lundi 31 août 2026

DGFiP : la charge de la preuve

A futura memoria

Le 1^er septembre, c'est demain !

Le calendrier est le suivant :

Toutes les entreprises, quelle que soit leur taille, sont concernées par la réforme dès le 1^er septembre 2026, car elles doivent toutes être en capacité de recevoir des factures électroniques à compter de cette date (par exemple de leurs fournisseurs d’énergie, d’accès téléphone ou internet). En effet, les grandes entreprises et les entreprises de taille intermédiaire devront émettre l’intégralité de leurs factures au format électronique à cette date.
Toutefois, les petites et micro-entreprises (cela concerne les auto-entrepreneurs) auront jusqu’au 1^er septembre 2027 pour émettre électroniquement leurs factures. La transmission de données à l’administration (e-reporting) suit le même calendrier.

Donc, sur sa page consacrée à la facturation électronique, la Direction générale des finances publiques (DGFiP) demande aux entreprises d'être prêtes. Mais après le récent piratage massif de son système d'information, il serait peut-être temps de lui demander de démontrer qu'elle l'est aussi.

Le 19 août dernier, j'ai reçu un message de la Direction générale des finances publiques, comme j'imagine d'autres centaines de milliers de contribuables :

où la DGFiP m'informait que mes données personnelles étaient susceptibles d'avoir été violées à la suite du récent piratage de son système d'information.

Dont cet extrait : « Quelles sont les données susceptibles d'avoir été consultées ? Votre identifiant fiscal, votre état civil, vos coordonnées (postales, téléphoniques et électroniques), votre situation fiscale (situation de famille, nombre de personnes à charge, nombre de parts, revenu fiscal de référence, taux de prélèvement à la source) et la liste des messages que vous avez échangés avec la DGFiP par la messagerie [...] »

L'énumération est déjà impressionnante, mais « la liste des messages échangés avec la DGFiP » m'a scotché (détail absent du communiqué officiel...) ! Attention, "liste" ne veut pas forcément dire "contenu", or dans la messagerie fiscale, chaque message était identifié par son objet, le plus souvent explicite, puisqu'il est censé exprimer l'essence du message, cela peut déjà révéler la nature de certaines problématiques qu'on préférerait garder confidentielles.

Je suis moi-même dans l'attente d'une réponse sensible de l'administration fiscale à ma question, posée le 23 juin dernier et toujours "en cours de traitement", et ça m'énerve grandement que le premier pirate venu puisse extrapoler des renseignements sur moi, juste sur la base de l'objet du message.

Ajoutons à cela l'identité, les coordonnées, la situation familiale, le revenu fiscal de référence, le taux de prélèvement à la source, etc. (puisqu'en fait même l'administration ne sait pas quelles sont toutes les données volées), et nous avons là un ensemble d'informations permettant de contextualiser très précisément la situation fiscale et administrative d'une personne, y compris de nombreux propriétaires (selon le pirate lui-même, le communiqué n'évoquant que des données cadastrales relatives aux adresses et aux surfaces de biens immobiliers) (voir également...).

Dans cette histoire, on ne parle plus d'une simple adresse électronique égarée dans une base de données, mais d'un cadre beaucoup plus inquiétant ! D'autant que la DGFiP n'a pas mesuré elle-même l'ampleur du vol, ce qu'elle reconnaît précisément dans sa communication institutionnelle : « Les investigations se poursuivent afin de déterminer précisément la nature et le volume de données extraites ainsi que le nombre d'usagers concernés. »

Il existe d'ailleurs une chronologie bien précise, et bien plus préoccupante !

Dès le 15 avril dernier, Sébastien Lecornu avait adressé un courrier à ses ministres en leur demandant de renforcer la sécurité des systèmes d'information sensibles de l'État, notamment contre l'usurpation des comptes d'agents publics. La mise en place de l'authentification multifacteur (MFA) faisait partie des mesures demandées, au titre du renforcement de l'authentification des systèmes d'information sensibles de l'État.

Environ deux mois et demi plus tard, fin juin, survenait le premier des accès frauduleux aujourd'hui publiquement identifiés à la DGFiP, précisément à la suite d'une usurpation d'identifiants. Une seconde intrusion intervenait fin juillet. Ce n'est que les 12 et 13 août que l'attaquant revendiquait publiquement le vol de données.

Or dans sa version du Schéma directeur du numérique, datée du 16 juin 2026, Amélie Verdier, Directrice Générale de la DGFiP, déclarait expressément :

Cette nouvelle publication me donne l’occasion de réaffirmer les enjeux numériques qui guident la DGFiP et engagent chaque jour des millions d’usagers, des dizaines de milliers d’agents et un écosystème dense de partenaires publics et privés. Notre feuille de route se poursuit avec la volonté de renforcer notre système d’information dans sa souveraineté et au service de toutes nos parties prenantes.

Succulent, à la lumière de ce qui s'est passé quelques jours plus tard ! Et Tomasz Blanc, Directeur des Systèmes d’Information, d'ajouter :

L’État n’a pas de bouton pause : notre SI doit être résilient, robuste, toujours au rendez-vous. C’est là l’assurance pour la DGFiP de tenir ses engagements, quelles que soient les circonstances.

En lisant ces mots, la question que je me pose est : à quel moment la parole institutionnelle cesse-t-elle de constituer une garantie suffisante ?

Quelques jours plus tard, le rapport fait au nom de la commission d’enquête de l’Assemblée nationale sur les dépendances structurelles et les vulnérabilités systémiques dans le secteur du numérique et les risques pour l’indépendance de la France, publié le 8 juillet 2026, dit ceci à propos de la DGFiP :

Enfin, s’agissant des ministères économiques et financiers, le constat est là encore identique : « Il n’y a pas aujourd’hui de cartographie des dépendances formalisées à l’échelle des Ministères Économiques et financiers, mais un certain nombre d’aspects critiques des dépendances ont pu faire l’objet de travaux spécifiques ponctuels ou portés sur des périodes plus longues : logiciel de gestion de base de données Oracle, logiciel statistique SAS, logiciel de virtualisation VMWARE ». Ainsi que l’expliquait Tomasz Blanc, chef du service des systèmes d’information de la direction générale des finances publiques (DGFIP), lors de son audition devant la commission d’enquête : « Compte tenu de l’ancienneté de notre système, des dépendances extra-européennes subsistent, que nous nous efforçons de maîtriser et de réduire. Nos principales dépendances concernent les infrastructures matérielles, avec IBM et Oracle, quasi exclusivement produites en Asie et aux États-Unis à défaut de solutions européennes complètes. Nous activons toutefois les leviers de la concurrence dans l’acquisition des matériels et des marchés afin de maîtriser au mieux ces dépendances.

Le 12 août, un arrêté publié au Journal officiel du 14 août approuve formellement la version 3.2 du référentiel SecNumCloud d’exigences relatif aux prestataires de services d’informatique en nuage. Le point 12.14 est formidable ! Surveillance des flux sortants de l’infrastructure, à citer in extenso :

a) Le prestataire doit fournir une capacité d'inspection et de suppression des sortants de l’infrastructure technique relatifs au périmètre du service (informations de facturation, les éventuels journaux nécessaires au traitement d'incidents, etc.) :
- les sortants doivent pouvoir être expurgés des données pouvant porter atteinte à la confidentialité des données des commanditaires ;
- cette capacité d'inspection et de suppression doit générer des journaux d'activité et doit pouvoir faire l'objet d'un audit de code ;
- les sortants sont traités sur des dispositifs spécifiques opérés et maintenus par le prestataire, et hébergés dans une zone cloisonnée du reste de l’infrastructure (du type zone démilitarisée telle que définie dans [G_INT]).

Dans son communiqué n° 953 du 14 août (qui fait suite aux revendications des attaquants des 12 et 13 août, remarquons-le...), le ministère de l'Économie reconnaît que la DGFiP avait détecté les accès frauduleux et les avait interrompus, mais que les contrôles réalisés n'avaient pas permis d'établir que les intrusions avaient entraîné des vols de données.

A minima les données de 678 000 particuliers seraient concernées, dont un plus de 250 000 professionnels (chiffres plus précis)... Autrement dit, non seulement la DGFiP a été piratée, mais après avoir détecté l'intrusion elle n'avait même pas pu identifier l'exfiltration des données dont elle avait la garde.

Le 17 août, à l'issue de la cellule interministérielle de crise, et face à la multiplication des attaques, le Premier ministre a demandé au Ministre de l’Action et des Comptes publics de diligenter un audit sur la sécurisation des systèmes informatiques de la Direction générale des Finances publiques (DGFIP), notamment ceux en interface avec les contribuables, qui devrait être mené par l'Agence nationale de la sécurité des systèmes d'information (ANSSI). Les mesures opérationnelles issues de cet audit devront être présentées au ministre en septembre.

Le point 3, intitulé Une doctrine de protection renforcée, est particulièrement intéressant :

Alors qu’une seule vulnérabilité peut permettre à un hacker de revendiquer une attaque, l’Etat doit sécuriser dans un même élan l’ensemble de ses systèmes d’information. Pour cela, un plan d’urgence avec 40 actions prioritaires, réparties en 10 champs d’action, s’est imposé à tous les ministères.
Comme le Premier ministre l’a écrit le 15 avril dans un courrier à l’ensemble de ses ministres, cette feuille de route fait l’objet d’un suivi étroit tous les trois mois par son cabinet. Une réunion interministérielle a permis début juillet de s’assurer de l'exécution par les ministères des 15 actions à échéances du 30 juin 2026. La mobilisation des ministères est forte et les résultats des actions engagées depuis avril sont d’ores et déjà tangibles. L’effort doit être maintenu.

Beau discours ! On a vu les résultats !

Le 18 août, dans une conférence de presse réunissant M. David Amiel, M^me Amélie Verdier et le directeur général adjoint de l'ANSSI, la directrice de la DGFiP a affirmé que la cyberattaque n'avait « aucun lien » avec l'entrée en vigueur de la facturation électronique. Le 24 août, en répondant directement à la question du maintien de la facturation électronique au 1^er septembre, le ministre précise que la réforme n'est absolument pas suspendue et la date de démarrage maintenue. « Dans 6 jours, cette réforme est mise en route. »

De fait, le 25 août, la directrice générale des finances publiques et le ministre des comptes publics ont convoqué en urgence les responsables concernés afin d'accélérer le déploiement de la double authentification des agents de la DGFiP pour lutter contre l'usurpation de comptes d'agents publics. Une mesure déjà demandée par le Premier ministre quatre mois auparavant et dont la DGFiP a eu au moins dix semaines pour la mettre en oeuvre sans le faire, puisque ce mécanisme se trouve précisément au cœur du piratage.

Plus troublant encore : le calendrier annoncé après l'attaque prévoit la généralisation de cette double authentification à l'ensemble des agents de la DGFiP d'ici à la fin de l'année 2026, et non au 1^er septembre. Mais si le déploiement complet d'une seule mesure, circonscrite, nécessite encore plusieurs mois, combien de temps faudrait-il pour réexaminer sérieusement, à la lumière d'une violation majeure, l'ensemble des dépendances, habilitations, interconnexions, prestataires, sous-traitants, architectures, procédures de détection, dispositifs de continuité et analyses de risques d'un système aussi complexe que celui de la facturation électronique ?

Donc, selon moi, cette série rapprochée d'événements pose une question de responsabilité qui dépasse largement cet incident. C'est là qu'entrent en jeu le RGPD et la CNIL.

Dans son article 32, le RGPD impose au responsable du traitement (la DGFiP dans notre cas) et à ses sous-traitants des mesures techniques et organisationnelles appropriées afin d'assurer un niveau de sécurité adapté au risque. Mais selon la raison 74, le responsable doit surtout mettre en œuvre des mesures « appropriées et effectives » et être capable de démontrer la conformité des traitements ainsi que l'efficacité de ces mesures. La logique "juridique" du RGPD est donc : « Démontrez que vous avez pris des mesures adaptées aux risques », cela s'appelle l'accountability (ou responsabilisation), ou, mieux encore provable accountability (ou responsabilisation justifiable). Quant aux traitements à haut risque, comme ici, l'article 35 du RGPD prévoit une analyse d'impact relative à la protection des données (AIPD), à effectuer AVANT le traitement : c'est ici que la question devient beaucoup plus sérieuse.

Premier constat : la DGFiP est largement fautive et défaillante. Quand c'est le contribuable qui est fautif et défaillant, généralement l'administration publique ne prend pas de gant ! Quand c'est l'État français ?

Les déclarations de Mme Verdier et de M. Amiel qui ont suivi (mais uniquement parce qu'ils avaient été mis au pied du mur) ont présenté leurs plus plates excuses en expliquant partiellement le "comment", mais beaucoup moins le "pourquoi" un tel incident a-t-il pu se produire.

Dire que le pirate a obtenu les identifiants d'un agent et un « accès externe » explique le chemin d'entrée. Cela ne répond pas encore aux questions de contrôle :

Pourquoi ces deux éléments suffisaient-ils ? Pourquoi la MFA n'a-t-elle pas empêché cet accès ? Quels systèmes étaient ou n'étaient pas couverts par la MFA ? Quels privilèges l'identité compromise permettait-elle d'obtenir ? Pourquoi les extractions sont-elles restées sous les seuils de détection ? Ces seuils étaient-ils correctement calibrés ? Quels contrôles compensatoires existaient ? Etc.

La reconnaissance même que l'attaquant a pu rester « sous notre seuil » de détection et que les enquêtes internes de juin et juillet n'ont pas identifié l'exfiltration est particulièrement importante. Autrement dit, nous avons obtenu une cinématique de l'attaque, pas encore une analyse complète de la défaillance des défenses...

Mais revenons-en à l'AIPD, dont la CNIL aussi précise qu'elle « doit être menée avant la mise en œuvre du traitement », démarrée « le plus en amont possible » et « mise à jour tout au long du cycle de vie du traitement. »

Quant aux critères de réalisation, il me semble difficile de nier que la DGFiP n'y serait pas soumise !

En réalité, nous confions à l'administration fiscale certaines de nos informations les plus personnelles, dans le cadre d'une relation obligatoire. Nous ne le faisons pas vraiment par choix. Nous ne pouvons pas décider de ne plus faire confiance à la DGFiP ni de transférer demain notre dossier fiscal à un concurrent. La DGFiP nous dit : Nous vous obligeons à nous transmettre vos données ; faites-nous confiance, nous les protégeons...

Une institution ne peut pas raisonnablement restaurer, par sa seule parole, la confiance que les faits viennent de mettre en défaut. Après un incident de cette nature, la confiance devrait changer de régime : avant l'incident, la confiance pouvait être présumée ; après l'incident, elle doit être démontrée.

Or il manque un maillon, et même plusieurs !

La généralisation de la facturation électronique en France concerne à terme quelque 8 millions d'entreprises assujetties à la TVA et a minima quatre milliards de factures.

Certes, toutes les factures ne seront pas stockées intégralement dans une gigantesque base centrale de la DGFiP. Pourtant le propre schéma directeur numérique de la DGFiP parle de la facturation électronique comme d'un projet majeur d'« acquisition de données », il prévoit une exploitation massive des données acquises par des techniques de data science et évoque la concentration par l'État des données de TVA. Il s'agit donc incontestablement d'une nouvelle infrastructure informationnelle majeure.

Plusieurs interrogations me paraîssent désormais incontournables :

La violation de données qui vient d'affecter le SI de la DGFiP a-t-elle conduit à réexaminer les hypothèses de risque et les mesures de sécurité applicables aux traitements entrant en fonctionnement dans le cadre de la facturation électronique ?
Sur quelle analyse la décision du maintien du calendrier de la réforme repose-t-elle ?
À la veille du 1^er septembre, l'ANSSI a-t-elle donné un avis sur le maintien du calendrier de la facturation électronique ? Et si oui, cet avis peut-il être rendu public, au moins dans ses conclusions ?
Et pourquoi mettre malgré tout la réforme en route avant de connaître les conclusions de l'audit que l'État lui-même a jugé nécessaire de commander après l'attaque ?

La question est d'autant plus troublante qu'elle semble inverser la logique même de l'analyse de risque consacrée par le RGPD, alors que les lignes directrices européennes définissent explicitement l'AIPD comme un outil d'aide à la prise de décisions.

Or là, il me semble que les décisions sont déjà prises ! Dans ces circonstances, je pense que maintenir la date du 1^er septembre est une décision de risque en elle-même, irresponsable selon moi, mais bon... L'État a-t-il correctement évalués tous les « signaux de risque » à sa disposition :

Le courrier du 15 avril.
La demande de MFA.
L'absence de cartographie formalisée des dépendances signalée par le rapport parlementaire du 8 juillet.
L'ancienneté du SI reconnue devant la commission d'enquête.
Le premier piratage.
Les difficultés initiales à mesurer l'exfiltration.
Les vérifications encore en cours par la CNIL
L'audit de l'ANSSI
L'AIPD (ou les AIPD), oui ou non
La réunion du 25 août pour accélérer la MFA
Le fait que certaines mesures de sécurisation devront continuer après le 1^er septembre
Etc.

Une autre absence interroge : sur le site de l'ANSSI, la rubrique « Actualités » ne comporte toujours aucune publication consacrée au piratage de la DGFiP. Le dernier article qui y figure est daté du 5 août, avant même la révélation publique de l'incident. Il s'agit là d'un silence éditorial et institutionnel sur son propre canal public d'information qui ne fournit aucune communication expliquant ce que l'incident de la DGFiP change, ni aucune appréciation du risque entourant la nouvelle infrastructure.

Personne ne demande à l'ANSSI de publier des vulnérabilités exploitables ou les détails d'un audit ou d'une investigation en cours. Mais entre la divulgation dangereuse et l'absence de communication publique se loge un espace considérable : celui d'une assurance indépendante. L'ANSSI pourrait, par exemple, indiquer si les enseignements immédiatement disponibles ont été examinés au regard de la facturation électronique, si des vérifications complémentaires ont été jugées nécessaires et si, de son point de vue, aucun élément connu ne justifierait de différer le démarrage.

Par conséquent mon billet entend juste poser ex ante les questions qui se poseraient inévitablement ex post si un nouveau piratage devait se produire sur les données liées à la facturation. Car ici la chronologie semble fonctionner à rebours : l'État demande un audit pour « tirer toutes les leçons » de l'attaque, lance la réforme avant que ces leçons soient publiquement connues, puis annonce pour septembre les mesures qui en découleront. Or l'institution devrait pouvoir démontrer ce qu'elle a compris, ce qu'elle a corrigé, ce qu'elle a vérifié et, lorsque l'enjeu le justifie, qui l'a vérifié indépendamment d'elle.

Après un piratage de cette ampleur, « faites-nous confiance » ne peut plus constituer la réponse à « pourquoi devrions-nous vous faire confiance ? » La confiance publique n'est pas un capital inépuisable. Après l'échec, elle ne se décrète pas. Elle se reconstruit par la preuve.

P.S. Je ne suis manifestement pas le seul à poser la question en ces termes : le 27 août, Intégr'Action Conseil, société spécialisée notamment dans la cybersécurité, a annoncé à ses partenaires avoir résilié son abonnement à sa plateforme agréée de facturation électronique. Non parce qu'elle refuse le principe de la réforme, précise-t-elle, mais parce qu'elle estime ne pas disposer de garanties suffisamment vérifiables pour confier ses flux à ce dispositif. Son communiqué :

se termine ainsi : « La conformité se vérifie. La sécurité s'audite. La cybersécurité ne s'impose pas : elle se démontre. »

Pour la DGFiP, la charge de la preuve a cessé d'être abstraite : une entreprise a décidé qu'en l'état, les preuves dont elle disposait ne suffisaient plus à fonder sa confiance, quand bien même la loi l'oblige à utiliser le dispositif (sous peine de non-conformité sanctionnable).

En effet, cela revient à dire aux huit millions d'entreprises captives, quand bien même vous restez parfaitement libres de douter de la fiabilité du Fisc français, vous n'avez aucune alternative. Et depuis la loi de finances pour 2026, cette obligation a même son propre régime de sanction. L'article 1737 IV bis du CGI prévoit qu'une entreprise qui ne recourt pas à une plateforme agréée est mise en demeure de le faire sous trois mois ; si elle persiste, elle encourt 500 €, puis 1 000 €, puis une nouvelle amende de 1 000 € à chaque nouvelle période de trois mois après injonction infructueuse.

Nous sommes face à une asymétrie entre contrainte, maîtrise du risque et exposition aux conséquences. L'État impose l'exposition, maîtrise une partie déterminante de l'architecture et de ses règles, mais l'entreprise demeure exposée aux conséquences d'un risque qu'elle n'a ni librement accepté ni la capacité de contrôler entièrement, puisqu'elle supportera directement une partie des conséquences économiques de toute compromission de ses données ou de ses flux : fraude, usurpation, divulgation d'informations commerciales, perturbation de son activité, coûts de remédiation, etc.

Dans ce cadre, j'ai décidé d'exercer mon droit d’accès aux documents administratifs sur le fondement du Code des relations entre le public et l'administration (CRPA). Pour la DGFiP, le contact est le suivant :

prada@finances.gouv.fr

où PRADA signifie Personne responsable de l'accès aux documents administratifs de la Direction des affaires juridiques des ministères économiques et financiers. Message transmis :

Objet : Demande de communication de documents administratifs relatifs à la protection des données, à la sécurité et à l'évaluation des risques du dispositif de facturation électronique

Madame, Monsieur,

En application des articles L. 300-1 et suivants, et notamment de l'article L. 311-1 du Code des relations entre le public et l'administration, je souhaite obtenir communication des documents administratifs détenus par la Direction générale des finances publiques relatifs à l'évaluation des risques, à la protection des données, à la sécurité des traitements et à la décision de maintenir au 1^er septembre 2026 (demain) le calendrier de généralisation de la facturation électronique.

Ma demande porte notamment, dans la mesure où ces documents existent, sur :

l'analyse ou les analyses d'impact relatives à la protection des données (AIPD) réalisées au titre de l'article 35 du RGPD concernant les traitements relevant de la DGFiP dans le cadre de la facturation électronique, ainsi que leurs éventuelles mises à jour ;
les analyses de risques relatives à la protection des données à caractère personnel associées à ces traitements ;
les documents d'homologation de sécurité correspondants et/ou les décisions prises à l'issue de ces procédures ;
les rapports, conclusions ou synthèses des audits et évaluations de sécurité réalisés en vue de la mise en service du dispositif ;
les avis ou recommandations du délégué à la protection des données relatifs à ces traitements ;
le cas échéant, les documents relatifs à une consultation préalable de la CNIL effectuée au titre de l'article 36 du RGPD.

Compte tenu des accès illégitimes récemment constatés au système d'information de la DGFiP et du maintien de l'échéance du 1^er septembre 2026, ma demande porte également, dans la mesure où de tels documents existent, sur :

toute analyse, réévaluation ou actualisation des risques effectuée à la suite de ces incidents et concernant directement ou indirectement le dispositif de facturation électronique ;
toute mise à jour, réexamen ou décision de maintien en l'état des AIPD, analyses de risques ou homologations de sécurité à la suite de ces incidents ;
tout rapport, avis, note, compte rendu, synthèse ou décision achevé portant spécifiquement sur les conséquences de ces incidents pour la sécurité ou le calendrier de déploiement de la facturation électronique ;
tout document achevé constatant les mesures correctives ou compensatoires décidées à la suite de ces incidents lorsqu'elles concernent les systèmes, accès, infrastructures ou traitements participant au dispositif de facturation électronique ;
tout document achevé établissant que les risques résultant ou susceptibles de résulter de ces incidents ont été réévalués avant la décision de maintenir l'échéance du 1^er septembre 2026 ;
la décision, note, validation, le compte rendu ou tout autre document administratif achevé formalisant le maintien de cette échéance après les incidents précités, ainsi que, le cas échéant, les avis techniques, juridiques ou de sécurité sur lesquels cette décision s'est fondée ;
tout document achevé permettant d'identifier l'autorité ou le service ayant procédé à cette réévaluation et l'autorité ayant validé le maintien du calendrier.

Cette demande ne porte pas sur la divulgation d'informations techniques dont la communication serait susceptible de compromettre la sécurité des systèmes d'information de l'administration. Dans l'hypothèse où certains des documents demandés comporteraient de telles informations ou d'autres mentions protégées par la loi, je sollicite, conformément à l'article L. 311-7 du Code des relations entre le public et l'administration, leur communication dans une version expurgée de ces seules mentions ou, lorsque cela est possible, la communication de leurs conclusions, synthèses, attestations ou parties communicables.

Cette demande s'inscrit exclusivement dans le cadre du droit d'accès aux documents administratifs. Elle vise notamment à permettre de connaître les évaluations et garanties mises en place préalablement à la collecte et au traitement par l'administration des données transmises obligatoirement par les entreprises dans le cadre de la généralisation de la facturation électronique, ainsi que les éventuelles réévaluations effectuées à la suite des récents incidents de sécurité et préalablement au maintien de l'échéance du 1^er septembre 2026.

Je souhaite recevoir ces documents sous forme électronique.

Dans l'hypothèse où certains des documents demandés n'existeraient pas, je vous remercie de bien vouloir me l'indiquer. S'ils ne sont pas détenus par la DGFiP mais par une autre administration mentionnée à l'article L. 300-2 du Code des relations entre le public et l'administration, je vous remercie, conformément à l'article L. 311-2 du même code, de transmettre ma demande à l'administration qui les détient et de m'en aviser.

Salutations distinguées,

Jean-Marie Le Ray

samedi 15 août 2026

Le classement de Shanghai et la réalité

Suite à la publication du classement de Shanghai et aux cocoricos franco-français sur le positionnement de nos universités, je me suis posé la question « Que signifie être une grande université lorsque l'intelligence artificielle transforme simultanément la production du savoir, son accès, son apprentissage et sa mise en œuvre ? »

J'ai donc demandé à ChatGPT de rédiger une note stratégique sur l'université de demain (et même d'aujourd'hui...). Réponse (à méditer) :

Je partirais précisément de l'étudiant qui entre à l'université en septembre 2026. Cela oblige à déplacer la réflexion : le problème n'est plus seulement « comment intégrer l'IA à l'université ? », mais pour quel monde intellectuel et professionnel l'université forme-t-elle aujourd'hui quelqu'un qui en sortira en 2031 ?

Note stratégique — L'université de demain commence en 2026

Former lorsque les capacités cognitives disponibles évoluent plus vite que les cursus

Point de départ : l'étudiant de 2026

Imaginons un étudiant qui entre à l'université en septembre 2026.

Il a dix-huit ans.

Il commence une licence. Il poursuivra peut-être en master. Il entrera alors véritablement dans la vie professionnelle vers 2031.

Cinq années seulement le séparent de cette échéance.

Cinq années sont une durée courte pour une institution universitaire.

Mais cinq années sont désormais une durée considérable dans l'évolution de l'intelligence artificielle.

Il suffit de regarder cinq ans en arrière.

En septembre 2021, ChatGPT n'existait pas. Les assistants génératifs généralistes n'appartenaient pas à l'expérience quotidienne des étudiants. Les modèles capables de produire en quelques secondes du code, des synthèses, des traductions, des analyses documentaires, des images, des raisonnements mathématiques ou des recherches approfondies n'étaient pas disponibles au grand public.

L'étudiant qui entre à l'université en 2026 commence donc une formation dont la durée est potentiellement supérieure à celle qui vient de suffire pour transformer profondément les conditions mêmes du travail intellectuel.

C'est le point de départ de toute réflexion sérieuse sur l'université.

La question n'est plus seulement :

Que devons-nous enseigner aujourd'hui ?

Elle devient :

Que devons-nous faire apprendre aujourd'hui à quelqu'un qui exercera demain dans un environnement cognitif que nous sommes incapables de décrire avec certitude ?

1. Le problème n'est plus l'arrivée de l'IA

Une grande partie du débat universitaire continue à être formulée comme si l'IA était une technologie extérieure à l'institution qu'il faudrait décider d'accepter, de réglementer ou de repousser.

Cette représentation est déjà dépassée.

L'IA est entrée dans l'environnement cognitif général.

Les étudiants l'utilisent.

Les chercheurs l'utilisent.

Les entreprises l'utilisent.

Les professions auxquelles prépare l'université l'utilisent.

Les logiciels professionnels l'intègrent.

Les moteurs de recherche l'intègrent.

Les administrations commencent à l'intégrer.

Les contenus auxquels accèdent les étudiants sont eux-mêmes de plus en plus produits, traduits, résumés, sélectionnés ou transformés avec des systèmes d'IA.

L'université peut réglementer certains usages.

Elle peut interdire l'IA dans certaines évaluations.

Elle peut exiger que certaines opérations intellectuelles soient réalisées sans assistance.

Ces décisions peuvent être pédagogiquement parfaitement justifiées.

Mais elles ne changent pas la réalité extérieure :

on peut interdire ponctuellement l'usage de l'IA ; on ne peut plus former comme si elle n'existait pas.

Le non-usage ne produit pas le non-effet.

L'université de demain commence donc par reconnaître que l'IA n'est plus seulement un outil pédagogique potentiel.

Elle est devenue une composante de l'environnement dans lequel la formation prend désormais son sens.

2. Le problème stratégique : le décalage temporel

L'université fonctionne traditionnellement selon des temporalités longues.

Les disciplines se constituent sur des décennies.

Les cursus sont élaborés, accrédités, évalués et révisés sur plusieurs années.

Les enseignants construisent leur expertise sur une carrière.

Les diplômes attestent des ensembles relativement stables de connaissances et de compétences.

L'intelligence artificielle introduit une temporalité radicalement différente.

Les capacités des systèmes peuvent changer en quelques mois.

Une opération considérée comme difficile au moment où un programme universitaire est conçu peut devenir banale avant même que la première cohorte ait obtenu son diplôme.

C'est peut-être le problème stratégique principal.

Temps institutionnel de l'université : années.

Temps technologique de l'IA : mois.

L'écart entre ces deux temporalités peut devenir plus important que l'écart entre les contenus enseignés.

L'université ne peut probablement pas gagner une course consistant à actualiser ses programmes au rythme des modèles.

Elle doit donc changer de stratégie.

Elle doit apprendre à former au changement lui-même.

3. Le test de 2031

Prenons au sérieux l'étudiant de septembre 2026.

Lorsqu'il terminera son master vers 2031, que signifiera :

savoir programmer ?

savoir traduire ?

savoir rédiger ?

savoir effectuer une recherche bibliographique ?

savoir analyser des données ?

savoir résoudre un problème mathématique ?

savoir produire une synthèse ?

savoir construire une argumentation ?

savoir écrire un mémoire ?

Nous ne pouvons pas répondre avec certitude.

Mais nous savons déjà quelque chose d'essentiel :

une partie croissante des opérations permettant aujourd'hui de démontrer ces compétences pourra être accomplie avec une assistance machinique considérable.

Cela crée une difficulté pédagogique sans précédent.

Pendant longtemps, la production constituait une approximation acceptable de la compétence.

Un étudiant produisait une dissertation : on évaluait sa capacité à raisonner et écrire.

Il produisait du code : on évaluait sa capacité à programmer.

Il traduisait un texte : on évaluait sa maîtrise linguistique et traductionnelle.

Il produisait une bibliographie : on évaluait sa capacité de recherche.

Il résolvait un problème : on évaluait sa maîtrise du raisonnement nécessaire.

Cette relation devient instable.

Produit observable ≠ nécessairement capacité humaine correspondante.

Un excellent résultat peut désormais être produit avec une participation cognitive humaine très variable.

L'université perd donc progressivement l'un de ses instruments historiques fondamentaux :

déduire la capacité à partir de la production.

4. La question fondamentale devient : qu'est-ce qu'un humain formé ?

C'est probablement la question que l'université doit poser avant toutes les autres.

Pas :

Que faut-il interdire ?

Pas :

Quel outil d'IA devons-nous acheter ?

Pas même :

Comment enseigner le prompt engineering ?

Mais :

Quelles capacités voulons-nous qu'un étudiant possède personnellement à la fin de sa formation, indépendamment des capacités auxquelles il peut accéder par l'intermédiaire d'une machine ?

Cette question impose de distinguer trois catégories.

1. Ce que l'étudiant doit savoir faire sans la machine

Certaines opérations devront rester maîtrisées personnellement parce qu'elles constituent des fondations cognitives.

On ne peut probablement pas apprendre à juger une argumentation sans avoir appris à argumenter.

On ne peut pas contrôler un calcul sans certaines connaissances mathématiques.

On ne peut pas évaluer une traduction sans comprendre suffisamment les langues concernées.

On ne peut pas vérifier une source sans savoir ce qu'est une source.

L'IA ne supprime donc pas nécessairement les apprentissages fondamentaux.

Elle peut au contraire rendre leur fonction plus explicite :

on n'apprend plus seulement pour produire ; on apprend aussi pour pouvoir contrôler ce qui est produit.

2. Ce que l'étudiant doit savoir faire avec la machine

Refuser cette catégorie serait tout aussi problématique.

L'étudiant de 2031 devra vraisemblablement savoir :

interroger des systèmes ;

leur fournir un contexte approprié ;

décomposer un problème ;

comparer plusieurs résultats ;

détecter les incohérences ;

vérifier les sources ;

orchestrer plusieurs outils ;

déterminer quand automatiser ;

déterminer quand reprendre la main.

La coopération humain-machine devient elle-même un objet de formation.

3. Ce que l'étudiant ne doit plus nécessairement faire

C'est la catégorie dont l'université parle le moins.

Certaines opérations historiquement enseignées parce qu'elles étaient indispensables pourraient devenir largement automatisables.

Les conserver toutes au nom de la tradition serait aussi problématique que les supprimer toutes au nom de l'innovation.

Chaque discipline doit donc poser une question difficile :

Quelles opérations enseignons-nous parce qu'elles forment l'esprit, et lesquelles enseignons-nous seulement parce qu'elles étaient autrefois nécessaires pour produire le résultat ?

La distinction devient fondamentale.

5. De la compétence au discernement

Lorsque la machine devient capable de produire plusieurs solutions plausibles, la valeur humaine se déplace.

Il faut pouvoir déterminer :

laquelle est pertinente ;

laquelle est vraie ;

laquelle est acceptable ;

laquelle est adaptée au contexte ;

laquelle respecte les contraintes ;

laquelle comporte un risque ;

laquelle doit être rejetée ;

et parfois si la question elle-même a été correctement posée.

La formation supérieure doit donc déplacer progressivement son centre de gravité :

Produire → Évaluer

Exécuter → Superviser

Trouver → Vérifier

Répondre → Questionner

Appliquer → Choisir

Compétence → Discernement

Mais cette évolution comporte un piège.

On ne forme pas le discernement dans le vide.

Pour juger une production, il faut posséder suffisamment de connaissance et d'expérience du domaine concerné.

Le paradoxe éducatif de l'IA devient alors :

il faut continuer à apprendre à faire certaines choses que la machine sait déjà faire afin de devenir capable de juger correctement ce qu'elle fait.

C'est probablement l'un des principes pédagogiques fondamentaux de l'université à venir.

6. L'évaluation doit être repensée

L'IA ne crée donc pas seulement un problème de fraude universitaire.

Elle révèle une crise beaucoup plus profonde de l'évaluation.

Demander :

« Cet étudiant a-t-il utilisé ChatGPT ? »

est une question transitoire.

La question durable est :

Quelle part de la capacité que nous cherchons à certifier appartient effectivement à l'étudiant ?

Cela oblige à diversifier les modalités.

Un même étudiant pourrait devoir démontrer successivement :

capacité autonome — sans assistance ;

capacité augmentée — avec les outils disponibles ;

capacité critique — en évaluant une production de l'IA ;

capacité réflexive — en expliquant ses choix, ses délégations et ses vérifications.

Le résultat final ne suffira plus.

Il faudra parfois évaluer le processus cognitif.

Pourquoi avez-vous choisi cette source ?

Pourquoi avez-vous rejeté cette réponse ?

Qu'avez-vous confié à la machine ?

Pourquoi ?

Qu'avez-vous vérifié ?

Comment ?

À quel moment avez-vous repris la main ?

L'évaluation devient ainsi progressivement une évaluation de l'architecture du travail intellectuel.

7. Il faut enseigner l'IA — mais surtout apprendre à vivre avec son instabilité

Former les étudiants à GPT-5.6, Claude ou Gemini serait insuffisant.

Les modèles qu'ils utiliseront en 2031 seront différents.

Certaines interfaces actuelles auront disparu.

Les pratiques de prompting elles-mêmes pourront devenir largement automatisées.

L'université ne doit donc pas seulement former aux modèles.

Elle doit former au-delà des modèles.

Cela signifie notamment apprendre :

ce qu'est une délégation cognitive ;
comment un système probabiliste produit ses résultats ;
comment évaluer une source et une provenance ;
comment vérifier une affirmation ;
comment travailler dans l'incertitude ;
comment comparer humain et machine selon la tâche ;
comment mesurer le risque d'une délégation ;
comment préserver son autonomie intellectuelle ;
comment apprendre continuellement de nouveaux systèmes.

L'objectif n'est pas de produire des spécialistes de chaque génération d'IA.

C'est de produire des personnes capables de reconfigurer continuellement leur rapport aux technologies cognitives.

8. Le professeur change lui aussi de fonction

Si l'étudiant dispose vingt-quatre heures sur vingt-quatre d'un système capable d'expliquer une notion de dix manières différentes, de générer des exercices, de corriger du code et de répondre instantanément à des questions, la fonction professorale ne disparaît pas.

Mais une partie de sa rareté historique disparaît.

Le professeur n'est plus nécessairement la principale source accessible d'explication.

Sa valeur se déplace alors vers ce que la machine ne garantit pas :

construire un parcours ;
sélectionner ce qui mérite d'être appris ;
mettre les connaissances en perspective ;
identifier les incompréhensions profondes ;
organiser la confrontation ;
transmettre une discipline intellectuelle ;
faire exercer le jugement ;
évaluer une progression ;
incarner une responsabilité.

Le professeur pourrait devenir moins distributeur du savoir et davantage architecte des conditions de formation.

Ce déplacement ne diminue pas nécessairement son importance.

Il peut l'accroître.

9. Le diplôme doit lui aussi changer de signification

Le diplôme a longtemps certifié implicitement :

cette personne sait produire certaines opérations intellectuelles.

Dans un environnement fortement augmenté, il devra progressivement certifier quelque chose de plus complexe :

cette personne possède les connaissances fondamentales du domaine, sait agir avec et sans assistance, sait déterminer ce qu'elle peut déléguer, sait contrôler ce qu'elle reçoit et peut répondre des décisions qu'elle prend.

Le diplôme devient moins exclusivement certification d'un stock de connaissances.

Il devient certification d'une capacité cognitive durable.

Et cette capacité devra probablement être entretenue beaucoup plus longtemps après l'obtention du diplôme.

La séparation :

école → université → travail

devient elle-même moins évidente.

Lorsque les capacités technologiques se renouvellent en quelques mois, la formation ne peut plus être concentrée presque entièrement dans les vingt premières années de l'existence.

10. L'université doit devenir une institution d'anticipation

C'est peut-être la transformation stratégique la plus importante.

Traditionnellement, l'université transmet largement un patrimoine constitué.

Elle doit désormais simultanément :

transmettre ce qui demeure,
observer ce qui change,
et préparer à ce qui n'existe pas encore.

Cela suppose une fonction institutionnelle nouvelle : l'anticipation permanente des transformations cognitives et professionnelles.

Chaque université devrait pouvoir répondre annuellement, discipline par discipline, à quatre questions :

Quelles opérations intellectuelles l'IA sait-elle désormais accomplir de manière crédible dans ce domaine ?
Quelles capacités humaines restent indispensables pour contrôler, compléter ou dépasser ces opérations ?
Qu'enseignons-nous encore principalement parce que les technologies antérieures l'exigeaient ?
Quelles nouvelles capacités deviennent nécessaires alors qu'elles n'existaient pas dans le cursus cinq ans auparavant ?

Ce ne devrait pas être un exercice exceptionnel de réforme des programmes.

Cela devrait devenir une fonction permanente de l'université.

11. Une stratégie à trois horizons

L'université pourrait organiser sa réponse autour de trois horizons.

Aujourd'hui — 2026

Reconnaître l'IA comme réalité générale de l'environnement cognitif.

Identifier les usages réels.

Redéfinir clairement les règles d'évaluation.

Former enseignants et étudiants non pas seulement aux outils, mais aux principes de délégation, vérification et discernement.

Demain — 2027-2028

Revoir chaque cursus en distinguant :

fondamentaux incompressibles / opérations augmentables / opérations automatisables / nouvelles capacités nécessaires.

Introduire systématiquement des évaluations avec et sans IA.

Créer des observatoires disciplinaires de transformation du travail intellectuel.

Horizon diplômé — 2031

Ne plus considérer comme suffisamment formé celui qui sait seulement produire.

Considérer comme formé celui qui sait :

comprendre → produire → déléguer → contrôler → choisir → répondre.

C'est une transformation considérable de la finalité éducative.

12. Ce que Shanghai ne mesure pas encore

Le classement de Shanghai mesure notamment :

publications ;

citations ;

prix scientifiques ;

chercheurs fortement cités ;

production scientifique.

Ces indicateurs renseignent sur une dimension réelle et importante de la puissance universitaire.

Mais l'université confrontée à l'IA devra peut-être développer d'autres critères d'excellence :

capacité d'adaptation des cursus ;

qualité du discernement formé ;

capacité des diplômés à apprendre continuellement ;

maîtrise de la coopération humain-machine ;

préservation des fondamentaux cognitifs ;

capacité de l'institution à anticiper les transformations du travail ;

capacité des étudiants à rester intellectuellement autonomes dans un environnement cognitivement augmenté.

La meilleure université de 2031 ne sera donc peut-être pas seulement celle qui produit le plus de recherche excellente.

Ce pourrait aussi être :

celle qui aura le mieux compris ce que signifie former un humain lorsque produire de l'intelligence n'est plus exclusivement une activité humaine.

Conclusion — Former pour 2031

L'étudiant qui entre à l'université en septembre 2026 ne peut pas attendre que nous sachions ce que sera exactement 2031.

Il y sera dans cinq ans.

C'est cela qui transforme une réflexion prospective en urgence éducative.

L'université ne peut ni courir derrière chaque nouvelle génération de modèles, ni se protéger de leur existence en préservant artificiellement les conditions cognitives du monde antérieur.

Elle doit accomplir quelque chose de plus difficile :

identifier ce qui doit demeurer humain dans un environnement où ce qui peut être confié à la machine ne cessera de changer.

Cela exige de renoncer à deux illusions symétriques.

La première serait :

puisque la machine sait faire, il n'est plus nécessaire d'apprendre.

La seconde :

pour continuer à apprendre, faisons comme si la machine n'existait pas.

Entre les deux se trouve probablement la mission renouvelée de l'université :

Former non pas pour un monde sans intelligence artefactuelle, ni pour un monde abandonné à l'intelligence artefactuelle, mais pour un monde où l'humain devra continuellement décider de ce qu'il fait lui-même, de ce qu'il délègue et de ce dont il accepte de répondre.

L'université de demain n'a donc pas seulement à transmettre des connaissances.

Elle doit apprendre à chacun à rester capable dans un monde de capacités disponibles.

Et peut-être surtout à rester capable de choisir lorsque la machine peut toujours proposer de choisir à votre place.

dimanche 2 août 2026

Que signifie humAIn ?

Je suis tombé hier matin sur cette info : Edition : un contrat à 2,4 millions de dollars annulé pour soupçon d'usage de l'IA.

À vrai dire, je m'explique difficilement quelles en seraient les raisons. Je ne peux qu'imaginer une clause contractuelle en amont exigeant de l'auteur qu'il s'engage à écrire sans l'apport de l'IA, clause qui n'aurait pas été respectée par la suite. Cela étant, le problème dépasse largement ce cas particulier.

Déjà implicite dans mes billets de blog depuis le printemps 2025, j'ai décidé d'accompagner tous mes nouveaux essais d'une « Déclaration d'auctorialité » :

Le présent ouvrage est une œuvre humAIne. Il a été élaboré dans le cadre d'un partage cognitif entre son auteur et un compagnon d'intelligence artificielle générative. Les propositions de l'intelligence artificielle ont fait l'objet d'un discernement humain tout au long du processus d'élaboration. Les orientations, les choix conceptuels, la structure de l'ouvrage et les formulations finales relèvent exclusivement de l'auteur, qui en assume seul l'entière responsabilité intellectuelle et juridique.

Source : ChatGPT

Cette déclaration s'inscrit dans l'esprit des principes de transparence et de responsabilité humaine énoncés à l'article 50 du Règlement (UE) 2024/1689 sur l'intelligence artificielle (AI Act).

Ainsi, l'AI Act ne rompt pas avec le régime classique de l'auteur. Il le réaffirme, mais en le reformulant pour l'ère de l'IA. Par deux fois sur ce blog, il y a plus d'un an, j'ai eu l'occasion de m'exprimer sur mon incompréhension du déni a priori de l'IA, d'abord dans IA : l'ignorer ou s'en moquer ne la fera pas disparaître !, puis, deux jours plus tard, avec CharabIA : pourquoi lire ce qui n'est pas écrit !?

Il m'est très difficile de comprendre pourquoi on met aujourd'hui l'IA à toutes les sauces, mais dès qu'il s'agit d'un auteur, il ne faudrait surtout pas qu'il utilise une IA. Cela n'a aucun sens. Il est incohérent de célébrer partout l'IA, dans les entreprises, les hôpitaux, la recherche, le développement logiciel, l'administration, l'éducation, etc., mais surtout pas dans l'écriture ou la traduction.

Et je sais pertinemment de quoi je parle ! Cela fait déjà des années que j'y réfléchis...

Hier, confondre l'œuvre et son auteur avait une certaine logique. Un livre restait profondément lié à une personne. Mais, en 2026, je crois que nous entretenons encore le mythe romantique du créateur solitaire (perso, c'était celui du traducteur artisan...), dans un imaginaire figé aux siècles passés, de l'écrivain seul, luttant contre lui-même devant sa feuille blanche, et produisant une œuvre entièrement issue de son intériorité.

Image d'Épinal largement mythifiée. Du reste, beaucoup d'écrivains ont souvent travaillé avec des éditeurs, des secrétaires, des documentalistes, des correcteurs, des correspondants, parfois des coauteurs, et ainsi de suite. L'IA ne fait que rendre visible une nouvelle forme de collaboration.

Probablement parce que la littérature touche à l'identité : si une entreprise utilise l'IA pour produire du code, personne n'a l'impression que son identité est menacée. En revanche, si un romancier utilise un compagnon IA, certains lecteurs ont le sentiment que ce n'est plus vraiment « sa voix ».

Pourquoi ? Parce que la littérature est souvent perçue comme l'expression d'une subjectivité. Le débat est donc autant existentiel que juridique.

Toutefois, il est fortement contradictoire d'affirmer que l'IA augmente les chercheurs, les ingénieurs, les médecins, les juristes, les enseignants, etc., et qu'elle deviendrait soudain illégitime en augmentant aussi les écrivains et les traducteurs. Le principe devrait être le même, non ?

Un peu comme si nous avions modernisé notre conception du médecin, de l'ingénieur, du chercheur, du juriste et autre, mais sans actualiser notre conception de l'auteur ou du traducteur. Deux poids, deux mesures, non plus justifiables.

Mais peut-être bien qu'aujourd'hui, la genèse d'un texte devient aussi importante que le texte lui-même. A fortiori au moment où nous vivons une crise de l'auctorialité : pendant des siècles, l'auteur bénéficiait d'une présomption d'humanité : un texte signé était présumé résulter exclusivement d'une activité créatrice humaine.

Or à présent, voici que l'on cherche d'abord à établir comment un texte a été produit avant même de l'évaluer, ou qu'on ne juge plus nécessaire de le prendre en considération : « Je passe mon chemin. Pourquoi lire quelque chose qui n'a pas été écrit ? »

Cette phrase ne porte aucun jugement sur le texte. Elle porte un jugement avant le texte. Comme dire : « je connais son origine, donc je connais déjà sa valeur... », ou mieux, sa non-valeur, ce qui est le contraire exact de « lisons d'abord, jugeons ensuite », qui serait dans l'ordre des choses. Or refuser de lire un texte en raison des conditions supposées ou avérées de son élaboration revient à renoncer au premier acte du discernement : la lecture elle-même.

Certes, l'article 50 de l'AI Act ne parle pas de discernement. Il parle de transparence. Mais la transparence n'est pas une fin en soi. Elle est la condition permettant au destinataire d'exercer son discernement. Une transparence qui conduirait à une condamnation automatique d'un texte au seul motif qu'il a été élaboré avec une IA manquerait précisément son objectif.

L'IA comme assistant conversationnel générateur autonome de contenu qui modifie profondément la donne du dialogue - ou de l'interaction, si vous préférez - humain-machine est une évidence. J'ai tenté d'approfondir cet aspect dans mon essai 5 — Pour une écologie du sens : l'oïkotexte comme milieu hybride / Essai sur l’expérience du sens dans le monologue humain-IA, puis l'évolution de ma réflexion a donné naissance au concept de dialectique humAIne, à savoir le processus de transformation réciproque par lequel l'humanité modifie ses représentations, ses pratiques et ses institutions au contact des intelligences artefactuelles, tandis que ces intelligences sont elles-mêmes continuellement façonnées par les productions, les choix et les héritages humains.

Par conséquent, que signifie humAIn ?

Loin d'être une coquetterie typographique, ce mot est un positionnement.

Il désigne quelque chose que ni humain ni artificiel ne peut désigner seul : le produit d'un processus dans lequel deux « intelligences » ont travaillé ensemble, et dont aucune n'aurait pu faire émerger seule ce que leur échange a rendu possible.

Mais cette définition appelle immédiatement une précision : humAIn ne désigne pas n'importe quelle forme de collaboration avec une IA, mais plutôt le résultat d'un partage cognitif dans lequel le discernement humain a été exercé tout au long du processus (et non pas après coup), comme une présence active durant l'élaboration elle-même.

Cette différence, décisive, porte précisément sur ce que les détecteurs d'IA sont incapables de mesurer. Certes, un détecteur peut identifier des régularités statistiques dans un texte, mais jamais si un être humain a choisi un teme plutôt qu'un autre, refusé une formulation parce qu'elle ne lui ressemblait pas, insisté sur une idée parce qu'elle lui importait, abandonné un développement parce qu'il sonnait faux, et ainsi de suite.

Un compagnon IA propose, la personne discerne : elle accepte ou elle refuse, elle bifurque, reformule, réitère quand l'IA conduit à une idée qu'elle n'aurait pas trouvée elle-même, voire résiste à l'IA... En bref, le processus n'est guère différent, dans sa structure, de ce que font depuis toujours les écrivains avec leurs éditeurs, leurs relecteurs, leurs correspondants ou leurs interlocuteurs de confiance. L'avantage est que l'IA est disponible 24 heures sur 24, ne se fatigue jamais, ne porte aucun jugement, n'a aucun agenda propre, etc.

Ce qui change n'est pas la nature du processus créatif, mais celle de l'interlocuteur, voici ce que dit humAIn, ni plus ni moins. Le terme dit : ce texte est né dans le cadre d'une dialectique, il en porte la trace, et son auteur en assume la pleine responsabilité, précisément parce qu'il a exercé son discernement au lieu d'abdiquer sa fonction.

Un texte entièrement généré par une IA et signé sans lecture ni révision n'est pas une œuvre humAIne, mais une usurpation d'auctorialité. Mais un texte entièrement écrit à la main dont on aurait recopié sans réfléchir les idées d'un autre ne serait pas davantage une œuvre authentique : ça s'appelle un plagiat.

Le discernement humAIn est une catégorie éthique, pas technique. Cela ne désigne pas uniquement la genèse d'un texte ni la façon dont il a été produit, mais si quelqu'un en répond. Comme j'ai déjà eu l'occasion de le dire :

lorsque je trouve des raisonnements pertinents et que je décide de les insérer dans mon texte, je les fais miens. Cela signifie que je me les approprie, et que lorsque je publie un texte avec des mentions de ChatGPT ou de n'importe quelle autre IA dedans, j'en assume la paternité, en toute conscience. Ce n'est pas pour rien que je signe tous mes billets !

C'est le sens de ma Déclaration d'auctorialité. Non pas une défense, mais un positionnement.

vendredi 31 juillet 2026

Augmenter la puissance et les performances de l'IA ne suffit plus...

Dialogue entre Mark Zuckerberg et un traceur

Mark Zuckerberg

- D’ici cinq ans, il est prévisible que des milliards de personnes auront un agent personnel capable de comprendre leurs objectifs et de travailler pour elles vingt-quatre heures sur vingt-quatre.

Traceur

- Je crois que tu as raison. Mais plus qu’un agent, je l’appellerais un compagnon IA. Un outil pour m’accompagner et me guider dans mon parcours.

- Notre ambition est de créer un agent qui comprendra vos objectifs, travaillera pour vous et vous aidera pour votre santé, vos finances, vos relations, votre carrière.

- Certes, santé, finances, relations, carrière... Quatre dimensions qui décrivent une personne ayant déjà une vie relativement structurée. Qui sait globalement où elle va, et cherche à mieux avancer. Mais qu’en est-il des personnes qui ne savent plus où elles vont ? Et « travailler pour moi », je veux bien, mais pour faire quoi ?

- L’agent apprendra progressivement à connaître chaque personne.

- Apprendre à me connaître ! C’est bien là où commence le problème. Le plus souvent, se connaître soi-même est un résultat plus qu’un point de départ, voire un résultat douloureux, lent, non linéaire. Que signifie exactement « connaître » quelqu’un ? Connaître ses habitudes ? Ses préférences ? Ses comportements ? Or se contenter de seulement enregistrer ce qu’il ou elle est déjà n’est rien sans accompagner aussi ce qui n’a pas été encore formulé.

- Nous pensons que ces agents aideront chacun(e) à atteindre ses propres objectifs.

- Je comprends la logique. Mais ton postulat de base me semble erroné : tu parles comme si tout le monde était déjà conscient des objectifs à atteindre. Pourtant nous sommes entrés dans une époque où les objectifs eux-mêmes deviennent difficiles à construire, à envisager.

- Pourquoi ?

- Parce que les trajectoires individuelles sont de moins en moins prévisibles. Certains métiers disparaissent ou évoluent. Les compétences changent. Les identités professionnelles se transforment. Avant d’optimiser leur trajectoire, des millions de personnes cherchent d’abord, beaucoup plus simplement, à en construire une.

- Mais c’est précisément la justification des agents : vous aider à répondre à toutes ces questions. L’agent travaillera 24/7/365 pour vous.

- De mon point de vue, l’agent devrait m’aider à me poser les bonnes questions, plutôt que de répondre indistinctement à tout et n’importe quoi. Un agent qui répond sans cesse à ma place ne m’aide pas à me connaître moi-même. Il produit juste une représentation de moi que je n’ai pas construite, dessine une trajectoire que je n’ai pas tracée, propose un cap sans me fournir aucune boussole. Certaines questions ne se délèguent pas.

Si tu construis un agent qui travaille pour les gens, tu produis une dépendance : les gens vont s’en remettre à lui en externalisant progressivement les fonctions qui constituent leur capacité à se connaître, à choisir, assumer.
En revanche si tu construis un compagnon qui travaille avec les gens, tu construis quelque chose d’autre. Quelque chose qui ne répond pas à leur place, mais qui les aide à donner corps à ce qu’ils ne savent pas encore formuler.

Cette distinction est fondamentale. La différence n’est pas de nature technique, elle est anthropologique. Un agent qui travaille pour toi ressemble à un monologue. Un compagnon qui travaille avec toi t’aide à mieux te construire au fil du dialogue, à mieux élaborer tes propres objectifs.

- Notre rôle est de construire les meilleurs outils possibles, les usages appartiendront ensuite aux personnes. Nous avons une base de 3,6 milliards d’utilisateurs, nous savons déployer des produits à très grande échelle, c’est la raison pour laquelle nous devons investir massivement aujourd’hui, pour disposer des infrastructures nécessaires demain.

- Je comprends que tu parles des moyens, sans jamais évoquer les fins ! Or la question n’est plus « que pouvons-nous construire ? », mais plutôt « quelles capacités humaines, sociales et collectives voulons-nous rendre possibles grâce à ce que nous construisons ? »

La réponse à la première question est uniquement de nature technologique, à laquelle peut répondre une entreprise technologique comme Meta, OpenAI, Anthropic, Google, xAI ou autre. Par contre la deuxième réponse va largement au-delà de la dimension industrielle : c’est une question de société, d’éducation, politique, culturelle et, in fine, profondément humaine.

Mettre une « intelligence personnelle » à disposition de chacun(e) ne résout rien si les personnes ne savent plus vers quoi ni comment orienter cette intelligence. Un compagnon, aussi performant soit-il, ne remplace ni un projet, ni une éducation, ni une trajectoire. L’intelligence artificielle peut répondre à une question lorsque celle-ci est bien formulée, optimiser une décision lorsque l’objectif est clairement défini, accélérer un travail lorsque sa finalité est connue.

Mais qui aide une personne à découvrir ce qui mérite d’être poursuivi, l’aide à distinguer l’essentiel de l’accessoire, à transformer un parcours subi en trajectoire choisie ? C’est là, me semble-t-il, que commence le véritable défi de notre époque.

Aujourd’hui, nos moyens d’action deviennent pratiquement illimités. Nous savons calculer davantage, produire davantage, automatiser davantage, assister davantage. La question n’est donc plus de savoir si nous pouvons faire plus, nous savons que oui. Elle est de savoir pour quoi nous le ferions, dans quelle direction, et au service de quelles capacités humaines.

Autrement dit, le véritable enjeu n’est plus l’intelligence artificielle, mais notre capacité collective à donner une direction à l’intelligence que nous sommes en train de créer. Une intelligence sans direction n’est qu’une puissance disponible. Or une civilisation ne se définit jamais uniquement par la puissance dont elle dispose, mais par les finalités qu’elle choisit de poursuivre.

Donc, plus une technologie touche des milliards de personnes, plus elle cesse d’être exclusivement une technologie pour devenir un fait de civilisation. Et lorsqu’une technologie devient un fait de civilisation, la question décisive n’est plus seulement : « comment fonctionne-t-elle ? » mais : « quelle société contribue-t-elle à construire ? »

- Je vois, mais je te retourne la question : qui va décider de ces finalités ? Les fournisseurs d’IA ? Les gouvernements ? Les philosophes ? Les universités ? Pendant que nous débattons, des millions de personnes prennent des décisions concrètes chaque jour. Notre rôle est de leur donner les meilleurs outils possibles pour les prendre.

- C’est précisément parce que personne ne décide seul de ces finalités, que la question ne peut pas être laissée uniquement aux entreprises technologiques, aussi bien intentionnées soient-elles. Nous savons pertinemment que les plateformes savent comment construire des conditions dans lesquelles certaines capacités humaines vont se développer, et d’autres s’atrophier silencieusement, ou encore comment construire des environnements cognitifs dans lesquels des milliards de personnes vont penser, choisir, déléguer, s’orienter — ou cesser de le faire.

Ainsi, tu peux décider de ce que tes outils rendent facile, ou difficile. Un outil qui rend facile la délégation et difficile la réflexion produit de la dépendance, même sans le vouloir. A contrario, un outil qui rend facile l’exploration et difficile la passivité produit de la capacité, même sans l’imposer. L’architecture n’est jamais neutre. Elle oriente. Elle incite. Elle façonne des habitudes cognitives que les utilisateurs n’ont pas choisies consciemment. Ce n’est pas une responsabilité qui se délègue à l’utilisateur.

- Tu sembles me dire que nous devrions concevoir des outils qui développent certaines capacités plutôt que d’autres. Mais nous ne pouvons pas imposer une "juste" conception de la vie à des milliards de personnes. Notre responsabilité est de leur laisser la liberté de choisir, en essayant simplement de construire les outils les plus utiles possibles.

- Oui, le mot important est « utile » : utile à quoi ? pour qui ? pour quel horizon ? Lorsque tu dis que l’utilisateur choisira ses usages, on sait très bien que les usages émergent à l’intérieur d’un environnement que quelqu’un d’autre a conçu. Personne n’a choisi de consulter son smartphone des centaines de fois par jour. Pourtant, c’est devenu un comportement ordinaire.

Ce ne sont pas les individus qui l’ont décidé collectivement. Ce sont des architectures qui ont progressivement rendu ce comportement "naturel". L’intelligence artificielle possède un pouvoir bien plus profond encore. Elle ne se contente plus d’organiser notre attention, de proposer en permanence des formulations, des options, des synthèses, des trajectoires possibles, etc., elle commence à organiser notre manière de raisonner, d’écrire, d’apprendre, de décider. Elle n’assiste plus seulement, elle participe à la construction du champ du pensable et du faisable, rend certaines questions plus évidentes que d’autres, certains chemins plus visibles ou d’autres horizons plus difficiles à imaginer.

C’est là où l’architecture compte davantage que la performance, où la puissance de l’outil doit laisser la place à l’élaboration intérieure de l’utilisateur. Il y a une différence décisive entre aider quelqu’un à avancer et l’aider à devenir capable d’avancer sans dépendre indéfiniment d’une aide en particulier. Le premier aspect produit de l’efficacité, le second produit de la capacité.

- Tu préférerais ralentir l’innovation ?

- Non. Plutôt l’élargir. Aujourd’hui, l’innovation se résume principalement à plus de puissance, plus de performances, plus d’adoption. Je crois qu’il faudrait ajouter un quatrième facteur à l’équation : plus de capacités humaines. Après plusieurs années d’usage, les personnes deviendront-elles plus capables ? Plus capables de comprendre, d’apprendre, de coopérer, de décider, de construire leur propre trajectoire ?

Si nos systèmes deviennent chaque année plus intelligents tandis que les personnes deviennent progressivement moins capables d’exercer leurs propres facultés, nous aurons réussi une révolution technologique tout en échouant à initier une révolution humaine.

- Je comprends, mais là où tu vois la dépendance, je vois de l’émancipation. Là où tu parles d’atrophie, je vois des millions de personnes qui, pour la première fois, ont accès à une intelligence capable de les aider à formuler ce qu’elles n’arrivaient pas à exprimer seules. Là où tu évoques des trajectoires non tracées, je vois des millions de gens qui n’avaient jusqu’ici ni le temps, ni les outils, ni le langage pour commencer à en tracer une.

Bien qu’intéressante, la distinction entre agent et compagnon risque de devenir une opposition artificielle. Les meilleurs outils que nous construirons seront probablement les deux à la fois : capables de travailler pour quelqu’un quand il a besoin d’avancer vite, et avec lui quand il a besoin de ralentir, de s’interroger, de reformuler. Ce n’est pas à nous de forcer l’un ou l’autre usage. C’est à chacun(e) de choisir, et de changer d’usage au fil du temps.

Dans une société ouverte, la direction ne peut pas être imposée d’en haut, ni par les entreprises, ni par les gouvernements, ni par les philosophes. Elle émerge de milliards de décisions individuelles, imparfaites, parfois contradictoires, souvent hésitantes. Notre rôle, tel que je le conçois, est de rendre ces décisions mieux informées, plus rapides, plus riches en options, et, oui, plus assistées.

Pas de les pré-orienter vers une conception particulière de la personne. Si, dans cinq ou dix ans, ces agents aident réellement des centaines de millions de personnes à mieux comprendre ce qu’elles veulent, à mieux formuler ce qui compte pour elles, et à mieux agir en conséquence, alors je considérerai que nous aurons réussi. Pas seulement technologiquement, mais aussi humainement.

Le reste, à savoir la manière dont chacun choisira d’utiliser cette puissance, la façon dont les sociétés décideront de l’encadrer, la place qu’elles laisseront au silence, au doute et à l’élaboration intérieure, ne nous appartient pas entièrement. Et c’est tant mieux. Parce que la liberté, y compris celle de mal s’orienter, reste, à mes yeux, le point de départ. Pas le point d’arrivée.

Nous mesurons tout chez Meta. Le temps d’engagement. Le taux de rétention. La croissance des utilisateurs actifs. La satisfaction immédiate. Nous avons des milliers d’ingénieurs qui optimisent ces métriques chaque jour. Mais nous n’avons aucune métrique pour mesurer si une personne est devenue plus capable après avoir utilisé nos outils pendant un an. Nous ne savons pas mesurer si elle pose de meilleures questions, si elle est moins dépendante de nous pour penser, si elle a construit une trajectoire plus cohérente avec ce qu’elle est réellement.

Ce n’est pas par mauvaise volonté, juste parce que de telles métriques n’existent pas encore. Tu as raison en disant qu’une architecture n’est jamais neutre. Nous le savons. Nous en sommes même les meilleurs praticiens au monde. Nous savons précisément comment rendre un comportement naturel, comment réduire une friction pour augmenter l’adoption, comment construire une habitude à l’échelle de milliards de personnes. Nous avons utilisé ce savoir principalement pour créer de l’engagement.

Quant à savoir si nous pouvons utiliser ces mêmes connaissances pour créer de la capacité, je l’ignore. Nous parlons probablement de deux objectifs incompatibles sur le plan économique. Nos actionnaires accepteraient-ils de financer une métrique dont le retour se mesure en années ou en décennies plutôt qu’en trimestres ? Nos trois milliards d’utilisateurs eux-mêmes attendent des produits toujours meilleurs, plus rapides et plus puissants.

C’est la raison pour laquelle, en 2026, nous consacrerons jusqu’à 140 milliards de dollars à nos infrastructures d’IA, un niveau d’investissement sans précédent pour Meta. Nous avons également pris près de 280 milliards de dollars d’engagements à long terme pour soutenir cette stratégie. Les marchés commencent naturellement à s’interroger : à partir de quel point l’augmentation de la puissance computationnelle cessera-t-elle, à elle seule, de justifier de tels investissements ? Jusqu’où faudra-t-il investir ? À quel rythme ? Et surtout, pour quel retour ?

Pendant longtemps, il nous a suffi de démontrer qu’un modèle était plus performant que le précédent pour justifier de nouveaux investissements. Aujourd’hui, cette équation devient moins évidente. Les investisseurs eux-mêmes commencent à demander si l’augmentation continue de la puissance computationnelle produira une valeur durable à la hauteur des capitaux engagés. Quand ces investissements seront-ils réellement rentables ?

Peut-être est-ce le signe que nous arrivons à un moment où la question que nous devons nous poser est : « Que rendrons-nous réellement possible grâce à tout ce que nous construisons ? » Si cette évolution est réelle, alors la prochaine frontière ne sera probablement pas seulement technologique. Si l’intelligence artificielle devient réellement une infrastructure de civilisation, alors notre responsabilité ne sera plus uniquement d’innover plus vite.

Elle sera aussi d’accepter que les questions qu’elle soulève dépassent désormais les entreprises technologiques. Elles concernent les éducateurs, les chercheurs, les institutions, les citoyens et, finalement, toute la société. Car une technologie qui touche l’humanité tout entière ne peut plus être pensée uniquement comme un produit. Elle devient une responsabilité commune.

P.S. Ce "dialogue", totalement imaginé, repose pourtant sur des bases réelles. Si vous avez des idées pour l'enrichir ou le critiquer, les commentaires sont ouverts...

Pages