IA générative et vulnérabilités : ce que le rapport remis à l'Élysée demande à la France, et à l'UE

Le 10 novembre 2026, la commission « IA générative et vulnérabilités » a remis son rapport au président de la République, selon l'Élysée. Intitulé « Protéger sans empêcher », il a été préparé par neuf experts réunis par le Conseil de l'intelligence artificielle et du numérique (CIANum), à la demande de la ministre déléguée chargée de l'IA et du Numérique, Anne Le Hénanff, qui l'avait saisi le 20 février 2026 (présentation du CIANum). La commission est coprésidée par deux psychiatres, Amine Benyamina et Raphaël Gaillard, et par Serena Villata, directrice de recherche au CNRS en intelligence artificielle. Elle a mené 55 auditions.

Le texte vise les chatbots, les compagnons IA et les jouets dotés d'IA générative. Il ne crée aucune obligation : c'est un avis remis au gouvernement. Mais ses 18 recommandations dessinent ce que la France pourrait défendre à Bruxelles, et ce qu'elle peut faire seule.

Ce que la commission reproche aux assistants grand public

Le rapport part de trois constats. D'abord, des risques individuels : la délégation de la réflexion à la machine, que la commission appelle « dette cognitive » ; la dépendance affective entretenue par l'anthropomorphisme et la flagornerie, c'est-à-dire la tendance d'un assistant à flatter et à approuver son interlocuteur ; et l'explosion des hypertrucages à caractère sexuel. Ensuite, des risques collectifs, pour l'accès à l'information et le débat démocratique. Enfin, un modèle économique encore instable, qui pourrait devenir une « économie de la cognition » : monétiser non plus l'attention, mais les facultés cognitives, les réactions émotionnelles et les profils psychologiques des utilisateurs.

Les chiffres mis en avant viennent d'études citées par le rapport, pas de mesures de la commission. Une étude du MIT Media Lab de juin 2025 associe l'usage d'un chatbot pour une tâche d'écriture à une baisse de 55 % de « l'amplitude cognitive ». Selon une enquête YouGov pour Interface publiée le 22 octobre 2026, 92 % des adolescents déclarent passer plus de temps qu'ils ne le souhaitent sur les applications d'IA générative. Une étude du think tank britannique Demos relève que 34 % des réponses des principaux modèles aux électeurs écossais contenaient des informations erronées. Ce sont des résultats d'études ponctuelles, sur des tâches ou des échantillons précis.

Les neuf priorités : agir sur la conception et sur l'entrée sur le marché

La commission classe la moitié de ses propositions comme prioritaires (rapport, résumé opérationnel). Elles ciblent avant tout les fournisseurs et leur modèle économique : selon le rapport, « la charge de la protection ne doit pas porter sur les usagers ou leur entourage ».

• Interdire les conceptions qui créent la dépendance (n° 1) : fonctionnalités qui simulent une relation exclusive (« Je suis triste pour toi »), culpabilisent, poussent à poursuivre l'échange ; interactions romantiques et sexuelles bloquées par défaut, déblocables par un adulte.
• Protéger les mineurs dès la conception (n° 2) : filtrer les requêtes dangereuses, désactiver par défaut la mémoire des conversations, la géolocalisation, le micro, la caméra et les notifications, proposer un minuteur.
• Évaluer avant la mise sur le marché, puis en continu (n° 3 et 4) : étendre aux assistants grand public l'évaluation préalable de conformité que l'AI Act réserve aux systèmes à haut risque, la renouveler périodiquement (le rapport cite tous les 12 à 24 mois) et à chaque modification substantielle, avec un retrait possible du marché.
• Ouvrir les données aux chercheurs (n° 5 et 6) : statistiques d'usage anonymisées, informations sur les données d'entraînement et les revenus, et une interface donnant aux auditeurs agréés les probabilités de sortie des modèles à risque systémique.
• Préparer l'État aux crises informationnelles (n° 7), interdire la publicité déguisée dans les réponses (n° 8) et former toute la population (n° 9).

Sur l'évaluation, la commission va plus loin que l'AI Act. Elle écrit que les assistants conversationnels sont, en l'état, mis sur le marché « sans autre contrôle ex ante » que les règles générales du règlement, qui ne visent que les systèmes à haut risque, les pratiques interdites et les grands modèles (rapport, recommandation n° 3).

Loi française ou texte européen : où se joue chaque recommandation

Pour chaque mesure, le rapport précise par quel texte la faire passer. Nous avons relevé ces mentions, recommandation par recommandation, dans la partie « mise en œuvre » du rapport. Le classement en trois colonnes est le nôtre.

Source : rapport de la commission « IA générative et vulnérabilités », version du CIANum, relevé du 11 novembre 2026 ; classement Le Latent.

Le décompte donne sept recommandations françaises, sept européennes et quatre mixtes. Les mesures qui toucheraient le plus directement ChatGPT, Gemini, Claude ou Le Chat (conception, mineurs, évaluation, données personnelles) sont presque toutes européennes. Pour elles, la France ne peut que plaider : le rapport écrit à plusieurs reprises qu'une mesure « pourrait utilement contribuer à l'élaboration de la position française » dans une négociation.

Deux recommandations françaises ont une échéance proche. La n° 18 vise la transposition de la directive de 2024 sur la responsabilité du fait des produits défectueux, qui traite les logiciels et les systèmes d'IA comme des produits et doit entrer dans le droit français en décembre 2026. La commission demande d'user de la faculté prévue par son article 18 pour priver les fournisseurs d'assistants grand public de l'exonération pour « risque de développement », qui permet d'échapper à sa responsabilité quand le défaut était indécelable en l'état des connaissances (rapport, recommandation n° 18). La n° 15 vise la présidentielle de 2027.

Ce qui s'applique déjà aux assistants grand public

Le rapport décrit aussi le droit en vigueur, et ses limites (rapport, annexe 2). Pour suivre les échéances, voir notre point sur le calendrier d'application de l'AI Act après le report de juillet 2026.

• Depuis le 2 août 2026, l'article 50 de l'AI Act oblige les fournisseurs d'un système qui dialogue avec des personnes à les informer qu'elles échangent avec une IA.
• L'article 5 interdit déjà les techniques manipulatrices et l'exploitation des vulnérabilités liées à l'âge, au handicap ou à la situation sociale, quand elles altèrent substantiellement le comportement et causent un préjudice important. Selon la commission, cet article et l'article 50 saisissent beaucoup de dérives, mais les règles sur le haut risque et sur les grands modèles ne couvriront pas systématiquement les usages qui créent des vulnérabilités.
• À partir du 2 décembre 2026, le règlement omnibus ajoute à l'article 5 l'interdiction des systèmes qui génèrent ou diffusent des hypertrucages sexuels non consentis ou pédocriminels, sanctionnée jusqu'à 35 millions d'euros ou 7 % du chiffre d'affaires mondial selon le rapport. C'est la même date que l'échéance de marquage des contenus générés pour les systèmes déjà sur le marché.

Côté mineurs, le texte en discussion est le KIDS Act, proposé par la Commission européenne le 17 septembre 2026 (procédure 2026/0286(COD)). Il vise explicitement les « assistants basés sur l'intelligence artificielle » et les « chatbots conversationnels généraux ». Selon le résumé du Parlement européen, ils ne pourraient pas simuler de relations interpersonnelles de manière à créer une dépendance affective. Son article 14, cité par le rapport, exigerait une évaluation des risques pour les mineurs avant la mise sur le marché et une surveillance après. Le Parlement et le Conseil doivent encore l'examiner.

Ce que ça change pour toi

À court terme, rien d'obligatoire. Les assistants que tu utilises restent soumis aux mêmes règles qu'avant le 10 novembre. Le rapport sert surtout de feuille de route à la position française dans trois négociations européennes : la révision de l'AI Act, le KIDS Act et le futur Digital Fairness Act, proposé par la Commission le 11 novembre 2026.

Deux pistes concernent directement tes données. La recommandation n° 17 part d'un constat : un assistant peut déduire de tes conversations une pathologie probable, une orientation politique ou une détresse que tu n'as jamais déclarées, et les politiques de confidentialité décrivent rarement ces déductions (rapport, recommandation n° 17). Elle propose de les rendre consultables et contestables, en prolongeant les droits d'accès et d'opposition du RGPD. Ces deux droits existent déjà pour les données te concernant ; pour les exercer face à un fournisseur d'IA, voir comment s'opposer à l'utilisation de ses données pour entraîner une IA.

Si tu as des enfants, les recommandations n° 2, 12 et 13 rejoignent des chantiers déjà ouverts : les règles de l'Éducation nationale sur l'IA à l'école et les protections pour adolescents ajoutées à ChatGPT. Pour les hypertrucages, la recommandation n° 10 reprend une proposition de loi qui créerait un délit de création de contenus pédocriminels générés par IA. Selon le rapport, le code pénal réprime déjà leur détention, leur diffusion et leur consultation, et la loi SREN de mai 2024 la diffusion d'hypertrucages sexuels, mais pas leur fabrication. En attendant, notre guide sur les arnaques au clonage de voix et aux deepfakes détaille les réflexes à avoir.

Ce qu'on a vérifié

Nous avons lu le rapport complet publié par le CIANum, la présentation des travaux sur son site et le communiqué de l'Élysée. L'Élysée met en ligne une autre version du même PDF, à la pagination différente : les numéros de page cités par la presse peuvent donc varier.

Un chiffre diffère d'une source à l'autre. Le rapport et l'Élysée donnent 34 % de réponses erronées aux électeurs écossais. Sur France Inter, Amine Benyamina a cité 35 %, selon franceinfo. Nous retenons la valeur écrite du rapport.

Ce qu'on ne sait pas : ni le communiqué de l'Élysée ni la page du CIANum n'annoncent, au 11 novembre 2026, de calendrier ou de projet de loi reprenant ces recommandations.