Les pyromanes réclament des extincteurs

Les modèles IA doivent être régulés au niveau international, ont plaidé Sam Altman et Dario Amodei devant le Conseil de sécurité de l’ONU, en marge de la semaine de l’Assemblée générale annuelle des Nations-Unies. Plusieurs dirigeants soutiennent la création d’un cadre commun, Washington et Pékin restent réticents. Faute d’accord politique, les principaux acteurs américains préparent déjà leur propre organisme de normalisation.

« L’IA pourrait constituer une menace pour l’humanité tout entière », a affirmé Dario Amodei devant le Conseil de sécurité de l’ONU ce mercredi 23 septembre. Le patron d’Anthropic, toujours aussi fervent adepte du marketing de la peur, n’était pas seul à alerter sur les risques d’une technologie qu’il contribue à développer à toute allure.

Son rival Sam Altman a également pris la parole pendant cette réunion, organisée à l’initiative de la France, qui avait pour thème : « Comment éviter de perdre le contrôle des technologies les plus puissantes ? » Une question sur toutes les lèvres depuis l’appel d’Amodei à ralentir le rythme des améliorations des capacités des modèles IA de pointe.

• Les patrons de l’IA appellent à lever le pied, leurs dépenses disent l’inverse

Altman et Amodei réclament des règles communes

« Nous pourrions perdre, au profit de l’IA, la maîtrise de notre avenir », a affirmé le directeur général d’OpenAI. « Le risque est qu’elle progresse si rapidement que les humains ne puissent plus suivre ce qui se passe ni intervenir lorsque cela est nécessaire. Ce serait évidemment terrible. » La solution, selon les deux dirigeants ? Une instance internationale capable d’édicter des standards sur l’IA.

Pour Altman, si l’IA doit être démocratique, alors « les décisions les plus importantes ne peuvent être prises par les seuls laboratoires de San Francisco. Elles doivent être façonnées par des processus démocratiques et par des gouvernements responsables devant les citoyens qu’ils servent. » Il propose une coopération au niveau international, malgré l’animosité qui peut exister entre les pays : « [ils] ont parfois su s’unir au nom d’intérêts communs et du bien collectif face à l’émergence d’une nouvelle technologie puissante ».

Dario Amodei a mis sur la table trois propositions. D’abord, des « accords mondiaux ciblés » comme l’interdiction d’utiliser l’IA pour fabriquer des armes biologiques. Ensuite, les États devraient disposer de mécanismes d’évaluation et de vérification pour vérifier le respect mutuel de leurs engagements. Enfin, il faudrait des normes internationales communes pour tester les modèles IA, avec un dispositif de signalement des incidents de sécurité.

Des propositions qui rejoignent celles de Sam Altman, qui parle de normes pour mesurer les capacités des modèles de pointe et en évaluer les risques, de procédures pour signaler rapidement les incidents, de protocoles de classification, et de canaux sécurisés entre États et opérateurs d’infrastructures critiques pour échanger des informations sur les vulnérabilités et les menaces. « Le monde [doit pouvoir] tirer les leçons de ces défaillances avant qu’elles ne se transforment en catastrophes », affirme-t-il.

• L’hallucination d’une IA a failli provoquer un affrontement entre les États-Unis et la Chine

Il est aussi impératif, selon lui, de « maintenir un contrôle humain effectif à mesure que ces systèmes gagnent en autonomie. »

Washington peu pressé d’agir

D’un côté, la Maison-Blanche de Donald Trump réfute toute nécessité de ralentir sur l’IA, une position partagée par Jensen Huang (NVIDIA) et Mark Zuckerberg (Meta). Elon Musk, qui avait dans un premier temps tweeté « Dario a raison », a depuis proposé que les entreprises américaines et chinoises puissent évaluer mutuellement leurs modèles. Au vu de la concurrence acharnée que se mènent les acteurs du secteur, cette perspective paraît peu probable.

• Anthropic, OpenAI et Elon Musk veulent ralentir sur l’IA, la Maison-Blanche dit non

La Chine a une position ambiguë sur le sujet : le président Xi Jinping s’était prononcé en faveur d’une gouvernance mondiale de l’IA tout en soutenant le développement de modèles à poids ouverts dont les usages deviennent beaucoup plus difficiles à contrôler une fois qu’ils sont diffusés.

D’autres pays sont plus réceptifs à la proposition d’une structure contrôlant l’IA de pointe. L’idée fait son chemin, notamment en Europe et au Canada. Lors d’un déplacement à Saint-Pierre-et-Miquelon, confetti français au large du Canada, Emmanuel Macron s’est entretenu avec le premier ministre canadien Mark Carney sur le sujet, en amont de la semaine de haut niveau de l’Assemblée générale de l’ONU.

Jonas Gahr Støre, le Premier ministre norvégien, et Alexander Stubb, le président finlandais, ont de leur côté publié un appel pour une IA sous contrôle humain (PDF). Il a depuis été signé par plus d’une vingtaine de dirigeants, dont Emmanuel Macron et Mark Carney, ou encore Ursula von der Leyen.

Faute d’accord, les entreprises préparent leurs propres règles

En attendant que la diplomatie aboutisse à quelque chose de concret – si cela devait arriver un jour –, les principaux acteurs concernés envisagent la création d’un organisme de standardisation, sans contrôle d’un gouvernement. Dans la droite lignée des déclarations du secrétaire au Trésor américain, Scott Bessent, qui a appelé les entreprises à prendre leur responsabilité.

Le site The Information rapporte qu’Anthropic, OpenAI et Google voudraient lancer cette organisation d’ici la fin de l’année, ou début 2027, sous le nom de Standards Authority for Frontier AI (SAFA). Elle serait chargée d’élaborer des normes communes de sûreté pour l’IA, d’encadrer l’évaluation indépendante des modèles avant leur déploiement et de définir les procédures de signalement des incidents. Elle pourrait également réaliser ses propres tests sur les modèles de pointe.

La Maison-Blanche aurait envisagé de créer cet organisme via un décret présidentiel, avant que le projet ne soit freiné par l’opposition de Mark Zuckerberg et Jensen Huang, hostiles à la régulation sur l’IA. L’administration Trump demanderait désormais à Google, Anthropic et OpenAI de parvenir d’abord à un consensus au sein du secteur. La SAFA devrait ainsi voir le jour comme une structure indépendante, même si ses promoteurs espèrent collaborer ultérieurement avec le gouvernement américain.

Hugging Face refuse la politique de la peur

Clément Delangue, le directeur général de Hugging Face (fraîchement rachetée par NVIDIA), a lui aussi donné son point de vue sur la question pendant la réunion du Conseil. Sa plateforme, qui distribue des modèles open source, est en première ligne sur la question de la cybersécurité : c’est l’attaque d’Hugging Face par des agents d’OpenAI qui a allumé la mèche de ce débat.

Il appelle à davantage de transparence au sein des entreprises qui développent des modèles de frontière, et plaide en faveur de l’open source et des modèles à poids ouverts pour épauler les défenseurs contre les cyberattaques. « Nous avons été attaqués par l’IA, mais nous nous sommes aussi défendus avec l’IA », a-t-il expliqué.

« Nous sommes fermement convaincus que les discours fondés sur la peur ne permettront ni de prendre les bonnes décisions quant à l’avenir d’une technologie aussi fondamentale et porteuse de possibilités, ni d’obtenir l’adhésion du public », affirme-t-il également en taclant au passage les discours apocalyptiques entendus chez Anthropic et OpenAI.

Les pyromanes réclament des extincteurs

Les modèles IA doivent être régulés au niveau international, ont plaidé Sam Altman et Dario Amodei devant le Conseil de sécurité de l’ONU, en marge de la semaine de l’Assemblée générale annuelle des Nations-Unies. Plusieurs dirigeants soutiennent la création d’un cadre commun, Washington et Pékin restent réticents. Faute d’accord politique, les principaux acteurs américains préparent déjà leur propre organisme de normalisation.

« L’IA pourrait constituer une menace pour l’humanité tout entière », a affirmé Dario Amodei devant le Conseil de sécurité de l’ONU ce mercredi 23 septembre. Le patron d’Anthropic, toujours aussi fervent adepte du marketing de la peur, n’était pas seul à alerter sur les risques d’une technologie qu’il contribue à développer à toute allure.

Son rival Sam Altman a également pris la parole pendant cette réunion, organisée à l’initiative de la France, qui avait pour thème : « Comment éviter de perdre le contrôle des technologies les plus puissantes ? » Une question sur toutes les lèvres depuis l’appel d’Amodei à ralentir le rythme des améliorations des capacités des modèles IA de pointe.

• Les patrons de l’IA appellent à lever le pied, leurs dépenses disent l’inverse

Altman et Amodei réclament des règles communes

« Nous pourrions perdre, au profit de l’IA, la maîtrise de notre avenir », a affirmé le directeur général d’OpenAI. « Le risque est qu’elle progresse si rapidement que les humains ne puissent plus suivre ce qui se passe ni intervenir lorsque cela est nécessaire. Ce serait évidemment terrible. » La solution, selon les deux dirigeants ? Une instance internationale capable d’édicter des standards sur l’IA.

Pour Altman, si l’IA doit être démocratique, alors « les décisions les plus importantes ne peuvent être prises par les seuls laboratoires de San Francisco. Elles doivent être façonnées par des processus démocratiques et par des gouvernements responsables devant les citoyens qu’ils servent. » Il propose une coopération au niveau international, malgré l’animosité qui peut exister entre les pays : « [ils] ont parfois su s’unir au nom d’intérêts communs et du bien collectif face à l’émergence d’une nouvelle technologie puissante ».

Dario Amodei a mis sur la table trois propositions. D’abord, des « accords mondiaux ciblés » comme l’interdiction d’utiliser l’IA pour fabriquer des armes biologiques. Ensuite, les États devraient disposer de mécanismes d’évaluation et de vérification pour vérifier le respect mutuel de leurs engagements. Enfin, il faudrait des normes internationales communes pour tester les modèles IA, avec un dispositif de signalement des incidents de sécurité.

Des propositions qui rejoignent celles de Sam Altman, qui parle de normes pour mesurer les capacités des modèles de pointe et en évaluer les risques, de procédures pour signaler rapidement les incidents, de protocoles de classification, et de canaux sécurisés entre États et opérateurs d’infrastructures critiques pour échanger des informations sur les vulnérabilités et les menaces. « Le monde [doit pouvoir] tirer les leçons de ces défaillances avant qu’elles ne se transforment en catastrophes », affirme-t-il.

• L’hallucination d’une IA a failli provoquer un affrontement entre les États-Unis et la Chine

Il est aussi impératif, selon lui, de « maintenir un contrôle humain effectif à mesure que ces systèmes gagnent en autonomie. »

Washington peu pressé d’agir

D’un côté, la Maison-Blanche de Donald Trump réfute toute nécessité de ralentir sur l’IA, une position partagée par Jensen Huang (NVIDIA) et Mark Zuckerberg (Meta). Elon Musk, qui avait dans un premier temps tweeté « Dario a raison », a depuis proposé que les entreprises américaines et chinoises puissent évaluer mutuellement leurs modèles. Au vu de la concurrence acharnée que se mènent les acteurs du secteur, cette perspective paraît peu probable.

• Anthropic, OpenAI et Elon Musk veulent ralentir sur l’IA, la Maison-Blanche dit non

La Chine a une position ambiguë sur le sujet : le président Xi Jinping s’était prononcé en faveur d’une gouvernance mondiale de l’IA tout en soutenant le développement de modèles à poids ouverts dont les usages deviennent beaucoup plus difficiles à contrôler une fois qu’ils sont diffusés.

D’autres pays sont plus réceptifs à la proposition d’une structure contrôlant l’IA de pointe. L’idée fait son chemin, notamment en Europe et au Canada. Lors d’un déplacement à Saint-Pierre-et-Miquelon, confetti français au large du Canada, Emmanuel Macron s’est entretenu avec le premier ministre canadien Mark Carney sur le sujet, en amont de la semaine de haut niveau de l’Assemblée générale de l’ONU.

Jonas Gahr Støre, le Premier ministre norvégien, et Alexander Stubb, le président finlandais, ont de leur côté publié un appel pour une IA sous contrôle humain (PDF). Il a depuis été signé par plus d’une vingtaine de dirigeants, dont Emmanuel Macron et Mark Carney, ou encore Ursula von der Leyen.

Faute d’accord, les entreprises préparent leurs propres règles

En attendant que la diplomatie aboutisse à quelque chose de concret – si cela devait arriver un jour –, les principaux acteurs concernés envisagent la création d’un organisme de standardisation, sans contrôle d’un gouvernement. Dans la droite lignée des déclarations du secrétaire au Trésor américain, Scott Bessent, qui a appelé les entreprises à prendre leur responsabilité.

Le site The Information rapporte qu’Anthropic, OpenAI et Google voudraient lancer cette organisation d’ici la fin de l’année, ou début 2027, sous le nom de Standards Authority for Frontier AI (SAFA). Elle serait chargée d’élaborer des normes communes de sûreté pour l’IA, d’encadrer l’évaluation indépendante des modèles avant leur déploiement et de définir les procédures de signalement des incidents. Elle pourrait également réaliser ses propres tests sur les modèles de pointe.

La Maison-Blanche aurait envisagé de créer cet organisme via un décret présidentiel, avant que le projet ne soit freiné par l’opposition de Mark Zuckerberg et Jensen Huang, hostiles à la régulation sur l’IA. L’administration Trump demanderait désormais à Google, Anthropic et OpenAI de parvenir d’abord à un consensus au sein du secteur. La SAFA devrait ainsi voir le jour comme une structure indépendante, même si ses promoteurs espèrent collaborer ultérieurement avec le gouvernement américain.

Hugging Face refuse la politique de la peur

Clément Delangue, le directeur général de Hugging Face (fraîchement rachetée par NVIDIA), a lui aussi donné son point de vue sur la question pendant la réunion du Conseil. Sa plateforme, qui distribue des modèles open source, est en première ligne sur la question de la cybersécurité : c’est l’attaque d’Hugging Face par des agents d’OpenAI qui a allumé la mèche de ce débat.

Il appelle à davantage de transparence au sein des entreprises qui développent des modèles de frontière, et plaide en faveur de l’open source et des modèles à poids ouverts pour épauler les défenseurs contre les cyberattaques. « Nous avons été attaqués par l’IA, mais nous nous sommes aussi défendus avec l’IA », a-t-il expliqué.

« Nous sommes fermement convaincus que les discours fondés sur la peur ne permettront ni de prendre les bonnes décisions quant à l’avenir d’une technologie aussi fondamentale et porteuse de possibilités, ni d’obtenir l’adhésion du public », affirme-t-il également en taclant au passage les discours apocalyptiques entendus chez Anthropic et OpenAI.

50 / 50

En plein raidissement politique contre les logiques d’inclusion, des professionnelles de la tech témoignent de leur expérience, entre persistance de stéréotypes et amélioration de leurs conditions de travail.

L’industrie de la tech manque-t-elle « d’énergie masculine », comme le laissait entendre Mark Zuckerberg début 2025, au micro du podcasteur Joe Rogan ? À l’époque, déjà, l’affirmation laissait dubitatif, dans la mesure où les effectifs de Meta n’avaient jamais dépassé un ratio de 37,1 % de femmes pour 62,9 % d’hommes (en 2022).

Mais Wired est allé plus loin en sondant 634 femmes employées à des postes d’ingénierie (à 38 %), de stratégie ou de conformité (25%), spécialisées dans la donnée (14 %) ou d’autres postes de l’industrie numérique sur divers éléments de leur vie professionnelle. De la femme de trente ans d’expérience qui rapporte subir encore des collègues qui lui « parlent comme si [elle était] une idiote » à celle soupçonnée de coucher pour obtenir certaines tâches, leurs récits ressemblent à ceux de nombre de femmes employées dans des secteurs masculins. 47 % des professionnelles de la tech interrogées déclarent même que leur industrie n’a pas changé ou est devenue pire pour les femmes.

• M-C Naves : Mark Zuckerberg, ou le « capitalisme qui estime n’avoir aucun compte à rendre »

10 ans après la vague #MeToo, 15 ans après la publication de l’essai Lean In, de l’ex-numéro 2 de Meta Sheryl Sandberg, qui appelait les femmes « s’affirmer » et simplement « se saisir » du pouvoir dans leur environnement professionnel, le constat est amer. Il varie néanmoins selon le niveau de granularité analysé : dans le détail, 70 % des femmes interrogées s’estiment payées de manière équitable, une sur deux (64 %) sont satisfaites de leurs carrières et trois sur quatre (76 %) considèrent que leur employeur prend les sujets de harcèlement et de discriminations sérieusement.

• La transparence sur les salaires, un facteur d’égalité dans la tech

Satisfaction moins forte dans les plus grandes entreprises

Mais derrière ces chiffres aux apparences plus positives, plus d’un tiers des femmes interrogées rapportent des faits de harcèlement ou de biais fondés sur le genre dans le traitement qu’elles reçoivent au travail. Ainsi de celle qui se rappelle d’un de ses patrons, « qui insistait pour que je marche devant lui pour " améliorer la vue " », ou de celle qui a appris qu’un « groupe d’hommes classait régulièrement les détails anatomiques des femmes sur Slack », l’application de messagerie largement utilisée dans les entreprises.

Le sentiment de satisfaction exprimé par les femmes interrogées varie beaucoup selon la taille de l’entreprise : faible chez celles qui travaillent seules ou en freelance, il grimpe dans les sociétés de moins de 50 à moins de 500 employés, pour baisser de nouveau chez celles de 500 à 5000 employés, et dégringoler dans les plus grandes. Outre les questions purement liées au genre, cette insatisfaction est aussi liée à une ambiance de travail généralisée : une designeuse de la tranche d’âge 25 - 34 ans raconte ainsi avoir eu de multiples collègues lui dire « je ne sais pas qui je suis en dehors de mon travail » ou « mon travail est si prenant qu’il constitue l’intégralité de mon identité ». « J’ai perdu le compte du nombre de personnes qui m’ont dit ça, en particulier quand ils travaillent dans l’une des cinq plus grandes », autrement dit chez Alphabet, Apple, Meta, Amazon ou Microsoft.

• Inclusion dans la tech : le repli se fait sentir

Plusieurs sont satisfaites, sans nier les difficultés qui subsistent. « Mes collègues préférés sont des hommes, mais certains estimeront toujours par défaut qu’une opinion des femmes est nécessairement moins utile », raconte l’une d’elles. Et de préciser que « cette attitude n’a pas évolué sur les 10 à 15 dernières années ». Une de ses collègues de la tranche d’âge 55 - 64 ans, qui travaille depuis plus de 20 ans aux opérations d’une grande société de l’industrie, estime que l’environnement a globalement évolué positivement. Principal indicateur mentionné : elle se retrouve beaucoup plus rarement à être la seule femme présente qu’il y a une à deux décennies.

Un contexte (géo)politique qui freine les progrès

Au fil de la dernière décennie, les principales sociétés de la tech se sont mises à publier des données sur la diversité de leurs effectifs, et la part de femmes et de minorités relevée a peu à peu augmenté, sans atteindre la parité. Mais le retour de Donald Trump au pouvoir, soutenu, cette fois-ci, par l’essentiel des patrons de l’industrie, a acté un changement d’ambiance très net. Tout projet dédié à améliorer la diversité, l’équité et l’inclusion (réunis sous le sigle DEI) s’est vu frapper du sceau de l’infamie. Juridiquement parlant, les entreprises installées aux États-Unis ont craint d’être poursuivies sur la même base que l’université Harvard, dont la Cour suprême avait qualifié la politique d’admission de « discrimination positive raciale », décrétée en violation du 14ᵉ amendement de la Constitution américaine.

Meta, Microsoft et Alphabet ont cessé de partager les données relatives à la diversité de leurs effectifs. Parmi celles qui le font, la part de femmes à des postes techniques reste terriblement basse (17,4 % chez Nvidia). En parallèle de ce vent contraire sensible jusqu’en Europe – on se rappelle de l’allemand SAP, qui a mis fin à ses objectifs généraux d’atteindre 40 % d’effectifs féminins pour plaire aux requêtes américaines –, le déploiement de l’IA générative modifie les tâches de tous les travailleurs de la tech, travailleuses comprises.

• Diversité, inclusivité : le grand vent contraire chez les géants de la tech

Parmi celles interrogées par Wired, le recours à l’IA est perçu comme pratique, utile, ou inquiétant dans la mesure où il pourrait remplacer certains emplois ou les vider de sens. Alors que 86% des professionnelles interrogées déclarent l’utiliser au moins quelques fois par semaine, 51 % se déclarent relativement inquiètes et 27 % plutôt inquiètes de voir ce type de technologie renforcer les biais de l’industrie. En cela, elles participent aux questionnements qui agitent toute l’industrie.

Aux entreprises de s’adapter

Sur la question générale de la diversité dans la tech, en revanche, certaines des promotrices de l’approche consistant à former les femmes et à renforcer leur confiance en elles pour espérer équilibrer les effectifs changent de discours. Ainsi de Sheryl Sandberg, qui estime désormais que si plus de femmes quittent les entreprises avant d’atteindre des postes à responsabilités, ce n’est pas par manque d’ambition, mais parce que les entreprises ne se préoccupent pas de leurs besoins. « Lorsque les entreprises ont plus de femmes parmi leurs cadres, les performances sont meilleures, déclare-t-elle à Business Insider. Nous savons aussi qu’elles promeuvent de meilleures politiques, un meilleur équilibre entre vie personnelle et vie professionnelle, un plus grand soin de leurs employés. »

Ces propos prolongent ceux d’autres spécialistes des questions de diversité dans le recrutement. Ainsi de Caroline Ramade, qui soulignait auprès de Next les biais visibles de promotion des femmes dans les industries françaises et européennes de la tech à mesure que les carrières progressent. Ou encore des travaux menés à toutes les étapes de la filière, des collèges et lycées aux formations supérieures comme celles de l’école 42, puis à certaines cultures d’entreprise, pour tenter de favoriser la diversité en adaptant les conditions de travail pour tout le monde. 


• Inclusion dans la tech : pour Caroline Ramade, « il y a d’énormes biais de promotion »

50 / 50

En plein raidissement politique contre les logiques d’inclusion, des professionnelles de la tech témoignent de leur expérience, entre persistance de stéréotypes et amélioration de leurs conditions de travail.

L’industrie de la tech manque-t-elle « d’énergie masculine », comme le laissait entendre Mark Zuckerberg début 2025, au micro du podcasteur Joe Rogan ? À l’époque, déjà, l’affirmation laissait dubitatif, dans la mesure où les effectifs de Meta n’avaient jamais dépassé un ratio de 37,1 % de femmes pour 62,9 % d’hommes (en 2022).

Mais Wired est allé plus loin en sondant 634 femmes employées à des postes d’ingénierie (à 38 %), de stratégie ou de conformité (25%), spécialisées dans la donnée (14 %) ou d’autres postes de l’industrie numérique sur divers éléments de leur vie professionnelle. De la femme de trente ans d’expérience qui rapporte subir encore des collègues qui lui « parlent comme si [elle était] une idiote » à celle soupçonnée de coucher pour obtenir certaines tâches, leurs récits ressemblent à ceux de nombre de femmes employées dans des secteurs masculins. 47 % des professionnelles de la tech interrogées déclarent même que leur industrie n’a pas changé ou est devenue pire pour les femmes.

• M-C Naves : Mark Zuckerberg, ou le « capitalisme qui estime n’avoir aucun compte à rendre »

10 ans après la vague #MeToo, 15 ans après la publication de l’essai Lean In, de l’ex-numéro 2 de Meta Sheryl Sandberg, qui appelait les femmes « s’affirmer » et simplement « se saisir » du pouvoir dans leur environnement professionnel, le constat est amer. Il varie néanmoins selon le niveau de granularité analysé : dans le détail, 70 % des femmes interrogées s’estiment payées de manière équitable, une sur deux (64 %) sont satisfaites de leurs carrières et trois sur quatre (76 %) considèrent que leur employeur prend les sujets de harcèlement et de discriminations sérieusement.

• La transparence sur les salaires, un facteur d’égalité dans la tech

Satisfaction moins forte dans les plus grandes entreprises

Mais derrière ces chiffres aux apparences plus positives, plus d’un tiers des femmes interrogées rapportent des faits de harcèlement ou de biais fondés sur le genre dans le traitement qu’elles reçoivent au travail. Ainsi de celle qui se rappelle d’un de ses patrons, « qui insistait pour que je marche devant lui pour " améliorer la vue " », ou de celle qui a appris qu’un « groupe d’hommes classait régulièrement les détails anatomiques des femmes sur Slack », l’application de messagerie largement utilisée dans les entreprises.

Le sentiment de satisfaction exprimé par les femmes interrogées varie beaucoup selon la taille de l’entreprise : faible chez celles qui travaillent seules ou en freelance, il grimpe dans les sociétés de moins de 50 à moins de 500 employés, pour baisser de nouveau chez celles de 500 à 5000 employés, et dégringoler dans les plus grandes. Outre les questions purement liées au genre, cette insatisfaction est aussi liée à une ambiance de travail généralisée : une designeuse de la tranche d’âge 25 - 34 ans raconte ainsi avoir eu de multiples collègues lui dire « je ne sais pas qui je suis en dehors de mon travail » ou « mon travail est si prenant qu’il constitue l’intégralité de mon identité ». « J’ai perdu le compte du nombre de personnes qui m’ont dit ça, en particulier quand ils travaillent dans l’une des cinq plus grandes », autrement dit chez Alphabet, Apple, Meta, Amazon ou Microsoft.

• Inclusion dans la tech : le repli se fait sentir

Plusieurs sont satisfaites, sans nier les difficultés qui subsistent. « Mes collègues préférés sont des hommes, mais certains estimeront toujours par défaut qu’une opinion des femmes est nécessairement moins utile », raconte l’une d’elles. Et de préciser que « cette attitude n’a pas évolué sur les 10 à 15 dernières années ». Une de ses collègues de la tranche d’âge 55 - 64 ans, qui travaille depuis plus de 20 ans aux opérations d’une grande société de l’industrie, estime que l’environnement a globalement évolué positivement. Principal indicateur mentionné : elle se retrouve beaucoup plus rarement à être la seule femme présente qu’il y a une à deux décennies.

Un contexte (géo)politique qui freine les progrès

Au fil de la dernière décennie, les principales sociétés de la tech se sont mises à publier des données sur la diversité de leurs effectifs, et la part de femmes et de minorités relevée a peu à peu augmenté, sans atteindre la parité. Mais le retour de Donald Trump au pouvoir, soutenu, cette fois-ci, par l’essentiel des patrons de l’industrie, a acté un changement d’ambiance très net. Tout projet dédié à améliorer la diversité, l’équité et l’inclusion (réunis sous le sigle DEI) s’est vu frapper du sceau de l’infamie. Juridiquement parlant, les entreprises installées aux États-Unis ont craint d’être poursuivies sur la même base que l’université Harvard, dont la Cour suprême avait qualifié la politique d’admission de « discrimination positive raciale », décrétée en violation du 14ᵉ amendement de la Constitution américaine.

Meta, Microsoft et Alphabet ont cessé de partager les données relatives à la diversité de leurs effectifs. Parmi celles qui le font, la part de femmes à des postes techniques reste terriblement basse (17,4 % chez Nvidia). En parallèle de ce vent contraire sensible jusqu’en Europe – on se rappelle de l’allemand SAP, qui a mis fin à ses objectifs généraux d’atteindre 40 % d’effectifs féminins pour plaire aux requêtes américaines –, le déploiement de l’IA générative modifie les tâches de tous les travailleurs de la tech, travailleuses comprises.

• Diversité, inclusivité : le grand vent contraire chez les géants de la tech

Parmi celles interrogées par Wired, le recours à l’IA est perçu comme pratique, utile, ou inquiétant dans la mesure où il pourrait remplacer certains emplois ou les vider de sens. Alors que 86% des professionnelles interrogées déclarent l’utiliser au moins quelques fois par semaine, 51 % se déclarent relativement inquiètes et 27 % plutôt inquiètes de voir ce type de technologie renforcer les biais de l’industrie. En cela, elles participent aux questionnements qui agitent toute l’industrie.

Aux entreprises de s’adapter

Sur la question générale de la diversité dans la tech, en revanche, certaines des promotrices de l’approche consistant à former les femmes et à renforcer leur confiance en elles pour espérer équilibrer les effectifs changent de discours. Ainsi de Sheryl Sandberg, qui estime désormais que si plus de femmes quittent les entreprises avant d’atteindre des postes à responsabilités, ce n’est pas par manque d’ambition, mais parce que les entreprises ne se préoccupent pas de leurs besoins. « Lorsque les entreprises ont plus de femmes parmi leurs cadres, les performances sont meilleures, déclare-t-elle à Business Insider. Nous savons aussi qu’elles promeuvent de meilleures politiques, un meilleur équilibre entre vie personnelle et vie professionnelle, un plus grand soin de leurs employés. »

Ces propos prolongent ceux d’autres spécialistes des questions de diversité dans le recrutement. Ainsi de Caroline Ramade, qui soulignait auprès de Next les biais visibles de promotion des femmes dans les industries françaises et européennes de la tech à mesure que les carrières progressent. Ou encore des travaux menés à toutes les étapes de la filière, des collèges et lycées aux formations supérieures comme celles de l’école 42, puis à certaines cultures d’entreprise, pour tenter de favoriser la diversité en adaptant les conditions de travail pour tout le monde. 


• Inclusion dans la tech : pour Caroline Ramade, « il y a d’énormes biais de promotion »

Âge déraison

Discord a commencé le déploiement mondial de ses outils de contrôle de l’âge. La plateforme affirme que 90 % des utilisateurs ne seront pas concernés, et promet à ceux qu’elle ne peut pas cataloguer automatiquement comme des adultes plusieurs options de vérification.

Alors que la France et l’Europe affichent publiquement leur intention d’interdire l’accès aux réseaux sociaux aux jeunes publics mineurs, Discord prend les devants. La plateforme vient en effet d’annoncer le début du déploiement de sa propre solution de contrôle de l’âge. La décision avait été annoncée en début d’année, avant qu’une bronca des utilisateurs ne pousse Discord à temporiser de quelques mois.

« Les législateurs d’innombrables pays et États se font entendre et nous disent qu’ils veulent des protections plus solides pour les adolescents, de l’Union européenne à l’Indonésie. À mes yeux, cela rend plus forte que jamais la nécessité de montrer que cela peut être fait dans un cadre qui préserve la confidentialité », justifie Stanislav Vishnevskiy, cofondateur et directeur technique de Discord.

Les utilisateurs classés en trois groupes

Chez Discord, la mesure poursuit officiellement deux objectifs : limiter l’accès aux moins de 13 ans, et protéger les mineurs de 13 à 17 ans de l’exposition à des contenus sensibles ou de sollicitations inappropriées. Pour ce faire, la plateforme indique avoir élaboré un dispositif qui devrait permettre à 90 % de ses utilisateurs de ne pas avoir à justifier de leur âge.

Celui-ci prend la forme d’un outil chargé de catégoriser les utilisateurs en trois groupes : les adultes confirmés, pour qui rien ne change par rapport à l’existant, les adolescents de 13 à 17 ans, et les profils non confirmés, pour lesquels la plateforme n’a pas réussi à trancher. Les internautes placés dans les deux derniers groupes devront montrer patte blanche pour activer ou réactiver l’affichage des contenus protégés sur leur profil et accepter de recevoir des demandes d’inconnus.

Comment s’opère cette classification ? Discord évoque des signaux liés au compte : « depuis quand celui-ci existe, à quels types de serveurs vous appartenez, etc. », tout en assurant qu’aucun serveur individuel ne détermine le groupe d’âge. Elle promet par ailleurs n’examiner ni les messages, ni les appels, « ni aucun autre contenu ».

Une classification confiée à un modèle d’apprentissage automatique

Un billet plus technique décrit la méthode mise en œuvre : basée sur un modèle d’apprentissage automatique, elle étudie plusieurs critères tels que la façon dont le compte s’inscrit dans le graphe social global de Discord, les métadonnées liées au compte, des indicateurs d’engagement, et des signaux relatifs aux communautés avec lesquels l’utilisateur interagit le plus.

Discord invite à vérifier dans quel groupe vous avez été placé via l’entrée « Statut du compte » des paramètres utilisateur. Le déploiement est cependant censé s’étaler sur plusieurs jours, ce qui signifie que l’entrée Groupe d’âge n’est pas encore affichée chez tout le monde.

Quid de la vérification ? En février, Discord avait d’abord évoqué un contrôle basé sur une pièce d’identité et une reconnaissance faciale, opéré par un prestataire tiers de type Persona. La plateforme a depuis fait marche arrière, et promet désormais un éventail d’options plus varié.

« Nous avons examiné minutieusement chaque méthode avant de l’approuver, et les données que vous fournissez à Discord et à nos fournisseurs sont utilisées uniquement pour déterminer votre groupe d’âge ; il ne vous reste donc plus qu’à choisir l’option avec laquelle vous êtes le plus à l’aise. »

Plusieurs méthodes de vérification d’âge

Les méthodes proposées sont les suivantes : validation par carte de crédit au travers d’un micro paiement via Stripe et d’une vérification de l’âge du détenteur opérée par le service tiers k-ID ; autorisation du partage de la tranche d’âge via l’App Store d’Apple ou via le Google Play Store, contrôle d’un passe d’identité déjà enregistré dans Google Wallet (non disponible en France) ; ou vérification d’un justificatif d’âge AgeKey.

« En lançant une approche globale avec des options non biométriques, nous prenons de l’avance sur des lois qui pourraient nous imposer de mettre en œuvre une solution moins axée sur la protection de la vie privée. Les décisions que les législateurs et politiques prennent actuellement définiront la manière dont les plateformes avanceront en matière de sécurité des adolescents et de confidentialité pour les années à venir, et j’encourage les gens à faire entendre leur point de vue là où ils vivent », conclut Stanislav Vishnevskiy.

La FAQ qui suit son annonce se veut rassurante pour les utilisateurs allergiques au principe même de vérification d’âge. Pour les comptes classés comme adolescents ou non confirmés, les mesures de protection s’appliquent, mais « l’expérience Discord centrale (envoyer des messages à des amis, rejoindre des appels vocaux ou des serveurs qui ne font pas l’objet d’une restriction d’âge) reste la même ».

Âge déraison

Discord a commencé le déploiement mondial de ses outils de contrôle de l’âge. La plateforme affirme que 90 % des utilisateurs ne seront pas concernés, et promet à ceux qu’elle ne peut pas cataloguer automatiquement comme des adultes plusieurs options de vérification.

Alors que la France et l’Europe affichent publiquement leur intention d’interdire l’accès aux réseaux sociaux aux jeunes publics mineurs, Discord prend les devants. La plateforme vient en effet d’annoncer le début du déploiement de sa propre solution de contrôle de l’âge. La décision avait été annoncée en début d’année, avant qu’une bronca des utilisateurs ne pousse Discord à temporiser de quelques mois.

« Les législateurs d’innombrables pays et États se font entendre et nous disent qu’ils veulent des protections plus solides pour les adolescents, de l’Union européenne à l’Indonésie. À mes yeux, cela rend plus forte que jamais la nécessité de montrer que cela peut être fait dans un cadre qui préserve la confidentialité », justifie Stanislav Vishnevskiy, cofondateur et directeur technique de Discord.

Les utilisateurs classés en trois groupes

Chez Discord, la mesure poursuit officiellement deux objectifs : limiter l’accès aux moins de 13 ans, et protéger les mineurs de 13 à 17 ans de l’exposition à des contenus sensibles ou de sollicitations inappropriées. Pour ce faire, la plateforme indique avoir élaboré un dispositif qui devrait permettre à 90 % de ses utilisateurs de ne pas avoir à justifier de leur âge.

Celui-ci prend la forme d’un outil chargé de catégoriser les utilisateurs en trois groupes : les adultes confirmés, pour qui rien ne change par rapport à l’existant, les adolescents de 13 à 17 ans, et les profils non confirmés, pour lesquels la plateforme n’a pas réussi à trancher. Les internautes placés dans les deux derniers groupes devront montrer patte blanche pour activer ou réactiver l’affichage des contenus protégés sur leur profil et accepter de recevoir des demandes d’inconnus.

Comment s’opère cette classification ? Discord évoque des signaux liés au compte : « depuis quand celui-ci existe, à quels types de serveurs vous appartenez, etc. », tout en assurant qu’aucun serveur individuel ne détermine le groupe d’âge. Elle promet par ailleurs n’examiner ni les messages, ni les appels, « ni aucun autre contenu ».

Une classification confiée à un modèle d’apprentissage automatique

Un billet plus technique décrit la méthode mise en œuvre : basée sur un modèle d’apprentissage automatique, elle étudie plusieurs critères tels que la façon dont le compte s’inscrit dans le graphe social global de Discord, les métadonnées liées au compte, des indicateurs d’engagement, et des signaux relatifs aux communautés avec lesquels l’utilisateur interagit le plus.

Discord invite à vérifier dans quel groupe vous avez été placé via l’entrée « Statut du compte » des paramètres utilisateur. Le déploiement est cependant censé s’étaler sur plusieurs jours, ce qui signifie que l’entrée Groupe d’âge n’est pas encore affichée chez tout le monde.

Quid de la vérification ? En février, Discord avait d’abord évoqué un contrôle basé sur une pièce d’identité et une reconnaissance faciale, opéré par un prestataire tiers de type Persona. La plateforme a depuis fait marche arrière, et promet désormais un éventail d’options plus varié.

« Nous avons examiné minutieusement chaque méthode avant de l’approuver, et les données que vous fournissez à Discord et à nos fournisseurs sont utilisées uniquement pour déterminer votre groupe d’âge ; il ne vous reste donc plus qu’à choisir l’option avec laquelle vous êtes le plus à l’aise. »

Plusieurs méthodes de vérification d’âge

Les méthodes proposées sont les suivantes : validation par carte de crédit au travers d’un micro paiement via Stripe et d’une vérification de l’âge du détenteur opérée par le service tiers k-ID ; autorisation du partage de la tranche d’âge via l’App Store d’Apple ou via le Google Play Store, contrôle d’un passe d’identité déjà enregistré dans Google Wallet (non disponible en France) ; ou vérification d’un justificatif d’âge AgeKey.

« En lançant une approche globale avec des options non biométriques, nous prenons de l’avance sur des lois qui pourraient nous imposer de mettre en œuvre une solution moins axée sur la protection de la vie privée. Les décisions que les législateurs et politiques prennent actuellement définiront la manière dont les plateformes avanceront en matière de sécurité des adolescents et de confidentialité pour les années à venir, et j’encourage les gens à faire entendre leur point de vue là où ils vivent », conclut Stanislav Vishnevskiy.

La FAQ qui suit son annonce se veut rassurante pour les utilisateurs allergiques au principe même de vérification d’âge. Pour les comptes classés comme adolescents ou non confirmés, les mesures de protection s’appliquent, mais « l’expérience Discord centrale (envoyer des messages à des amis, rejoindre des appels vocaux ou des serveurs qui ne font pas l’objet d’une restriction d’âge) reste la même ».

Mise à jour du 6 octobre 2026 à 14h42. Prévu pour demain, l’examen du projet de loi résilience des infrastructures critiques (NIS2, REC et DORA) est de nouveau repoussé. La décision a été actée lors de la conférence des présidents ce mardi 6 octobre. La raison tient officiellement au calendrier chargé, notamment avec la loi intégrale contre les violences sexistes et sexuelles.

« J’ai bon espoir qu’on pourra réinscrire le texte d’ici quinze jours ou trois semaines », explique Éric Bothorel, rapporteur du projet de loi, à notre consœur de Projet Arcardie. Aucune date n’est pour le moment arrêtée.

Article original du 22 septembre. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité est programmé à l’Assemblée nationale à partir du mercredi 7 octobre 2026. Il s’agit, pour rappel, de transposer en France les directives européennes NIS2, DORA et REC.

• Cybersécurité : la transposition de NIS2 continue de traîner des pieds

La France est largement en retard sur le calendrier puisque la date limite était fixée au 17 octobre 2024. Avec la dissolution de l’Assemblée nationale le 9 juin 2024, le texte n’était plus la priorité du moment. Début 2025, la transposition passait l’étape du Sénat.

Le texte était ensuite bloqué à cause « d’un point de clivage politique : l’article 16 bis, introduit au Sénat », comme l’expliquait la Commission supérieure du numérique et des postes (CSNP). Le texte a été adopté en commission spéciale en septembre 2025 et attend sagement depuis.

L’article 16 bis est le suivant :

« Il ne peut être imposé aux fournisseurs de services de chiffrement, y compris aux prestataires de services de confiance qualifiés, l’intégration de dispositifs techniques visant à affaiblir volontairement la sécurité des systèmes d’information et des communications électroniques tels que des clés de déchiffrement maîtresses ou tout autre mécanisme ou processus permettant un accès non consenti aux données protégées ».

La CSNP espérait « un examen du texte en juillet 2026, et ce sous réserve de la convocation d’une session extraordinaire ». Raté, mais cette fois, c’est normalement la bonne : le texte est bien à l’agenda législatif, à partir du mercredi 7 octobre… soit deux ans après que le « Gouvernement a engagé la procédure accélérée sur ce texte le mardi 15 octobre 2024 ».

L’article 16 bis devrait de nouveau faire parler de lui…

Mise à jour du 6 octobre 2026 à 14h42. Prévu pour demain, l’examen du projet de loi résilience des infrastructures critiques (NIS2, REC et DORA) est de nouveau repoussé. La décision a été actée lors de la conférence des présidents ce mardi 6 octobre. La raison tient officiellement au calendrier chargé, notamment avec la loi intégrale contre les violences sexistes et sexuelles.

« J’ai bon espoir qu’on pourra réinscrire le texte d’ici quinze jours ou trois semaines », explique Éric Bothorel, rapporteur du projet de loi, à notre consœur de Projet Arcardie. Aucune date n’est pour le moment arrêtée.

Article original du 22 septembre. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité est programmé à l’Assemblée nationale à partir du mercredi 7 octobre 2026. Il s’agit, pour rappel, de transposer en France les directives européennes NIS2, DORA et REC.

• Cybersécurité : la transposition de NIS2 continue de traîner des pieds

La France est largement en retard sur le calendrier puisque la date limite était fixée au 17 octobre 2024. Avec la dissolution de l’Assemblée nationale le 9 juin 2024, le texte n’était plus la priorité du moment. Début 2025, la transposition passait l’étape du Sénat.

Le texte était ensuite bloqué à cause « d’un point de clivage politique : l’article 16 bis, introduit au Sénat », comme l’expliquait la Commission supérieure du numérique et des postes (CSNP). Le texte a été adopté en commission spéciale en septembre 2025 et attend sagement depuis.

L’article 16 bis est le suivant :

« Il ne peut être imposé aux fournisseurs de services de chiffrement, y compris aux prestataires de services de confiance qualifiés, l’intégration de dispositifs techniques visant à affaiblir volontairement la sécurité des systèmes d’information et des communications électroniques tels que des clés de déchiffrement maîtresses ou tout autre mécanisme ou processus permettant un accès non consenti aux données protégées ».

La CSNP espérait « un examen du texte en juillet 2026, et ce sous réserve de la convocation d’une session extraordinaire ». Raté, mais cette fois, c’est normalement la bonne : le texte est bien à l’agenda législatif, à partir du mercredi 7 octobre… soit deux ans après que le « Gouvernement a engagé la procédure accélérée sur ce texte le mardi 15 octobre 2024 ».

L’article 16 bis devrait de nouveau faire parler de lui…

Le consentement, c'est sexy pourtant !

L’Irlande a proposé de nouvelles modifications au texte européen du « digital omnibus » qui doit « simplifier » le droit numérique européen. Le pays qui préside actuellement le Conseil veut que l’Europe considère comme « légitime » l’entraînement des IA sur les données personnelles ainsi que le dépôt de cookies pour mesurer l’efficacité de la publicité en ligne sans avoir besoin d’obtenir le consentement explicite des utilisateurs.

En prenant la présidence du Conseil de l’Union européenne, l’Irlande a aussi pris en main la rédaction de la proposition du texte « digital omnibus ». Le pays, qui héberge nombre de sièges sociaux européens d’entreprises du numérique, a ajouté au brouillon en cours deux modifications qui permettraient aux entreprises d’IA d’une part et de publicité d’autre part de se passer du consentement explicite des utilisateurs.

Nos confrères de Politico ont obtenu la version du document datée du 3 septembre élaborée par la présidence irlandaise du Conseil de l’UE [PDF].

L’entraînement de l’IA, intérêt légitime ?

L'autorité irlandaise de protection des données inflige 403 millions d'euros d'amende à Google pour sa gestion des données de localisation. Une sanction annoncée ce lundi 21 septembre, au terme de six ans d'enquête.

Un suivi à la trace qui coûte cher

Google essuie une nouvelle amende en Europe. La Commission à la protection des données irlandaise inflige une sanction financière de 403 millions d’euros au géant du web pour infraction au RGPD. Le régulateur ordonne également à l’entreprise de se conformer au règlement européen sur la protection des données dans les six mois.

La Commission à la protection des données irlandaise (DPC) n’a pas peur des gros chiffres. En 2023, elle infligeait une amende record de 1,2 milliard d’euros à Meta pour infraction au RGPD. Rebelote aujourd’hui, cette fois contre Google qui écope donc d’une douloureuse de 403 millions.

La DPC remonte la piste de Google

En sa qualité d’autorité de contrôle pour Google (le siège européen du groupe est installé en Irlande), la DPC menait l’enquête depuis début 2020. Deux ans plus tôt, des plaintes avaient été déposées par huit organisations de défense des consommateurs regroupées au sein du BEUC (Bureau européen des unions de consommateurs).

La décision de la DPC était donc attendue depuis un bon moment. Elle porte sur le traitement des données de localisation dans trois fonctions spécifiques : l’activité sur le web et les applications (historique de navigation, recherches et certaines données de localisation), l’historique de localisation (enregistrement des lieux visités et déplacements de l’utilisateur) et la précision de la localisation (amélioration de la géolocalisation de l’appareil au-delà des seules données GPS). Le tout sur la période comprise entre la mise en œuvre du RGPD en mai 2018 et février 2020.

Google a enfreint le règlement européen sur ces trois points. En ce qui concerne l’activité sur le web et les apps, ainsi que sur l’historique de localisation, l’entreprise a traité les données de localisation sans fondement juridique valable, et d’une manière déloyale envers les utilisateurs. Google a aussi démontré son incapacité à prouver que les données personnelles recueillies par la fonctionnalité de précision de la localisation étaient traitées légalement, loyalement et en toute transparence.

La DPC a également conclu que le groupe n’a pas respecté ses obligations de transparence concernant les trois fonctions en question, et qu’il a enfreint les principes de conservation des données de localisation pour les fonctionnalités d’activité sur le web et les apps, ainsi que pour l’historique de localisation.

Une décision longue à venir

« Les données de localisation peuvent être extrêmement sensibles, car elles révèlent beaucoup de choses sur notre vie privée : l’école fréquentée par nos enfants, le nombre de visites d’une personne à l’hôpital, voire ses lieux de culte. Il s’agit d’une pratique extrêmement intrusive, qui porte atteinte au droit fondamental à la vie privée et enfreint le RGPD », rappelle Agustín Reyna, directeur général du BEUC.

Ce dernier se réjouit de la décision de la DPC, mais regrette « le temps nécessaire pour parvenir à cette conclusion » jugé « disproportionné au regard de la gravité de l’infraction ». Pour Agustín Reyna, « Une application tardive de la loi peut être aussi préjudiciable qu’une absence totale d’application. Les droits fondamentaux des consommateurs doivent être protégés plus rapidement et plus efficacement. »

Google a maintenant six mois pour se mettre en règle… même si cela semble déjà être le cas. L’entreprise a en effet rappelé à Bloomberg que le dossier porte sur d’anciennes règles de confidentialité mises à jour depuis. « Depuis 2019, nous avons considérablement fait évoluer nos pratiques et lancé des outils performants qui simplifient la gestion des données de localisation », ajoute-t-elle.

Dix organisations membres du BEUC, dont Que Choisir Ensemble (à l’époque, UFC-Que Choisir) ont déposé une seconde plainte contre Google en 2022. Elle porte sur la manière dont le groupe pousse les utilisateurs, lors de la création d’un compte, à accepter une collecte et une exploitation étendues de leurs données personnelles via des méthodes d’interfaces manipulatrices (dark patterns). La DPC a ouvert une enquête en 2023.

• 890 millions d’euros d’amende : Google sanctionné deux fois par Bruxelles

Un suivi à la trace qui coûte cher

Google essuie une nouvelle amende en Europe. La Commission à la protection des données irlandaise inflige une sanction financière de 403 millions d’euros au géant du web pour infraction au RGPD. Le régulateur ordonne également à l’entreprise de se conformer au règlement européen sur la protection des données dans les six mois.

La Commission à la protection des données irlandaise (DPC) n’a pas peur des gros chiffres. En 2023, elle infligeait une amende record de 1,2 milliard d’euros à Meta pour infraction au RGPD. Rebelote aujourd’hui, cette fois contre Google qui écope donc d’une douloureuse de 403 millions.

La DPC remonte la piste de Google

En sa qualité d’autorité de contrôle pour Google (le siège européen du groupe est installé en Irlande), la DPC menait l’enquête depuis début 2020. Deux ans plus tôt, des plaintes avaient été déposées par huit organisations de défense des consommateurs regroupées au sein du BEUC (Bureau européen des unions de consommateurs).

La décision de la DPC était donc attendue depuis un bon moment. Elle porte sur le traitement des données de localisation dans trois fonctions spécifiques : l’activité sur le web et les applications (historique de navigation, recherches et certaines données de localisation), l’historique de localisation (enregistrement des lieux visités et déplacements de l’utilisateur) et la précision de la localisation (amélioration de la géolocalisation de l’appareil au-delà des seules données GPS). Le tout sur la période comprise entre la mise en œuvre du RGPD en mai 2018 et février 2020.

Google a enfreint le règlement européen sur ces trois points. En ce qui concerne l’activité sur le web et les apps, ainsi que sur l’historique de localisation, l’entreprise a traité les données de localisation sans fondement juridique valable, et d’une manière déloyale envers les utilisateurs. Google a aussi démontré son incapacité à prouver que les données personnelles recueillies par la fonctionnalité de précision de la localisation étaient traitées légalement, loyalement et en toute transparence.

La DPC a également conclu que le groupe n’a pas respecté ses obligations de transparence concernant les trois fonctions en question, et qu’il a enfreint les principes de conservation des données de localisation pour les fonctionnalités d’activité sur le web et les apps, ainsi que pour l’historique de localisation.

Une décision longue à venir

« Les données de localisation peuvent être extrêmement sensibles, car elles révèlent beaucoup de choses sur notre vie privée : l’école fréquentée par nos enfants, le nombre de visites d’une personne à l’hôpital, voire ses lieux de culte. Il s’agit d’une pratique extrêmement intrusive, qui porte atteinte au droit fondamental à la vie privée et enfreint le RGPD », rappelle Agustín Reyna, directeur général du BEUC.

Ce dernier se réjouit de la décision de la DPC, mais regrette « le temps nécessaire pour parvenir à cette conclusion » jugé « disproportionné au regard de la gravité de l’infraction ». Pour Agustín Reyna, « Une application tardive de la loi peut être aussi préjudiciable qu’une absence totale d’application. Les droits fondamentaux des consommateurs doivent être protégés plus rapidement et plus efficacement. »

Google a maintenant six mois pour se mettre en règle… même si cela semble déjà être le cas. L’entreprise a en effet rappelé à Bloomberg que le dossier porte sur d’anciennes règles de confidentialité mises à jour depuis. « Depuis 2019, nous avons considérablement fait évoluer nos pratiques et lancé des outils performants qui simplifient la gestion des données de localisation », ajoute-t-elle.

Dix organisations membres du BEUC, dont Que Choisir Ensemble (à l’époque, UFC-Que Choisir) ont déposé une seconde plainte contre Google en 2022. Elle porte sur la manière dont le groupe pousse les utilisateurs, lors de la création d’un compte, à accepter une collecte et une exploitation étendues de leurs données personnelles via des méthodes d’interfaces manipulatrices (dark patterns). La DPC a ouvert une enquête en 2023.

• 890 millions d’euros d’amende : Google sanctionné deux fois par Bruxelles

Lunettes trop connectées ?

Les lunettes connectées de Meta sont de plus en plus utilisées à travers le monde mais aussi de plus en plus décriées. Aux États-Unis, des dizaines de personnes se sont jointes à une class action contre Meta accusée notamment d’avoir envoyé des scènes d’intimité sur ses serveurs et à un sous-traitant sans leur consentement.

Alors que de partout les lunettes Meta et leurs utilisateurs sont critiqués, une plainte vient unifier, aux États-Unis, les personnes qui dénoncent l’atteinte à leur intimité de la part de Meta. Elles accusent l’entreprise de Mark Zuckerberg d’avoir notamment transféré de manière problématique des photos et vidéos captées par une de ses paires de lunettes connectées.

En début d’année, des journalistes suédois ont montré que certaines scènes de la vie courante et parfois intime de porteurs de lunettes Meta et de leurs proches étaient envoyées sur les serveurs de Meta puis parfois à un de ses sous-traitants kényans pour analyse.

Ce sous-traitant, nommé Sama, est connu pour faire partie des entreprises africaines qui traitent les données des entreprises de la Silicon Valley pour toutes les tâches de modération et d’étiquetage (tâche qui permet d’améliorer les modèles).

À l’époque, l’eurodéputé du Parti social-démocrate suédois Adnan Dibrani avait soulevé des questions sur le sujet devant la Commission européenne. Mais de l’autre côté de l’Atlantique, cette enquête a aussi inquiété plusieurs acheteurs de lunettes Meta qui ont monté différents dossiers juridiques.

Plus de 70 utilisateurs de lunettes Meta se rassemblent pour porter plainte

Fin août, plus de 70 d’entre eux ont finalement fusionné leurs plaintes dans une class action déposée devant un tribunal fédéral de Californie du Nord, a appris le Los Angeles Times.

Le document de 230 pages [PDF] s’appuie sur l’enquête de nos confrères et consœurs suédois pour accuser Meta d’envoyer sur ses serveurs les données que les utilisateurs font transférer des lunettes à leur smartphone. Et ce, en temps réel et qu’ils aient activé ou non la fonction « cloud media » (qui permet de sauvegarder sur le cloud de Meta).

La plainte évoque l’envoi par Meta de données à Sama pour que des employés de ce sous-traitant les vérifient. « Meta a transmis à des annotateurs tiers travaillant pour Sama des données à caractère personnel, notamment des images et des enregistrements audio représentant des situations privées et des activités personnelles dont l’utilisateur plaignant pouvait raisonnablement s’attendre à ce qu’elles restent privées », affirme le document.

Des scènes privées envoyées automatiquement

Mais la plainte contient aussi des témoignages des différents utilisateurs portant plainte. Ainsi, l’un d’entre eux affirme que ses lunettes ont enregistré à son insu des membres de sa famille dans la salle de bain alors qu’il les avait laissées sur une étagère : « Il a remarqué que, parfois, des photos de membres de sa famille dans la salle de bain et en train de se laver commençaient à apparaître dans sa galerie – des images que personne dans son foyer n’avait l’intention de prendre ».

Un autre témoigne que les lunettes qu’il a achetées « se déclenchaient par erreur deux fois par jour ». « Meta a capturé, transmis et acheminé vers Sama les images et les enregistrements audio capturés par les lunettes [de ce plaignant], qui montraient des situations privées et des activités personnelles dont il pouvait raisonnablement s’attendre à ce qu’elles restent privées », décrit le document au milieu de l’évocation de plus d’une quarantaine d’autres cas.

Les avocats soulignent que la communication de Meta est pourtant très rassurante, notamment depuis 2025, martelant que ses lunettes sont « conçues pour préserver votre vie privée, sous votre contrôle ». « Mark Zuckerberg a lui-même insisté sur ce message clé, soulignant qu’il était d’une « importance capitale » de « donner aux utilisateurs le contrôle » sur ce que les lunettes enregistrent et conservent », ajoutent-ils. Pour eux, cette insistance sur la protection de la vie privée des utilisateurs a permis à Meta de passer de 2 millions de ventes de lunettes sur 2023 et 2024 réunies à 7 millions pour la seule année de 2025.

« Ces promesses étaient fausses. Les lunettes enregistrent en silence, avec des indicateurs difficiles à voir et facilement masqués », constatent-ils.

« Si vous utilisez Meta AI, nous pouvons être amenés à examiner ces données afin d’améliorer nos produits et l’expérience utilisateur – cela fonctionne de la même manière que dans de nombreuses autres entreprises. Nous prenons des mesures pour filtrer ces données afin de supprimer les informations permettant d’identifier les utilisateurs et de protéger leur vie privée », a commenté Meta dans une déclaration envoyée au Los Angeles Times.

Lunettes trop connectées ?

Les lunettes connectées de Meta sont de plus en plus utilisées à travers le monde mais aussi de plus en plus décriées. Aux États-Unis, des dizaines de personnes se sont jointes à une class action contre Meta accusée notamment d’avoir envoyé des scènes d’intimité sur ses serveurs et à un sous-traitant sans leur consentement.

Alors que de partout les lunettes Meta et leurs utilisateurs sont critiqués, une plainte vient unifier, aux États-Unis, les personnes qui dénoncent l’atteinte à leur intimité de la part de Meta. Elles accusent l’entreprise de Mark Zuckerberg d’avoir notamment transféré de manière problématique des photos et vidéos captées par une de ses paires de lunettes connectées.

En début d’année, des journalistes suédois ont montré que certaines scènes de la vie courante et parfois intime de porteurs de lunettes Meta et de leurs proches étaient envoyées sur les serveurs de Meta puis parfois à un de ses sous-traitants kényans pour analyse.

Ce sous-traitant, nommé Sama, est connu pour faire partie des entreprises africaines qui traitent les données des entreprises de la Silicon Valley pour toutes les tâches de modération et d’étiquetage (tâche qui permet d’améliorer les modèles).

À l’époque, l’eurodéputé du Parti social-démocrate suédois Adnan Dibrani avait soulevé des questions sur le sujet devant la Commission européenne. Mais de l’autre côté de l’Atlantique, cette enquête a aussi inquiété plusieurs acheteurs de lunettes Meta qui ont monté différents dossiers juridiques.

Plus de 70 utilisateurs de lunettes Meta se rassemblent pour porter plainte

Fin août, plus de 70 d’entre eux ont finalement fusionné leurs plaintes dans une class action déposée devant un tribunal fédéral de Californie du Nord, a appris le Los Angeles Times.

Le document de 230 pages [PDF] s’appuie sur l’enquête de nos confrères et consœurs suédois pour accuser Meta d’envoyer sur ses serveurs les données que les utilisateurs font transférer des lunettes à leur smartphone. Et ce, en temps réel et qu’ils aient activé ou non la fonction « cloud media » (qui permet de sauvegarder sur le cloud de Meta).

La plainte évoque l’envoi par Meta de données à Sama pour que des employés de ce sous-traitant les vérifient. « Meta a transmis à des annotateurs tiers travaillant pour Sama des données à caractère personnel, notamment des images et des enregistrements audio représentant des situations privées et des activités personnelles dont l’utilisateur plaignant pouvait raisonnablement s’attendre à ce qu’elles restent privées », affirme le document.

Des scènes privées envoyées automatiquement

Mais la plainte contient aussi des témoignages des différents utilisateurs portant plainte. Ainsi, l’un d’entre eux affirme que ses lunettes ont enregistré à son insu des membres de sa famille dans la salle de bain alors qu’il les avait laissées sur une étagère : « Il a remarqué que, parfois, des photos de membres de sa famille dans la salle de bain et en train de se laver commençaient à apparaître dans sa galerie – des images que personne dans son foyer n’avait l’intention de prendre ».

Un autre témoigne que les lunettes qu’il a achetées « se déclenchaient par erreur deux fois par jour ». « Meta a capturé, transmis et acheminé vers Sama les images et les enregistrements audio capturés par les lunettes [de ce plaignant], qui montraient des situations privées et des activités personnelles dont il pouvait raisonnablement s’attendre à ce qu’elles restent privées », décrit le document au milieu de l’évocation de plus d’une quarantaine d’autres cas.

Les avocats soulignent que la communication de Meta est pourtant très rassurante, notamment depuis 2025, martelant que ses lunettes sont « conçues pour préserver votre vie privée, sous votre contrôle ». « Mark Zuckerberg a lui-même insisté sur ce message clé, soulignant qu’il était d’une « importance capitale » de « donner aux utilisateurs le contrôle » sur ce que les lunettes enregistrent et conservent », ajoutent-ils. Pour eux, cette insistance sur la protection de la vie privée des utilisateurs a permis à Meta de passer de 2 millions de ventes de lunettes sur 2023 et 2024 réunies à 7 millions pour la seule année de 2025.

« Ces promesses étaient fausses. Les lunettes enregistrent en silence, avec des indicateurs difficiles à voir et facilement masqués », constatent-ils.

« Si vous utilisez Meta AI, nous pouvons être amenés à examiner ces données afin d’améliorer nos produits et l’expérience utilisateur – cela fonctionne de la même manière que dans de nombreuses autres entreprises. Nous prenons des mesures pour filtrer ces données afin de supprimer les informations permettant d’identifier les utilisateurs et de protéger leur vie privée », a commenté Meta dans une déclaration envoyée au Los Angeles Times.

Inapte, inepte ?

L’ancien président sénégalais Macky Sall a tenté de faire bloquer, en France, un site opposé à sa candidature au poste de secrétaire général des Nations unies. Le tribunal judiciaire de Paris a rejeté sa demande, estimant qu’il n’y avait ni diffamation caractérisée, en dépit d’accusations graves, ni atteinte au droit à l’image.

Accessible à l’adresse nonamacky.org et décliné en neuf langues, le site en question affirme que les douze années de présidence de Macky Sall se sont traduites par de nombreuses entorses aux droits de l’homme, des excès inconstitutionnels, un recul de la liberté de la presse au Sénégal, et de nombreux scandales de corruption doublés d’une dette cachée.

Se présentant comme une plateforme citoyenne portée par une « coalition » de défenseurs des droits de l’homme, d’experts juridiques et de citoyens, le site s’appuie sur de nombreux articles de presse et rapports d’ONG pour étayer ce qu’il considère comme des « preuves » des manquements de l’ancien président. Il exhorte ses visiteurs à contacter les délégués du Conseil de sécurité de l’ONU.

Demande de blocage sous 48 heures

Entre le 31 mars et le 2 avril, Macky Sall a ainsi assigné Cloudflare (et sa filiale française), Orange, SFR, Free et Bouygues Telecom sur le fondement de l’article 6 - 3 de la loi sur la confiance dans l’économie numérique (LCEN), pour demander le blocage du site sous 48 heures, au motif que ce dernier contient « des accusations particulièrement graves et diffamatoires à son encontre ». Il y ajoute une accusation d’atteinte au droit à l’image en raison de la photo de Une du site : un portrait barré de la mention « Unfit » (inapte).

Régulièrement invoqué dans les procédures de blocage, l’article en question permet pour mémoire au président du tribunal judiciaire de « prescrire à toute personne susceptible d’y contribuer toutes les mesures propres à prévenir un dommage ou à faire cesser un dommage occasionné par le contenu d’un service de communication au public en ligne ».

La démarche n’est pas ordinaire.

Le parquet de Paris a ouvert « au moins » une enquête pénale suite à des plaintes pour harcèlement sexuel impliquant des lunettes connectées, selon Reuters. Ces appareils et leur caméra intégrée auraient été utilisées pour filmer des femmes dans la rue à leur insu. Les vidéos ont ensuite été publiées sur internet, sans le consentement des victimes.

Le parquet ne donne aucun détail supplémentaire, ni la marque des lunettes incriminées. Mais difficile de ne pas songer aux modèles de Ray-Ban de Meta qui ont gagné le surnom peu enviable de « pervert glasses » (« lunettes de pervers »). L’entreprise tente d’éteindre l’incendie provoqué par des harceleurs qui utilisent leurs montures pour « piéger » des femmes et poster leurs exploits en ligne.

• États-Unis, Royaume-Uni, Allemagne : la grogne s’amplifie contre les lunettes Meta

La cellule cybercriminalité du parquet a testé ces appareils « il y a deux semaines » pour déterminer les infractions potentielles rendues possibles par ces lunettes. La CNIL reçoit de plus en plus de demandes d’entreprises souhaitant savoir s’il est possible d’interdire ces appareils sur le lieu de travail. La garante de la protection des données a enregistré une dizaine de plaintes. En mai dernier, la CNIL avait alerté des risques que font peser les lunettes connectées pour la vie privée.

Les lunettes Meta intègrent une diode qui s’allume lorsque la caméra est activée. L’entreprise a renforcé cette protection (et envisage même de lancer des modèles… sans caméra). « Une réaction tardive alors que les risques liés à des lunettes capables de filmer presque à l’insu des personnes auraient dû être anticipés avant leur commercialisation », dénonçait cette semaine e-Enfance, une association de protection de l’enfance sur internet.

« Voir un voyant ne signifie pas consentir à la diffusion de son image. Et encore faut-il le voir, en comprendre la signification et avoir la possibilité de réagir », poursuit l’association. Pour Véronique Béchu, directrice de l’Observatoire de l’Association e-Enfance/3018 : « Il faut aujourd’hui revoir l’encadrement de ces dispositifs dès leur conception. Et quand des créateurs font de l’humiliation d’inconnus leur fonds de commerce, les plateformes doivent appliquer une tolérance zéro et suspendre les comptes récidivistes. »

Le parquet de Paris a ouvert « au moins » une enquête pénale suite à des plaintes pour harcèlement sexuel impliquant des lunettes connectées, selon Reuters. Ces appareils et leur caméra intégrée auraient été utilisées pour filmer des femmes dans la rue à leur insu. Les vidéos ont ensuite été publiées sur internet, sans le consentement des victimes.

Le parquet ne donne aucun détail supplémentaire, ni la marque des lunettes incriminées. Mais difficile de ne pas songer aux modèles de Ray-Ban de Meta qui ont gagné le surnom peu enviable de « pervert glasses » (« lunettes de pervers »). L’entreprise tente d’éteindre l’incendie provoqué par des harceleurs qui utilisent leurs montures pour « piéger » des femmes et poster leurs exploits en ligne.

• États-Unis, Royaume-Uni, Allemagne : la grogne s’amplifie contre les lunettes Meta

La cellule cybercriminalité du parquet a testé ces appareils « il y a deux semaines » pour déterminer les infractions potentielles rendues possibles par ces lunettes. La CNIL reçoit de plus en plus de demandes d’entreprises souhaitant savoir s’il est possible d’interdire ces appareils sur le lieu de travail. La garante de la protection des données a enregistré une dizaine de plaintes. En mai dernier, la CNIL avait alerté des risques que font peser les lunettes connectées pour la vie privée.

Les lunettes Meta intègrent une diode qui s’allume lorsque la caméra est activée. L’entreprise a renforcé cette protection (et envisage même de lancer des modèles… sans caméra). « Une réaction tardive alors que les risques liés à des lunettes capables de filmer presque à l’insu des personnes auraient dû être anticipés avant leur commercialisation », dénonçait cette semaine e-Enfance, une association de protection de l’enfance sur internet.

« Voir un voyant ne signifie pas consentir à la diffusion de son image. Et encore faut-il le voir, en comprendre la signification et avoir la possibilité de réagir », poursuit l’association. Pour Véronique Béchu, directrice de l’Observatoire de l’Association e-Enfance/3018 : « Il faut aujourd’hui revoir l’encadrement de ces dispositifs dès leur conception. Et quand des créateurs font de l’humiliation d’inconnus leur fonds de commerce, les plateformes doivent appliquer une tolérance zéro et suspendre les comptes récidivistes. »

Dehors les moins de 13 ans

La Commission européenne veut interdire les réseaux sociaux aux moins de 13 ans et encadrer leur utilisation jusqu’à 15 ans. Vérification de l’âge, contrôle parental, fin du scroll infini, algorithmes sous surveillance et compagnons IA bridés : l’EU KIDS Act impose aux plateformes de prouver qu’elles sont sûres pour les mineurs.

Après le rapport sur la sécurité des enfants en ligne présenté en juillet, puis le coup de pression d’Emmanuel Macron, la Commission européenne a donc dévoilé l’EU KIDS Act (pour « Keeping Internet Digital Spaces Accountable and Trustworthy »). Interdiction des réseaux sociaux aux moins de 13 ans, âge minimum fixé à 15 ans pour la « majorité numérique », vérification de l’âge…

Le texte est touffu et ne concerne pas que les plateformes de réseaux sociaux : les services de compagnons IA, les jeux en ligne et les boutiques d’applications sont également mis à contribution pour « renforcer la sécurité des enfants en ligne ».

« Aujourd’hui, nos enfants utilisent les technologies les plus sophistiquées jamais créées, des technologies qui n’ont jamais été conçues en tenant compte de leur bien-être », explique Ursula von der Leyen, présidente de la Commission :

« L’EU KIDS Act inverse la charge de la preuve : il appartient désormais aux plateformes de démontrer qu’elles sont sûres dès leur conception ».

La proposition est désormais entre les mains du Parlement européen et du Conseil pour examen. La Commission pousse à une adoption rapide, « compte tenu de la demande manifeste d’une action urgente ».

Pas de compte avant 13 ans, autonomie progressive jusqu’à 15 ans

Le dispositif qui aura le plus d’impact concerne la gradation des accès aux plateformes en fonction de l’âge. Les mineurs entre 3 et 13 ans ne pourront pas créer de compte, donc ils seront dans l’impossibilité d’accéder à un réseau social – à l’exception des plateformes vidéo dédiées aux jeunes enfants via le compte d’un parent. Le tout dans une limite d’une heure par jour, sans flux personnalisé ni recherche de contenus.

Pour les mineurs entre 13 et 15 ans, un système de « mini compte » adossé au compte d’un parent ou d’un tuteur légal leur permettra d’accéder aux plateformes, avec des restrictions : limite d’une heure par jour et accord parental pour les connexions avec d’autres utilisateurs. Au-delà de 15 ans, les jeunes pourront avoir leur propre compte « sur des services qui, selon la loi, doivent être sûrs pour eux. »

Si l’ado a déjà un compte, il reviendra aux plateformes de vérifier si le titulaire a moins de 15 ans et, le cas échéant, désactiver le compte ainsi que ceux dont l’âge ne peut être établi. Le danger ici est que ces mêmes plateformes réclament une vérification de l’âge à l’ensemble des utilisateurs. Selon la Commission, quand il peut être déterminé « avec un degré élevé de certitude » qu’un utilisateur est majeur, aucune vérification ne sera nécessaire. « La plupart des adultes ne remarqueront donc aucun changement », promet encore la proposition.

La vérification de l’âge face au défi de la confidentialité

Ce qui pose la problématique de la vérification de l’âge en elle-même. La procédure devra passer par des « solutions indépendantes certifiées », comme par exemple la fameuse application européenne, « techniquement prête » assurait Bruxelles en avril dernier. Mais pas spécialement sécurisée, ont rapidement relevé des spécialistes. Chaque État membre peut s’emparer du code de l’app pour l’adapter aux spécificités nationales. Ce qui, là aussi, risque de créer des situations où l’app d’un pays sera plus sécurisée que l’app d’un autre pays, en fonction des moyens qui seront investis dans le développement.

Les autres solutions indépendantes ne sont pas nécessairement mieux loties. Il faut d’abord avoir confiance dans la gestion des informations, car leurs systèmes se basent sur des selfies ou la vérification des pièces d’identité. Et ils ne sont pas gages de fiabilité à tous les coups, comme nous avons pu le constater en février dernier pour l’accès aux sites pornos. Il ne fait d’ailleurs guère de doute que les enfants, ces petits diables, sauront trouver des moyens de contourner ces systèmes assez rapidement.

• L’app de vérification d’âge de la Commission européenne présente de « grosses lacunes »
• Un an après, l’efficacité de la vérification d’âge sur les sites pornos reste à prouver

Quoi qu’il en soit, les plateformes ne vérifieront pas les pièces d’identité et n’auront pas accès aux informations personnelles des utilisateurs. Le seul signal qu’elles recevront est : l’utilisateur a-t-il l’âge requis, oui ou non. La loi impose l’utilisation d’une technologie de preuve à divulgation nulle de connaissance, qui ne permet pas d’identifier, de localiser, de suivre ou de nourrir de profil.

La perspective d’une vérification généralisée de l’âge pose de sérieux problèmes de confidentialité. C’est ce qui a motivé une initiative citoyenne européenne, « Stop Killing the Internet », créée par le Parti pirate fin juillet. Elle demande que les citoyens ne soient pas contraints de s’identifier pour accéder à des contenus ou à des services en ligne licites.

L’initiative veut également que la législation garantisse que les systèmes de vérification restent « volontaires, respectueux de la vie privée et non discriminatoires ». La pétition doit recueillir au moins 1 million de signatures de citoyens de l’UE et atteindre un certain seuil dans au moins 7 pays de l’UE pour que la Commission soit tenue d’examiner l’initiative et y répondre officiellement. On en est encore très loin, la pétition flirtant autour des 10 000 signatures actuellement.

La fin annoncée du scroll infini pour les mineurs

Les plateformes ne sont pas au bout de leurs peines, car elles devront également modifier le fonctionnement de leurs applications. Le KIDS Act interdit en effet de concevoir des services encourageant une utilisation « compulsive ou excessive » chez les mineurs. Cela passera par la fin de la lecture automatique en continu et le défilement infini sans véritables pauses. Exit aussi les notifications incitant les jeunes à revenir dans l’app, aux récompenses pour la publication ou la diffusion de contenus, aux mécanismes qui pénalisent les enfants s’ils ne reviennent pas chaque jour.

Les systèmes de recommandation devront également changer en profondeur pour les jeunes utilisateurs. Ainsi, la priorité sera donnée aux contenus que l’enfant a choisi de suivre, et la personnalisation basée sur le suivi sera désactivée par défaut. Par ailleurs, la loi dispose qu’aucune donnée provenant de l’extérieur du service ne peut être utilisée, et qu’aucun mécanisme ne doit entraîner l’utilisateur mineur dans une « spirale de contenus » (« rabbit hole ») toujours plus extrêmes. Les enfants devront aussi disposer d’au moins une option sans aucun profilage.

Autre point important du texte : sans autorisation préalable, personne ne peut envoyer de message à un enfant. Les plateformes ont la responsabilité d’empêcher que le mineur soit manipulé pour donner son autorisation. Il ne doit pas apparaitre dans les suggestions de contact et il ne peut pas être ajouté à des groupes sans leur consentement. Personne ne peut télécharger le contenu publié par les enfants ni en faire de captures d’écran. Enfin, la diffusion en direct est désactivée par défaut pour les mineurs.

Les bots IA et les boutiques d’apps sous surveillance

Des dispositifs sont également prévus pour les compagnons IA et les chatbots accessibles aux mineurs. Ils ne peuvent pas recouvrir à des mécanismes simulant des relations humaines quand ils risquent de créer une dépendance affective. Les bots ne pourront pas exploiter leur mémoire des discussions passées. Les moins de 13 ans sont privés de bots, à moins de passer par des contrôles parentaux ; et ces « compagnons » doivent être « facilement désactivables ».

En ce qui concerne les boutiques de jeux et les jeux en ligne, ils doivent mettre en place une classification par âge pour chaque application (ce qui est déjà le cas sur l’App Store et le Play Store) et prendre en charge l’application européenne de vérification de l’âge pour s’assurer que l’utilisateur a bien l’âge requis.

L’application des différentes mesures KIDS Act passe par les structures de contrôle existantes du règlement sur les services numériques (DSA). Pour les compagnons IA, c’est l’AI Act qui prend la main. Les très grandes plateformes (VLOP) régies par le DSA devront soumettre un plan de conformité au KIDS Act et démontrer qu’elles respecteront l’ensemble de leurs obligations.

Le texte instaure aussi des procédures accélérées à l’encontre des services et plateformes qui ne respecteront pas ces mesures. Les conclusions préliminaires seront publiées dans un délai de 30 jours, et les enquêtes seront conclues sous les 90 jours « car il n’y a pas de temps à perdre », précise le communiqué de la Commission. Les amendes pourront atteindre 6% du chiffre d’affaires annuel mondial.

Dehors les moins de 13 ans

La Commission européenne veut interdire les réseaux sociaux aux moins de 13 ans et encadrer leur utilisation jusqu’à 15 ans. Vérification de l’âge, contrôle parental, fin du scroll infini, algorithmes sous surveillance et compagnons IA bridés : l’EU KIDS Act impose aux plateformes de prouver qu’elles sont sûres pour les mineurs.

Après le rapport sur la sécurité des enfants en ligne présenté en juillet, puis le coup de pression d’Emmanuel Macron, la Commission européenne a donc dévoilé l’EU KIDS Act (pour « Keeping Internet Digital Spaces Accountable and Trustworthy »). Interdiction des réseaux sociaux aux moins de 13 ans, âge minimum fixé à 15 ans pour la « majorité numérique », vérification de l’âge…

Le texte est touffu et ne concerne pas que les plateformes de réseaux sociaux : les services de compagnons IA, les jeux en ligne et les boutiques d’applications sont également mis à contribution pour « renforcer la sécurité des enfants en ligne ».

« Aujourd’hui, nos enfants utilisent les technologies les plus sophistiquées jamais créées, des technologies qui n’ont jamais été conçues en tenant compte de leur bien-être », explique Ursula von der Leyen, présidente de la Commission :

« L’EU KIDS Act inverse la charge de la preuve : il appartient désormais aux plateformes de démontrer qu’elles sont sûres dès leur conception ».

La proposition est désormais entre les mains du Parlement européen et du Conseil pour examen. La Commission pousse à une adoption rapide, « compte tenu de la demande manifeste d’une action urgente ».

Pas de compte avant 13 ans, autonomie progressive jusqu’à 15 ans

Le dispositif qui aura le plus d’impact concerne la gradation des accès aux plateformes en fonction de l’âge. Les mineurs entre 3 et 13 ans ne pourront pas créer de compte, donc ils seront dans l’impossibilité d’accéder à un réseau social – à l’exception des plateformes vidéo dédiées aux jeunes enfants via le compte d’un parent. Le tout dans une limite d’une heure par jour, sans flux personnalisé ni recherche de contenus.

Pour les mineurs entre 13 et 15 ans, un système de « mini compte » adossé au compte d’un parent ou d’un tuteur légal leur permettra d’accéder aux plateformes, avec des restrictions : limite d’une heure par jour et accord parental pour les connexions avec d’autres utilisateurs. Au-delà de 15 ans, les jeunes pourront avoir leur propre compte « sur des services qui, selon la loi, doivent être sûrs pour eux. »

Si l’ado a déjà un compte, il reviendra aux plateformes de vérifier si le titulaire a moins de 15 ans et, le cas échéant, désactiver le compte ainsi que ceux dont l’âge ne peut être établi. Le danger ici est que ces mêmes plateformes réclament une vérification de l’âge à l’ensemble des utilisateurs. Selon la Commission, quand il peut être déterminé « avec un degré élevé de certitude » qu’un utilisateur est majeur, aucune vérification ne sera nécessaire. « La plupart des adultes ne remarqueront donc aucun changement », promet encore la proposition.

La vérification de l’âge face au défi de la confidentialité

Ce qui pose la problématique de la vérification de l’âge en elle-même. La procédure devra passer par des « solutions indépendantes certifiées », comme par exemple la fameuse application européenne, « techniquement prête » assurait Bruxelles en avril dernier. Mais pas spécialement sécurisée, ont rapidement relevé des spécialistes. Chaque État membre peut s’emparer du code de l’app pour l’adapter aux spécificités nationales. Ce qui, là aussi, risque de créer des situations où l’app d’un pays sera plus sécurisée que l’app d’un autre pays, en fonction des moyens qui seront investis dans le développement.

Les autres solutions indépendantes ne sont pas nécessairement mieux loties. Il faut d’abord avoir confiance dans la gestion des informations, car leurs systèmes se basent sur des selfies ou la vérification des pièces d’identité. Et ils ne sont pas gages de fiabilité à tous les coups, comme nous avons pu le constater en février dernier pour l’accès aux sites pornos. Il ne fait d’ailleurs guère de doute que les enfants, ces petits diables, sauront trouver des moyens de contourner ces systèmes assez rapidement.

• L’app de vérification d’âge de la Commission européenne présente de « grosses lacunes »
• Un an après, l’efficacité de la vérification d’âge sur les sites pornos reste à prouver

Quoi qu’il en soit, les plateformes ne vérifieront pas les pièces d’identité et n’auront pas accès aux informations personnelles des utilisateurs. Le seul signal qu’elles recevront est : l’utilisateur a-t-il l’âge requis, oui ou non. La loi impose l’utilisation d’une technologie de preuve à divulgation nulle de connaissance, qui ne permet pas d’identifier, de localiser, de suivre ou de nourrir de profil.

La perspective d’une vérification généralisée de l’âge pose de sérieux problèmes de confidentialité. C’est ce qui a motivé une initiative citoyenne européenne, « Stop Killing the Internet », créée par le Parti pirate fin juillet. Elle demande que les citoyens ne soient pas contraints de s’identifier pour accéder à des contenus ou à des services en ligne licites.

L’initiative veut également que la législation garantisse que les systèmes de vérification restent « volontaires, respectueux de la vie privée et non discriminatoires ». La pétition doit recueillir au moins 1 million de signatures de citoyens de l’UE et atteindre un certain seuil dans au moins 7 pays de l’UE pour que la Commission soit tenue d’examiner l’initiative et y répondre officiellement. On en est encore très loin, la pétition flirtant autour des 10 000 signatures actuellement.

La fin annoncée du scroll infini pour les mineurs

Les plateformes ne sont pas au bout de leurs peines, car elles devront également modifier le fonctionnement de leurs applications. Le KIDS Act interdit en effet de concevoir des services encourageant une utilisation « compulsive ou excessive » chez les mineurs. Cela passera par la fin de la lecture automatique en continu et le défilement infini sans véritables pauses. Exit aussi les notifications incitant les jeunes à revenir dans l’app, aux récompenses pour la publication ou la diffusion de contenus, aux mécanismes qui pénalisent les enfants s’ils ne reviennent pas chaque jour.

Les systèmes de recommandation devront également changer en profondeur pour les jeunes utilisateurs. Ainsi, la priorité sera donnée aux contenus que l’enfant a choisi de suivre, et la personnalisation basée sur le suivi sera désactivée par défaut. Par ailleurs, la loi dispose qu’aucune donnée provenant de l’extérieur du service ne peut être utilisée, et qu’aucun mécanisme ne doit entraîner l’utilisateur mineur dans une « spirale de contenus » (« rabbit hole ») toujours plus extrêmes. Les enfants devront aussi disposer d’au moins une option sans aucun profilage.

Autre point important du texte : sans autorisation préalable, personne ne peut envoyer de message à un enfant. Les plateformes ont la responsabilité d’empêcher que le mineur soit manipulé pour donner son autorisation. Il ne doit pas apparaitre dans les suggestions de contact et il ne peut pas être ajouté à des groupes sans leur consentement. Personne ne peut télécharger le contenu publié par les enfants ni en faire de captures d’écran. Enfin, la diffusion en direct est désactivée par défaut pour les mineurs.

Les bots IA et les boutiques d’apps sous surveillance

Des dispositifs sont également prévus pour les compagnons IA et les chatbots accessibles aux mineurs. Ils ne peuvent pas recouvrir à des mécanismes simulant des relations humaines quand ils risquent de créer une dépendance affective. Les bots ne pourront pas exploiter leur mémoire des discussions passées. Les moins de 13 ans sont privés de bots, à moins de passer par des contrôles parentaux ; et ces « compagnons » doivent être « facilement désactivables ».

En ce qui concerne les boutiques de jeux et les jeux en ligne, ils doivent mettre en place une classification par âge pour chaque application (ce qui est déjà le cas sur l’App Store et le Play Store) et prendre en charge l’application européenne de vérification de l’âge pour s’assurer que l’utilisateur a bien l’âge requis.

L’application des différentes mesures KIDS Act passe par les structures de contrôle existantes du règlement sur les services numériques (DSA). Pour les compagnons IA, c’est l’AI Act qui prend la main. Les très grandes plateformes (VLOP) régies par le DSA devront soumettre un plan de conformité au KIDS Act et démontrer qu’elles respecteront l’ensemble de leurs obligations.

Le texte instaure aussi des procédures accélérées à l’encontre des services et plateformes qui ne respecteront pas ces mesures. Les conclusions préliminaires seront publiées dans un délai de 30 jours, et les enquêtes seront conclues sous les 90 jours « car il n’y a pas de temps à perdre », précise le communiqué de la Commission. Les amendes pourront atteindre 6% du chiffre d’affaires annuel mondial.

Webkriminalamt

Des enquêteurs de la douane et de la police allemande accèdent régulièrement à des communications échangées sur les applications de messagerie WhatsApp, Telegram, Threema et Signal sans avoir besoin de recourir à des chevaux de Troie gouvernementaux.

Auditionné à l’Assemblée nationale, Gérald Darmanin avait révélé un « truc » utilisé par les autorités pour accéder aux messageries chiffrées de personnes radicalisées. Alors ministre de l’Intérieur, il soulignait que « l’utilisation des messageries des réseaux sociaux par des terroristes est très inquiétante », ce qui expliquait l’explosion de perquisitions (rebaptisées « visites domiciliaires ») et de saisies suite à l’assassinat de Samuel Paty, respectivement passées de 25 à 277 (soit + 1 108 %), et de 14 à 141 (+ 1 007 %) en l’espace de quelques mois :

« Leur objet était de consulter, sur des tablettes, des ordinateurs et des téléphones tenus cachés, les messages qui ne pouvaient pas être écoutés à distance, parce qu’ils avaient été échangés sur les nouveaux types de messagerie que j’ai évoqués tout à l’heure. »

En l’espèce, ces visites auraient « permis d’ouvrir nombre de procédures judiciaires », mais sans que le ministre ne précise pour autant combien l’auraient été suite à la découverte de « messages qui ne pouvaient pas être écoutés à distance ».

• L’astuce qui permet à l’anti-terrorisme de consulter des centaines de messageries chiffrées

Truc n°1 : associer le compte suspect à l’ordinateur des enquêteurs

Netzpolitik vient pour sa part de révéler un autre « truc » utilisé par les enquêteurs de la douane allemande. Pour parvenir à accéder aux messageries chiffrées, ces derniers ne recourent eux non plus à aucune technologie sophistiquée, mais à une forme d’ingénierie sociale.

Il donne l’exemple d’un couple s’étant rendu au commissariat pour témoigner au sujet de leur fille. Souhaitant pouvoir consulter les messages WhatsApp échangés avec elle, les enquêteurs leur ont demandé de déverrouiller leurs téléphones portables et de leur montrer les messages en question, afin de pouvoir en faire des captures d’écran.

Ayant accès à leur messagerie WhatsApp, les enquêteurs ont ensuite, à l’insu des parents, activé la fonctionnalité permettant de l’associer à un nouvel appareil, afin d’y connecter leur propre ordinateur. WhatsApp, Telegram et Threema permettent en effet de synchroniser son compte avec leurs applications web, Signal proposant de son côté un client dédié, afin d’y accéder depuis un ordinateur, en sus de son téléphone.

Après avoir lancé l’application web sur leur ordinateur, il a suffi aux enquêteurs de scanner le QR Code depuis le compte WhatsApp du portable des parents pour avoir accès à l’intégralité de leurs échanges, passés et à venir.

Un site web dédié permettant aux policiers d’accéder aux messageries dupliquées

Un document de l’Office des enquêtes criminelles des douanes (Zollkriminalamt) auquel Netzpolitik a eu accès décrit cette forme de surveillance des messageries instantanées comme un moyen « d’enregistrer les données échangées via les messageries instantanées sans avoir à infiltrer le système informatique avec un logiciel de surveillance (interception à la source) ».