Une amende de 825 millions d'euros vient rappeler une règle qui n'a rien de nouveau et que presque personne n'applique : une machine n'a pas le droit de décider seule du sort d'une personne. Dans le même temps, les assistants IA sortent de la fenêtre de conversation pour prendre la main sur le navigateur. Et deux sujets moins spectaculaires méritent une heure de votre temps cette semaine : les extensions installées sur les postes de vos salariés, et le fichier qui dit aux IA ce qu'elles ont le droit de faire de votre site.
Le résumé en 30 secondes
- Uber écope de près de 825 millions d'euros pour des décisions prises sans intervention humaine. La règle vaut aussi à trois salariés.
- Les assistants IA passent en version « qui clique à votre place » dans le navigateur. Utile, et à encadrer avant de s'en servir.
- Si votre site est derrière Cloudflare, ce qu'il déclare aux robots d'IA va s'écrire à partir de vos réglages. Allez les vérifier.
- Les extensions de navigateur IA de vos salariés sont le maillon faible : une sur six embarque une faille connue.
- ChatGPT sait désormais déclencher une tâche quand un mail arrive. Automatisable sans développeur, testable en dix minutes.
ACTU 01
825 millions d'euros parce qu'une machine décidait seule
Le 21 août, l'autorité néerlandaise de protection des données a infligé à Uber une amende de 824 990 000 euros. La CNIL, qui a coopéré à l'instruction, l'a relayée en France le 24 août. L'autorité néerlandaise agissait comme autorité chef de file dans le mécanisme européen du guichet unique — Uber ayant son établissement principal aux Pays-Bas — mais la décision produit ses effets dans toute l'Union.
Le motif principal n'est pas une fuite de données. C'est l'article 22 du règlement général sur la protection des données — le RGPD —, celui qui encadre les décisions individuelles automatisées. Des comptes de chauffeurs étaient désactivés, temporairement en cas de soupçon de fraude, temporairement ou définitivement en cas de note client basse, « en raison de l'absence totale d'intervention humaine ». S'y ajoute une violation du droit à l'information des chauffeurs. Les faits couvrent la période 2020-2022.
L'affaire part d'une plainte collective déposée en 2020 par la Ligue des droits de l'Homme, représentant plus de 170 chauffeurs. C'est la troisième sanction de la série, après une décision de 10 millions d'euros du 11 décembre 2023 pour défaut d'information des chauffeurs, et une décision de 290 millions d'euros du 22 juillet 2024 pour des transferts de données illicites hors de l'Union. Les trois émanent de la même autorité néerlandaise.
Le montant est hors d'échelle. Le principe, lui, ne l'est pas du tout. L'article 22 du RGPD ne fixe aucun seuil d'effectif ni de chiffre d'affaires : il s'applique à une entreprise de trois personnes exactement comme à Uber. Et il est applicable depuis le 25 mai 2018.
Une confusion à écarter tout de suite, parce qu'elle circule beaucoup : cette affaire n'est pas une affaire de règlement européen sur l'IA. Uber y est responsable de traitement au sens du RGPD, pas fournisseur d'un système d'IA. Or beaucoup de dirigeants ont retenu de l'été que « les obligations sur l'IA ont été repoussées ». C'est vrai pour un point précis : le règlement (UE) 2026/1744, entré en vigueur le 27 juillet 2026, a reporté les obligations relatives aux systèmes dits à haut risque au 2 décembre 2027 pour l'annexe III et au 2 août 2028 pour l'annexe I — obligations qui pèsent d'ailleurs principalement sur le fournisseur du système, alors qu'une petite entreprise qui utilise un outil du marché est presque toujours déployeur. Le RGPD, lui, n'a jamais été repoussé, et il vise tout le monde.
Ce qui change, c'est la fréquence des situations concernées. Il y a cinq ans, une petite entreprise ne prenait aucune décision automatisée. Aujourd'hui, un logiciel de recrutement classe des candidatures, un outil de notation écarte des prestataires, un score interne bloque une commande. Et le reproche fait à Uber ne porte pas sur l'existence de l'algorithme, mais sur l'absence d'un humain capable de reprendre le dossier. La nuance est décisive : un salarié qui valide cinquante décisions à la chaîne sans pouvoir en examiner une seule n'est pas une intervention humaine, c'est un tampon.
- Faites la liste des endroits où un outil décide seul de quelque chose qui touche une personne : tri de candidatures, notation de prestataires ou de livreurs, blocage de compte client, refus automatique de dossier. Dans une TPE, il y en a en général un ou deux, rarement zéro.
- Pour chacun, vérifiez trois choses : la personne concernée est-elle informée qu'un traitement automatisé intervient ? Peut-elle demander un réexamen ? Et la personne chargée du réexamen a-t-elle réellement le temps et l'autorité d'infirmer la décision ?
- Si vous utilisez un logiciel du marché qui note ou classe des personnes, posez la question par écrit à l'éditeur : quelle part de la décision est automatisée, et quel est le point de reprise humaine prévu ? Sa réponse, ou son absence de réponse, vous renseignera.
- Ne vous rassurez pas avec le report des échéances de l'AI Act. Ce n'est pas le même texte, ce ne sont pas les mêmes obligations, et le RGPD s'applique à vous depuis 2018.
Sources : CNIL, 24 août 2026 · Autoriteit Persoonsgegevens, 21 août 2026 · RGPD, article 22
ACTU 03
Ce que votre site répond aux IA va s'écrire tout seul
Cloudflare — l'intermédiaire technique par lequel transite une très grande partie du trafic web, et derrière lequel se trouvent beaucoup de sites de petites entreprises sans que leur propriétaire le sache — a annoncé le 21 août une fonction appelée Bot Preference Sync, dont la disponibilité était annoncée « au cours de la semaine à venir », sans date précise.
Le principe est simple. Vous définissez dans votre tableau de bord ce que vous acceptez pour trois catégories de robots : la recherche, les agents et l'entraînement des modèles d'IA. Cloudflare génère ou met ensuite à jour automatiquement le fichier robots.txt de votre site — le fichier public qui indique aux robots ce qu'ils ont le droit de parcourir — pour qu'il corresponde à ces réglages. Les choix ne sont pas binaires : on peut autoriser, bloquer partout, ou bloquer uniquement sur les pages comportant de la publicité.
La fonction est proposée sur tous les plans, du gratuit à l'offre Enterprise. Aucun blocage n'est ajouté par défaut pour les nouveaux clients ; ceux qui monétisent des pages comportant de la publicité peuvent, à l'inscription, cocher une option qui règle alors l'entraînement sur refus. Les clients existants qui utilisaient l'ancienne fonction de gestion du robots.txt seront invités à revoir et confirmer leurs préférences.
Ce n'est pas une décision imposée, c'est une décision rendue visible. Jusqu'ici, la position d'un site sur l'exploitation de son contenu par les IA était enfouie dans un fichier que personne ne relit. Elle va désormais être publiée à partir de réglages que la plupart des dirigeants n'ont jamais ouverts — et une absence de choix est un choix.
Or il y a un vrai arbitrage à faire. Bloquer l'entraînement, c'est refuser que votre contenu serve à fabriquer des modèles qui, indirectement, concurrencent votre expertise. Laisser passer, c'est accepter d'exister dans les réponses que ces outils produiront quand un prospect leur demandera un couvreur dans le Var. Les deux positions se défendent, et elles ne se valent pas selon les métiers.
Ce qui n'est pas défendable, c'est de tout bloquer par prudence sans distinguer les trois catégories. Le réglage « recherche » touche votre référencement classique, celui qui vous amène des clients aujourd'hui. Le réglage « agents » concerne les assistants qui consultent votre site pour le compte d'un utilisateur — le sujet de l'actualité précédente. Le réglage « entraînement » ne concerne que la fabrication des modèles. Les confondre est la manière la plus rapide de disparaître des résultats de recherche.
- Vérifiez d'abord si votre site est derrière Cloudflare. Le plus simple est de demander à votre hébergeur ou à l'agence qui a fait le site : la réponse tient en un message.
- Si oui, ouvrez le tableau de bord et confirmez explicitement les trois réglages plutôt que de laisser le défaut s'appliquer. Cinq minutes.
- Notre position, pour une TPE qui vit de sa visibilité locale : laisser « recherche » et « agents » ouverts, et n'arbitrer « entraînement » que si votre contenu est votre produit — méthode, formation, contenu éditorial original.
- Profitez-en pour aller regarder l'adresse votresite.fr/robots.txt. Beaucoup de dirigeants découvrent à cette occasion des règles posées il y a des années par un prestataire, et jamais relues depuis.
Source : Cloudflare, 21 août 2026
ACTU 04
Le vrai risque IA de votre entreprise tient dans une barre de navigateur
Un rapport d'Akamai sur l'usage professionnel de l'IA, publié le 5 août et largement relayé le 24 août, met un chiffre sur une intuition que beaucoup de dirigeants ont sans pouvoir la formuler. Les données qui suivent sont celles d'Akamai, éditeur de solutions de sécurité — à lire en gardant cela en tête.
Premier constat : l'usage est très concentré. Selon Akamai, les 5 % d'utilisateurs les plus actifs en entreprise sollicitent l'IA douze fois plus que la moitié la moins active. Deuxième constat, plus embarrassant : 47,11 % des conversations professionnelles avec une IA passent par une identité personnelle et non par un compte d'entreprise, et 14,4 % passent par une adresse professionnelle rattachée à un abonnement gratuit personnel.
Le troisième constat est celui qui doit retenir l'attention. Dans les entreprises de taille moyenne, 17,7 % des salariés utilisent au moins une extension de navigateur dédiée à l'IA, contre 9,53 % dans les grandes entreprises. Sur ces extensions, 16,31 % contiennent une faille de sécurité publiquement répertoriée — ce qu'on appelle un CVE, l'identifiant standard d'une vulnérabilité connue —, contre 10,80 % pour l'ensemble des extensions de navigateur. Et près de 75 % réclament des permissions élevées ou critiques.
La statistique la plus contre-intuitive est que les structures moyennes sont plus exposées que les grands comptes. L'explication est mécanique : dans un grand groupe, l'installation d'une extension est bloquée par une politique technique. Dans une entreprise de vingt personnes, chacun installe ce qu'il veut, avec les meilleures intentions du monde et souvent un vrai gain de productivité à la clé.
Or une extension de navigateur est un logiciel qui s'exécute dans la page que vous consultez. Selon les autorisations que vous lui avez accordées à l'installation, elle peut voir ce que vous voyez : le devis affiché à l'écran, la fiche client ouverte dans le logiciel de gestion. Il ne s'agit pas d'un piratage sophistiqué, mais d'une autorisation accordée en un clic, par une personne qui voulait résumer un article plus vite.
Le chiffre des 47,11 % d'identités personnelles pose un problème d'une autre nature, plus terre à terre. Ce qui a été échangé depuis le compte personnel d'un salarié part avec lui quand il quitte l'entreprise. Vous n'y avez pas accès, vous ne pouvez pas le supprimer, et vous ne savez pas ce qui s'y trouve.
- Faites l'inventaire des extensions installées sur les postes. Dans Chrome, l'adresse chrome://extensions affiche la liste complète. Comptez cinq minutes par poste, et retirez tout ce que personne n'utilise réellement.
- Regardez surtout les permissions demandées, affichées par le navigateur au moment de l'installation et consultables ensuite. « Lire et modifier toutes vos données sur tous les sites web » est le libellé à repérer : c'est un accès très large.
- Identifiez qui, dans votre équipe, fait partie des gros utilisateurs. Ce sont eux qui portent l'essentiel du risque, et ce sont aussi eux qu'il faut équiper correctement plutôt que freiner.
- Si vous payez des abonnements IA, vérifiez qu'ils sont bien utilisés depuis les comptes professionnels. Un abonnement d'entreprise auquel les gens se connectent avec leur adresse personnelle ne vous donne aucun des contrôles pour lesquels vous payez.
Sources : Akamai, rapport « State of the Internet : Enterprise AI Usage Risk Report 2026 », 5 août 2026 · The Hacker News, 24 août 2026
ACTU 05
ChatGPT sait maintenant se déclencher quand un mail arrive
Le 25 août, OpenAI a fait évoluer les tâches programmées de ChatGPT sur trois points.
Le premier est le plus utile : une tâche peut désormais se déclencher sur un événement, et non plus seulement à une heure fixe. Trois déclencheurs sont pris en charge au lancement — l'arrivée d'un nouveau message dans Gmail, un message dans un canal Slack, et une activité sur les demandes de fusion dans GitHub. Le deuxième point : une tâche peut être partagée avec un collègue, qui en récupère une copie indépendante et peut en ajuster les instructions, le calendrier le cas échéant, et y brancher ses propres applications. Le troisième : le menu de planification devient accessible aux comptes gratuits, mais les déclencheurs par événement restent réservés aux formules Plus, Pro, Business, Enterprise et Edu. Les comptes Free et Go en sont exclus.
Les quotas sont publiés, et ils sont serrés : trois tâches actives sur Free et Go, cinq sur Plus, dix sur Business et Edu, quinze sur Pro et Enterprise. Les tâches se créent et se modifient depuis le web et les applications mobiles compatibles ; l'application de bureau les affiche mais ne permet ni d'en créer, ni d'en modifier.
C'est la première fois qu'une automatisation de ce type est à portée d'un dirigeant sans passer par un outil de connexion entre applications ni par un prestataire. « Quand un message arrive sur l'adresse contact, résume-le en trois lignes et dis-moi s'il faut répondre aujourd'hui » se configure en langage courant, en quelques minutes.
Le partage entre collègues est le détail qui fait la différence à cinq ou dix personnes. Une automatisation qui n'existe que dans le compte d'une seule personne disparaît avec ses congés. Une automatisation partagée devient un processus d'entreprise — sachant que le destinataire en obtient une copie, qu'il faudra donc modifier de son côté si la règle change.
Deux réserves, tout de même. Brancher ChatGPT sur votre boîte mail professionnelle, c'est lui donner accès à des échanges clients : à faire en connaissance de cause, et pas depuis un compte personnel gratuit. Et une automatisation silencieuse qui traite du courrier entrant doit être vérifiée les premiers jours, sinon vous découvrirez ses erreurs par un client mécontent.
- Commencez par une tâche en lecture seule, qui résume ou alerte sans jamais répondre à personne. Un tri du courrier entrant en trois catégories est un bon premier essai.
- Le meilleur candidat dans une TPE : la boîte générique — contact, devis, info — que tout le monde consulte et que personne ne traite vraiment. Un résumé quotidien du non-lu change les choses immédiatement.
- Comptez vos tâches avant de vous lancer. Cinq tâches actives sur une formule Plus, c'est vite atteint : choisissez celles qui comptent plutôt que d'en empiler.
- Utilisez un compte professionnel, pas un compte personnel. Relisez la sortie tous les jours pendant une semaine avant de lui faire confiance. Et gardez la règle simple : l'outil prépare, un humain envoie.
Sources : OpenAI, notes de version ChatGPT, 25 août 2026 · OpenAI, documentation des tâches · Engadget, 25 août 2026
Aussi cette semaine, en bref
- Cyberattaque contre une mutuelle française : prudence sur les chiffres, vigilance sur les conséquences. Solimut Mutuelle de France a détecté une attaque le dimanche 23 août au matin et l'a rendue publique le 25 août, en indiquant alors inventorier le périmètre touché sans avancer aucun chiffre. Sur un forum criminel, les auteurs revendiquent le vol de plus d'un million de fiches d'assurés, de plusieurs centaines de milliers d'IBAN et de plus d'un million de déclarations sociales nominatives, et annoncent leur mise en vente. Ces volumes ne sont pas confirmés par la mutuelle, varient selon les revendications et dépassent son nombre d'adhérents santé (348 341 fin 2025) : à prendre avec prudence. La conséquence pratique, elle, ne dépend pas du chiffre exact — rappelez à votre comptable qu'aucun changement de coordonnées bancaires, fournisseur ou salarié, ne se valide sans rappel sur un numéro déjà connu. Source
- Google a présenté le 26 août un nouveau modèle de transcription, Gemini 3.5 Transcribe, annoncé pour plus de 85 langues, en mode fichier et en direct. Deux points à connaître avant de compter dessus : sur un enregistrement, le modèle n'attribue la parole de façon fiable que jusqu'à trois locuteurs, au-delà le support est présenté comme expérimental — insuffisant pour une réunion d'équipe, suffisant pour un rendez-vous client. Le modèle est en préversion publique via l'API Gemini dans Google AI Studio ; le billet d'annonce ne communique pas de tarif. Source
- Lot de nouveautés Google Workspace le 26 août, dont deux qui font gagner du temps sans rien configurer : les notes automatiques de réunion Meet capturent désormais les diapositives présentées en plus des points clés, et les comptes rendus, transcriptions et enregistrements sont automatiquement rangés dans un dossier « Google Meet » sur le Drive de l'organisateur. L'annonce ne précise ni les éditions concernées ni le calendrier pays par pays. Source
- Nvidia rachèterait Hugging Face pour 12,9 milliards de dollars américains. L'information vient de The Information et de Business Insider, relayés les 26 et 27 août par TechCrunch, sur la foi de sources anonymes. Au 30 août 2026, aucun accord n'était signé et ni Nvidia ni Hugging Face n'avaient confirmé quoi que ce soit : à prendre au conditionnel. Si l'opération se faisait, la principale plateforme de modèles d'IA en accès ouvert passerait sous le contrôle du premier fabricant de puces du secteur. Un point à garder en tête si un prestataire vous a vendu de l'IA « ouverte, donc indépendante ». Source
- La mémoire de Claude devient consultable et modifiable depuis le 25 août : on peut lire ce que l'assistant a retenu, le corriger ou l'effacer sujet par sujet, et les sujets sensibles ne sont pas enregistrés par défaut. Détail qui compte si vous avez déployé l'outil en équipe : la mémoire est activée par défaut sur les formules individuelles, mais sur Team et Enterprise l'administrateur en contrôle la disponibilité et elle reste désactivée pour chaque utilisateur tant qu'il ne l'active pas lui-même. Autrement dit, deux actions sont nécessaires, et personne ne vous préviendra qu'elles manquent. Source
À faire cette semaine
Trois actions concrètes, tirées de ce qui précède. Comptez une heure et demie au total.
- Listez les endroits où un outil décide seul du sort d'une personne — tri de candidatures, notation de prestataires, blocage de compte client — et vérifiez pour chacun qu'un humain peut réellement réexaminer le dossier. C'est l'article 22 du RGPD, il s'applique à vous depuis 2018, et il n'a pas été repoussé.
- Faites l'inventaire des extensions de navigateur installées sur les postes et supprimez celles que personne n'utilise. Selon Akamai, une extension IA sur six embarque une faille connue et trois sur quatre demandent des permissions élevées ou critiques.
- Demandez à votre hébergeur si votre site passe par Cloudflare. Si oui, allez confirmer vous-même les réglages sur la recherche, les agents et l'entraînement, plutôt que de laisser le défaut décider pour vous.
Vous voulez qu'on regarde votre organisation ?
Trente minutes, gratuit, sans engagement. On écoute comment vous travaillez et on vous dit précisément ce qui est automatisable — et ce qui ne l'est pas.
Réserver un échange