Questions

La question

Mme Clémence Guetté interroge Mme la ministre déléguée auprès du ministre de l'économie, des finances et de la souveraineté industrielle, énergétique et numérique, chargée de l'intelligence artificielle et du numérique, sur la multiplication récente d'inquiétantes fuites de données à grande échelle d'organismes publics ou liés à l'État. Le dernier exemple en date est celle qui a touché près d'un million d'étudiants et d'anciens étudiants à la suite de cyberattaques contre les réseaux des CROUS. Mardi 24 mars 2026, le Centre national des œuvres universitaires et scolaires (Cnous) a annoncé que les données personnelles de 774 000 étudiants avaient été piratées. Selon le groupe cybercriminel Dumpsec, qui a revendiqué l'attaque, ce chiffre atteindrait même deux millions. Parmi ces victimes, 139 000 personnes ont fait l'objet d'une exfiltration de pièces jointes, telles que des photos de pièces d'identité ou des bulletins de salaire. Au total, on recense l'équivalent de 329 000 documents exfiltrés. Cette attaque massive et systémique n'est pas un cas isolé. Au cours du seul mois de mars 2026, deux autres bases de données du secteur de l'enseignement ont été piratées. Ainsi, 243 000 agents de l'éducation nationale ont vu leurs données personnelles piratées, notamment leur adresse personnelle. Par ailleurs, le Secrétariat général de l'enseignement catholique (Sgec) a également été victime d'une cyberattaque de masse la semaine dernière, entraînant le piratage des données administratives d'un million et demi de personnes. Ces millions de données sont désormais mises en vente sur le dark web afin de générer d'importants profits illégaux. Au-delà de la violation manifeste du droit à la protection des données personnelles, ces cyberattaques mettent gravement en danger des millions d'individus. En effet, les victimes peuvent être exposées à du harcèlement, du chantage, des menaces de mort ou encore à des attaques de la part d'individus malveillants en possession de leurs informations personnelles. Alors que le droit à la sûreté est un droit fondamental garanti par la Convention européenne des droits de l'Homme, celui-ci n'a pas été assuré en raison des failles des systèmes de sécurité des bases de données attaquées. Il est urgent de mettre en œuvre les moyens nécessaires pour prévenir les attaques de cybercriminels, toujours plus sophistiquées et sournoises, afin de respecter les dispositions du Règlement général sur la protection des données (RGPD) de 2018. La sécurité des Français se joue désormais en premier lieu sur le terrain numérique. Elle ne peut être garantie sans un investissement massif et ambitieux dans la protection des données personnelles et la cybersécurité. Ainsi, elle lui demande comment elle compte mobiliser tous les moyens nécessaires afin d'éviter aux concitoyens d'être à nouveau victimes de telles fuites de données et de garantir une protection intégrale des utilisateurs.

Réponse

La menace liée aux vols de données connaît une augmentation notable depuis plusieurs années. En 2025, l'Agence nationale de la sécurité des systèmes d'information (ANSSI) a traité 196 incidents ayant donné lieu à des exfiltrations de données, soit une hausse d'environ 70 % par rapport à 2024. Si ces attaques ne constituent que 15 % des attaques informatiques traitées par l'ANSSI en 2025, cette évolution témoigne d'un changement significatif dans les modes opératoires des cybercriminels, avec un pivotement de ces acteurs vers le vol de données. Ce type d'attaques est plus facile et moins coûteux à réaliser que le déploiement de rançongiciels. Cette évolution est également marquée par un recours désormais important des attaquants à des pratiques de bluff, qui se caractérisent par des revendications fantaisistes ou exagérées. Ains, en 2025, l'ANSSI a recensé 460 événements signalés ou revendiqués comme des fuites de données, dont seulement 42 % correspondaient à des compromissions avérées. Dans ce contexte, l'ensemble des organisations, publiques et privées en possession d'un volume important de données, en particulier des données personnelles, ou disposant de données sensibles d'intérêt stratégique peut être visé. Il en va de même des services de l'État. C'est pourquoi le Gouvernement a mis au cœur des priorités de la Stratégie nationale de cybersécurité parue le 29 janvier 2025, le renforcement du socle de cybersécurité de l'Etat. Cette priorité est déclinée dans la Feuille de route des efforts prioritaires en matière de sécurité numérique de l'Etat 2026-2027 présentée par le Premier ministre le 9 avril 2025. Cette feuille de route vise à corriger les fragilités persistantes dans les infrastructures numériques de l'Etat. Elle définit des échéances ambitieuses, notamment en matière de renforcement des authentifications et des accès, mais aussi de traitement des obsolescences, qui tirent directement les conséquences des attaques de ces derniers mois. L'application de cette feuille de route sera rigoureusement suivie par le Gouvernement.

La question

Mme Clémence Guetté interroge Mme la ministre déléguée auprès du ministre de l'économie, des finances et de la souveraineté industrielle, énergétique et numérique, chargée de l'intelligence artificielle et du numérique, sur le phénomène inquiétant des vidéos générées par intelligence artificielle postées sur les réseaux sociaux afin de diffuser des idées à caractère raciste et islamophobe. Plus précisément, le compte TikTok Frenchi.a cumule plusieurs millions de vues et de likes . Ce compte publie en majorité du contenu généré par intelligence artificielle. Un type de vidéo, devenu viral, montre des professeurs en larmes dans une salle de classe devant des élèves qui les harcèlent et filment la scène hilares. Le contenu est généré de manière à ce que les élèves soient identifiés comme racisés et musulmans. Ces vidéos sont massivement relayées sur les réseaux sociaux et notamment sur X par des comptes d'extrême droite, se basant sur ces vidéos générées par IA pour véhiculer des thèses racistes et islamophobes. Au vu des commentaires et de l'exposition dont bénéficient ces vidéos, beaucoup d'internautes se laissent manipuler et croient en leur véracité. Ainsi, il est nécessaire de sanctionner de toute urgence ce type de comptes, coupables de désinformation et d'incitation à la haine raciste. Plus globalement, il faut mettre en place un grand plan de prévention et de régulation face aux dangers de l'intelligence artificielle en mettant les plateformes face à leurs responsabilités. En outre, il est essentiel d'interdire formellement les usages de l'IA et du « big data » qui vont à l'encontre des droits sociaux et des principes républicains. Il en va de la santé de la démocratie, des institutions et de la société. Aussi, elle lui demande si elle va sanctionner fermement les comptes visant à diffuser des idées racistes sur les réseaux sociaux et à réguler les plateformes permettant de créer et de diffuser ce type de contenu.

Réponse

Le Gouvernement est activement engagé dans la lutte contre la dissémination d'hypertrucages (deepfakes) susceptibles de porter atteinte aux personnes et de contribuer à la diffusion de fausses informations en ligne. L'adoption des règlements européens sur les services numériques (DSA) et sur l'intelligence artificielle (RIA) ainsi que la promulgation de la loi visant à sécuriser et réguler l'espace numérique (SREN), en France, illustrent cette priorité politique forte de l'action gouvernementale dans le domaine numérique. Ce nouveau cadre réglementaire a introduit une responsabilisation accrue des grandes plateformes numériques dans la lutte contre la diffusion de contenus illicites ou préjudiciables sur leurs services. Le DSA fixe des obligations renforcées à la charge de ces acteurs qui doivent analyser et atténuer de manière diligente les risques systémiques qu'ils font peser sur leurs utilisateurs, notamment pour l'exercice de leurs droits fondamentaux (articles 34 et 35). Les plateformes doivent ainsi adapter leur processus de modération, renforcer leurs procédures internes et retirer rapidement les contenus illicites qui font l'objet d'un signalement, en particulier lorsqu'il s'agit de discours haineux illégaux. Elles doivent également prendre des mesures efficaces et proportionnées contre le risque de diffusion de contenus de désinformation sur leurs services, en recourant en particulier à un marquage bien visible des contenus générés ou manipulés par IA et en mettant à disposition des utilisateurs une fonctionnalité facile d'utilisation pour leur permettre de signaler ces types de contenus. Le RIA prévoit également des dispositions spécifiques pour lutter contre la manipulation de l'information par l'usage de deepfakes. D'une part, les déployeurs d'un système d'intelligence artificielle qui génère ou manipule des images ou des contenus audio ou vidéo constituant un hypertrucage, sont tenus à une obligation d'indiquer que le contenu est généré par intelligence artificielle (article 50). D'autre part, les fournisseurs de systèmes d'IA qui génèrent des contenus de synthèse de type audio, image, vidéo ou texte doivent veiller à ce que leurs sorties soient marquées par IA, d'une façon imperceptible par l'utilisateur mais détectable par la machine. Cette obligation de marquage constitue un nouvel outil important. En identifiant un contenu comme d'origine synthétique, elle permettra notamment aux utilisateurs, aux autorités, et aux vérificateurs de faits (fact-checkers) d'identifier directement les contenus concernés. Enfin, les déployeurs de modèles d'IA à usage général répondant aux seuils de modèles de risques systémiques doivent mettre en place des mesures pour répondre aux risques de leurs modèles pour les droits fondamentaux, notamment la diffusion de fausses informations (article 53). Le RIA opère ainsi ex-ante, avec des dispositions qui s'attachent au déployeur du système d'IA (qui a créé le modèle concerné), contrairement au droit actuel qui sanctionne souvent la diffusion, une fois le préjudice commis. Dans le prolongement de ces deux règlements européens, l'adoption de la loi SREN en France a permis de significativement renforcer les sanctions pour les délits d'atteintes à la représentation de la personne via le recours aux hypertrucages. L'article 15 de la loi SREN est ainsi venu modifier l'article 226-8 du code pénal, sanctionnant le partage de montages falsifiés de représentations sonores ou visuelles d'une personne réalisés sans son consentement, afin d'inclure les contenus générés par un traitement algorithmique (deepfakes), dont le partage sur les réseaux sociaux constitue une circonstance aggravante pouvant être puni de deux ans d'emprisonnement et 45 000 euros d'amende. L'article 16 de la loi SREN est également venu renforcer les sanctions pour les personnes condamnées pour cyberharcèlement (notamment via des deepfakes). Désormais, le juge peut prononcer à leur encontre une peine complémentaire dite de « bannissement numérique » qui interdit à l'auteur du délit d'utiliser le réseau social concerné pendant une période maximale de six mois (portée à un an en cas de récidive). Le juge peut également prononcer, à titre de peine complémentaire ou alternative, une obligation de stage de sensibilisation au respect des personnes dans l'espace numérique et à la prévention des infractions commises en ligne. Au-delà de cette réponse pénale, la loi SREN a également permis de renforcer les mesures de sensibilisation aux risques des outils et contenus générés par intelligence artificielle, notamment les deepfakes, à destination des élèves et de leurs représentants légaux, des étudiants de l'enseignement supérieur et des membres du personnel enseignant et d'éducation (articles 7 et 8). Ces dispositions visent à sensibiliser ce public aux risques d'atteinte à la personne, notamment le harcèlement et les violences sexistes et sexuelles dans l'espace numérique, et aux risques de manipulation de l'information.

La question

Mme Clémence Guetté interroge M. le ministre des petites et moyennes entreprises, du commerce, de l'artisanat, du tourisme et du pouvoir d'achat sur les nuisances du démarchage téléphonique. Selon une enquête réalisée par UFC-Que Choisir, neuf Français sur dix se disent excédés par le démarchage téléphonique. 72 % d'entre eux déclarent être démarchés au moins une fois par semaine sur leur portable. L'adoption de la proposition de loi pour un démarchage téléphonique consenti et une protection renforcée des consommateurs contre les abus, qui entrera en vigueur en août 2026, a renforcé la protection des citoyens contre ce type de démarches abusives, mais cette loi reste insuffisante. En effet, les entreprises ne pourront plus effectuer de démarchage téléphonique sans avoir préalablement obtenu le consentement du consommateur. Cependant, chacun sait que ce consentement peut se faire via des moyens dissimulés et détournés, par exemple en remplissant un formulaire, en créant un compte client, ou en profitant d'une offre. Ainsi, l'adoption du système opt-in ne résout pas le problème. Il s'agira simplement pour les entreprises ayant recours à ce genre de technique d'obtenir le consentement des consommateurs, au détour de conditions générales de vente interminables. En outre, la loi reste impuissante face aux démarcheurs frauduleux appelant depuis l'étranger ou utilisant des numéros usurpés. Enfin, il n'y a aucune garantie sur la mise en œuvre de sanctions sévères contre le démarchage abusif. En effet, le système Bloctel, qui était censé protéger les consommateurs ne souhaitant pas recevoir ce type d'appel, s'est révélé totalement inefficace. Pire, pour certains inscrits, cela a fait augmenter le nombre d'appels commerciaux indésirés. Dès lors, rien ne garantit qu'un tel échec ne se répétera pas avec la loi qui entrera en vigueur. Ainsi, il est clair que cette loi est incomplète et que le fléau du démarchage téléphonique continuera de prospérer. Aussi, elle lui demande quels moyens ambitieux et concrets il compte mettre en œuvre contre la course au profit des entreprises pratiquant du démarchage téléphonique abusif.