42 est toujours la réponse, de toute façon

En mai dernier, OpenAI a annoncé qu’un de ses modèles internes a résolu un des problèmes d’Erdős. De l’extérieur, ça semble impressionnant. L’est-ce vraiment et quelles sont les éventuelles conséquences pour le milieu de la recherche en mathématiques ? Next a voulu en savoir plus en interrogeant la mathématicienne Viviane Pons et son confrère David Madore.

Les entreprises d’IA générative veulent absolument nous convaincre depuis quelque temps déjà que leurs modèles ont le niveau d’un chercheur. Ainsi, en novembre dernier, OpenAI le clamait à propos de GPT-5 censé avoir, par exemple, trouvé des solutions à 10 problèmes posés par le mathématicien Paul Erdős, résultats largement gonflés par l’entreprise.

L’entreprise est revenue à la charge et, le 20 mai, elle annonçait cette fois qu’un de ses modèles internes avait résolu l’un des problèmes d’Erdős (celui des distances unitaires, numéroté 90). Puis d’autres résolutions ont été annoncées. Avec les premières annonces d’OpenAI, on était en droit de se poser la question de la réalité de ces résolutions, de la capacité des IA génératives à proposer des solutions à des problèmes mathématiques que les chercheurs de la discipline n’avaient pas encore résolus.

En parallèle de la publication de la preuve d’OpenAI, le même jour, neuf mathématiciens et mathématiciennes mettaient en ligne sur la plateforme de prépublication arXiv leurs remarques sur le sujet, validant la preuve au passage. « Il ne faut pas négliger un aspect de cette démonstration : si la démonstration initiale produite par l’IA était tout à fait valide, elle a été considérablement améliorée par les chercheurs humains d’OpenAI et les nombreux autres mathématiciens ayant participé à cet article », y explique Thomas Bloom, mathématicien de l’université de Manchester.

« Il est facile de tirer des conclusions hâtives, mais ce que cette avancée nous apprend sur les humains, l’IA et les mathématiques est assez subtil », estime de son côté Melanie Matchett Wood, professeur de mathématiques à Harvard. « Je pense que si le niveau et le type d’expertise humaine représentés dans cette note avaient été mobilisés il y a un mois pour trouver un contre-exemple à cette conjecture, et si ces personnes y avaient consacré autant de temps qu’elles en ont passé à lire et à réfléchir à la solution proposée par ChatGPT, les mathématiciens auraient trouvé un contre-exemple », ajoute-t-elle.

Une résolution indiscutable

« C’est indiscutable que des problèmes d’Erdős ont été résolus par des IA génératives », nous confirme de son côté David Madore, maître de conférences en mathématiques à Télécom ParisTech. « Au début, les premières annonces étaient très exagérées, les IA avaient trouvé une résolution qui existait déjà dans la littérature. C’était déjà quelque-chose qui n’est pas négligeable. Mais ces derniers temps, le rôle qu’a joué l’IA générative a augmenté dans la résolution de ces problèmes ».

Sans vouloir trop minimiser l’annonce d’OpenAI, David Madore explique que « les problèmes d’Erdős sont généralement des problèmes assez élémentaires, ce qui ne veut pas dire qu’ils sont faciles, mais que les outils qui sont nécessaires pour les énoncer et les définitions qui sont nécessaires pour poser le problème ne sont pas très sophistiqués ».

Le mathématicien fait remarquer que le modèle utilisé par OpenAI pour la résolution du problème est un modèle interne dont on ne connaît pas les caractéristiques et que l’entreprise n’a pas rendu public le temps de calculs qui lui a fallu. « Mais ils ont résolu l’un des problèmes d’Erdős les plus importants de façon essentiellement autonome par une IA générative », admet-il, confirmant un certain niveau des mathématiques présentées tout en ajoutant que « ce n’est pas le Saint Graal des mathématiques ».

« Il y a eu quelques résultats impressionnants, comme avec les problèmes d’Erdős. Mais il y a aussi eu plein d’autres problèmes qu’on lui a donnés sur lesquels ça ne fonctionne pas », ajoute Viviane Pons, maîtresse de conférences à l’université Paris-Saclay (la chercheuse n’utilise pas l’IA générative pour des raisons éthiques et écologiques).

La communauté des maths partagée sur le sujet

Cette découverte est-elle la face émergée de l’iceberg concernant un changement de méthode récent dans la discipline ? À l’heure actuelle, les IA génératives jouent-elles un rôle important dans la recherche en mathématique ? « Moi, je dirais non », estime David Madore, « elle joue un rôle qui est en train de croître, il y a des collègues qui s’en servent, mais il y a aussi des collègues qui trouvent qu’elles sont complètement inutiles et pour l’instant la raison pour laquelle leurs avis divergent n’est pas claire : est-ce que ça dépend du domaine, de la manière dont on interroge l’IA générative ou de l’IA qu’on interroge ? ». Le sujet de l’utilisation dans les mathématiques fait actuellement débat au sein de cette communauté.

La Cour de justice de l’Union européenne (CJUE) a annoncé [PDF] avoir validé l’amende de 4,1 milliards d’euros qui avait été infligée à Google pour abus de position dominante. L’entreprise avait été accusée par la Commission européenne d’imposer son moteur de recherche sur Android.

D’une hauteur initiale de 4,3 milliards d’euros, la somme avait été revue par le Tribunal de l’Union européenne à 4,1 milliards. Google avait formé un pourvoi devant la CJUE et l’année dernière, l’avocate générale (Juliane Kokott) avait proposé à la Cour de « rejeter le pourvoi formé par Google et de confirmer ainsi l’arrêt du Tribunal ».

Un an après, la Cour a donc suivi son avis et a rejeté le pourvoi formé par Google. Dans son arrêt, elle estime que « le Tribunal n’a commis aucune erreur de droit en appréciant les effets anticoncurrentiels des conditions de préinstallation prévues par les accords Android », comme l’explique la CJUE dans son communiqué.

Et elle ajoute que le Tribunal ne s’est pas trompé non plus en confirmant « l’appréciation de la Commission relative aux conditions de préinstallation prévues par les accords Android ». « La démonstration d’un abus de position dominante n’est pas subordonnée, dans tous les cas, à la preuve d’une capacité à évincer uniquement des concurrents aussi efficaces », ajoute-t-elle dans son communiqué.

Elle confirme aussi la position du Tribunal concernant les accords antifragmentation : « ces accords étaient susceptibles de limiter les débouchés commerciaux des versions Android non compatibles et de renforcer ainsi la position dominante de Google. Une analyse contrefactuelle n’était pas nécessaire dans les circonstances de l’espèce, les effets anticoncurrentiels du comportement ayant été suffisamment établis ». Enfin, la CJUE valide la compétence du Tribunal pour fixer le montant de l’amende.

« Ce jugement ne tient pas compte des investissements considérables que nous avons réalisés pour garantir qu’Android reste ouvert, interopérable et gratuit. Quoi qu’il en soit, nous avons adapté nos accords pour nous conformer à la décision initiale de 2018, et nous restons déterminés à poursuivre l’innovation et l’ouverture au bénéfice de nos utilisateurs, partenaires et développeurs » a déclaré Google à l’AFP.

L'Independance day, c'est bientôt, non ?

La Cour suprême américaine vient de statuer que Donald Trump peut révoquer les dirigeants des agences états-uniennes comme la FTC quand il le veut. L’association noyb et le député Philippe Latombe y voient une incompatibilité avec l’accord Data Privacy Framework qui repose sur l’indépendance de l’agence.

En début de semaine, la Cour suprême américaine a validé la décision prise par Donald Trump en mars 2025 de débarquer Rebecca Slaughter de la tête de la Federal Trade Commission (FTC), une agence états-unienne jusque-là considérée comme indépendante. Le dirigeant des États-Unis lui avait indiqué que son maintien à ce poste serait « incompatible avec les priorités de l’administration ». Pour certains contempteurs de l’accord Data Privacy Framework (DPF) signé entre l’Europe et les États-Unis, cette décision le remet en cause.

L’utilisation du cloud américain pour stocker les données personnelles remise en question

Ainsi, Philippe Latombe (MoDem) a annoncé avoir envoyé une lettre recommandée à la présidente de la Commission européenne Ursula von der Leyen demandant « l’annulation immédiate du traité transatlantique de transfert des données [le nom français du DPF] qui ne peut plus être légal ». Le député n’en est pas à sa première attaque contre cet accord. En 2023, il avait déposé un recours devant le Tribunal de l’Union européenne pour contester sa validité et s’en était expliqué sur Next. En septembre dernier, le Tribunal a rejeté le recours mais Philippe Latombe a fait appel.

Dans son message posté sur LinkedIn, le député pousse les entreprises à ne plus s’appuyer sur le DPF pour l’encadrement du transfert de données vers les États-Unis. Et ajoute : « J’invite également les entreprises qui hébergent des données sensibles comme des données de santé (coucou Doctolib ) à initier, en urgence absolue, une migration vers du cloud certifié SecNumCloud et à ne plus recourir aux prestataires US de type GAFAM ».

L’indépendance de la FTC, clé de voûte du DPF

Un autre acteur critique du DPF a sauté sur l’occasion pour aller dans le même sens : noyb. Rappelons que cette association a été créée par l’Autrichien Max Schrems qui a obtenu l’annulation devant la Cour de justice de l’Union européenne (CJUE) des deux précédents accords : le Privacy Shield et le Safe Harbor. Elle a, elle aussi, envoyé une lettre [PDF] à la Commission européenne sur le sujet.

L’association explique un peu plus pourquoi la décision de la Cour suprême américaine remettrait, selon elle, en cause le DPF : la capacité du président états-unien à pouvoir révoquer quand il le souhaite tout dirigeant de la FTC fait perdre à cette agence son indépendance.

Or, le traité sur le fonctionnement de l’Union européenne et la Charte des droits fondamentaux « exige[nt] que le contrôle en matière de protection des données soit assuré par une autorité « indépendante » », explique-t-elle. Dans le cadre de l’accord, les États-Unis ont désigné la FTC en tant qu’organisme indépendant pour assurer ce contrôle. Et l’Union européenne « s’est appuyée pas moins de 259 (!) fois sur la FTC dans sa décision relative aux flux de données entre l’UE et les États-Unis », remarque noyb. Ainsi, pour l’association, le DPF s’appuie fortement sur l’indépendance de la FTC.

Max Schrems appelle à « une sortie ordonnée du cloud américain »

D’autre part, la CJUE avait insisté, lors des discussions sur le Privacy Shield, sur le manque de recours judiciaire aux États-Unis concernant la surveillance des données. Pour pallier ce problème, Joe Biden avait créé une cour spécifique pour le contrôle de la protection des données. Mais, « bien qu’elle soit qualifiée de « Cour », il s’agit en réalité d’un organe exécutif relevant du ministère américain de la Justice. Son « indépendance » ne repose que sur un décret (EO) de l’ancien président Biden, qui peut être modifié à tout moment par Trump et qui n’est pas contraignant pour le président », affirme noyb.

« Même selon la logique de la Commission européenne, le fondement de tout accord sur les transferts de données entre l’UE et les États-Unis est désormais caduc », assure Max Schrems. « Nous appelons la Commission à entamer une sortie ordonnée du cloud américain – ce qui n’est pas facile, mais malheureusement inévitable », ajoute-t-il. « La Commission a construit un château de cartes juridique sous la pression du secteur. Maintenant qu’il s’effondre manifestement, elle doit en assumer la responsabilité », conclut le militant.

Microsoft dans la place

Cette pression sur le DPF est mise alors que Microsoft a expliqué, dans un billet de blog publié ce week-end, qu’elle pouvait officiellement intervenir « dans l’affaire Latombe contre la Commission devant la Cour de justice de l’Union européenne », justement pour défendre l’accord entre l’Europe et les États-Unis : « En tant qu’intervenant, nous pouvons désormais déposer des mémoires à l’appui de la Commission européenne, participer aux audiences et faire valoir notre point de vue sur l’importance de préserver un cadre qui profite directement à l’économie européenne ».

De potentiels mouchards roulants

Alors que la localisation est une donnée centrale dans l’écosystème du véhicule connecté tout en étant très sensible, la CNIL vient tout juste de publier des recommandations que devront suivre aussi bien les constructeurs automobiles, les gestionnaires de flottes, que les loueurs.

Depuis quelques années, quand on prend la voiture, qu’on l’ait achetée ou louée, plusieurs systèmes de tracking de géolocalisation peuvent se déclencher. Que ce soit pour nous guider, pour connaître l’état de la flotte d’un locataire, pour retrouver la voiture en cas de vol, pour l’assistance en cas d’accident ou encore pour l’amélioration ou l’optimisation de certains services. La CNIL vient tout juste de publier une recommandation concernant l’utilisation de ces données de localisation des véhicules connectés.

Une multitude d’outils de collecte dans un véhicule

En mars 2021, le Comité européen de la protection des données (CEPD) adoptait des lignes directrices concernant le traitement des données à caractère personnel dans le contexte des véhicules connectés. Il appelait à « la mise en œuvre de garanties spécifiques afin de prévenir le risque que des personnes soient surveillées et des données exploitées abusivement » concernant l’utilisation de technologies de localisation dans ce cadre, conformément au RGPD. Le recommandations de l’autorité française découle de ces lignes directrices.

On imagine facilement que ces données peuvent être obtenues via notre GPS de guidage, mais d’autres outils peuvent collecter notre géolocalisation :

La CNIL rappelle que ces données de localisation sont soumises au RGPD dès lors qu’elles peuvent être liées à une personne physique identifiée ou identifiable comme « le propriétaire (par le biais du numéro d’identification du véhicule (VIN) du certificat d’immatriculation ou du contrat d’assurance), ou le locataire (par le biais d’un contrat de location du véhicule) ». Mais ça peut être le cas aussi concernant une personne qui s’est identifiée dans le système d’info-divertissement de la voiture ou qui a connecté son smartphone.

Par contre, il existe des cas où ce n’est pas une donnée personnelle. Par exemple, « lorsque la panne d’un véhicule survient en dehors de la période de location, la donnée de localisation du véhicule n’est pas associée à une personne physique identifiée ou identifiable et ne constitue donc pas une donnée personnelle. Par conséquent, le traitement de cette donnée n’est pas soumis au RGPD ».

Une mansuétude de la CNIL concernant les personnes dont on ignore qu’elles utilisent le véhicule

L’autorité de protection des données rappelle que le nouvel article 82 de la loi Informatique et Libertés oblige à informer les utilisateurs et à leur demander leur consentement en cas d’accès aux données de localisation, sauf si elles sont strictement nécessaires à la fourniture d’un service expressément demandé par l’utilisateur.

La CNIL admet qu’en pratique, une multiplicité de personnes, conducteurs et passagers, peuvent utiliser un même véhicule et que ce sont les données de toutes ces personnes qui seront traitées. Mais elle affirme en gras que « le responsable du traitement […] n’est pas tenu d’identifier les personnes avec lesquelles il n’a pas de relations, notamment contractuelles ». Ainsi, on ne pourra pas reprocher de manquement aux obligations du RGPD au responsable du traitement des données s’il s’agit de données concernant des personnes « dont il ne peut avoir raisonnablement connaissance qu’elles utilisent le véhicule ou qu’elles sont présentes dans le véhicule […] même si les données collectées pourraient leur être rattachées ».

Elle recommande le recours à des systèmes de gestion de profils pour tous les potentiels conducteurs pour qu’ils puissent s’identifier auprès du responsable du traitement s’ils le souhaitent. On imagine quand même mal chaque conducteur créer un profil à chaque première prise de volant d’un véhicule. Heureusement, la CNIL laisse facultative la connexion à un profil, « pour permettre aux utilisateurs de ne pas s’identifier s’ils ne le souhaitent pas ».

Attention à bien minimiser et limiter la conservation des données

Concernant la minimisation et la limitation de la conservation des données de localisation, la CNIL rappelle que le responsable du traitement doit pouvoir justifier la fréquence de collecte, la nature et le volume de données remontées sur ses serveurs.

Et elle montre qu’elle y fera attention. Ainsi, elle considère, par exemple, que « la conservation par un gestionnaire de flotte de l’intégralité des données de localisation de chaque véhicule, à une fréquence rapprochée (par exemple, tous les 500 mètres), et pour chaque contrat de location, n’est pas justifiée au regard des finalités de gestion de la flotte de véhicules et du service, de prévention des abus de confiance et de lutte contre le vol ainsi que d’assistance à l’utilisateur en cas d’accident ». De même, elle explique que la conservation des trois dernières positions du véhicule est justifiée et suffisante pour assurer le service d’un fournisseur de services privés d’assistance en cas d’accident.

Elle recommande de privilégier, lorsque c’est possible, les traitements de données de localisation en local, au sein du véhicule ou du dispositif connecté au véhicule.

Concernant la conservation des données, la CNIL considère que, « dans le cadre de la location d’un véhicule, la localisation peut être collectée à des fins de prévention des abus de confiance et de lutte contre le vol ». Mais elle ajoute que la conservation de la dernière position du véhicule « semble suffisante en l’absence d’évènement permettant de suspecter une non-restitution du véhicule ou un vol par un tiers ». Ce n’est que si un événement de la sorte est suspecté qu’« il peut être nécessaire de conserver plus de données que la seule dernière position », estime la CNIL.

Informer au moment du contrat

La CNIL demande à ce que l’information sur les traitements des données personnelles collectées directement auprès des personnes concernées se fasse au moment de la signature du contrat de vente ou de location « au moyen de clauses concises et aisément compréhensibles ».

Mais les données peuvent aussi être collectées indirectement. Ainsi, la CNIL prend comme exemple la mise à disposition aux loueurs par les constructeurs des données du véhicule connecté, « soit directement par le biais d’une API, soit par l’intermédiaire d’un agrégateur de donnée ». Ici, le loueur doit informer ses clients dans un délai raisonnable après l’obtention des données (un mois après, lors de la première communication ou avant la potentielle transmission à un tiers).

Vu le caractère très intrusif des données de localisation, la CNIL rappelle la nécessité de leur chiffrement en transit et au repos. Et elle recommande de définir des profils d’habilitation pour limiter les personnes qui y auront accès.

Une recommandation adaptée aux remarques émanant de la consultation publique

Dans son document, l’autorité détaille aussi des points sur l’usage de la localisation pour l’assistance aux personnes en cas d’accident, ses préconisations concernant les mesures de protection des données à appliquer dès la conception ou encore l’analyse d’impact à mettre en place.

La CNIL y fait aussi un focus sur l’anonymisation de données et un autre sur la mise en place des boîtiers télématiques et des agrégateurs de données dans les véhicules.

Dans son communiqué annonçant cette recommandation, la CNIL insiste sur le fait qu’elle a modifié certains points de son projet en fonction des remarques émanant de la consultation publique [PDF]. C’est le cas pour les sujets des systèmes de gestion authentifiés de profils, l’absence du besoin de consentement pour collecter les données de localisation pour prévenir un abus de confiance ou encore la recommandation de permettre aux utilisateurs de déconnecter le véhicule à un compte personnel à distance lorsque c’est possible de le connecter à distance.