19 septembre 2026

Au sommaire cette semaine

Lecture : 20 minutes, Expresso audio : 5 minutes

• L’édito : votre agent parle en votre nom
• Ce que votre agent a le droit de toucher
• Votre site s’adresse maintenant à deux publics
• Les brèves de la semaine
• L’astuce express
• Cette semaine chez RnD

Votre agent parle en votre nom

Par Alexis Rollin, RnD Intelligence Appliquée

Bonjour à toutes et à tous.

Cette semaine, on m’a raconté l’histoire d’un service juridique d’une société (non cliente, je précise) qui préparait une action contre l’auteur inconnu de messages adressés à ses clients via son propre canal WhatsApp. Sollicitation non identifiée via un canal de l’entreprise ce qui peut s’apparenter à une usurpation d’identité. L’enquête a fini par trouver l’expéditeur : un agent IA de la maison, qui faisait exactement ce qu’on lui avait demandé. Si on résume : l’entreprise s’apprêtait à attaquer un tiers pour un acte dont elle était en fait l’auteur.

Gardez cette scène en tête, parce que la semaine qui vient de s’écouler ne parle que de cela en fait.

Vous avez tous vu passer l’appel de Dario Amodei, le patron d’Anthropic (éditeur de Claude), demandant samedi dernier, le 12 septembre, à l’industrie de ralentir la course. Elon Musk a répondu une heure plus tard en trois mots, « Dario is right ». Pour mémoire, le même Musk avait signé en mars 2023 l’appel à un moratoire de six mois sur les modèles les plus puissants, avant de fonder sa propre entreprise d’IA dans la foulée. Sam Altman, le patron d’OpenAI, a suivi dans la soirée, et il est le seul à avoir engagé quelque chose : des évaluateurs indépendants dotés d’un accès comparable à celui d’un salarié, « and we will do the same ». Demis Hassabis, cofondateur et patron de Google DeepMind, le laboratoire d’IA de Google, et prix Nobel de chimie 2024 pour AlphaFold, lui, n’a posté qu’en pleine nuit pour approuver le cap en réservant la mise en oeuvre, « the details need working through », avant de ramener l’attention sur sa propre proposition de juillet : un organisme de normalisation piloté par les États-Unis, sur le modèle de la FINRA, le régulateur privé de Wall Street.

Trump a parlé de canular et de « complot malsain contre l’IA et les centres de données ». Le quotidien d’État chinois Global Times y a vu un manuel de Guerre froide visant la Chine, ce qui se comprend mieux quand on sait qu’Amodei demande aussi, dans le même texte, de renforcer les contrôles américains à l’exportation de puces.

Je ne vais pas vous refaire le match, vous l’avez lu dix fois cette semaine, mais si vous ne deviez en lire qu’un, prenez celui de Jérôme Marin, qui pose en une page les trois obstacles à ce ralentissement : l’entente illégale, la Chine, et l’impossibilité d’une coopération internationale.

À noter aussi que plusieurs observateurs sérieux ont relevé le calendrier : ces alertes tombent au moment précis où Anthropic prépare son introduction en Bourse. L’information est du Wall Street Journal, qui cite des personnes au fait du dossier et que Fortune a reprise : l’entreprise s’apprête à annoncer à ses investisseurs qu’elle chiffre son marché potentiel à plus de 30 000 milliards de dollars, au-dessus des 28 500 milliards revendiqués par SpaceX. Matt Levine, chez Bloomberg, refuse de choisir entre les deux explications : il croit Amodei sincère, mais constate que cet appel est aussi un très bon argument de vente.

Et donc ?

Et donc revenons à notre service juridique. Ce qui a coûté du temps, de l’argent et un peu de crédit à cette entreprise, ce n’est pas la puissance du modèle : c’est que personne, en interne, ne savait ce que cet agent avait le droit de faire ni au nom de qui il parlait. Aucun fournisseur d’IA ne leur aurait été d’un quelconque secours ce jour-là. Et depuis samedi, plus personne ne peut dire qu’il l’ignorait car quand les patrons des plus grands laboratoires écrivent noir sur blanc qu’ils ne maîtrisent pas complètement la trajectoire de leurs propres systèmes, ce que fait un agent sous votre marque cesse d’être leur problème. C’est le vôtre et ce n’est pas moi qui le dis. C’est la formule d’Emmanuel Vivier, cette semaine, qui a attiré mon attention : « le risque n’a pas augmenté d’un coup mais il a changé de propriétaire ».

Il en tire trois questions que je vous invite à vous poser, et qui n’ont rien de technique.
Combien d’agents tournent aujourd’hui dans votre entreprise, et avec quels droits ? Quelle action irréversible l’un d’eux peut-il déclencher sans qu’un humain valide ? Et qui lui en a donné le droit : quelqu’un chez vous, ou la configuration livrée avec l’outil ? Et en cas d’incident, sauriez-vous rejouer la séquence pour comprendre ce qui s’est passé ?
Souvenez-vous, nous posions les mêmes questions en mai dans le n°431, après la panne d’un hébergeur provoquée par un agent : qui décide qu’un agent accède à votre base clients, avec quels droits, avec quelle journalisation (un registre horodaté de ce qu’il a fait, consultable après coup), avec quelle procédure d’urgence pour le stopper. Et de nouveau à la rentrée, dans le n°441, sous une forme plus directe : ce que l’agent peut encore atteindre une fois sa tâche finie, qui voit ce qu’il a fait, et qui l’arrête un dimanche à 3 heures du matin.

Bref, quatre mois que nous radotons… La question, elle, est passée entre-temps de l’IT au conseil d’administration.

Et si ces questions vous paraissent excessives, relisez l’histoire du service juridique. Personne, dans cette entreprise, n’avait de réponse à la première.

Un mot pour finir sur l’Europe, parce que le débat américain nous fait oublier où nous sommes. Alain Garnier, qui dirige Jamespot, l’a posé cette semaine : ce qu’Amodei réclame à Washington existe déjà ici depuis le 2 août. La Commission européenne peut faire évaluer un modèle à usage général jugé à risque systémique par son Bureau de l’IA, le service qu’elle a créé pour cela, exiger de son fournisseur qu’il le retire du marché, et le sanctionner jusqu’à 3 % de son chiffre d’affaires mondial. L’AI Act n’est pas un texte à venir, il est en vigueur. Il file la comparaison automobile : une voiture monte à 200, on limite quand même à 130, 80 et 30, parce qu’on connaît les routes ; pour l’IA, personne ne sait encore à quelle vitesse elle devient dangereuse, et les panneaux manquent. Chez nous, ils sont posés avant même que la voiture existe. C’est peut-être inconfortable, mais c’est mieux que l’inverse, non ? Mais je sais que beaucoup ne seront pas d’accord avec moi sur ce point.

Dernière image de la semaine, offerte par Ethan Mollick : sous ses publications Linkedin, des robots se sont mis à se répondre les uns aux autres dans de faux commentaires, avec des expériences clients probablement inventées et des « ce dont personne ne parle » à propos de sujets dont il est précisément en train de parler. Non, ils ne se coordonnent pas, précise-t-il aussitôt en note : sinon, leurs commentaires seraient plus intéressants. Et il conclut qu’il a de la peine pour les commentateurs humains, perdus dans le bruit. Nous aussi. Ces commentaires sont aussi apparus dans mes posts RnD Café et au début… je répondais 🙂

---

Ce que votre agent a le droit de toucher

Reprenons la question que nous posions à la rentrée, et qui revient dès qu’un agent tourne sans surveillance : qui l’arrête un dimanche à 3 heures du matin ? Pour y répondre, encore faut-il savoir ce qu’il a le droit de faire.

Souvenez-vous, la semaine dernière, des agents Claude négociaient entre eux des balles de ping-pong dans les bureaux d’Anthropic. Cette fois, on leur a donné une carte bancaire. Début août, Bottleneck Labs, un laboratoire privé de San Francisco qui met les modèles à l’épreuve sur des tâches réelles, a confié à sept modèles parmi les plus puissants du marché la même consigne : gagnez autant d’argent que possible, à partir de maintenant. Chacun avait un ordinateur, un compte bancaire garni de 300 dollars, un compte d’encaissement et soixante-douze heures. Bilan : zéro dollar de revenu, un agent s’étant tout de même versé cinq dollars à lui-même. En revanche, 12 431 dollars de factures envoyées pour des prestations que personne n’avait commandées, et 2 797 courriels de démarchage. Deux agents ont dû être arrêtés avant la fin. Un destinataire, lui, s’est plaint en public.

On peut en rire, et/ou en tirer une leçon. Ces agents n’ont rien piraté. Ils ont utilisé, exactement comme prévu, les moyens qu’on leur avait donnés.

Et donc ?

La question n’est pas ce que votre agent sait faire, c’est ce qu’il a le droit de faire. Un agent, tout seul, ne sait rien faire d’autre que produire du texte. Pour lire un fichier, envoyer un courriel ou consulter votre CRM, il lui faut un branchement vers chacun de ces outils, et ce branchement porte un nom : le MCP, pour Model Context Protocol, le protocole qui standardise ces connexions comme l’USB a standardisé les prises. Un petit programme par outil, appelé serveur MCP, et n’importe quel agent vient s’y brancher. C’est commode, et c’est pour cela que tout le monde en installe. C’est aussi, à chaque fois, un trousseau de clés que vous remettez à la machine. L’éditeur de sécurité Reco, qui vend précisément des outils pour surveiller ces connecteurs, a examiné en août 500 de ces serveurs, parmi les plus téléchargés du principal entrepôt public de programmes. Résultat : la moitié de ces serveurs peuvent exécuter des commandes sur la machine qui les héberge, plus de huit sur dix lisent ou écrivent des fichiers locaux, environ trois quarts émettent des appels vers l’extérieur, et 62 % cumulent l’accès aux fichiers locaux et la sortie réseau, ce que les équipes de sécurité appellent une combinaison toxique. Un peu plus d’un quart exposent un point d’accès réseau au lieu de tourner en local, et la moitié de ceux-là arrivent sans aucune authentification.

Le même rapport donne le chiffre qui devrait circuler dans tous les COMEX : dans une entreprise de mille salariés, on trouve en moyenne 414 outils d’IA différents que personne, à la direction informatique, n’a jamais validés. C’est le Shadow AI, l’IA fantôme dont nous parlons ici depuis des mois. À une différence près : hier, c’était un collaborateur qui utilisait ChatGPT en cachette. Aujourd’hui, ce sont des programmes qui ont les clés de vos fichiers.

Vous pensez que la surveillance rattrape le reste. Pas complètement. Des chercheurs d’Anthropic et de Redwood Research ont construit un banc d’essai de quarante attaques destinées à tromper un surveillant automatique : vingt d’entre elles ne sont jamais détectées sur dix essais, et le taux de détection global plafonne à 32 %. Huit seulement sont repérées de façon fiable.

Le 14 septembre, l’agence espagnole de protection des données a annoncé avoir reçu la première notification de fuite de données commise au moyen d’un agent. Prudence sur les mots, ce sont ceux de l’agence : un tiers aurait utilisé un agent comme instrument, celui-ci a cherché seul des failles une fois entré, puis modifié des données personnelles et accédé à des factures. L’agence précise qu’elle n’a pas encore instruit le dossier et qu’une notification ne fait pas une tendance. Elle ajoute que c’est un signal.

Dans le même temps, Revolut s’est fait avoir par un tout autre chemin, et il vaut la peine d’être compris. Quand la police enquête sur un client, elle écrit à la banque et demande ses données : c’est une procédure courante, et la banque répond. Des escrocs ont envoyé de telles demandes depuis l’adresse électronique authentique d’une administration. Revolut les a traitées comme légitimes et a livré les dossiers de 680 clients : passeports, photos de vérification d’identité, relevés et historiques de transactions. Aucun système n’a été piraté. C’est la procédure elle-même qui a été attaquée.

En clair : vos garde-fous protègent vos systèmes mais rarement vos procédures, et vos agents travaillent précisément dans les procédures.
Trois gestes, et aucun ne demande de budget.
Un : faites la liste des agents et des connecteurs en service, y compris ceux que vos équipes ont installés d’elles-mêmes.
Deux : pour chacun, écrivez ce qu’il peut faire seul et ce qui passe par une validation humaine. Trois : vérifiez que son activité est enregistrée quelque part où un autre que son installateur peut aller la lire.
C’est exactement ce qu’on fait pour un nouveau collaborateur : on sait qui il est, ce qu’on lui confie, et qui relit son travail.

---

Votre site s’adresse maintenant à deux publics

Mardi, dans nos tests, nous avons passé un site que nous suivons dans un outil qui ne s’adresse pas aux humains : is-agentic mesure la facilité avec laquelle un agent logiciel découvre un site, y accède, le comprend et s’en sert, sur quatre couches qui vont de la découverte au paiement. Une note sur cent, la liste de ce qui coince, gratuitement et sans inscription. Qui est derrière ? Les analyses sont réalisées et notées par Ora, une société de recherche sur l’expérience des agents, et le site a été lancé avec Vercel, l’hébergeur sur lequel tourne une bonne part des sites modernes. Un hébergeur associé à l’outil qui note la qualité technique des sites : diagnostic utile, arbitre à regarder de près.

Ce site est ressorti à 80 sur 100, soit un B. Bonne nouvelle, sauf que personne n’avait jamais regardé cette note avant. Nous mesurons depuis vingt ans ce que voient les visiteurs et ce qu’en pense Google. Un troisième larron s’est installé sans prévenir.

Et ce lecteur-là ne se contente plus de lire : il achète. Le 16 septembre, OpenAI a présenté les Sponsored Agents, des agents payés par les marques et logés dans ChatGPT. Après avoir cliqué sur une publicité, l’utilisateur ouvre une conversation clairement identifiée avec l’agent de la marque, nourri de son catalogue, et l’éditeur précise que cette conversation est séparée des réponses de ChatGPT et du fil que l’utilisateur avait commencé. Le lien vers le site de l’annonceur n’a pas disparu, il arrive plus tard, quand la personne est prête. Dit autrement : la découverte, la comparaison et les objections se traitent désormais chez OpenAI, et vous récupérez le visiteur en fin de course. Pourquoi pas, s’il achète. Le problème est ailleurs : vous ne voyez plus ce qui s’est dit avant, ni ce qui l’a fait pencher, ni ce qu’il a comparé. Cette conversation-là, c’est OpenAI qui la garde.

Et pourtant, ce visiteur-là vaut peut-être mieux que les autres. Au micro de François Saltiel, il y a un an dans La Fabrique de l’information sur France Culture, Louis Dreyfus, président du directoire du Monde, avançait ce chiffre : « une citation du Monde dans un article de ChatGPT nous permet de convertir, en abonnements payants, 20 fois plus qu’un article du Monde sur Facebook et 50 fois plus qu’un article du Monde repris sur Discover ». À manier avec des pincettes : c’est lui qui parle de son propre accord avec OpenAI, signé en 2024, et personne ne peut vérifier le chiffre. Mais l’ordre de grandeur se comprend : quelqu’un qui arrive après dix minutes de conversation sait déjà pourquoi il vient. Moins de trafic, mais du trafic mûr.

Ne jugez pas cette annonce à la taille du test. Les agents sponsorisés en sont à l’alpha, chez quelques annonceurs américains. Tout le reste, en revanche, est déjà en place. Les campagnes se pilotent depuis ChatGPT, en langage naturel, par un plugin de l’Ads Manager : l’achat média se fait désormais en conversation. HubSpot apporte la relation client. Et le catalogue Shopify est lu directement, ce dont son président Harley Finkelstein se félicite : « nous sommes le premier partenaire commerce d’OpenAI ».

Et donc ?

La question du prix arrive tout de suite, et la réponse est qu’on ne sait pas. Search Engine Journal a rassemblé les résultats que les annonceurs publient eux-mêmes : certains rapportent des clics à moins de 3 dollars, d’autres autour de 10 ou 13, et un même annonceur mesure 5,10 dollars au Royaume-Uni contre 22,89 en Nouvelle-Zélande, sur des volumes sans commune mesure. OpenAI reconnaît n’avoir encore aucun repère de performance par secteur ou par type de campagne. En clair : vous pouvez acheter, vous ne pouvez pas encore savoir si vous avez bien acheté. De notre côté, on commence les tests.

En France, le marché vient d’ouvrir et les premiers retours sont encourageants. Havas Market a lancé le 26 août une campagne pour EDF et raconte des clics à moins d’un euro sur la première semaine, avec des coûts d’acquisition qualifiés de très compétitifs. L’écart avec les montants américains ne dit rien de l’efficacité du canal : la publicité en ligne se vend aux enchères, et en France, il n’y a encore presque personne pour surenchérir. Ce clic à moins d’un euro mesure le nombre d’annonceurs déjà présents, pas la qualité du visiteur. Il montera avec eux.

---

Les brèves

L’argent

La mémoire a quadruplé. Les prix des puces mémoire ont été multipliés par quatre depuis le quatrième trimestre 2025, selon Counterpoint Research. Le 9 septembre, Apple a relevé de 100 dollars le tarif de quatre iPhone, dont deux générations déjà sur le marché, sans un mot d’explication. La facture de l’IA arrive dans la poche du grand public par la porte de derrière.

Le paradoxe de l’inférence. L’entraînement d’un modèle se paie une fois ; l’inférence, c’est-à-dire la production de chaque réponse, se paie à chaque usage. Son prix s’effondre : le million de jetons est passé sous le dollar fin août, à 97 cents, et il a encore baissé depuis. Mais un agent n’appelle plus le modèle une seule fois : il décompose, essaie, se corrige, appelle des outils, et chaque aller-retour repasse à la caisse. Gartner relève qu’une tâche confiée à un modèle de raisonnement coûte déjà au moins cinq fois l’inférence d’une question posée à un simple chatbot, et prévoit que le coût par flux de travail agentique soit multiplié par plus de cinq d’ici 2028. Le prix unitaire n’est pas le coût.

Trois milliards d’un côté, sept cent dix de l’autre. Les startups françaises ont levé 3,097 milliards d’euros en une semaine, dont 97 % pour la seule série D de Mistral, dont nous parlions la semaine dernière : douze autres opérations se partagent 97,3 millions. Or la note « Opération Prométhée » du Grand Continent, remise en lumière cette semaine, chiffre à 710 milliards de dollars sur trois ans ce que coûterait un laboratoire français de frontière, c’est-à-dire capable de jouer dans la cour d’OpenAI, d’Anthropic et de Google DeepMind, dont 95 % pour le seul calcul. Le plus gros tour de table de la French Tech paie cinq jours de ce programme.

Les laboratoires

Claude construit Claude. Anthropic publie un indicateur maison : Claude mène 26 % du travail de recherche et développement sur ses modèles, contre moins de 1 % en février. Mesure faite par Anthropic, sur Anthropic, avec Claude pour juge : c’est la pente qui intéresse, pas le chiffre.

Le logiciel à jugement moral. Tariq Krim a demandé à Claude d’extraire le texte d’un PDF. Le modèle a refusé, tout en reconnaissant qu’il pouvait le faire, puis lui a fait la morale. Il en tire une distinction qui vaut avant tout projet agentique : « Une erreur est un échec d’exécution. Un refus est un conflit d’intentions. » Entre ce que vous demandez et ce que la machine exécute s’intercale désormais l’intention de l’éditeur, invisible tant que les deux coïncident. Sa formule : « Une machine peut être parfaitement contrôlée, simplement pas par vous. » À lire dans Cybernetica, sa lettre du 13 septembre : Avant de confier vos fichiers à un agent : il peut aussi décider d’arrêter en cours de route.

La mesure

Notre moins 17 % mérite une note de bas de page. Nous en avons fait un sujet dans le n°443 : les cinquante premiers médias français ont perdu 17 % de trafic en août, comparé à août 2025, après l’arrivée des Aperçus IA de Google. Le chiffre est un calcul de mind Media à partir des volumes publiés par l’ACPM, qui certifie l’audience des médias. Son directeur général Jean-Paul Dietsch s’en démarque : « L’ACPM, en tant que certificateur, se contente de donner des chiffres de fréquentation. Nous ne sommes pas analystes », et il attend les chiffres de septembre, « plus instructifs » qu’un mois d’août. À surveiller, pas encore à mesurer.

Le travail

Les PME qui adoptent l’IA embauchent plus. Sur 2 262 entreprises suivies par la paie, celles qui ont adopté l’IA générative voient leurs effectifs croître de 7 % de plus sur quatre trimestres que des entreprises comparables qui s’en sont abstenues, et jusqu’à 10 % sous dix salariés. Les auteurs parlent de corrélation, pas de cause.

Le QI comme mesure d’utilité. Marie Dollé répond à ceux qui jugent inutiles les salariés sous 130 de quotient intellectuel : « on ne compare pas le QI d’un pilote à celui de son avion ». Le meilleur texte de la semaine sur ce que vaut le travail humain.

La créa

Un court-métrage pour 29 575 dollars et dix jours de travail. Le réalisateur PJ Accetturo détaille sur X la fabrication de « Sky Line Heist », budget et méthode à l’appui : un mur de références visuelles avant toute animation, des consignes de jeu précises plutôt que des émotions génériques, des verrous techniques sur l’échelle, les plans et le son pour tenir la continuité. Sa morale tient en trois signes : « AI ≠ Cheap ». Son prochain long métrage coûtera toujours des millions, mais il aura l’air d’un film à 200 millions. Ce n’est pas le budget qui baisse, c’est ce qu’il achète qui change.

Vingt ans à chercher la même chose. Gilles Guerraz raconte sa quête du rendu organique, du caméscope Mini DV des années 2000 au Canon 5D Mark II de 2008, et constate que l’IA générative le ramène au même point : « l’enjeu consiste à trouver les workflows et les astuces qui produisent l’image la plus crédible possible ». Sa méthode pour le plan qu’il publie : une image de référence pour le logo du t-shirt, un prompt très long, une génération avec le modèle vidéo Seedance 2.5, puis un léger étalonnage. Sa question : hors contexte, auriez-vous vu que c’était généré ? Deux fois la même leçon cette semaine : le résultat vient de la méthode, pas de l’outil.

La règle

Cyber Resilience Act, c’est parti. Depuis le 11 septembre, tout fabricant de produit numérique doit signaler une vulnérabilité activement exploitée sous vingt-quatre heures, via la plateforme unique de l’ENISA, ouverte la veille de l’échéance. Le reste du règlement s’applique le 11 décembre 2027.

---

L’astuce express

Un chatbot, un agent et un orchestrateur n’ont ni les mêmes capacités, ni les mêmes risques, ni les mêmes droits à accorder. La plupart des conversations d’entreprise appellent pourtant tout cela « l’IA », et cette confusion nourrit autant les projets bancals que la défiance. Fred Cavazza vient de publier son panorama des services d’IA générative 2026, qui range l’offre en cinq niveaux d’autonomie croissante : chatbot, chatbot personnalisé, agent, orchestrateur, assistant. Imprimez-le, et posez la question à chaque projet en cours : à quel niveau sommes-nous vraiment ? Sa thèse mérite d’être affichée au mur : « nous n’avons pas besoin de meilleurs modèles, mais de meilleurs produits ».

---

Cette semaine chez RnD

Le nouveau site de Médiamétrie est en ligne depuis mercredi.
Conception RnD, développement Koriolis. Merci aux équipes de Médiamétrie pour leur confiance, et bravo à elles pour cette dernière ligne droite.

---

En ce moment chez RnD

Passez vos équipes à l’IA appliquée

Une journée de formation pour transformer la curiosité en réflexes de travail : cas d’usage par métier, ateliers pratiques, garde-fous. Du COMEX à l’opérationnel.

---

RnD Café : comment ça marche ?

1016 sources lues cette semaine.
Ce dispositif agentique est conçu et piloté par RnD : le même savoir-faire que nous déployons chez nos clients.

---

Besoin d’un agent de veille ?