Cette semaine, la CNIL a mis de l'ordre dans le calendrier de la loi européenne sur l'IA — et au passage rendu obsolète une page officielle toujours en ligne. La publicité s'apprête à entrer dans ChatGPT en France. Et deux affaires rappellent, chacune à sa manière, qu'un outil d'IA gratuit ne vous doit rien : ni correctif, ni support, ni garantie sur vos données. Voici ce qu'il faut en retenir quand on dirige une petite entreprise.
Le résumé en 30 secondes
- La CNIL a publié le calendrier à jour de l'AI Act. Une page du gouvernement affiche encore les anciennes dates : ne vous y fiez pas.
- La publicité arrive dans ChatGPT en France, uniquement sur les formules gratuite et Go. Vérifiez ce qu'utilisent vos équipes.
- Une faille non corrigée de Grok permet à une page web de lire vos conversations. Signalée depuis le 3 juin, toujours ouverte.
- Les e-mails internes d'une entreprise en faillite ont été vendus 10 millions de dollars américains à Google. Posez-vous la question pour vos données.
- Si vous êtes sur Google Workspace, de l'IA arrive dans votre messagerie et votre console d'administration sans rien acheter.
ACTU 01
La CNIL remet les pendules à l'heure sur la loi européenne sur l'IA
Le 17 août, la CNIL a mis à jour sa foire aux questions sur le règlement européen sur l'intelligence artificielle — l'« AI Act ». C'est la première source officielle française qui intègre les modifications apportées cet été par le règlement (UE) 2026/1744, dit « omnibus IA » et issu du paquet Digital Omnibus de la Commission européenne. Il a été adopté le 8 juillet 2026, publié au Journal officiel de l'Union européenne le 24 juillet et est en vigueur depuis le 27 juillet.
Le calendrier consolidé tient en quelques dates. Les obligations de transparence de l'article 50 s'appliquent depuis le 2 août 2026. Le 2 décembre 2026 porte deux échéances distinctes : la fin d'une période de transition de quatre mois accordée aux fournisseurs d'outils, pour un seul point technique — le marquage lisible par machine des contenus générés, et uniquement pour les outils déjà commercialisés avant le 2 août 2026 ; et l'entrée en application de deux nouvelles interdictions, visant les contenus pédocriminels et les hypertrucages sexuels non consentis. Les obligations sur les systèmes dits à haut risque, elles, ont été repoussées : au 2 décembre 2027 pour ceux de l'annexe III, au 2 août 2028 pour ceux de l'annexe I.
Détail qui compte : une page du ministère de l'Économie, toujours en ligne et mise à jour pour la dernière fois le 28 juillet 2025, affiche encore les anciennes échéances. Elle ne mentionne pas le règlement de juillet 2026.
Deux confusions circulent, et elles coûtent cher dans les deux sens. La première consiste à croire que tout a été repoussé. C'est faux : le report ne concerne que les usages à haut risque, pas la transparence, qui s'applique déjà.
La seconde concerne les amendes. On lit partout « jusqu'à 35 millions d'euros ». Pour une PME, c'est inexact : l'article 99(6) prévoit que le plafond retenu est le montant le plus bas des deux références, alors que pour les autres entreprises c'est le plus élevé qui s'applique. Sur un manquement à la transparence, la référence est de 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial. Pour une PME réalisant 800 000 euros de chiffre d'affaires, c'est donc la référence des 3 % qui est retenue, soit un plafond de 24 000 euros — un maximum théorique, pas un montant automatique. C'est loin d'être indolore, mais ce n'est pas le même ordre de grandeur.
À signaler enfin, parce que personne ne le dit : au 23 août 2026, la France n'avait toujours pas désigné l'autorité chargée de surveiller le marché, ni adopté son régime national de sanctions. Le projet de loi qui doit le faire a été adopté par le Sénat à la mi-février 2026 et attend son examen à l'Assemblée nationale. Autrement dit, l'obligation est juridiquement en vigueur, mais le dispositif de contrôle français n'est pas encore en place.
- Si vous avez une note interne sur l'AI Act datant d'avant le 17 août, remplacez ses dates par celles de la CNIL. Et si votre prestataire vous cite la page du ministère, montrez-lui qu'elle n'a pas bougé depuis juillet 2025.
- La distinction qui décide de tout : êtes-vous fournisseur (vous développez l'outil) ou déployeur (vous l'utilisez) ? Une TPE est presque toujours déployeur. Le marquage technique invisible n'est donc pas votre affaire, c'est celle de l'éditeur du logiciel.
- En revanche, si vous publiez des visuels, des voix ou des vidéos générés par IA représentant des personnes ou des événements réels, l'obligation de le signaler pèse sur vous, et elle s'applique depuis le 2 août sans aucun délai.
- Ne surestimez pas le risque d'amende à court terme, mais ne le sous-estimez pas non plus dans vos contrats : le vrai levier de pression, aujourd'hui, ce sont vos clients et les appels d'offres, pas l'administration.
Sources : CNIL — questions-réponses sur le règlement IA, mis à jour le 17 août 2026 · Règlement (UE) 2026/1744, JOUE du 24 juillet 2026 · AI Act, article 99
ACTU 02
La publicité entre dans ChatGPT en France
Le 18 août, OpenAI a annoncé le déploiement de la publicité dans ChatGPT dans 31 pays européens, dont la France. L'entreprise indique « la semaine prochaine », soit la semaine du 24 août, sans communiquer de date précise.
Le point à retenir tient en une ligne : les publicités s'affichent uniquement pour les utilisateurs des formules Free et Go. Les abonnements Plus, Pro et Enterprise en restent exempts. Les utilisateurs des formules gratuites conservent un contrôle sur la personnalisation des publicités, mais pas sur leur présence.
Côté annonceurs, l'accès passe pour l'instant par l'équipe commerciale d'OpenAI, les agences partenaires et des partenaires techniques. L'outil en libre-service est annoncé pour « plus tard cet été », sans date précise.
Beaucoup de petites entreprises utilisent ChatGPT en version gratuite pour travailler : rédiger un devis, reformuler un courrier, préparer une réponse client. À partir de cette semaine, ce travail se fait avec de la publicité dans l'interface. Ce n'est pas dramatique, mais ça change la nature de l'outil : un service financé par la publicité a intérêt à ce que vous restiez, pas nécessairement à ce que vous soyez efficace.
C'est aussi la fin d'une ambiguïté confortable. La version gratuite n'était pas un cadeau, elle était un investissement d'acquisition. Elle devient un produit publicitaire.
- Regardez quelle formule utilisent réellement vos équipes. Si votre comptable ou votre commercial travaille sur la version gratuite plusieurs heures par semaine, l'abonnement payant devient un vrai sujet — pas pour la performance, pour le confort et la confidentialité.
- Ne confondez pas absence de publicité et confidentialité : ce sont deux questions différentes. Une formule payante retire la publicité, elle ne règle pas à elle seule la question de ce que vous avez le droit de coller dans l'outil.
- Si vous faites de l'acquisition, un canal publicitaire s'ouvre en France. Inaccessible en libre-service pour l'instant : à regarder à la rentrée, pas aujourd'hui.
Source : OpenAI, 18 août 2026
ACTU 03
Une page web peut lire vos conversations Grok. La faille est ouverte depuis juin.
Le 20 août, des chercheurs de la société Adversa AI ont publié une attaque visant Grok, l'assistant d'xAI. Le principe : une page web piégée, consultée pendant une conversation, peut récupérer le nom de l'utilisateur, sa localisation approximative, son niveau d'abonnement et le contenu des échanges en cours. Le taux de réussite constaté est de 40 % sur vingt tentatives menées depuis juin 2026.
La chronologie est le vrai sujet. La faille a été signalée à xAI le 3 juin 2026, avec des relances les 4 et 10 août restées sans réponse. À la date de publication, aucun correctif, aucun identifiant de vulnérabilité attribué, aucun avis de sécurité publié par l'éditeur.
Dans la même semaine, du mercredi 19 au jeudi 20 août, le même outil a renvoyé à une partie de ses utilisateurs des réponses incohérentes — des suites de mots sans queue ni tête. L'éditeur n'a pas répondu aux sollicitations de la presse ; l'incident a été reconnu par un message du compte Grok sur X, qui l'a qualifié d'anomalie temporaire et conseillait de relancer la conversation.
Le problème n'est pas la faille elle-même — il y en aura d'autres, chez tout le monde. Le problème est ce que la semaine révèle du contrat implicite : deux mois et demi sans correctif, pas de réponse aux chercheurs, une panne gérée par un tweet. Quand vous utilisez un outil gratuit, vous n'avez ni engagement de service, ni canal de support, ni obligation d'information en cas d'incident.
Et c'est exactement là que se joue le risque réel dans une petite entreprise : pas dans une attaque sophistiquée, mais dans le salarié bien intentionné qui colle un tableau de tarifs ou un dossier client dans un chatbot pour aller plus vite.
- Écrivez la règle, une fois, en trois lignes, et diffusez-la : ce qu'on ne colle jamais dans un chatbot grand public. Données clients nominatives, grilles tarifaires, contrats, dossiers du personnel, identifiants. Ça prend un quart d'heure et ça vaut toutes les politiques de sécurité.
- Ne construisez aucune étape critique de votre activité sur un outil IA gratuit. Pas parce qu'il est mauvais, mais parce que le jour où il tombe, vous n'avez personne à appeler.
- Si un outil est vraiment utile à votre entreprise, payez-le. Un abonnement, c'est un contrat — donc un interlocuteur et des obligations.
Sources : The Hacker News, 20 août 2026 · TechCrunch, 20 août 2026
ACTU 04
Les e-mails internes d'une entreprise liquidée valent 10 millions de dollars
L'information a été révélée le 17 août, à la suite d'un dépôt au tribunal des faillites le 14 août : Google a remporté l'enchère sur les données internes de la compagnie aérienne américaine Spirit Airlines, pour 10 millions de dollars américains, devant une offre concurrente de 7,5 millions. Le périmètre donne le vertige : environ 100 millions d'e-mails, 500 millions de messages Microsoft Teams, 30 millions de lignes de code, ainsi que des données concernant les salariés — paie, congés, déplacements professionnels, fichiers fiscaux. Les données clients et le programme de fidélité sont explicitement exclus de la vente.
Des garde-fous existent : les données doivent être désidentifiées par un tiers avant transfert, avec une certification par un tiers, et Google ne peut pas tenter de réidentifier les personnes. Le syndicat des personnels navigants commerciaux s'y oppose, jugeant la désidentification insuffisante. Le dossier n'est d'ailleurs pas clos : une jeune entreprise a déposé après la clôture des enchères une offre supérieure, à 12,5 millions de dollars américains, et l'examen judiciaire a été reporté au 9 septembre.
Jusqu'ici, quand une entreprise disparaissait, ses échanges internes disparaissaient à peu près avec elle. Ce n'est plus vrai. Les conversations quotidiennes d'une société — la matière la plus banale qui soit — ont désormais une valeur marchande établie, parce qu'elles constituent un corpus d'entraînement pour l'IA. Et cette valeur se réalise au pire moment : celui où l'entreprise n'est plus là pour défendre ses intérêts ni ceux de ses salariés.
Le cas est américain et les règles européennes sont différentes. Mais la question qu'il pose ne connaît pas de frontière.
Posez la question à vos prestataires, et surtout à ceux qui hébergent vos données : que deviennent nos fichiers si vous êtes racheté, ou si vous cessez votre activité ? Dans les contrats des petites entreprises, la clause de réversibilité — celle qui prévoit la restitution et l'effacement des données en fin de contrat — est presque toujours absente. C'est le moment de la demander, avant d'en avoir besoin.
Retournez la question pour vous-même. Vos échanges internes, vos comptes rendus, vos dossiers clients : où sont-ils, qui y a accès, et qu'en resterait-il si votre outil du moment fermait ? Ce n'est pas de la paranoïa, c'est de l'inventaire.
Sources : Axios, 17 août 2026 · Le Monde Informatique, 21 août 2026
ACTU 05
Si vous êtes sur Google Workspace, de l'IA arrive sans rien acheter
Trois nouveautés Google Workspace cette semaine, toutes incluses dans les abonnements existants.
Le 19 août, Google a annoncé « Ask Gemini in Chat » : une commande unique dans la messagerie d'équipe qui cherche dans vos documents Workspace, rédige du contenu et gère des tâches. Éditions concernées : Business Standard, Business Plus, Enterprise Standard et Enterprise Plus. Business Starter en est exclu. Déploiement progressif à partir du 26 août, sur une quinzaine de jours.
Le 17 août, Gemini est arrivé dans la console d'administration, cette fois pour les éditions Business Starter, Standard et Plus — disponible immédiatement. Et le 20 août, Google a ouvert l'enregistrement d'une présentation Slides directement depuis l'outil, avec un montage qui se pilote par la transcription : on coupe le texte, la vidéo suit. Celle-ci est disponible sur toutes les éditions, y compris les comptes personnels.
C'est le type d'annonce qu'on ne remarque pas et qui change pourtant plus de choses, à l'échelle d'une TPE, que la sortie d'un modèle spectaculaire. Il n'y a rien à acheter, rien à installer, rien à faire configurer. L'IA arrive dans des outils déjà ouverts toute la journée.
La fonction d'administration mérite un mot : Google l'a réservée aux éditions Business, pas Enterprise. C'est-à-dire à vous, pas aux grands comptes. Elle s'adresse précisément à la personne qui gère les comptes de l'entreprise sans être informaticienne.
- Vérifiez votre édition Workspace. Si vous êtes sur Business Starter, vous n'aurez pas Gemini dans la messagerie : c'est un argument de montée en gamme, à arbitrer sur l'écart de prix par utilisateur et par mois, pas sur l'effet de nouveauté.
- L'enregistrement de présentation est le gain le plus immédiat, et il est disponible partout : une démonstration produit, un tutoriel client, une réponse commerciale filmée, sans logiciel de montage ni compétence vidéo.
- Prévenez vos équipes avant le 26 août. Une fonction d'IA qui apparaît sans prévenir dans un outil de travail génère plus d'inquiétude que d'usage.
Sources : Google Workspace Updates, 19 août 2026 · Google Workspace Updates, 17 août 2026 · Google Workspace Updates, 20 août 2026
Aussi cette semaine, en bref
- Le piratage du système d'information des impôts concerne aussi les entreprises. La CNIL a communiqué le 18 août sur cet incident survenu le 14 août : parmi les données touchées figurent des numéros SIREN et raisons sociales d'entreprises, des adresses et surfaces de biens immobiliers, ainsi que des données fiscales de particuliers (revenu fiscal de référence, quotient familial, taux de prélèvement à la source). La CNIL indique que les identifiants et mots de passe ne seraient pas concernés. Aucun lien avec l'IA, mais un risque très concret d'hameçonnage ciblé et crédible dans les semaines qui viennent : redoublez de prudence sur les courriels se réclamant de l'administration fiscale. Source
- Anthropic a ouvert le 20 août Claude Academy, une plateforme de formation gratuite à l'IA, accessible sur academy.claude.com. Les parcours sont organisés par produit et par cas d'usage, avec suivi de progression et badges. Une réserve avant de l'imposer à une équipe : la plateforme est disponible uniquement en anglais. Source
- Un tiers des pages web publiées depuis l'arrivée de ChatGPT montreraient des signes de rédaction par IA, selon une étude du Pew Research Center publiée le 20 août portant sur près de 500 000 pages en anglais. Les auteurs eux-mêmes rappellent que les outils de détection se trompent et ne revendiquent qu'une tendance. Conséquence pratique : votre contenu générique se noie, et ce qui vous distingue redevient la preuve — photos de chantier, avis clients vérifiés, cas concrets. Source
- L'application Copilot change d'adresse : annoncé le 14 août, le passage de m365.cloud.microsoft à copilot.cloud.microsoft s'étale sur six semaines — applications web et mobiles dès la mi-août, redirection standard des adresses à partir de fin août, applications Windows et Mac à la mi-septembre, redirection différée de l'application web fin septembre. Sans conséquence fonctionnelle, mais pensez à corriger vos favoris et vos procédures internes et, si vous filtrez les adresses au niveau du pare-feu, à autoriser le nouveau domaine. Source
- Calendly s'est lancé le 19 août dans la prise de notes de réunion automatique. Si vous utilisez déjà l'outil pour vos rendez-vous, cela évite un abonnement de plus. Rappel qui n'a rien d'anecdotique : enregistrer ou transcrire une réunion avec un client impose de l'en informer au préalable. Source
À faire cette semaine
Trois actions concrètes, tirées de ce qui précède. Comptez une heure au total.
- Écrivez en trois lignes ce qu'on ne colle jamais dans un chatbot gratuit, et envoyez-le à votre équipe. Données clients, tarifs, contrats, dossiers du personnel. Quinze minutes, et c'est la mesure de sécurité la plus rentable de l'année.
- Vérifiez quelle formule de ChatGPT utilisent vos équipes. La publicité arrive cette semaine sur les versions gratuite et Go. Si quelqu'un travaille dessus tous les jours, la question de l'abonnement se pose maintenant.
- Mettez à jour votre note sur l'AI Act avec les dates de la CNIL, et vérifiez un point précis : si vous publiez des visuels générés par IA représentant des personnes ou des lieux réels, vous devez déjà le signaler.
Vous voulez qu'on regarde votre organisation ?
Trente minutes, gratuit, sans engagement. On écoute comment vous travaillez et on vous dit précisément ce qui est automatisable — et ce qui ne l'est pas.
Réserver un échange