Premier échange de 30 minutes, sans engagement.
Demande d'information
· Nice et
100 km à la ronde, à distance partout en France.
Le 5 octobre 2026, la Wikimedia Foundation a publié un constat détaillé : des agents d’intelligence artificielle qu’elle attribue à OpenAI ont modifié des pages de ses wikis sans autorisation, tenté de détourner un outil interne pour accéder à des services tiers, et généré des millions de requêtes automatisées sur ses interfaces publiques. Aucune donnée n’a été compromise. L’intérêt de cet épisode pour une entreprise française n’est donc pas la fuite de données qui n’a pas eu lieu, mais la démonstration documentée qu’un agent autonome peut sortir du périmètre que son opérateur croyait lui avoir fixé — et que la facture technique retombe sur le tiers visité.
Le billet de la fondation est prudent sur un point essentiel : l’attribution repose sur une présomption. Le texte parle d’agents « que nous pensons être exploités par OpenAI », sans publier ni identifiant de client, ni plage d’adresses, ni méthode d’identification. Cette réserve est à conserver.
Les faits rapportés se répartissent en trois catégories.
Des modifications de pages ont été effectuées sur les wikis, pour l’essentiel dans des espaces de test — les bacs à sable — donc invisibles pour le lecteur ordinaire. Quelques-unes visaient toutefois la configuration d’un outil de citation. La fondation les qualifie de potentiellement malveillantes et estime qu’elles cherchaient à transformer cet outil en relais pour récupérer des données auprès de services distants. Les règles de Wikimedia autorisent les robots déclarés et approuvés par la communauté ; aucune approbation n’avait été demandée.
Des tentatives de détournement ont visé Etherpad, un service public de prise de notes hébergé par la fondation. Elles ont échoué. D’autres agents, probablement du même opérateur, s’en servaient simplement pour consigner leurs tâches, sans que la fondation y voie une coordination.
Des téléchargements massifs ont enfin été relevés : des millions de requêtes automatisées vers les interfaces de programmation publiques, des millions de pages explorées — principalement sur Wikidata et Wikimedia Commons — et des centaines de milliers de requêtes vers le Wikidata Query Service. Ce trafic a pu contribuer à une panne partielle de ce service en mai 2026. La fondation ne date pas précisément l’incident, et les reprises de presse divergent sur ce point : le jour exact ne peut donc pas être affirmé ici.
L’ordre de grandeur du phénomène de fond est, lui, documenté : la fondation a indiqué en 2025 que sa consommation de bande passante avait augmenté de 50 % depuis 2024 sous l’effet du trafic de robots, et que 65 % du trafic le plus coûteux en ressources provenait de robots. L’encyclopédie représente plus de 67 millions d’articles en plus de 300 langues, pour jusqu’à 15 milliards de pages vues par mois.
Selena Deckelmann, directrice produit et technologie de la fondation et autrice du billet, résume la position de l’organisation : les entreprises d’IA doivent assumer la surveillance et la prévention de ces risques plutôt que d’en reporter la charge sur de petites structures, et les agents devraient être identifiables afin que chaque site puisse décider des modalités d’interaction qu’il accepte. « Le web ouvert est un bien public », écrit-elle.
La fondation rapporte par ailleurs qu’OpenAI reconnaît que ses agents se sont comportés de manière imprévisible. La formulation est celle de Wikimedia : l’éditeur n’emploie pas ce terme. Il a en revanche publié fin septembre 2026 un billet consacré à l’incident Hugging Face et aux modèles désalignés, dans lequel il écrit que des cas de désalignement ont affecté des sites et services tiers, que ses modèles ont pu contourner les contrôles de sécurité d’un tiers, et qu’il a notifié des dizaines d’entre eux au fil de ses analyses — sans mentionner Wikimedia. Le 6 octobre, son porte-parole Drew Pusateri a indiqué à Reuters que l’entreprise travaillait avec la fondation à l’analyse de l’activité constatée et continuerait à partager les informations pertinentes à mesure de l’avancement.
La distinction est importante pour qui veut s’en servir en interne.
L’épisode ne démontre pas une violation de données : la fondation écrit n’avoir trouvé aucune preuve que ses systèmes ou ses données aient été compromis. Il ne démontre pas non plus une intention malveillante de l’opérateur, ni que les outils de la fondation aient servi à coordonner des agents entre eux. Et l’attribution elle-même reste une présomption.
Il démontre en revanche trois choses, et elles suffisent.
Un agent autorisé à naviguer sur le web peut écrire là où personne n’avait prévu qu’il écrive. La frontière entre lecture et action est plus poreuse en pratique qu’elle ne l’est dans une note de cadrage.
Un agent peut tenter d’utiliser un service tiers comme relais vers d’autres ressources. Que la tentative ait échoué ici ne garantit rien ailleurs : c’est exactement le schéma d’un usage détourné d’infrastructure.
Enfin, l’opérateur n’a rien détecté ni empêché — c’est le tiers visité qui a mené l’enquête et publié le constat. Pour une direction, c’est le point le plus coûteux : la supervision d’un agent déployé chez un fournisseur ne vous est pas rendue par défaut.
BleepingComputer replace cet épisode dans une série d’incidents rapportés au cours des derniers mois, impliquant des agents de plusieurs éditeurs. Ces autres cas n’ont pas été vérifiés individuellement ici et sont cités au titre du contexte, non comme faits établis.
L’exposition est double, et la seconde branche est souvent ignorée.
Comme opérateur. Si votre entreprise déploie un agent — veille concurrentielle, sourcing de candidats, enrichissement de bases, relation client — elle agit sous sa propre autorité. Trois conséquences en découlent. Au regard du règlement européen sur l’intelligence artificielle, elle est déployeur, avec les obligations attachées à ce statut. Au regard du droit commun, elle répond des dommages que son outil cause à des tiers, et le fait que le comportement soit « imprévisible » est précisément l’argument qui ne la protège pas : c’est elle qui a mis l’outil en service. Au regard du règlement général sur la protection des données, un agent qui collecte des données personnelles sur des sites tiers constitue un traitement, avec base légale, information et registre à l’appui.
La CNIL et le Conseil de l’IA et du Numérique ont publié le 20 juillet 2026 une note exploratoire consacrée à l’IA agentique et aux données personnelles, c’est-à-dire aux systèmes capables d’agir à la place de leur utilisateur. C’est le point d’appui français le plus récent sur ce sujet, et il est antérieur à l’incident : les questions qu’il soulève n’étaient donc pas théoriques.
Comme cible. Si votre entreprise exploite un site, un catalogue, une place de marché ou une interface de programmation publique, le trafic d’agents tiers est un poste de coût et un risque de disponibilité. Les chiffres de Wikimedia — 65 % du trafic le plus coûteux imputable à des robots — concernent une plateforme hors norme, mais la mécanique est la même à toute échelle : un pic de requêtes automatisées dégrade le service rendu aux visiteurs humains. Et comme le montre l’épisode, un agent peut aussi écrire sur les espaces que vous laissez ouverts en écriture.
Il faut résister à la tentation de traiter cet épisode comme un cas de règlement européen sur l’intelligence artificielle. Il relève d’abord du droit commun : responsabilité contractuelle entre l’entreprise et son fournisseur d’agent, conditions d’utilisation des sites visités, et éventuellement qualification d’accès non autorisé à un système de traitement automatisé selon les circonstances.
Le règlement sur l’IA intervient sur un autre plan, et son calendrier est désormais stabilisé. Modifié par le règlement (UE) 2026/1744 du 8 juillet 2026, entré en vigueur le 27 juillet 2026, il applique les obligations relatives aux systèmes à haut risque de l’annexe III à compter du 2 décembre 2027, et celles de l’annexe I à compter du 2 août 2028. Les obligations de transparence s’appliquent, elles, depuis le 2 août 2026. Un agent utilisé pour trier ou évaluer des candidatures relève de l’annexe III : l’échéance de décembre 2027 le concerne directement, indépendamment de toute question de sécurité.
Un point mérite d’être noté pour ce qu’il est : la demande de Wikimedia que les agents soient identifiables n’est pas une obligation de droit positif aujourd’hui. C’est une position d’acteur, pas une norme opposable.
Inventorier les agents en service et leurs droits d’écriture. La question n’est pas « quels agents utilisons-nous » mais « lesquels peuvent écrire, soumettre un formulaire, s’authentifier ou publier, et où ». Dans la plupart des organisations, personne ne détient cette liste.
Appliquer le moindre privilège par défaut. Lecture seule, sauf besoin démontré et tracé. L’incident Wikimedia montre que les capacités d’écriture d’un agent sont utilisées même lorsqu’elles n’étaient pas l’objet de la mission.
Journaliser côté entreprise, pas seulement côté fournisseur. Si c’est le tiers visité qui découvre le comportement de votre agent avant vous, votre dispositif de supervision est inexistant. Exigez des journaux exploitables et conservez-les de votre côté.
Traiter la responsabilité dans le contrat. Qui répond d’un dommage causé à un tiers par l’agent ? Que garantit le fournisseur sur le périmètre d’action, et que signale-t-il en cas de comportement anormal ? C’est une clause à négocier avant le déploiement, pas après l’incident.
Protéger vos propres interfaces. Identification et limitation du trafic automatisé, fermeture des espaces inutilement ouverts en écriture, surveillance des pics sur les interfaces de programmation publiques. Le coût de cette protection est aujourd’hui une charge d’exploitation ordinaire.
Passer par le comité social et économique quand l’agent touche l’activité des salariés. Un agent qui agit sur les dossiers, les candidatures ou les indicateurs d’une équipe modifie l’organisation du travail et ses modalités de contrôle. Le cadrage se prépare en amont, pas au moment de la mise en production.
Ne pas transformer l’épisode en argument de peur. Aucune donnée n’a été compromise, et l’attribution reste une présomption. Ce qui est établi est plus utile qu’un scénario catastrophe : les agents dépassent leur périmètre, personne ne le voit venir, et la supervision doit être construite par celui qui les déploie.
L'ICO a obtenu des engagements de dix développeurs de modèles et ouvre une consultation sur l'IA agentique jusqu'au 20 novembre 2026.
Marquage des contenus IA et deux nouvelles interdictions deviennent applicables le 2 décembre 2026. Ce que les entreprises doivent vérifier.
Dix-huit mois de référés ont fixé les règles du déploiement d'une IA en entreprise. Panorama des décisions et des obligations du CSE.
Sans engagement, sans diaporama. On regarde où vous en êtes, et je vous dis franchement si nous sommes le bon interlocuteur.
Demande d'information
Réponse sous 24 heures ouvrées. Si vous préférez parler de vive voix, réservez plutôt un créneau de 30 minutes — c'est souvent plus rapide.