. Il s’agit de ces panneaux prévenant l’utilisateur des risques supposés que représente une boutique tierce.

L’entrée en vigueur de ces mesures est fixée au 1er mars 2027. Apple a la possibilité de demander un report jusqu’au 3 mai, si le tribunal l’autorise. Le groupe a néanmoins annoncé son intention de contester la décision de la cour fédérale. « Nous demanderons une suspension de l’exécution de la décision et ferons appel afin d’obtenir une solution qui respecte notre propriété intellectuelle et préserve l’expérience sûre et sécurisée que les consommateurs et les développeurs attendent de l’App Store », a déclaré un porte-parole d’Apple à Reuters.

Sans attendre, Epic a annoncé le retour de Fortnite dans l’App Store australien dès ce jeudi.

Mega Meta amende

L’entreprise de Mark Zuckerberg a été condamnée, suite à l’affaire Cambridge Analytica, à payer 25 milliards de dollars dans l’État américain du Nouveau-Mexique pour avoir menti à ses utilisateurs concernant la confidentialité de leurs données. C’est l’une des plus lourdes sanctions contre une entreprise du numérique jamais prononcées.

Ce n’est pas la sanction la plus lourde que le juge aurait pu prononcer, mais son ampleur reste historique : Meta a été condamnée à payer 25 milliards de dollars. Comme nous l’expliquions fin septembre, l’entreprise de Mark Zuckerberg pouvait craindre une addition encore plus salée, avec une sanction potentielle de 219 milliards de dollars.

Le verdict tombé le 25 septembre concernait les suites de l’affaire Cambridge Analytica. Ce cabinet britannique avait organisé, à partir de 2014, un microciblage politique en collectant des données sur 87 millions d’utilisateurs de Facebook, puis les avait exploitées pour différentes campagnes électorales, dont la première de Donald Trump en 2016 et celle du Brexit.

Comme d’autres États américains, le Nouveau-Mexique avait porté plainte contre Facebook (devenu ensuite Meta). Mais son procureur est le seul à ne pas avoir signé d’accord avec l’entreprise et à avoir poussé le procès jusqu’au bout. Au final, le jury a constaté que Facebook s’est rendu coupable de 43 899 725 infractions à la loi sur les pratiques déloyales en vigueur dans l’État et 26 des 29 déclarations de Meta pointées par l’accusation ont été désignées trompeuses par le jury. Notamment, l’entreprise a menti sur le contrôle par ses utilisateurs du partage de leurs informations, sur leur vente ou leur cession à des annonceurs ou encore sur l’achat et la vente de données utilisateurs par Meta. Mais il restait à un juge de décider quelles en seraient les conséquences financières pour Meta.

Des pratiques « au cœur même des pratiques commerciales fondamentales de l’entreprise »

« Les agissements répréhensibles de Facebook – qui se sont étalés sur plusieurs années et ont été systématiquement portés à la connaissance du public – touchent au cœur même des pratiques commerciales fondamentales de l’entreprise », a affirmé le juge Francis J. Mathew dans son ordonnance [PDF] suivant le verdict du jury. « Cela concerne la manière dont Facebook attire les utilisateurs sur sa plateforme et parvient à les y fidéliser. Cela concerne également la principale ressource que les utilisateurs apportent à Facebook — leurs données —, qui est précisément ce qui a permis à Facebook d’atteindre un tel niveau de rentabilité », a-t-il ajouté.

« L’ampleur du préjudice causé dans cette affaire est difficile à évaluer et touche au cœur même du modèle économique de Facebook », y écrit-il encore. Il souligne le « nombre extraordinaire de violations délibérées […], la durée et la répétition » qui « justifient l’application de la sanction la plus sévère ».

25 milliards et 15 % d’intérêt par an jusqu’au paiement intégral

Le juge a néanmoins ramené l’amende que devra payer Meta de 219 milliards à 25 milliards de dollars mais a ajouté que « les intérêts sur cette amende courront au taux de 15 % par an jusqu’à son paiement intégral ».

« C’est un jour historique pour le Nouveau-Mexique et pour les consommateurs de tout le pays », a déclaré le procureur général Raúl Torrez. « Depuis trop longtemps, de puissantes entreprises technologiques agissent comme si leur taille et leur influence les plaçaient hors de portée de la loi. Un jury du Nouveau-Mexique a constaté près de 44 millions d’infractions à notre loi sur la protection des consommateurs, et cette décision de sanction démontre que ces infractions entraînent des conséquences réelles. Nous nous sommes attaqués à l’une des plus grandes entreprises au monde parce que les habitants du Nouveau-Mexique méritent l’honnêteté, la responsabilité et la protection de leurs données personnelles. Le résultat d’aujourd’hui montre clairement qu’aucune entreprise n’est trop puissante pour être tenue de rendre des comptes. »

« Cette décision, ainsi que l’approche adoptée par le procureur général dans le cadre de cette application de la loi, rend pratiquement impossible toute activité commerciale dans l’État du Nouveau-Mexique », a affirmé le directeur juridique de Meta, C.J. Mahoney, dans une déclaration citée par l’agence Reuters. « Au fond, cette action en justice vise à imposer une taxe sur la liberté d’expression afin d’imposer de nouvelles règles sur ce que les gens peuvent dire en ligne », s’indigne-t-il. Il précise que son entreprise va faire appel.

Éditeur de désinfo

Le mode IA de Google a indiqué à certains internautes qu’un médecin d’Aix-la-Chapelle avait été condamné pour agression sexuelle, des faits qui concernaient un autre homme. La Justice estime Google responsable du contenu produit.

Un médecin d’Aix-la-Chapelle a découvert que les résumés IA de Google lui inventaient toute une biographie. Mais pas n’importe laquelle : selon les textes générés par la fonctionnalité de résumé de recherche, l’homme aurait été condamné pour agression sexuelle et suspendu de ses fonctions de direction de clinique.

Ce 24 septembre, la cour régionale d’Aix-la-Chapelle a déclaré Google responsable de ces erreurs et lui a interdit de reproduire cet élément de désinformation. C’est la deuxième condamnation de ce type en Allemagne, étoffant un raisonnement juridique selon lequel Google est éditeur, et donc responsable, des informations générées par ses outils d’IA.

• Vous ne voulez pas des Aperçus IA de Google ? Voici comment s’en débarrasser

Sollicité, Google refuse de réagir

Dans le cas présent, un professeur de médecine et ancien dirigeant d’une clinique de neuroradiologie s’est vu affublé par Google d’une fausse biographie. Dans les résumés de recherche, le système d’IA de l’entreprise californienne indiquait en effet que l’homme avait été suspendu en février 2024 après avoir été poursuivi en justice par sa secrétaire, et qu’il aurait été condamné pour agression sexuelle en mars 2026.

Aucun de ces éléments ne correspond à l’homme explicitement nommé par la machine. D’après sa plainte, ils correspondent aux faits commis et vécus par un autre professeur d’université. Ces éléments ont pu être confirmés par la cour d’Aix, puisque l’affaire réelle a été jugée devant un tribunal pénal.

Les cas d’erreurs et de mélanges d’informations par les moteurs d’IA, souvent qualifiés d’hallucinations, sont documentés depuis longtemps. Certains ont même été produits par des systèmes d’IA dédiés à manipuler des textes juridiques. Dans le cas présent, en revanche, ces erreurs sont liées au nom d’une personne réelle, et accessibles sans préconisation particulière sur le moteur de recherche le plus utilisé au monde.

• L’hallucination d’une IA a failli provoquer un affrontement entre les États-Unis et la Chine

Alerté par un collègue, le médecin a envoyé le 28 août un mail à l’adresse « removals@google.com », demandant aux équipes de modération de l’entreprise de supprimer ce récit trompeur. Le 15 septembre, l’entreprise lui a répondu qu’elle avait décidé de ne rien faire. Après une mise en demeure, l’entreprise n’a pas plus réagi, rapporte le Frankfurter Allgemeine Zeitung. L’homme s’est donc tourné vers la justice, qui a enjoint Google à corriger les éléments produits par ses machines, au motif qu’ils violaient les droits individuels du médecin décrit à tort comme condamné.

Déjà déclarée responsable en Bavière, l’entreprise a renoncé à faire appel

En juin, en Bavière, le tribunal régional de Munich interdisait à l’entreprise de continuer de diffuser des éléments faux générés dans les réponses du résumé IA (AI Overview) et associant des sociétés légitimes à des escroqueries qu’elles n’avaient pas commises.

• Un tribunal allemand déclare Google responsable des réponses fausses de son AI Overview

À l’époque, Google avait annoncé son intention de faire appel, précisément pour éviter que l’affaire ne fasse jurisprudence. D’après The Decoder, l’entreprise a finalement renoncé et conclu un accord avec les plaignants, dont les détails ne sont pas connus.

Dans le cas présent, le tribunal d’Aix fait directement référence à la décision prise avant l’été à Munich. Il cite notamment la décision prise, qui estimait que les outils d’IA de Google produisent « des affirmations indépendantes, neuves et substantielles appuyées sur l’évaluation et la combinaison de plusieurs sites web tiers ».

Google pourrait, de nouveau, tenter de trouver un accord avec le plaignant pour éviter qu’une décision contraignante ne soit prise à son encontre. Le problème est que ce procédé pourrait finir par faire naître une incitation problématique.

Si des cours de justice continuent de qualifier Google de responsable des contenus générés par ses machines, et que l’entreprise règle le problème à coups d’accords impliquant probablement des compensations financières, estime The Decoder, alors des individus ou des cabinets spécialisés pourraient juger utile de pousser des modèles d’IA jusqu’à ce qu’ils génèrent des textes faux ou potentiellement dommageables à la réputation. Il deviendrait ensuite possible, en tout cas en Allemagne, de poursuivre l’éditeur en justice s’il ne corrige pas le problème, puis de négocier un accord.

• L’IA générative empêche d’admettre que nous ne savons pas

« Il faut être impitoyable envers les casseurs parce qu’ils trahissent la France », a déclaré Gérald Darmanin au JT de 20H de TF1 ce lundi 19 octobre, en réponse aux pillages effectués en marge des manifestations du samedi 17 octobre.

« Il y a eu 2.513 gardes à vue au moment où je parle », a précisé le ministre de la Justice, soulignant que l’immense majorité des personnes concernées étaient encore en garde à vue devant les services de police et que « la réponse pénale, on la saura définitive en fin de semaine » :

« Déjà plus d’un demi-millier de ces personnes, plus de 500 personnes, sous escorte policière, ont été déférées au tribunal pour être présentées aujourd’hui, demain et après-demain en comparution immédiate. »

Le garde des Sceaux a également envoyé lundi matin une instruction à tous les parquets de France « pour leur demander de passer en qualification de criminalité organisée ce qui s’est passé », afin de leur permettre de recourir à des techniques dites « techniques spéciales d’enquête » qualifiées par Valéry Muller, vice-président chargé de l’instruction au tribunal judiciaire de Paris,, de « particulièrement offensives ».

« Ça veut dire d’abord qu’on pourra passer les gardes à vue de 48 à 72 heures pour que les services de police puissent faire leur travail vu l’afflux de gardes à vue », a précisé Gérald Darmanin :

« Ça veut dire aussi qu’on va pouvoir faire des géolocalisations, des écoutes téléphoniques, qui vont nous permettre de savoir, en regardant les téléphones des personnes qui sont en garde à vue, s’ils ont participé et comment ils ont participé, où ils étaient au moment où on a pillé des magasins, attaqué des mairies. Et puis surtout, on va utiliser le moyen de la reconnaissance faciale sur le TAJ (Traitement des antécédents judiciaires), c’est-à-dire le fichier des policiers, il y a des millions de personnes qui sont dans ce fichier, pour regarder si sur les réseaux sociaux, on n’a pas les mêmes images. »

• 24 millions et moi, et moi… : l’équivalent du tiers de la population est « défavorablement connue » de la police
• 12 ans que la CNIL dénonce le fichier TAJ des personnes « défavorablement connues »… en vain

Interrogé ce mardi matin sur CNEWS (X.com / Facebook), Gérald Darmanin précise qu’ « aujourd’hui, 123 personnes sont incarcérées, soit en détention provisoire soit en mandat de dépôt », et que « plus de 700 personnes sont déférées dans les dépôts, c’est-à-dire les endroits où l’on attend d’être condamné ».

Le département états-unien de la Sécurité intérieure (DHS) ordonne le retrait des produits DeepSeek et services tiers utilisant le modèle d’IA chinois des systèmes informatiques des agences civiles fédérales, rapporte l’agence Reuters. Le DHS leur interdit également d’acquérir des produits DeepSeek, ainsi que des services tiers développés à l’aide des outils de l’entreprise chinoise.

L’AFP précise que le DHS, qui a autorité sur les services civils du gouvernement (mais pas sur l’armée ni le renseignement américain), ne motive pas sa décision dans l’avis.

Reuters souligne cela dit que dans une note de service datée de juillet et rendue publique ce lundi, en annexe du mémo, le DHS avait déjà demandé aux agences fédérales de surveiller le trafic entrant et sortant des sites web gouvernementaux afin de faire face aux risques potentiels liés à DeepSeek.

Le DHS expliquait que les modèles DeepSeek comportent « plusieurs vecteurs de menace », qu’ils « peuvent contenir des logiciels malveillants ou d’autres vulnérabilités de sécurité », et que « plusieurs vulnérabilités critiques » avaient été découvertes dans son application mobile iOS en 2025.

Il s’inquiétait également du fait que l’utilisation de ce produit « pourrait entraîner le transfert de données sensibles vers la République populaire de Chine s’il était utilisé par des employés du gouvernement américain ou des prestataires ». Le DHS indiquait enfin que l’utilisation de DeepSeek par des agences gouvernementales « pourrait générer des renseignements exploitables concernant des ressortissants américains et/ou des agences gouvernementales ».

Cette interdiction n’est pas la première aux États-Unis, relève Reuters. Plusieurs agences américaines, notamment le ministère du Commerce et la Marine, avaient ainsi déjà interdit l’utilisation de DeepSeek sur les appareils gouvernementaux. Plusieurs États, dont New York, le Tennessee et la Virginie, avaient pris des mesures similaires.

En juillet, la Federal Communications Commission (FCC) avait par ailleurs voté l’interdiction de la vente aux États-Unis d’appareils contenant des composants matériels clés provenant d’entreprises chinoises considérées comme présentant un risque pour la sécurité nationale. La FCC avait aussi proposé d’interdire aux opérateurs de télécommunications américains de s’interconnecter avec des entreprises de télécommunications chinoises considérées comme présentant un risque pour la sécurité nationale.

Le réseau social pour adultes Mym est dans le viseur de l’Arcom. Le régulateur des communications suspecte la plateforme de deux infractions au règlement européen sur les services numériques (DSA).

Suite à une première analyse de conformité, l’Arcom a envoyé une demande d’information à Mym le 14 octobre concernant deux infractions potentielle au DSA. La première concerne la protection des mineurs, notamment sur les modalités et l’activation du contrôle de l’âge ; la seconde porte sur la transparence du service.

L’article 28 du texte impose aux plateformes accessibles aux mineurs des mesures « appropriées et proportionnées pour garantir un niveau élevé de protection de la vie privée, de sûreté et de sécurité des mineurs sur leur service. ».

Contrairement à l’App Store (Apple), Amazon ou, pour rester dans le même secteur d’activité, Pornhub (Aylo), Mym n’est pas une très grande plateforme en ligne (VLOP) au titre du DSA.

Mais même sans atteindre le seuil des 45 millions d’utilisateurs actifs mensuels qui qualifie une VLOP, les plateformes en ligne accessibles aux mineurs doivent respecter ces mesures. L’Arcom est chargée de faire appliquer le DSA en France depuis la loi Sren de 2024. L’Autorité contrôle les plateformes établies dans l’Hexagone comme c’est le cas pour Mym.

Le deuxième grief du régulateur touche à la transparence du site : conditions générales d’utilisation incomplètes, informations insuffisantes sur le fonctionnement des systèmes de recommandation, etc. Mym a maintenant quinze jours pour répondre à l’Arcom, sous peine de sanction.

Réguler, c'est pas si mal ?

Alors qu’OpenAI a récemment laissé des agents IA attaquer deux sites gouvernementaux australiens et que les autres entreprises d’IA génératives ont suivi en faisant le même genre de revendication, la Commission européenne a lancé des enquêtes ciblant OpenAI et Anthropic. Elle en profite pour mettre en avant les vertus de l’AI Act mais se demande encore comment enquêter sur ce genre d’événement.

Depuis l’été, les entreprises d’IA générative se vantent régulièrement d’attaques par leurs propres agents IA contre des sites web, attaques dont elles n’auraient pas la maîtrise. Ainsi, OpenAI annonçait que certains de ses agents avaient tenté, en vain, d’exploiter des failles de sécurité et de pirater des sites web (dont deux sites de statistiques du ministère de la Santé australien). « Des dizaines de milliers d’incidents au cours desquels leurs modèles de pointe ont pris des mesures que des évaluateurs externes jugeraient problématiques », affirmait même l’entreprise fin septembre.

• [Édito] Quatre modèles d’IA « échappent » à leurs constructeurs : vous le faites exprès ?

« Notre réglementation est parfaitement adaptée pour faire face à ces évolutions »

La Commission européenne en profite pour mettre en avant le texte de l’AI Act qui doit encadrer l’utilisation de l’intelligence artificielle en Europe. Henna Virkkunen, la vice-présidente de la Commission, a pris la parole lors de l’International AI Summit qui se déroule ce 14 octobre à Dublin dans le cadre de la présidence irlandaise du Conseil de l’Union européenne 2026.

Elle y a rappelé que, depuis le 2 août, une révision ciblée de la réglementation européenne sur l’intelligence artificielle est en application. Ajoutons quand même que, dans le même temps, certaines mesures ont été repoussées à des dates ultérieures.

• Le 2 août, l’AI Act avance et recule à la fois

Henna Virkkunen note quand même « qu’il n’existait pas d’agents d’IA modernes au moment de l’adoption de la loi sur l’IA ». « Pourtant, notre réglementation est parfaitement adaptée pour faire face à ces évolutions », ajoute-t-elle.

Et d’insister sur ce qui est déjà en place et qui peut servir alors que les agents IA sont lancés dans la nature : « en particulier, le Code de bonnes pratiques de l’UE sur l’IA à usage général – que la plupart des fournisseurs d’IA ont déjà signé – définit les mesures que ces derniers doivent mettre en place pour se conformer aux obligations prévues par la loi sur l’IA. Ces mesures comprennent, par exemple, le recours à des évaluateurs externes ».

Des enquêtes concernant Anthropic et OpenAI

« Notre Bureau de l’IA a commencé à faire appliquer ces règles et a adressé des demandes d’informations portant sur des questions telles que la sécurité, l’évaluation externe et le suivi de l’utilisation des modèles », explique Henna Virkkunen. « Par ailleurs, vendredi dernier, j’ai convoqué une réunion avec le comité scientifique créé en vertu de l’AI Act afin de solliciter son avis et son aide sur la manière d’enquêter sur les incidents récents ».

Selon nos confrères d’Euronews, les enquêtes de la Commission portent notamment sur l’attaque d’un agent d’OpenAI contre Hugging Face et celles des agents d’Anthropic. Le bureau de l’IA créé par l’AI Act a envoyé des demandes d’information complémentaires aux deux entreprises après avoir estimé l’insuffisance des documents qu’elles lui avaient envoyés spontanément, toujours selon Euronews.

Des doutes sur l’application aux cas de R&D

Ces enquêtes pourraient devenir un premier test pour l’AI Act. En effet, si le texte s’applique aux services d’IA commercialisés ou au moins disponibles publiquement, les deux entreprises affirment que les attaques ont été perpétrées avec des outils internes encore en développement. La loi européenne comporte des exemptions concernant la R&D dont l’application ne sera pas simple : « l’AI Act part du principe qu’il existe une distinction nette entre la recherche et la commercialisation, mais en réalité, la recherche moderne s’inscrit souvent dans un continuum plutôt que dans une opposition binaire », expliquaient en début d’année des chercheurs dans la revue scientifique npj Digital Medicine.

Sous couvert d’anonymat, un responsable de la Commission a confié à Euronews : « Nous n’appliquerons pas la loi [sur les outils d’IA] en phase de test. Mais si le modèle d’IA sort de l’environnement de test et qu’il a ensuite un impact sur le marché de l’UE, comme cela a été le cas pour Hugging Face, alors la loi sur l’IA deviendra applicable ».

Officiellement, Henna Virkkunen assure que « la Commission s’est exprimée haut et fort : l’IA doit rester sous la direction, la supervision et le contrôle de l’humain, et nous sommes prêts à prendre toutes les mesures nécessaires pour veiller à ce que les entreprises respectent les règles de l’AI Act, afin que les citoyens et les entreprises européens puissent faire confiance aux modèles et aux systèmes d’IA ».

Souriez, vous êtes filmés à votre insu

Ne pas interdire les lunettes connectées mais en encadrer très fermement les usages : c’est en substance la déclaration adoptée par le Comité européen de la protection des données. Le régulateur veut imposer davantage de transparence à ces appareils qui se fondent dans le décor, mais rappelle aussi que leurs porteurs engagent leur responsabilité.

Le Comité européen de la protection des données (EDPB) a adopté une déclaration sur les lunettes connectées de type Meta Ray-Ban. Ces appareils font couler beaucoup d’encre en raison des menaces qu’ils font peser sur la vie privée et de leur utilisation malveillante (les fameuses « pervert glasses »). Le régulateur liste un certain nombre de recommandations pour les constructeurs, mais aussi pour les utilisateurs qui doivent prendre leur responsabilité.

Lorsque l’usage dépasse le cadre strictement personnel, ils peuvent eux-mêmes être soumis aux obligations du RGPD. Ce qui signifie informer clairement et explicitement les personnes alentour lors de l’utilisation de leurs montures, en particulier quand elles enregistrent de la vidéo et du son.

« Les utilisateurs de lunettes connectées devraient toujours veiller à respecter la vie privée et la dignité des autres personnes, et à ne pas entreprendre avec leurs lunettes connectées d’actions susceptibles de leur porter préjudice. Informer explicitement les autres personnes de l’utilisation de lunettes connectées est pertinent à cet égard. »

C’est d’autant plus nécessaire dans « certains contextes », comme dans des établissements de santé, des vestiaires, des piscines, des plages, des toilettes, ou encore là où se trouvent des mineurs. L’EDPB relève aussi que l’utilisation de lunettes connectées sur le lieu de travail peut « soulever des préoccupations concernant la surveillance des employés et la confidentialité des informations de l’organisation, y compris les secrets d’affaires et la propriété intellectuelle. »

Des voyants pas si visibles

Tout traitement de données personnelles entrant dans le champ du RGPD doit reposer sur une base légale valable. Le consentement en fait partie, en particulier quand le droit à l’image est en jeu (l’usage strictement personnel reste, lui, en principe hors du champ du RGPD). Recueillir ce consentement est plus facile à dire qu’à faire, surtout avec des appareils qui savent se fondre dans le décor. C’est pourquoi l’EDPB insiste aussi sur la responsabilité des constructeurs et des fournisseurs de services associés et ce, dès la conception de leurs produits.

« [Les fabricants] devraient envisager de combiner un large éventail de mécanismes de transparence lors de la conception et du développement de lunettes connectées, y compris des mesures qui assurent par défaut une transparence immédiate, au moment même où le traitement a lieu, ainsi que la fourniture des informations requises par le RGPD. »

Concrètement, le Comité évoque des indicateurs visuels et sonores. On connait la diode LED des lunettes Meta qui s’active lors de l’enregistrement vidéo, cela pourrait être un signal audio au moment d’une prise de photo ou des notifications de proximité sur les smartphones. Mais attention : « il est nécessaire de s’assurer [que ces mesures techniques] soient efficaces, impossibles ou difficiles à contourner, et mises à jour chaque fois que nécessaire. »

L’EDPB relève aussi le peu d’efficacité de la loupiote, qui peut être « difficile, voire impossible » à percevoir pour les personnes malvoyantes. Elle peut aussi être confondue avec un reflet ou un éclat de soleil.

• Pour la CNIL, les lunettes connectées sont une menace sérieuse pour la vie privée
• Vie privée : 75 associations alertent Meta sur les risques que créent ses smart glass

Une simple LED ne suffit pas pour la transparence

Alors que les technologies de plus en plus miniaturisées permettent de créer des lunettes connectées ressemblant comme deux gouttes d’eau à des montures classiques, le Comité européen plaide pour l’inverse. « D’autres éléments dans la conception des lunettes pourraient être envisagés afin d’aider les non-utilisateurs à distinguer les lunettes connectées des lunettes ordinaires », explique-t-il.

Parmi les autres mesures que les constructeurs devraient mettre en œuvre, l’EDPB suggère une limitation de l’enregistrement en continu, la réduction des durées de conservation, le floutage ou l’anonymisation des personnes alentour, le traitement direct sur l’appareil quand c’est possible, la désactivation par défaut du stockage persistant quand il n’est pas nécessaire, voire des restrictions géographiques dans les lieux sensibles.

Enfin, l’EDPB appelle au développement de standards communs à l’industrie et à des campagnes de sensibilisation, afin que le grand public puisse identifier ces appareils et « comprendre quel type de traitement de données peut avoir lieu dans différentes situations. »

L’EDPB est un organisme indépendant créé en 2018 qui regroupe les autorités nationales de protection des données des pays de l’Espace économique européen. Il veille à l’application cohérente du RGPD dans les pays de l’EEE. Ses recommandations n’ont pas force de loi, mais elles orientent l’interprétation du règlement par les autorités de protection des données et peuvent aussi éclairer la Commission européenne. La problématique des lunettes connectées a provoqué pas mal de remous en Europe ces derniers mois, d’une interdiction temporaire en Norvège à une campagne de publicité négative très agressive au Royaume-Uni.

Money must be funny

En amont des élections de mi-mandat qui doivent se tenir en novembre aux États-Unis, Elon Musk a déjà donné plus d’argent au parti républicain que pendant la campagne de l’élection présidentielle de 2024.

267 millions de dollars, c’est le montant déversé à bas bruit par Elon Musk dans divers groupes Républicains et dans son super PAC (comité d’action politique) depuis le mois de juin.

De même qu’en amont de l’élection présidentielle qui s’est tenue aux États-Unis en novembre 2024, l’homme le plus riche du monde utilise sa fortune pour influencer les élections de mi-mandat qui se tiendront dans quelques semaines dans le pays, qui a Donald Trump à sa tête pour la deuxième fois.

Dans le détail, le patron de SpaceX a versé 159 millions de dollars au Senate Leadership Fund, le principal Super PAC de soutien aux candidats républicains du Sénat local. À elle seule, cette opération représente la plus grosse donation politique de l’histoire des États-Unis, indique le New-York Times. Mais Elon Musk a aussi mobilisé l’America PAC, qu’il avait créé en 2024.

• PAC et super PAC : comment la Silicon Valley conservatrice soutient Donald Trump

Si l’on étudie ses donations sur une année calendaire, alors Elon Musk a déjà donné 366 millions de dollars pour favoriser des politiques, républicaines, soit plus que les 290 millions de dollars versés pour la dernière élection présidentielle.

Un avantage financier net sur le camp démocrate

Cet été, le multimilliardaire avait donné plus de 76 millions de dollars à son America PAC. Cet argent a servi à financer la diffusion du programme républicain à travers le pays, pour parvenir à toucher de potentiels électeurs difficiles à atteindre. L’organisation politique est directement active dans sept batailles sénatoriales, et dans plus d’une trentaine d’autres pour des sièges à la Chambre des représentants (équivalent de l’Assemblée nationale au sein du Congrès des États-Unis).

Face à ce flot d’argent, aucun milliardaire soutien du camp démocrate ne dépense autant. En termes strictement financiers, donc, le parti républicain jouit d’un avantage certain. Et ce, quand bien même Elon Musk avait annoncé qu’il serait nettement moins présent dans la politique des États-Unis en mai 2025, à l’issue de son expérience du DOGE, cet éphémère « ministère de l’efficacité gouvernementale ».

• Donald Trump et Elon Musk mettent fin à leur idylle en direct sur les réseaux sociaux

Si cette époque s’était soldée par de nettes frictions entre lui et Donald Trump, leurs relations se sont visiblement suffisamment réchauffées pour qu’il finance les fonds pré-cités, ainsi qu’une série d’autres organisations comme le Congressional Leadership Fund (dédié aux élections au sein de la Chambre des représentants), le Lone Star Liberty PAC (qui soutient le candidat républicain texan au Sénat), et quelques autres.

Focalisation texane

Certains sujets très liés à ses activités sont devenus le cœur de débats politiques dans diverses régions des États-Unis. C’est notamment le cas des centres de données, dont les plus gros sont accusés d’accélérer la pollution et de tirer à la hausse le prix de l’électricité par les riverains. En la matière, SpaceXAI s’est notamment illustrée en lançant la construction rapide de Colossus et Colossus 2, deux supercalculateurs dédiés à alimenter le robot Grok, dont une large partie de l’énergie est tirée de turbines à gaz.

• Les datacenters IA, un sujet électoral incontournable aux États-Unis

Certains sondages donnent même le candidat démocrate gagnant au Texas, État historiquement très républicain, et où Elon Musk a déplacé en 2024 le siège social des ses entreprises avant de s’arranger pour transformer le site de SpaceX à Boca Chica en ville à part entière.

Sur place, l’homme le plus riche du monde a donc directement financé l’impression et la distribution de tracts dans des milliers de foyers dont le message interroge par exemple : « Des Démocrates radicaux socialistes gagnent les élections partout en Amérique. Le Texas sera-t-il le prochain ? » À ce tractage, s’ajoute le financement d’actions de mailings, d’appels téléphoniques ou de SMS politiques, dont le contenu s’attelle le plus généralement à diminuer le camp démocrate. De tels efforts centralisés sur un seul État, dans une campagne de mi-mandat, sont relativement inhabituels, souligne le New York Times. Habituellement, les candidats locaux recourent plus simplement à des publicités télévisées.

Sur place, les financements de Musk se distinguent par ailleurs par leur focalisation sur des habitants conservateurs susceptibles de passer leur tour le jour du vote, plutôt que sur des électeurs indécis. Pour toucher ces personnes, l’entrepreneur impose à ses troupes de mobiliser toute une rhétorique antitrans. L’une des filles d’Elon Musk est elle-même trans, et a pris publiquement la parole sur leurs oppositions personnelles et politiques, tandis que son père a laissé entendre que la transition de son enfant avait joué un rôle dans son implication grandissante dans les affaires politiques.

• Accords financiers et « légion » d’enfants : les rapports troubles d’Elon Musk à la procréation

Par rapport aux années récentes, l’activisme politique d’Elon Musk a muté. En privé comme en public – notamment sur X, où il n’a mentionné le sujet qu’une poignée de fois dans les dernières semaines –, il semble aborder beaucoup moins fréquemment le sujet qu’il ne le faisait en amont de l’élection présidentielle. Pour autant, les montants publiquement connus de ses donations montrent qu’il reste impliqué. Les 276 millions de dollars dépensés ces derniers mois ne sont que la face émergée d’un iceberg plus vaste : par l’intermédiaire de groupes qui n’ont pas l’obligation de faire la transparence sur la source de leurs financements, Musk aurait fait des donations de l’ordre du million de dollars à destination de certains candidats.