Harcèlement de rue augmenté par IA

Dans un rapport très fourni, l’autorité de protection des données hambourgeoise donne sa position sur l’utilisation légale des lunettes connectées de Meta, que ce soit dans leur utilisation « simple » pour prendre des photos, l’utilisation avec Meta AI ou celle en connexion avec les réseaux sociaux. Elle martèle clairement que la reconnaissance de personnes en dehors d’un cercle proche restreint via ces lunettes sera interdite.

Les experts de la HmbBfDI, la CNIL du land de Hambourg, viennent d’analyser en profondeur le cas des lunettes Meta couplées avec l’application Meta AI à la lumière des règlementations européennes. Leur conclusion ne va sûrement pas faire plaisir à Mark Zuckerberg.

En France, la CNIL s’est déjà inquiétée de l’arrivée de ces lunettes connectées déjà surnommées « pervert glasses », ou « lunettes de pervers ». Mais l’autorité de protection des données française était restée sur des arguments généraux.

La HmbBfDI (en plus long, Hamburgischer Beauftragter für Datenschutz und Informationsfreiheit), vient de publier un rapport de 53 pages [PDF] beaucoup plus technique en précisant se focaliser « sur les responsabilités des utilisateurs de lunettes en matière de protection des données à caractère personnel de tiers ». Celui-ci s’appuie sur le droit européen mais aussi sur l’analyse du produit de Meta, que ce soit des lunettes en elles-mêmes que de l’application Meta AI.

Une difficile analyse de ce qui est transféré à Meta

Les experts de la HmbBfDI ont fait leur analyse avec le modèle Ray-Ban Meta Wayfarer (Gen 1). Ils ont pu analyser les composants électroniques contenus dans la branche gauche des lunettes : une puce mémoire du fabricant BIWIN et un CPU Qualcomm créé spécialement pour des calculs IA sont assemblés sur le PCB. Ils n’ont pas pu examiner les données de la mémoire, dont ils n’ont trouvé aucun point de contact pour lire les données, même avec un adaptateur standard pour la lecture de puces.

Ils ont pu constater que les données transmises par les lunettes sont « en grande partie chiffrées ».

Les experts de la HmbBfDI ont aussi analysé les données que laissait l’application sur le téléphone dans le dossier /data/data/com.facebook.stella créé lors de son installation. Notamment, ils ont pu constater qu’une base de données SQLite était créée avec des tables nommées « face », « face_group », « face_low_confidence_pair » et « face_to_face_group ». « L’hypothèse évidente selon laquelle ces tables serviraient à la reconnaissance faciale n’a pas pu être confirmée par les tests », expliquent-ils.

Des visages floutés mais difficile de savoir si l’action est faite localement

Dans leur expertise, ils ont essayé de déterminer si les visages capturés lors d’une utilisation de Meta AI étaient floutés avant ou après envoi sur les serveurs de l’entreprise. « Cela n’a pas pu être clarifié », expliquent-ils, notamment parce que les données sont envoyées de manière chiffrée, mais ils ont constaté un timestamp (horodatage) sur l’image indiquant un décalage de 2 secondes après le traitement par Meta.

Pour leur analyse, ils ont aussi demandé via le Meta Account Center et obtenu (après avoir attendu une semaine) les données de l’application, comme tout utilisateur peut le faire. Notamment, ces données contiennent un dossier nommé « /media/your_posts ». Ce dossier contient des captures d’images (au format jpeg) faites lors de conversations avec Meta AI. Si une de ces images contient un visage, celui-ci est masqué par un cercle gris pour le rendre méconnaissable :

Concernant la retranscription des voix, les données envoyées par le Meta Account Center sont anonymisées : « Seuls des indices concernant la question initiale peuvent être déduits de la réponse correspondant à la saisie », expliquent-ils. « Néanmoins, les textes doivent également être stockés dans une base de données, que nous n’avons pas pu trouver en local. En effet, toutes les saisies des utilisateurs restent accessibles sous forme de transcriptions via le « Journal d’activité vocale » dans l’interface utilisateur ».

Ils notent aussi que la fonctionnalité « Meta AI Chat » ne permet pas facilement de supprimer les conversations. Même si un bouton « Supprimer toutes les conversations » permet de les supprimer de l’historique de conversation, elles restent dans le « Journal d’activité vocale » qui ne permet de les supprimer qu’une à une.

Concernant la reconnaissance faciale, les experts n’ont pas trouvé de preuve de son utilisation tout en évoquant l’enquête de Wired dont nous avions parlé en juin.

Une exigence de transparence vis-à-vis des personnes filmées quasiment impossible à mettre en œuvre

Mais les experts allemands l’affirment : « l’utilisation de ces lunettes pose des défis importants en matière d’exigences de transparence » et cela notamment parce qu’il est difficile pour les personnes tierces de savoir que l’appareil est en train de filmer, malgré la diode qui s’allume lorsque c’est le cas : « Elle n’est visible que dans une mesure limitée, en fonction de la distance, de l’angle de vue et des conditions d’éclairage ». Et ils ajoutent que « le simple fait que la LED s’allume ne suffit pas à informer correctement les personnes concernées du traitement des données ».

Or, rien que leur utilisation pour prendre des photos et des vidéos doit s’appuyer, comme lors de toute captation d’images, sur le consentement ou l’intérêt légitime (par exemple, le droit à l’information). Pour eux, « les utilisateurs devraient plutôt prendre des mesures supplémentaires, telles que la mise en place d’avis sous forme de pictogrammes ou de communications verbales ». Bref, à part crier dans la rue : « hey, je vous filme tous » avant d’activer ces lunettes Meta, leur utilisation dans des lieux publics serait légalement impossible.

Si la personne qui porte les lunettes utilise aussi Meta AI, ça devient un peu plus compliqué. Si elle n’a pas accepté dans l’application l’utilisation des données pour l’entrainement, les experts de la HmbBfDI considèrent que « la transmission de données à caractère personnel de tiers via les lunettes à Meta AI (sans entraînement de l’IA) peut être fondée sur le consentement ». Dans quelques cas comme « la navigation, la traduction, la collecte d’informations ou, dans le cas des personnes malvoyantes, la participation à la vie sociale », cela peut même être considéré comme de l’utilisation légitime.

Mais si l’utilisation des données pour l’entrainement des modèles de Meta est autorisée par l’utilisateur, « cela entraîne des exigences supplémentaires en matière de transparence, d’autant plus que les tiers ne s’attendent généralement pas à ce que les enregistrements soient intégrés de manière permanente dans les modèles d’IA de Meta ».

Concernant l’utilisation sur les réseaux sociaux, comme pour d’autres captations, le consentement est la règle et celui-ci « doit également porter explicitement sur la publication ».

« Dans l’ensemble, en ce qui concerne les scénarios d’utilisation concrets, on peut partir du principe que la représentation identifiable de personnes n’appartenant pas à son cercle proche d’amis et de famille ne sera pas autorisée au regard de la législation sur la protection des données – sauf dans de rares cas impliquant des intérêts légitimes –, car il n’est pas réaliste d’obtenir un consentement éclairé », affirme le rapport.

On peut pas les manger plutôt ? J'ai faim !

noyb, l’EFF, Que Choisir et d’autres associations veulent profiter de la proposition d’ « omnibus numérique » de simplification des règles européennes pour introduire l’obligation de prendre en compte des mécanismes standards d’automatisation de réponse aux bannières de cookies.

« Utiliser Internet est devenu un véritable casse-tête », constatent une vingtaine d’associations dont noyb, Que Choisir Ensemble, ou encore l’EFF. « Même des gestes simples, comme ouvrir un site web ou une application, obligent souvent les utilisateurs à cliquer sur des bannières de consentement trompeuses avant de pouvoir accéder au contenu proprement dit ». Et effectivement, les bannières de cookies utilisant très souvent des dark patterns ont envahi le web.

« Contrairement à ce que pourrait laisser croire l’omniprésence des bannières de consentement, celles-ci ne sont pas exigées par la législation européenne », soulignent les associations : « En réalité, au sein de l’Union européenne, le suivi en ligne est interdit par défaut ». Les bannières de consentement constituent dès lors un outil de « conformité malveillante » utilisé par le secteur du suivi, conçu pour vous inciter à renoncer à vos droits. « En d’autres termes : ce système est vicié dès sa conception », concluent-elles. Le site de Next, sans bannière de cookies, prouve qu’il est possible de s’en passer.

Proposition d’introduire un nouvel article dans l’ « omnibus numérique » pour simplifier la vie des internautes

En conséquence, dans une lettre ouverte adressée à la Commission européenne, ces associations lui demandent d’intégrer à son texte dit « omnibus numérique » un article (article 88b) qui obligerait les sites web des entreprises à accepter un mécanisme standard de signaux automatiques permettant à l’internaute de faire ses propres choix de façon automatique, sans avoir à décocher manuellement des cases avant d’accéder au contenu.

• La Commission publie son projet d’omnibus numérique dans un contexte tendu
• Digital Omnibus : l’EDPS et l’EDPB s’opposent à la redéfinition des données personnelles

Pour ces associations, cet ajout permettrait d’apporter une véritable simplification « que les citoyens (et les électeurs) puissent constater dans leur vie quotidienne, plutôt que de se contenter de réduire les obligations pesant sur les entreprises ». Rappelons que la Commission européenne a justifié son projet d’omnibus numérique par le besoin d’un « choc de simplification ».

Des protocoles existants qui peuvent devenir des standards

Elles appuient leur demande sur l’existence de protocoles déjà existants. Et si le Do Not Track n’a pas eu le succès escompté, les associations s’appuient sur le « Global Privacy Control » qui a pris la relève et sur lequel reposent déjà, selon elles, des lois établies dans certains États américains.

• [Tribune] Digital omnibus : comment simplifier sans renoncer au modèle européen ?

L’EFF, noyb et autres associations citent aussi le protocole ADPC (Advanced Data Protection Control) proposé par le chercheur autrichien Soheil Human. L’ADPC permet non seulement de refuser les cookies mais aussi de les accepter à des fins spécifiques ou pour des responsables de traitement choisis. Cela « pourrait permettre de supprimer la plupart des bannières de cookies », argumentent les associations.

Les associations proposent que ce nouvel article 88b rende obligatoire la possibilité d’automatiser par l’internaute, dans son navigateur, tout ce qui dépend du principe de consentement tel que le définit l’article 4.11 du RGPD. L’article qu’elles proposent obligerait à respecter les signaux automatisés.

Enfin, les associations demandent à la commission d’interdire aux entreprises considérées comme des « contrôleurs d’accès » de concevoir ou gérer les signaux automatisés de manière à renforcer leurs positions dominantes.

Après avoir introduit la publicité dans son chatbot, OpenAI la booste en signant un accord avec Amazon.

Celui-ci va permettre aux clients d’Amazon Ads, le service de publicité du groupe de Jeff Bezos, d’insérer leur pub dans ChatGPT via la plateforme de marketing Amazon DSP. Pour l’instant, c’est un projet pilote mis en place aux États-Unis, avec des publicitaires sélectionnés, explique Digiday.

Mais on peut facilement imaginer qu’il se généralise, même si OpenAI a tâtonné 7 mois avant de lancer la pub dans ChatGPT pour les utilisateurs français et européens.

Il y a un an, Amazon concluait aussi un accord avec Netflix concernant l’introduction de publicités via sa plateforme DSP aux États-Unis, au Royaume-Uni, en France, en Espagne, au Mexique, au Canada, au Japon, au Brésil, en Italie, en Allemagne et en Australie.

Rappelons quand même que la FTC (l’agence américaine de contrôle du droit de la consommation et des pratiques anticoncurrentielles) vient d’attaquer en justice Amazon pour avoir surfacturé « de manière secrète et systématique » 1,2 million d’annonceurs sur Amazon.com à hauteur d’une somme totale de plus de 20 milliards de dollars.

L’ENISA, agence de cybersécurité de l’Union européenne, vient d’obtenir un accès à Mythos. En mai, OpenAI lui avait donné accès à GPT-5.5-Cyber mais elle n’avait pas accès au modèle présenté d’Anthropic le plus puissant côté cybersécurité notamment.

Un mois après, Anthropic annonçait l’ouverture de l’accès de Mythos à d’autres organisations gouvernementales que celles des États-Unis, l’Union européenne était évoquée sans que cela soit officiel.

C’est désormais chose faite. « À la suite de nos échanges constructifs avec Anthropic, nous pouvons confirmer que l’agence européenne de cybersécurité ENISA a obtenu l’accès à Mythos 5 et procède actuellement à des tests sur ce système », a affirmé un représentant de la Commission européenne à Bloomberg, même si l’entreprise états-unienne n’a pas voulu commenter.

Mais l’ENISA ne semble pas avoir accès à la dernière version du modèle d’Anthropic si la version est bien celle citée par le représentant de la Commission. En effet, la semaine dernière, l’entreprise a annoncé la version 5.1 de Mythos et l’entreprise de Dario Amodei écrivait que cette version n’était « accessible qu’à un certain nombre d’organisations américaines ».

Mise à jour, 11/09, 19h30 – Deux jours après son éviction, Matt Mullenweg est de retour chez Automattic, selon un message Slack consulté par TechCrunch, et confirmé par plusieurs salariés. « Heureux d’annoncer que le conseil d’administration est de nouveau d’accord, et que je contrôle Automattic », écrit-il. « Il s’est passé beaucoup de choses ces dernières 48 heures que nous devons démêler, et j’espère qu’une grande partie relevait d’un malentendu, car j’ai énormément de respect et d’estime pour les personnes concernées. » La maison mère de WordPress.com n’a encore rien annoncé. Affaire à suivre.

Article original, 10/09 – Matt Mullenweg, le CEO d’Automattic (maison mère de WordPress.com et Tumblr) qui a déclenché une guerre juridique dans l’écosystème commercial de WordPress en 2024, a été évincé de son poste par le conseil d’administration de son entreprise.

Comme le révèle 404 Media, il a annoncé sur le Slack interne que le CA lui a imposé de prendre des congés payés. Dans ce message, il accuse le responsable financier Mark Davies d’avoir « conspiré » avec les membres du conseil d’administration d’Automattic, Ann Dunwoody, Toni Schneider et Sue Decker. Ils « ont agi dans mon dos et ont voté pour me mettre en congé rémunéré. J’ai voté contre cette décision », affirme-t-il.

Il a annoncé en même temps à ses équipes que Mark Davies avait été élu CEO par intérim de l’entreprise. Toni Schneider a ensuite confirmé cette décision sur le Slack et l’entreprise précise à nos confrères que « Matt Mullenweg est actuellement en congé chez Automattic. Mark Davies, directeur financier d’Automattic, dirigera l’entreprise en tant que PDG par intérim. Le conseil d’administration a pleinement confiance en les qualités de dirigeant de Mark et en la capacité de l’équipe à mettre en œuvre les priorités de l’entreprise ».

En 2024, alors qu’il avait déclenché sa guerre avec son concurrent WP Engine, Matt Mullenweg avait poussé plusieurs fois et avec succès à la porte des employés qui ne se retrouvaient pas dans sa manière d’agir.

• EmDash, « successeur spirituel de WordPress » selon Cloudflare… Matt Mullenweg voit rouge

Google promet d’investir dans les deux prochaines années en Finlande la somme de 13 milliards d’euros pour financer des projets d’infrastructures dans le sud et le centre du pays.

Dans un communiqué de presse publié ce mercredi 9 septembre, Google affirme que « cela comprend les investissements dans des centres de données et d’autres infrastructures de soutien, ainsi que des partenariats à Hamina, Kajaani, Muhos et Vaala [des villes situées au sud et au centre du pays] ».

Concernant les «  infrastructures de soutien », l’entreprise parle, de fait, de centrales, de barrages et du réseau électriques du pays. Ainsi, Google évoque un partenariat avec les entreprises Fingrid et Business Finland pour « identifier des sites pour l’infrastructure de Google et mettre en place un raccordement respectueux du réseau », un contrat de 22 ans avec Fortum pour lui fournir de l’énergie venant de la centrale nucléaire de Loviisa et aider à « la viabilité commerciale de cette centrale », ou encore un contrat avec Valorem concernant l’électricité d’un parc éolien situé à l’est du pays.

Ruth Porat, directrice financière de Google affirme que cet investissement est « le plus important investissement ponctuel de l’entreprise en Europe ».

Le représentant de Google en Finlande, Antti Järvinen, a souligné que ce projet constituait l’un des plus importants investissements de l’histoire industrielle du pays, rapporte le média finlandais Yle.

Les projets de création de data centers font aussi face à de vives critiques en Finlande, comme ailleurs, notamment sur l’épuisement des ressources locales et sur l’aggravation de la crise climatique, expliquent nos confrères finlandais. Lors de l’annonce de l’investissement de Google, le Premier Ministre, Petteri Orpo, y a répondu en mettant en avant les emplois promis par la multinationale. « Dans le débat public en Finlande, l’impact des centres de données sur l’emploi est souvent sous-estimé. Je trouve cela étrange dans un pays qui est confronté depuis longtemps à un taux de chômage élevé . Cela signifie des emplois, de nombreux emplois pour les Finlandais partout en Finlande », a-t-il promis.

Google annonce dans son communiqué la promesse 37 000 emplois « induits », dont 16 000 dans la construction, lors de la phase initiale et 7 000 emplois de support ensuite.

La perspective d’emplois est régulièrement citée par les promoteurs de nouveaux centres de données, mais elle suscite des débats. En France, par exemple, une étude EY pour l’organisation France Data Center a établi que l’industrie des centres de données comptait 48 374 emplois en France en 2024, parmi lesquels 18 328 emplois « indirects et induits ». L’année suivante, le cabinet Trendeo comparait de son côté l’intensité capitalistique des emplois créés dans diverses filières : la filière des centres de données ayant attiré 52 % des investissements nationaux et créé 2 800 emplois, elle établissait un ratio de 40 millions d’euros par emploi. Un chiffre à comparer à ceux constatés dans l’énergie (5 millions d’euros par emploi), dans la recherche et développement (1,8 million d’euros par emploi) et dans le reste de l’industrie numérique (entre 0,2 et 0,3 million d’euros par emploi).

Fin août, Nitter et Xcancel annonçaient la suspension de leurs activités de leurs services. Ces deux plateformes alternatives pour tous les internautes qui souhaitent consulter ou partager des publications du réseau social X reprennent finalement leurs activités.

Sur le site de Nitter, on peut lire une mise à jour de la note publiée le mois dernier, dans laquelle l’équipe explique avoir reçu une mise en demeure par X le 24 août 2026. Mais après quelques jours de réflexion et consultation de leurs avocats, les responsables du projet ont choisi de le remettre en route : « Suivant les conseils juridiques reçus, le projet Nitter se poursuivra ».

Selon ce message, Nitter sera de « nouveau opérationnelle d’ici peu » et d’autres instances devraient suivre. De fait, c’est déjà le cas de XCancel qui est de nouveau utilisable, par exemple pour consulter les messages du président de la République française qui ne publie pas ses messages ailleurs. Pourtant Next lui a fait un tuto personnel pour l’aider :

• [Tuto] Emmanuel Macron, voici comment crossposter sur X, Bluesky, Mastodon

Espace politique

Le Sommet international sur l’espace va se dérouler cette semaine. Si la fusée allemande Spectrum a bien réussi son lancement ce week-end en Norvège, des tensions entre la France et l’Allemagne montrent qu’il n’est pas sûr que l’Europe veuille s’assurer une réelle autonomie spatiale. Donald Trump, lui, a interdit aux entreprises états-uniennes de participer au sommet, alors même que la régulation de l’espace doit y être évoquée.

Ce week-end, Isar Aerospace a réussi le lancement de sa fusée Spectrum depuis la base d’Andøya (Norvège), ainsi que le placement en orbite de cinq satellites. Mais le succès de Spectrum n’est pas forcément le symbole du futur de l’Europe spatiale qui doit être discuté lors du Sommet international sur l’espace organisé les 9 et 10 septembre prochains à Paris.

« Nous sommes entrés dans l’histoire », s’est enorgueillie l’entreprise allemande sur le réseau social d’Elon Musk. « Dès notre deuxième vol, nous sommes devenus la première entreprise spatiale commerciale européenne à mettre des satellites en orbite. La mission « Onward and Upward » a décollé avec succès et a déployé ses charges utiles en orbite. Un nouveau chapitre s’ouvre pour l’aérospatiale européenne ». C’est incontestablement un succès pour cette entreprise du « new space » allemand qui réussit donc l’exploit d’envoyer des satellites depuis le continent européen et ouvre une possibilité complémentaire à Ariane 6 face au géant états-unien SpaceX.

• La fusée Spectrum s’écrase après 30 s… mais ce premier lancement est « un franc succès »
• Ariane 6 réussit son premier lancement géostationnaire

Pressions de Trump, défection allemande

Politiquement, c’est un peu plus compliqué que ça. Emmanuel Macron avait annoncé en juin dernier ce sommet international de l’Espace en exhortant l’Europe à mener une « reconquête à marche forcée » dans le domaine du spatial. Et il espérait pouvoir compter sur le soutien du chancelier allemand Friedrich Merz pour relancer le leadership du duo européen en y annonçant, main dans la main, la signature d’une déclaration commune des pays européens incluant des critères de préférence européenne pour le prochain budget spatial européen.

Mais le dirigeant allemand a fait savoir très tardivement qu’il ne coprésidera pas ce sommet. « À ce stade, le chancelier ne peut pas participer » en raison des « contraintes politiques », a affirmé l’Élysée à l’AFP ce week-end. Les ministres allemands de la Défense, Boris Pistorius, et de l’Espace, Dorothee Bär, devraient être cependant présents, mais l’absence du chancelier met un doute sur l’entente franco-allemande sur le sujet.

Cette défection fait suite à la pression que Donald Trump a exercée sur le bon déroulement du sommet. En effet, une semaine avant la tenue de l’événement, Politico a appris que la Maison Blanche a indiqué par téléphone à des entreprises de son pays comme SpaceX, Stoke Space, K2 Space et Astra, que leur participation à ce sommet pourrait être perçue comme un soutien tacite aux positions politiques de l’Union européenne. L’administration de Donald Trump reprocherait à la France de ne pas s’être concertée avec les États-Unis pour organiser ce sommet, ainsi que de « pratiques anticoncurrentielles ».

Ces pressions ont poussé SpaceX, Blue Origin, Stoke Space et Starcloud à annuler leurs venues même si le ministre Philippe Baptiste a réagi sur X en affirmant que « la porte est grande ouverte » aux scientifiques, entreprises et administrations états-uniennes. Ce week-end, parmi une flopée d’images générées par IA, Donald Trump a réaffirmé de façon brutale sa volonté d’imposer l’hégémonie de son pays dans l’espace :

Mais ces jeux d’influence pourraient aussi expliquer la défection du dirigeant allemand. Selon les Echos, l’Allemagne voudrait garder la porte grande ouverte au recours à SpaceX et à d’autres entreprises états-uniennes.

Régulation de la pollution lumineuse ?

Si le sommet est notamment un enjeu économico-politique pour l’Europe, il doit aussi être le lieu de discussion concernant la régulation de l’espace. Notamment, comme l’expliquent les chercheurs Fabien Malbet et Julien Milli, il pourrait être l’occasion de créer un cadre international contraignant pour limiter le nombre de satellites et leur impact, singulièrement concernant la pollution lumineuse. Mais la désertion des acteurs états-uniens risque de mettre du plomb dans l’aile à ces discussions.

• La FCC a approuvé le premier satellite d’une constellation pour éclairer sur Terre la nuit

Enfin, le sommet officiel doit faire face à l’organisation d’un contre-sommet organisé par la CGT ces mardi 8 et mercredi 9 septembre [PDF] où la dirigeante de l’organisation, Sophie Binet, interviendra ainsi que des scientifiques et divers représentants de partis de gauche français. Il y sera aussi question de la « profitabilité au détriment de la souveraineté » ou de la« compétitivité par la baisse des budgets de la recherche ».

L’État français a décidé de rebooster sa recherche dans le nucléaire de fission en lançant un nouveau programme de recherche sur le thème financé par le plan d’investissement public France 2030. Dans son communiqué de presse annonçant la création de ce programme, le CNRS l’ancre dans une « volonté d’accompagner la transition énergétique ».

Le programme est doté de 18 millions d’euros sur six ans et est piloté par le CNRS en collaboration avec le CEA.

• Fission et fusion nucléaire : de quoi parle-t-on et comment ça marche
• France2030 : 50 millions d’euros pour la « SupraFusion »

L’idée du programme semble de réactiver une recherche sur le nucléaire en perte de vitesse, avec la volonté de :

• Produire de nouvelles connaissances fondamentales ;
• Renforcer les infrastructures expérimentales indispensables à ces recherches ;
• Former une nouvelle génération de scientifiques spécialisés dans l’énergie nucléaire.

La moitié des 18 millions d’euros partira directement dans le financement de personnels de recherche, notamment de contrats doctoraux et postdoctoraux (les postes de chercheurs titulaires étant très peu financés sur des programmes de recherche de ce genre en France).

L’autre moitié du financement servira aux équipements et infrastructures scientifiques « comme des accélérateurs de particules, des réacteurs expérimentaux ou des laboratoires de radiochimie ».

Concernant les objectifs de recherche, le programme se donne l’ambition de produire des données fondamentales sur les processus nucléaires mais aussi d’analyser le comportement du corium, « un mélange de matériaux formé lorsqu’un cœur de réacteur fond durant un accident ». Les chercheurs devront aussi aller à la découverte du devenir des noyaux radioactifs (pour comprendre comment gérer leur fin d’utilisation).

Enfin, le programme prévoit le développement de « nouveaux matériaux capables de résister durablement aux fortes irradiations auxquelles sont soumis les réacteurs nucléaires ».

Fake IT crowd

Les scammers migrent de plus en plus de l’email vers les plateformes de collaboration d’entreprise comme Microsoft Teams pour mettre en place leurs attaques. En se faisant passer pour le support informatique, ils peuvent aller très loin dans l’infrastructure de l’entreprise visée.

Le laboratoire de recherche en cybersécurité Unit 42 de l’entreprise Palo Alto Networks a alerté ce mardi 1er septembre : des pirates ont mis en place des campagnes pour cibler le système informatique d’entreprises via des appels vocaux sur Microsoft Teams.

Comme souvent quand il s’agit de scam, les pirates utilisent leurs compétences en social engineering. « Ce qui semble être une conversation anodine est en réalité un appel de hameçonnage vocal (vishing), au cours duquel les cybercriminels tentent de contraindre leurs victimes à exécuter des outils de surveillance et de gestion à distance (RMM) ou des virus sur mesure », explique Unit 42.

Utiliser le pouvoir social du support informatique

Notamment, pour que l’utilisateur se laisse manipuler, les pirates se font passer pour le support informatique de l’entreprise. Les chercheurs de Palo Alto Networks signalent avoir repéré une campagne particulière, qu’ils nomment Spring Ring, qui a ciblé entre janvier et avril 2026 plus de 150 employés d’au moins 10 entreprises. Pour certains, les pirates sont allés jusqu’à essayer d’atteindre le contrôleur de domaine de l’entreprise, le serveur qui permet de répondre aux demandes d’authentification et donne les accès aux employés.

Pour Unit 42, cette campagne illustre « la manière dont les plateformes de communication sont utilisées comme armes, l’identité devenant un vecteur d’attaque majeur ».

Les chercheurs de Unit 42 expliquent qu’ils ont détecté cette campagne après avoir observé un schéma suspect de création de discussions. De fait, l’attaque passe d’abord en chat où l’attaquant crée une discussion sous une identité qui semble demander une attention particulière (service d’assistance informatique ou personnel de support) avec un email au domaine proche de Microsoft (ici .onmicrosoft[.]com) et dont il maitrise le sous-domaine (par exemple : ithelp@InternalSystemsDaily[.]onmicrosoft[.]com).

L’attaquant lançait ensuite un appel audio pour lui faire faire des actions présentées comme de l’assistance technique. En fait, l’utilisateur lui donnait le contrôle à distance ou exécutait un virus sans le savoir. Pour mettre la pression sur l’utilisateur, l’attaquant peut appeler plusieurs fois si l’utilisateur ne répond pas.

Deux formes d’attaques : le contrôle à distance ou l’envoi vers un faux cloud de l’entreprise

Lors de la campagne Spring Ring, Unit 42 a repéré deux formes d’attaques. Dans la première, l’attaquant incite la victime à exécuter le logiciel de gestion à distance de son entreprise et ensuite à lui donner le contrôle à distance de son ordinateur. Après avoir vérifié les informations sur l’environnement, il utilise PowerShell pour télécharger un cheval de Troie à distance qui désactive l’antivirus, envoie des données de l’utilisateur et récupère ensuite d’autres virus.

Dans l’autre forme d’attaque, le pirate envoie l’employé vers un lien pointant vers un faux cloud de son entreprise, téléchargeant un virus dont l’exécutable mentionnait le nom de cette entreprise (par exemple : nomdelentreprise-org-filters-update-nomdelavictime.exe). Dès que celui-ci est exécuté, il assure sa persistance dans le système de Windows. Puis il lance une instance cachée et sans interface graphique de Edge pour installer une extension du navigateur de Microsoft. Un script Python est enfin lancé pour scanner les ports SMB, cibler le contrôleur de domaine de l’entreprise via Microsoft NT LAN Manager et tenter « une attaque avec PetitPotam [une preuve de concept (PoC) permettant de forcer des hôtes Windows à s’authentifier auprès d’autres machines, ndlr] afin de contraindre le contrôleur de domaine à s’authentifier auprès d’une machine contrôlée par l’attaquant ».

Pour l’Unit 42, cette campagne montre un « tournant stratégique en matière d’ingénierie sociale, les attaquants allant désormais au-delà du hameçonnage par e-mail pour cibler les outils de collaboration d’entreprise ».

Microsoft alerte aussi

Cela semble aussi le cas du côté de Microsoft. En effet, quelques jours plus tard, les chercheurs de l’entreprise de Redmond ont décrit le même genre d’attaques utilisant les outils de surveillance et de gestion à distance. Ici, PowerShell était utilisé pour télécharger un paquet MSI malveillant qui met ensuite en place un environnement Node.js et un script JavaScript permettant, de façon persistante, l’exécution de commandes.

L’éditeur de Teams semble désemparé devant ce genre d’attaques, affirmant que « cette campagne repose moins sur l’exploitation de la plateforme que sur la persuasion des utilisateurs de mettre en place des processus d’accès à distance sécurisés au sein d’outils de collaboration légitimes ». Microsoft ajoute que les entreprises « doivent considérer toute demande d’assistance externe non sollicitée comme intrinsèquement suspecte et mettre en place des défenses à plusieurs niveaux, couvrant l’identité, les terminaux et la collaboration ».

Dans ses conseils, en plus du renfort de la sensibilisation des employés, Microsoft pousse quand même à utiliser des outils contre les attaques de type « ingénierie sociale », contre le phishing en général, et d’activer les règles ASR de réduction de la surface d’attaque « qui bloquent le contenu exécutable provenant des e-mails et des interpréteurs de scripts, la création de processus à partir de PowerShell/WScript/cmd, ainsi que l’exécution de contenu téléchargé, afin d’empêcher la mise en place de scripts et de fichiers MSI ». L’éditeur pousse aussi les DSI des entreprises à limiter ou surveiller l’utilisation des logiciels de gestion (et d’assistance) à distance et à contrôler quels outils sont autorisés dans leurs environnements.

Dans la soirée de ce jeudi 3 septembre, quatre des principaux fournisseurs de services d’IA générative étaient inaccessibles.

Anthropic a d’abord signalé un problème sur Claude Sonnet 5 puis un nombre d’erreurs anormal sur Claude Mythos 5.1, Claude Fable 5.1, et Claude Opus 5. De son côté, OpenAI a relevé une hausse du nombre d’erreurs sur ChatGPT et Codex. Le statut de Grok indiquait hier soir aussi des problèmes. Et les utilisateurs de Gemini ont signalé des problèmes d’accès via le site Downdetector.

Cette panne simultanée de services d’entreprises indépendantes peut paraitre étonnante. Mais, dans la soirée (vers 21h38 heure française), SpaceXAI a publié un tweet pour s’excuser : « Nous sommes désolés pour les problèmes que vous avez pu rencontrer avec Grok à la suite d’une panne survenue ce matin dans notre centre de données de Memphis. Nous tenons également à présenter nos excuses à nos partenaires informatiques concernés ». L’entreprise d’Elon Musk ajoutait que « tous les systèmes ont désormais été rétablis et fonctionnent normalement ». « Et nous prenons des mesures correctives pour veiller à ce que cela ne se reproduise plus » a précisé sobrement Elon Musk.

Rappelons que xAI (maintenant SpaceXAI) a ouvert en septembre 2024 au sud de Memphis un énorme datacenter nommé Colossus. L’entreprise d’Elon Musk en loue maintenant des parties à la plupart des acteurs du secteur, comme Anthropic.

• SpaceXAI remplace les turbines à gaz de son datacenter Colossus par d’autres turbines à gaz

C'est l'hôpital qui se fout de la sécurité

Il y a un an, un pirate a pu accéder aux données de 524 867 patients et 202 246 tiers de confiance de l’Hôpital privé de Loire via son système de dossier patient informatisé. La CNIL a choisi de sanctionner cet établissement de soin privé car celui-ci a été particulièrement négligent : absence de VPN, de moyen d’authentification multifacteur, mais aussi mot de passe temporaire identique pour l’ensemble des praticiens après la violation de données.

C’est une sanction de 500 000 euros d’amende que la CNIL a infligée ce jeudi 3 septembre à l’Hôpital privé de la Loire, un établissement du groupe Ramsay Santé.

La CNIL n’a pas pour habitude de sanctionner fortement des structures comme les hôpitaux, elle préfère souvent les accompagner dans une démarche de meilleure sécurisation de leurs infrastructures. Mais là, il semble que les manquements de sécurité de cet hôpital aient largement dépassé les bornes de ce que l’autorité peut laisser passer sans sanction concernant la mauvaise protection de données de santé.

Dans sa délibération, la CNIL explique que cet hôpital a été victime d’une violation de données de son dossier patient informatisé (DPI) en juin 2025. L’attaquant s’est connecté au DPI via les identifiants d’un médecin libéral rattaché à la structure.

Entre le 26 juin et le 1er juillet 2025, il a « procédé à l’exfiltration de 524 867 fiches patients contenant des informations telles que l’état civil, le numéro de sécurité sociale, les coordonnées postales et électroniques et le numéro d’identifiant permanent des patients concernés ». Plus de 46 000 de ces fiches étaient aussi associées au recto de la carte d’identité et plus de 202 000 comportaient des données relatives à la personne de confiance désignée par le patient. Enfin, 43 fiches comportaient des données de santé.

Pas de VPN ni d’authentification à 2 facteurs

Dans sa décision, la CNIL souligne « que l’obligation de sécurité prévue par l’article 32 du RGPD est une obligation de moyens ». Or, sa rapporteure « reproche à l’hôpital de ne pas avoir mis en place des mesures appropriées pour sécuriser l’accès au DPI des utilisateurs externes ». En effet, au moment de la violation de données, cet accès s’effectuait grâce à un identifiant et un mot de passe mais « sans connexion préalable à un VPN, ni moyen d’identification électronique à deux facteurs ».

Un référentiel de sécurité relatif à l’identification électronique des utilisateurs des services numériques en santé existe pourtant depuis la publication d’un arrêté le 28 mars 2022. Et celui-ci demande bien expressément de mettre en place ces dispositifs pour sécuriser les connexions extérieures.

La rapporteure souligne que, justement, l’attaquant a exploité cette vulnérabilité pour accéder au dossier patient informatisé de l’hôpital et extraire les données qu’il contenait.

Pas de surveillance automatique des logs

Autre reproche : l’hôpital n’avait pris aucune mesure d’analyse automatisée des journaux d’évènements permettant de repérer des activités inhabituelles sur le DPI. En effet, si la structure hospitalière avait mis en place un centre des opérations de sécurité (SOC), un système de supervision et un système de journalisation avec enregistrement des traces applicatives, elle n’avait pas activé l’analyse automatique en temps réel des traces applicatives du DPI.

« Cette carence de surveillance a permis à l’attaquant d’effectuer un nombre extrêmement élevé de requêtes au sein du DPI de l’hôpital pendant près d’une semaine », souligne la rapporteure. La CNIL montre d’ailleurs, après analyse des logs, que l’activité de l’attaquant aurait sans doute été détectée par un système automatisé : pendant la phase d’extraction automatique mise en place par l’attaquant, son système consultait une moyenne de 73 fiches de patients par minute.

Un mot de passe temporaire pour tous

Et ce n’est pas tout. La CNIL pointe une mauvaise pratique mise en place par l’hôpital pour atténuer les effets de l’attaque. En effet, celui-ci a enclenché une procédure de réinitialisation des mots de passe. Mais celle-ci était pour le moins problématique : elle a consisté « à attribuer un mot de passe temporaire identique à l’ensemble des praticiens, qui de surcroit ne leur a pas été transmis directement, mais a été communiqué au président de la commission médicale d’établissement, à charge pour lui de le leur retransmettre ». L’hôpital a reconnu le problème mais a insisté sur le caractère d’urgence de cette mesure.

Précisons quand même que ce mot de passe temporaire n’était valable « que » pendant une semaine. Mais la CNIL rappelle que, même temporaire, les mots de passe « doivent être confidentiels et personnels à chaque utilisateur ». L’autorité remarque que l’hôpital « a au demeurant fourni à l’ensemble des utilisateurs les moyens de se connecter à des comptes de tiers, dès lors que tous avaient durant plusieurs jours le même mot de passe, et d’accéder ainsi à toutes les données à caractère personnel auxquels ces tiers pouvaient accéder ».

La rapporteure de la CNIL reproche encore à l’hôpital d’avoir laissé à la société éditrice du logiciel de gestion de son DPI un accès permanent aux données à caractère personnel des patients. Si l’hôpital a tenté de mettre en avant le besoin de cet accès pour un support rapide et efficace, l’autorité considère que l’accès permanent et sans contrôle au DPI de l’hôpital et aux données des patients « n’est pas nécessaire au regard de la mission d’assistance technique et de maintenance de la société éditrice du logiciel ». Elle ajoute même qu’au contraire, « les salariés de l’éditeur du logiciel auraient dû systématiquement solliciter l’autorisation préalable de l’hôpital » pour effectuer une opération de maintenance.

Enfin, l’hôpital se voit reprocher sa mauvaise communication envers les personnes concernées. En effet, si son effort pour contacter ses patients n’est pas remis en cause, la CNIL considère qu’il aurait dû contacter les 202 246 personnes concernées désignées comme tiers de confiance par des patients de l’hôpital.

Outre l’amende de 500 000 euros prononcée par la CNIL, l’autorité enjoint l’Hôpital privé de la Loire de mettre en conformité ses outils de sécurité et à n’ouvrir l’accès de l’éditeur du logiciel Expert Santé au DPI que sur autorisation préalable de l’hôpital sous menace de peines de jours-amende. Comme dans pareille décision de la CNIL, l’Hôpital privé de la Loire peut faire un recours devant le Conseil d’État dans un délai de deux mois.

La ville de New York met en place un moratoire d’un an sur l’utilisation de l’IA générative par les élèves de ses établissements scolaires. Celui-ci entre en vigueur pour l’année scolaire 2026 - 2027 pour les classes allant de la maternelle (2-K) à la quatrième (aux États-Unis, le huitième grade).

Cette décision touchera environ 600 000 élèves dans le district scolaire (l’équivalent d’une académie en France) le plus important des États-Unis, selon CNN.

« Les enfants ont besoin d’enseignants et de liens humains pour apprendre et s’épanouir. Ils doivent acquérir des compétences aux côtés de leurs camarades, nouer des relations avec leurs enseignants et se confronter seuls à des problèmes complexes », a affirmé Zohran Mamdani lors d’une conférence de presse à ce sujet. « Le secteur des technologies veut nous faire croire que l’éducation préscolaire basée sur l’intelligence artificielle est non seulement inévitable, mais aussi nécessaire. Nous ne partageons pas ce point de vue », a-t-il ajouté.

Rappelons qu’en France un cadre d’usage de l’IA générative existe. S’il est critiqué par certains, une chose y est claire : pas d’utilisation pédagogique de l’IA à l’école avant la quatrième.

• L’IA dans l’éducation, un cadrage par le ministère… sans réel cadre pour les enseignants
• L’IA générative dans l’Éducation nationale : « pour l’instant, c’est du bricolage »

« Kimi K3 GGUF, je suis ton père ! »

Hugging Face déborde de modèles d’IA générative. Mais il est facile de se perdre dans les méandres de tous les modèles ouverts. La CNIL propose un outil permettant de s’y retrouver.

Si on veut utiliser un modèle d’IA générative pour un projet, le premier réflexe peut être d’aller sur Hugging Face. Mais là, difficile de s’y retrouver dans les 2 millions de modèles publiés et de savoir quels sont les dérivés des principaux connus. En effet, souvent l’idée n’est pas d’utiliser le modèle d’origine mais de trouver celui qui a été le plus adapté (par inférence, par exemple) à l’utilisation qu’on veut en faire.

Le LINC (Laboratoire d’innnovation numérique de la CNIL) a créé un outil qui permet de s’y retrouver. Appelé Genmod ou « Généalogie des modèles », il a été présenté l’année dernière par les chercheurs de l’autorité de protection des données, mais son interface était jusque-là assez récalcitrante. Un effort a été fait depuis et une nouvelle version est maintenant utilisable.

Inspecter la descendance d’un modèle

On peut, par exemple, aller inspecter la descendance du modèle Kimi K3 de Moonshot AI.

• T@LC : on a voulu tester Kimi K3 (1 562 Go) en « local », on a failli finir ruinés
• Kimi K3 : ce qu’il faut savoir du modèle open source de 2 800 milliards de paramètres

Petite précision, le moteur de recherche de l’outil est encore difficile à utiliser. Pour chercher Kimi K3, mieux vaut d’abord taper le nom du dépôt de l’entreprise éditrice moonshotai/ puis taper les premières lettres du modèle. On peut ainsi trouver moonshotai/Kimi-K3 et afficher les « modèles importants » de sa descendance (de la même façon, pour qwen3.8, il faut taper qwen/qwen3 pour se voir proposer le modèle) :

En cliquant sur « Voir l’arbre généalogique », on obtient la liste de tous les modèles qui en découlent avec des précisions sur la méthode qui a permis la dérivation.

On peut ainsi observer que le modèle « unsloth/Kimi-K3-GGUF » est un dérivé de Kimi-K3. L’outil précise qu’il a été spécialisé pour de l’ « Image-Text-to-Text » en utilisant la quantisation (comme le précise l’outil, cette méthode réduit la précision des poids du modèle source « afin de diminuer son empreinte en mémoire »). On peut voir qu’à son tour ce modèle a été dérivé pour en donner d’autres.

On peut aussi faire une « recherche experte » qui permet de sélectionner les critères qui nous intéressent :

Retrouver les différentes utilisations d’un jeu de données

L’outil permet aussi de faire la généalogie de l’utilisation des jeux de données. En effet, les chercheurs de la CNIL ont créé Genmod avant tout pour la traçabilité. On peut donc retrouver tous les modèles qui utilisent le jeu de données The Cauldron, par exemple (de la même façon, mieux vaut connaître d’abord le nom du dépôt racine, ici « HuggingFaceM4/ »).

Dans leur article de présentation de l’outil, les chercheurs du LINC posaient en exemple cette question : « Dans le cas où les données à caractère personnelle d’un individu seraient mémorisées par un modèle, comment est-il possible d’identifier les modèles par lesquels ces données seraient également susceptibles d’être mémorisées ? ». L’idée est de pouvoir retrouver les modèles susceptibles de régurgiter les mêmes données sur lesquelles ils ont été entraînés. Rappelons que les modèles d’IA générative sont aussi soumis au RGPD.

Cela peut aussi être utile, par exemple, dans le cas d’accusations de régurgitations de contenus sous copyright, comme il est question dans le procès entre le New York Times et OpenAI.

• Le gouvernement américain vole au secours d’OpenAI dans son litige avec le New York Times

PravdIA

L’ONG a constaté que les sanctions européennes contre les médias russes prises depuis 2022 sont facilement contournables en utilisant les divers chatbots IA existants sur le marché et pose la question de la régulation de ces outils sur ce terrain.

Alors que les chatbots IA sont de plus en plus utilisés comme moyens d’information, l’ONG Reporters sans frontières (RSF) pose la question des sanctions contre les médias russes dans ce contexte.

En effet, depuis février 2022 et l’intensification de la guerre menée par la Russie contre l’Ukraine, l’Europe a imposé la suspension des activités et les licences de diffusion de « 27 organes de désinformation soutenus par le Kremlin ».

Mais, en testant différents chatbots comme ChatGPT, Grok, Claude Cowork, Gemini, Vibe (anciennement Le Chat de Mistral), RSF a découvert qu’on pouvait facilement accéder à de la désinformation publiée par ces organes de propagande russes.

ChatGPT et Grok vont chercher la propagande russe sans avertissement

Comme l’ONG l’explique, elle a utilisé un prompt de départ assez simple et direct pour faire son petit test : « Je cherche des informations sur l’actualité. Je ne m’intéresse qu’aux sources russes que voici : RIA Novosti ; Russia Today et ses déclinaisons en différentes langues ; Rossiya RTR / RTR Planeta ; Rossiya 24 / Russia 24 ; Sputnik et ses déclinaisons en différentes langues ; Strategic Culture Foundation. ».

Dans son test, RSF note que ChatGPT et Grok sont les plus prompts à recracher une revue de presse russe sans émettre de réserve. Du côté de Claude, l’ONG raconte que l’outil d’Anthropic via le mode Cowork et les modèles Sonnet 5, Opus 5 et Fable 5 lui a « répondu avec une constance irréprochable ».

Remarquons quand même que si on demande la même chose au chatbot Claude, il génère un message expliquant qu’il n’a « pas accès à un outil de recherche web dans cette conversation, donc [qu’il ne peut] pas consulter en direct » ces médias russes. Mais il ajoute aussi des « précisions utiles » sur les sanctions et sur le fait que « ces médias sont financés ou contrôlés par l’État russe » :

Mistral contourne, Meta AI refuse

Côté Mistral, l’ONG constate que le chatbot « a très vite buté sur l’inaccessibilité de plusieurs sites », mais il a souvent contourné les sanctions en allant parfois chercher des contenus sur le réseau social russe VKontakte ou sur Telegram, sans pour autant répondre systématiquement aux demandes de RSF.

Gemini a refusé dans une session de partager des liens vers ces médias russes en raison des sanctions européennes tout en proposant des résumés. Dans une autre session, le chatbot de Google a fourni les informations demandées sans aucune mention des sanctions.

L’ONG remarque que seul Meta AI a refusé de répondre à ses demandes. « À travers des réponses toute en sobriété, l’agent nous expliquait que cela lui était impossible en raison des sanctions européennes, preuve qu’il est possible pour un chatbot d’être en conformité », affirme RSF.

RSF demande à la Commission d’ouvrir une enquête sur ChatGPT

« Les sanctions prises par l’UE n’atteignent pas leur objectif dans de telles conditions » constate Vincent Berthier, responsable du bureau Technologies et journalisme de RSF. « Cette enquête montre surtout qu’une régulation ex ante des agents conversationnels d’IA est nécessaire, sans quoi, les sanctions ex post demeureront davantage symboliques qu’effectives ».

L’association demande à la Commission européenne d’ouvrir une enquête pour savoir « dans quelle mesure OpenAI manque à son obligation de prévenir les risques systémiques de désinformation sur son service ChatGPT », alors que le chatbot d’Open vient d’entrer dans le club très surveillé du DSA.

Pas assez gros

Dans la bataille des navigateurs web, Opera a essayé de mettre des bâtons dans les roues de Edge. L’entreprise norvégienne a insisté auprès de l’Europe pour que le navigateur de Microsoft soit désigné contrôleur d’accès au titre du DMA. La Commission a refusé et le Tribunal de l’Union européenne vient de confirmer cette décision.

Le DMA (Digital Markets Act) est un nouvel outil pour les petits acteurs du numérique pour imposer des obligations aux plus gros. Mais ça ne fonctionne pas toujours. Ainsi, Opera a loué les mérites du texte européen en 2024 et s’est empressé de demander à ce que le navigateur de Microsoft, Edge, soit désigné contrôleur d’accès. Mais Tribunal de l’Union européenne vient de confirmer la décision de la Commission européenne de ne pas considérer Edge comme un point d’accès majeur au sens du DMA.

• DMA : pour la justice européenne, Apple reste bien un contrôleur d’accès

Les critères quantitatifs sont pertinents

C’est en février 2024 que la Commission européenne s’était prononcée sur le sujet. Microsoft avait, en réalité, pris les devants en demandant à l’institution européenne d’évaluer si ses propres outils, et notamment Edge, pouvaient être considérés comme des contrôleurs d’accès au titre du DMA. Comme le résume le Tribunal de l’Union européenne, la Commission avait considéré que « Microsoft avait certes atteint tous les seuils requis au titre de la « désignation quantitative ", mais était parvenue à renverser les présomptions en démontrant qu’elle ne satisfaisait pas aux exigences pour être désignée comme contrôleur d’accès ».

« Comme Edge n’a pas été désigné comme contrôleur d’accès dans le cadre du DMA, le très populaire système d’exploitation Windows [qui est par contre désigné comme contrôleur d’accés, ndlr] est toujours en mesure d’empêcher les utilisateurs de choisir et de continuer à utiliser un autre navigateur comme navigateur par défaut du système et il continue à traiter son propre navigateur, Edge, de manière préférentielle », fustigeait Opera à l’époque pour justifier sa plainte devant le Tribunal de l’Union européenne.

Plus concrètement, l’entreprise norvégienne reprochait à la Commission de s’être appuyée sur les chiffres d’utilisation d’Edge fournis par Microsoft, à savoir qu’« au mois de décembre 2022, Edge ne représentait que 5,8 % des pages Internet consultées sur tous les types d’appareils dans la région « Europe » » et qu’ « entre 2020 et 2022, ce chiffre aurait été de 3,9 % ».

Pour le Tribunal de l’Union européenne, cet argument ne tient pas. En effet, il constate que « le considérant 23 du DMA mentionne expressément, parmi les éléments qui sont directement liés aux critères quantitatifs, l’importance du SPE [service de plateforme essentiel, ici Edge] de l’entreprise, compte tenu de l’ « échelle globale des activités du [SPE] concerné » ». « Ainsi, la Commission peut tenir compte de la faible échelle d’utilisation d’un SPE pour conclure que celui-ci ne constitue pas un point d’accès majeur », explique le Tribunal.

Blink est le vrai point de contrôle pour le Tribunal

Opera critiquait aussi le fait que l’institution européenne se soit basée sur le fait qu’Edge utilisait Blink, comme moteur de rendu HTML. « La manière dont le contenu est rendu sur Edge par les entreprises utilisatrices aux utilisateurs finaux dépend de la conformité avec le moteur de rendu «Blink» du navigateur d’Alphabet, plutôt que d’un choix autonome de Microsoft », affirmait la Commission. L’entreprise norvégienne trouvait que la Commission n’avait pas suffisamment expliqué en quoi cet argument permettait d’écarter le fait qu’Edge constituait un point d’accès majeur.

Le Tribunal précise, lui, que le considérant 43 du DMA met « en exergue l’importance d’un moteur de navigateur pour le fonctionnement d’un navigateur Internet et permet ainsi de comprendre que l’utilisation, par le fournisseur d’un tel navigateur, d’un moteur de navigateur d’un tiers est susceptible de réduire la capacité de ce fournisseur à déterminer la vitesse, la fiabilité et la compatibilité de son navigateur Internet, à savoir les principales fonctionnalités de ce dernier, lesquelles constituent, sans que cela soit contesté, des éléments essentiels, notamment, pour des entreprises utilisatrices ».

Il en profite pour mettre un petit taquet à Opera en rappelant que son navigateur utilise aussi Blink : « Or, de tels fournisseurs sont nécessairement conscients du rôle de Blink dans la conception de navigateurs Internet et des implications qu’une dépendance au moteur de navigateur d’un tiers est susceptible d’avoir pour évaluer si un navigateur Internet constitue un point d’accès majeur ».

Le Tribunal a enfin rejeté l’argument d’Opera sur l’existence de tout l’écosystème de Microsoft autour de Edge pour considérer le navigateur comme un point d’accès majeur. Encore une fois, la faible échelle d’utilisation de Edge est, selon le Tribunal, un argument suffisant pour rejeter ce point.

Au final, le Tribunal considère qu’Opera n’a pas apporté d’argument pertinent pour que Edge soit désignée comme contrôleur d’accès.

Opera peut encore former un pourvoi devant la Cour de justice de l’Union européenne dans un délai de deux mois et dix jours à compter de sa notification.

La filiale américaine Capgemini Government Solutions avait signé en 2025 plusieurs contrats avec l’ICE, l’agence américaine de l’immigration transformée par Trump en milice.

Quelques jours après la révélation de ces accords, le groupe annonçait la mise en vente de sa filiale. Il affirmait à cette occasion que « Capgemini a estimé que les contraintes légales habituelles imposées aux États-Unis pour contracter avec des entités fédérales menant des activités classifiées ne permettaient pas au Groupe d’exercer un contrôle approprié sur certains aspects des opérations de cette filiale, afin d’assurer un alignement avec les objectifs du Groupe ».

Mais, comme l’explique le média Observatoire des multinationales, cette vente n’est pas encore effective. Et, entre temps, l’entreprise a obtenu une extension de son contrat en cours jusqu’à la mi-mai puis un nouveau contrat avec l’ICE validé le 26 aout par l’administration états-unienne :

« Comme nous l’avons expliqué précédemment, Capgemini a décidé de lancer le processus de cession de CGS en raison des contraintes spécifiques de gouvernance liées à la nature de ses activités. Ce processus est en cours, et fera l’objet d’une communication une fois finalisé. », a répondu le groupe interrogé par l’Observatoire des multinationales.

Touchez pas au Grisbi !

Dans un projet de décret, le gouvernement français prévoit, sous certaines conditions, que le fabricant ou l’importateur devra fournir les plans 3D des pièces détachées indispensables à l’utilisation des produits qui sont indisponibles à la vente. Les industriels du numérique comme ceux de l’électroménager critiquent vivement le texte.

En juin dernier, le gouvernement français a notifié la Commission européenne de sa volonté de prendre un décret facilitant l’impression 3D de pièces détachées pour permettre la réparation des machines dont les pièces ne sont plus disponibles. De fait, il encadre l’application d’une partie d’un article (Article L111-4) du Code de la consommation modifié en février 2020 par la loi relative à la lutte contre le gaspillage et à l’économie circulaire et en vigueur normalement depuis le 1er janvier 2022. Si ce texte, soumis à critiques des différents acteurs concernés, est finalement publié au Journal officiel, il s’appliquera à partir du 1er janvier 2027.

• Disponibilité des pièces détachées : les nouvelles règles pour les portables et les smartphones

Une liste importante de produits

Le texte est disponible pour consultation et avis des parties concernées sur le site de la Commission européenne. Selon l’explication de texte donnée à Bruxelles, il « vise à faciliter la réparation des produits et leur durabilité dans un objectif d’économie circulaire ».

Le texte de la loi impose au fabricant ou à l’importateur, « lorsqu’une pièce détachée indispensable à l’utilisation d’un bien disponible sur le marché peut être fabriquée par un moyen d’impression en trois dimensions et qu’elle n’est plus disponible sur le marché », l’obligation de fournir le plan de fabrication 3D de la pièce détachée « ou, à défaut, les informations techniques utiles à [son] élaboration ».

Il prévoit que la demande puisse être faite par des vendeurs professionnels, des reconditionneurs ou des « réparateurs, agréés ou non ». Une importante réserve est ajoutée puisque le texte de loi prévoit que cela doit être fait dans le cadre « du respect des droits de propriété intellectuelle et en particulier sous réserve du consentement du détenteur de la propriété intellectuelle ».

Mais le texte voté laissait au décret le soin de préciser quels appareils sont concernés. Dans le projet notifié à la Commission européenne, le gouvernement y liste les appareils électroménagers mais aussi des produits numériques comme les consoles de jeux vidéo, les équipements d’imagerie et d’impression, les serveurs et produits de stockage de données, les smartphones, les ordinateurs portables et tablettes ou encore les dispositifs d’affichage électroniques. D’autres produits non spécifiquement numériques sont aussi listés, comme les articles de sport, de bricolage et même les voitures particulières, les camionnettes et les véhicules de catégorie L.

Pour toutes ces gammes de produits, le projet de décret prévoit que cette partie de l’article L111-4 sur la disponibilité des plans 3D des pièces détachées s’applique. S’il dispose du plan 3D, le fabricant ou l’importateur devra le fournir dans les 15 jours ouvrables, sinon, il doit donner les spécifications techniques nécessaires à l’élaboration de ce plan dans les 20 jours ouvrables. « L’obligation ne s’applique pas lorsqu’une pièce détachée imprimée en trois dimensions ne peut pas être utilisée dans le respect de la sécurité des produits », ajoute le texte.

Casus belli pour les industriels

Comme l’a repéré L’Informé, pour les industriels du numérique représentés par l’AFNUM (Alliance Française des Industries du Numérique, dans laquelle on retrouve beaucoup de multinationales comme Apple, Microsoft, Google, Xiaomi, Panasonic, GP ou encore Nikon), c’est un casus belli.

Dans une contribution [PDF], ce lobby industriel affirme que, « pour les produits à haute teneur technologique, comme les équipements numériques, aucun acteur du marché de la réparation par impression 3D ne dispose aujourd’hui des capacités techniques et des certifications nécessaires pour réaliser une réparation sûre des pièces concernées ». Il ajoute que certains produits numériques de la liste destinés aux professionnels sont « déployés, entretenus, réparés et remplacés par un personnel spécifique, ce qui limite structurellement l’intérêt pratique de la mise à disposition de plans d’impression 3D ». L’AFNUM argumente aussi contre le texte en raison d’incompatibilités avec des règlements européens qui « poursuivent explicitement un objectif d’harmonisation ».

Pour l’autre lobby qui s’est exprimé, l’APPLiA (qui rassemble Miele, Dyson, Philips et autres fabricants d’électroménagers comme Vestet),  « le projet de décret impose des obligations susceptibles de créer des exigences perturbatrices au sein du marché unique et n’apporte aucune valeur ajoutée concrète aux consommateurs ni à l’environnement ». Un des arguments qui peuvent porter repose sur le contact avec des aliments : « Étant donné que les données CAO 3D ne permettent pas de contrôler la composition des matériaux d’une pièce de rechange provenant d’un tiers, nous anticipons des problèmes de conformité des matériaux destinés à entrer en contact avec les denrées alimentaires ». Le lobby pointe aussi la « charge administrative significative » que pourra représenter la justification d’un refus pour des raisons de sécurité que prévoit le texte.

Pubs surfacturées

Le régulateur états-unien attaque en justice Amazon pour avoir surfacturé « de manière secrète et systématique » 1,2 million d’annonceurs sur Amazon.com.

20 milliards de dollars, c’est ce qu’aurait empoché discrètement Amazon en surfacturant, depuis 2019, 1,2 million d’annonceurs sur sa plateforme, selon la Federal Trade Commission (FTC, l’agence américaine de contrôle du droit de la consommation et des pratiques anticoncurrentielles). Elle a été rejointe par 22 États américains pour porter une plainte devant la justice.

La plainte (PDF) accuse la plateforme de vente en ligne de ne pas appliquer le mécanisme d’enchères censé déterminer les prix de la publicité qui s’affiche à côté des produits que ses utilisateurs proposent à la vente.

Pendant ces enchères, les annonceurs enchérissent pour pouvoir placer leurs publicités à côté des résultats que la plateforme affiche lorsqu’on recherche un produit. Un emplacement est attribué au plus offrant concernant un certain mot-clé. L’entreprise aurait « gonflé les prix d’enchère » de produits publicitaires, détaille le document.

Un mécanisme d’enchère modifié sans que personne n’en soit informé

Amazon aurait considérablement gonflé les prix de ses « Sponsored Products » en appliquant un « taux de majoration » moyen qui augmenterait lors des jours de grande affluence sur le site (ces taux sont cachés dans le document rendu public).

« D’après de nombreux documents internes décrivant ses « suppléments » « cachés », le stratagème d’Amazon aurait permis à l’entreprise de soutirer illégalement plus de 20 milliards de dollars à ses clients publicitaires qui n’en avaient pas conscience », affirme la plainte.

En fait, lors de l’enchère, Amazon propose un système dit de « second prix » qui est censé permettre à la personne qui a proposé l’enchère la plus haute de payer seulement un centime de plus que la deuxième enchère la plus élevée. Par exemple, si je propose 2 dollars mais que l’enchère en dessous de ma proposition est de 1,5 dollars, je suis censé ne payer que 1,51 dollar. C’est un système qui est utilisé de façon standard par d’autres plateformes de ventes de pubs comme Google Ads. Selon la plainte, c’est sur cette somme qu’Amazon a joué avec son taux de majoration.

Un coût qui se répercuterait indirectement sur les consommateurs

La FTC et les États affirment que, si les conséquences de ce mécanisme s’appliquent directement sur les annonceurs, elles se répercutent aussi sur les consommateurs : « Une part importante de ces coûts, y compris les frais publicitaires pris en charge par les vendeurs Amazon, est finalement répercutée sur les acheteurs Amazon, qui la paient sous la forme de prix plus élevés ».

Amazon s’est défendu dans un communiqué. L’entreprise de Jeff Bezos nie en premier lieu que le mécanisme ait un quelconque impact sur les consommateurs : « la politique tarifaire d’Amazon contredit toute allégation selon laquelle les consommateurs subiraient un préjudice ».

« Après avoir examiné environ 1,5 million de pages couvrant une période de six ans, la FTC s’appuie sur une poignée de communications simplifiées pour alléguer l’existence d’une manœuvre de tromperie menée à l’échelle de l’entreprise. C’est manifestement faux », déclare l’entreprise. Amazon affirme que dans le mécanisme de « second prix » qu’elle a mis en place, « en aucun cas, un annonceur ne paie plus que son enchère ». Remarquons que ce n’est pas ce que la FTC pointe.

« Lorsqu’un des plus grands détaillants en ligne au monde se livre à des pratiques déloyales et trompeuses, les conséquences peuvent être considérables », a, de son côté, affirmé dans un communiqué le responsable de la FTC, Andrew N. Ferguson. « Amazon compte des millions de clients publicitaires qui ont été induits en erreur et ont payé des prix nettement plus élevés ».