Protection des droits des électeurs, ingérences étrangères… lundi 16 novembre 2026, à partir de 14 h, la CNIL vous invite à son événement dédié aux enjeux éthiques associés aux communications politiques et aux ingérences. Les inscriptions sont ouvertes.

Solutions conçues au départ pour stocker et préserver les données d’un Etat hors de ses frontières géographiques, le concept d’ambassades numériques de données se développe aujourd’hui vers des offres d’infrastructures délocalisées de calcul pour l’IA, soumises au droit local de leur client ou parties prenantes.

On April 14, 2026, the Financial Times and The Guardian revealed that the genetic data of more than 500,000 British citizens had been put up for sale on the Chinese platform Alibaba. A look back at this incident which highlights the importance of proper security of data sharing systems for health research.

Le 14 avril 2026, le Financial Times et le The Guardian révélaient que les données génétiques de plus de 500 000 citoyens britanniques avaient été mises en vente sur la plateforme chinoise Alibaba. Retour sur cet incident qui met en lumière l’importance d’une bonne sécurisation des systèmes de partage de données pour la recherche en santé.

From a student project to a network of 120,000 cameras across the United States, the intrusive nature of the surveillance system developed by Flock Safety has sparked widespread protests among the public in the US.

D'un projet d'étudiants à un réseau de 120 000 caméras aux Etats-Unis, le caractère intrusif du système de surveillance développé par Flock Safety soulève de nombreuses protestations dans la population.

D'un projet d'étudiants à un réseau de 120 000 caméras aux Etats-Unis, le caractère intrusif du système de surveillance développé par Flock Safety soulève de nombreuses protestations dans la population.

L’émergence de l’IA agentique pose d’abord la question de ce qu’on entend par cette terminologie qui, bien qu’ancienne, prend un sens nouveau à l’ère de l’IA générative. Il n’existe pas de définition unanimement adoptée de l’IA agentique et des agents IA à ce jour, en témoigne le recensement d’une dizaine de propositions de définitions par l’OCDE dans son rapport paru en Février 2026, aussi nombreuses que différentes. Les formulations sont mouvantes, proposent des périmètres variés et se confondent. Entre termes marketing, confusion avec des appellations existantes comme le terme d’agent conversationnel et périmètre de définition variable, définir clairement l’IA agentique et les systèmes concernés n’est pas évident. Nous proposons donc dans cet article de faire un tour d’horizon des terminologies, historiques et actuelles, pour y voir plus clair dans le paysage naissant (vraiment ?) de l’IA agentique.

The emergence of agentic AI first raises the question of what this term actually means. Although the concept itself is not new, it has taken on a new significance in the era of generative AI. To date, there is no universally accepted definition of agentic AI or AI agents. This is illustrated by the OECD’s February 2026 report, which identifies around ten different proposed definitions - each reflecting a distinct perspective. The terminology remains ambiguous, with varying scopes and overlapping concepts. Between marketing-driven labels, confusion with established terms such as conversational agent, and inconsistent definitions, it is far from straightforward to clearly define agentic AI and the systems it encompasses. In this article, we therefore provide an overview of both historical and contemporary terminology to help clarify the emerging—or perhaps not so new - landscape of agentic AI.

La sortie de l’application FantomApp qui aide les adolescents (et les adultes aussi) à mieux gérer leur sûreté en ligne, est l’occasion de reparler des mots de passe, de leur gestion, de leurs propriétés, et de l’outil « Je teste mon mot de passe » intégré dans l’application. 

The release of the FantomApp application, which helps teenagers (and adults too) better manage their online safety, is an opportunity to revisit passwords, their management, their properties, and the ‘Testing my password’ tool integrated into the app.

Les récentes lois sur la protection de la vie privée ont renforcé le droit des personnes concernées à accéder aux données personnelles collectées par les entreprises. Des travaux antérieurs ont montré que les exportations de données fournies par les entreprises aux consommateurs en réponse aux demandes d’accès aux données personnelles (DSAR) peuvent être complexes et difficiles à comprendre. Arthur Borem présente l’étude qu’il a menée afin d’identifier des pistes d’amélioration de l’expérience utilisateur.

The question of data storage, its durability and sustainability, is becoming increasingly pressing as data centers continue to multiply for a wide range of purposes, particularly to support AI resources. A new technology has been gaining attention in recent years: storing data on a biological medium – DNA. What is the current state of this technology, and what new issues does it raise regarding data use and protection?

La question du stockage des données, de sa durabilité et de sa soutenabilité se pose de manière de plus en plus prégnante, alors que les data centers se multiplient, pour des usages divers, notamment pour les ressources en IA. Une nouvelle technologie pointe le bout de son nez dans les discussions depuis quelques années : le stockage de données sur un support du vivant, l’ADN. Qu’en est-il de cette technologie et quelles nouvelles problématiques soulèvent-elles en termes d’usage et de protection des données ?

Le terme de fingerprinting (ou « empreinte ») désigne une technique permettant de caractériser le client qui émet une requête à un serveur à l’aide d’une chaîne de caractères unique. Une empreinte permet en effet d’identifier la machine à l’origine d’une requête et de déduire certaines informations sur ses attributs techniques : navigateur utilisé, adresse IP, utilisation ou non d’un VPN, etc. Cette technique est très utile pour filtrer le trafic web d’un site internet et bloquer les robots qui pourraient s’y connecter, à des fins de moissonnage ou pour conduire des attaques de type DDOS, par exemple.

Le terme de fingerprinting (ou « empreinte ») désigne une technique permettant de caractériser le client qui émet une requête à un serveur à l’aide d’une chaîne de caractères unique. Une empreinte permet en effet d’identifier la machine à l’origine d’une requête et de déduire certaines informations sur ses attributs techniques : navigateur utilisé, adresse IP, utilisation ou non d’un VPN, etc. Cette technique est très utile pour filtrer le trafic web d’un site internet et bloquer les robots qui pourraient s’y connecter, à des fins de moissonnage ou pour conduire des attaques de type DDOS, par exemple.

L’article précédent examinait comment s’opposer au moissonnage par des mentions dans les conditions générales d’utilisation ou par des protocoles qui permettent de déclarer des droits d’accès lisibles par une machine. Cependant, un éditeur de site internet peut souhaiter, en complément de ces mesures non bloquantes pour un robot moissonneur, mettre en place des mesures de détection et de blocage de ces robots, au travers de méthodes bloquantes.

Il existe plusieurs manières d’empêcher le moissonnage, qui peuvent se cumuler et qui fonctionnent différemment. Une première manière de le faire est d’avoir recours à des méthodes déclaratives, c’est-à-dire qu’elles n’empêchent pas l’accès du robot au site, mais elles permettent de lister les droits d’accès qui lui sont donnés de manière non contraignante. La méthode la plus simple est d’inclure des mentions dans les CGUs du site. Elles permettent une opposition de principe à la collecte des données du site internet, mais elle est difficilement exploitable par les robots moissonneurs. En effet, cela suppose de collecter les CGUs de chaque domaine moissonné, d’en parcourir le contenu et d’en extraire les règles entourant l’accès au reste du site web. Une telle pratique est sujette à erreur car non normalisée, et passe difficilement à l’échelle. Elle doit donc être complétée par des méthodes qui sont interprétables par une machine.

The term “fingerprinting” refers to a technique used to characterise a client sending a request to a server with a unique string. A fingerprint makes it possible to identify the machine originating a request and to infer certain information about its technical attributes: browser used, IP address, use or non-use of a VPN, etc. This technique is very useful for filtering a website’s web traffic and blocking bots that may connect to it for scraping purposes or to carry out attacks such as DDoS, for example.

Avant d’aborder les moyens permettant aux éditeurs de sites internet de s’opposer à la collecte de leurs données, il convient d’abord de définir les pratiques mises en œuvre par les moteurs de recherche et les entreprises développant des modèles d’intelligence artificielle générative. En effet, plusieurs notions sont mobilisées dans ce contexte : crawling, scraping et TDM (Text and Data Mining). Bien qu’elles désignent des pratiques similaires, leur périmètre exact varie selon les usages et les interprétations. Il est donc essentiel de clarifier la signification de chacun de ces termes afin de poser un cadre précis à la discussion.

The previous article examined how to prevent web data extraction through statements in the terms of use or through protocols that make it possible to declare machine-readable access rights. However, a website publisher may wish, in addition to these non-blocking measures for bots, to implement detection and blocking mechanisms.

Le développement de modèles d’IA à usage général nécessite la création d’immenses bases de données, souvent constituées de données publiques collectées en ligne. Les propriétaires de sites internet qui font l’objet de cette collecte disposent d’un ensemble de moyens pouvant les aider à maîtriser les données prélevées et les usages qui peuvent en être fait. Les articles de ce dossier introduisent tout d’abord les concepts relatifs au moissonnage de données en ligne, avant de présenter les méthodes qui peuvent être mises en place par l’éditeur du site internet pour maîtriser ce moissonnage.

There are several ways to prevent web data extraction, which can be combined and operate differently. One such approach involves declarative methods, meaning they do not block a bot’s access to the website but instead specify access rights in a non-binding way. The simplest method is to include provisions in the website’s terms of use (CGUs). These allow for a general objection to data collection the website, but they are costly to read. Indeed, this would require collecting the terms of use for each scraped domain, parsing their content, and extracting the rules governing access to the rest of the website. Such a practice is error-prone due to its lack of standardisation and does not scale well. It therefore needs to be complemented by machine-readable methods.

The development of general-purpose AI models requires the creation of massive datasets, often built from publicly available data collected online. Website owners whose content is subject to such collection have a range of tools at their disposal to help them control the data being collected and the ways in which it may be used. The articles in this dossier first introduce the concepts related to online data scraping, before presenting the methods that website publishers can implement to manage and control the data collected by data extraction bots.

Before examining the means available to website publishers to block the collection of their data, it is first necessary to define the practices implemented by search engines and companies developing generative artificial intelligence models. Several concepts are used in this context: crawling, scraping, and TDM (Text and Data Mining). Although these terms refer to similar practices, their exact scope varies depending on usage and interpretation. It is therefore essential to clarify the meaning of each of these terms in order to establish a precise framework for the discussion.

Le Pôle d’Expertise de la Régulation Numérique (PEReN) travaille en partenariat avec le LINC sur un nouveau projet d’étude sur les hyper-trucages (ou Deep Fake). Après avoir fait un état de l’art des techniques existantes et alerté sur la facilité de réalisation de ces vidéos hyper-truquées, nous avons sollicité le PEReN pour savoir s’il est possible pour un humain de détecter des trucages dans des échanges en temps réel.

Depuis plus d’une décennie, les lunettes connectées – ou smart glasses (lunettes intelligentes) – semblaient être cantonnées à un public niche et à des usages restreints. Pourtant, depuis peu, ces dispositifs réussissent à conquérir un public de plus en plus large. 

At the beginning of 2026, LINC launched a survey with Harris Interactive – Toluna to explore how French people perceive smart glasses, in a context marked by the growing proliferation of these devices. The survey was conducted online from January 22 to January 29, 2026, among a sample of 2,128 people representative of the French population aged 18 and over. 

For more than a decade, smart glasses seemed confined to a niche audience and limited uses. Yet recently, these devices have begun to win over an increasingly broad public.

Au début de l’année 2026, le LINC a lancé une enquête avec Harris Interactive – Toluna afin d’explorer la perception des Français sur les lunettes connectées, dans un contexte de multiplication de ces dispositifs. Cette enquête s’est déroulée en ligne, du 22 au 29 janvier 2026, auprès d’un échantillon de 2 128 personnes représentatif de la population française âgée de 18 ans. 

Avec une contre-intuitivité assez déroutante, les SCA (Side Channel Attacks ou attaques par canaux auxiliaires) sont capables d’inférer des données en exploitant des informations paraissant à première vue complètement décorrélées. Le LINC vous propose ici une vue d’ensemble de ces attaques.

With a rather disconcerting counterintuitiveness, SCAs (Side Channel Attacks) are capable of inferring data by exploiting information that may at first glance seem completely unrelated. The LINC offers here an overview of these attacks.

Le site du LINC a été créé il y a 10 ans dans l’objectif de mettre en avant l’ouverture de la CNIL vers l’innovation et les projets de son Laboratoire. Dans cet article, nous vous proposons une petite rétrospective des étapes, des projets et des évolutions qui ont marqué cette décennie.

As vulnerabilities in connected devices, home automation systems, and connected surveillance cameras continue to multiply, bringing increasing risks for individuals, in recent years, some connected cameras have been “hacked” and used for military surveillance purposes in conflict zones.

Data-hungry world models are not without risk. According to the designers of world models, understanding the physical world requires data far richer than text or images alone, and the sources of such data are not always clearly defined. Both the conditions under which this data is collected and the ways in which these models will be used once deployed raise new challenges for individuals’ rights.

Building on language models, researchers and entrepreneurs have begun designing and developing “world models”, whose objective is to “understand the physical world” and, in some cases, to “predict the future”.

As an extension of language models, researchers and entrepreneurs are developing “world models” aimed at understanding the physical world and anticipating certain events. According to their designers, these models require richer data than text or images, whose sources sometimes remain unclear. The collection of such data and the future uses of these systems therefore raise new challenges for people’s rights.

Dans le prolongement des modèles de langage, des chercheurs et entrepreneurs se sont lancés dans la conception et le développement de « modèles de mondes » (World Models), dont l’objectif est de « comprendre le monde physique », voire de « prédire le futur ».

Comprendre le monde physique nécessite selon les concepteurs de modèles de monde des données plus riches que les seules données textuelles ou images, dont les sources ne sont pas toujours définies. Les conditions de leur collecte comme les usages des ces modèles lorsqu’ils seront en production posent de nouveaux enjeux pour les droits des personnes.

Dans le prolongement des modèles de langage, chercheurs et entrepreneurs développent des « modèles de monde » visant à comprendre le monde physique et à anticiper certains événements. Selon leurs concepteurs, ces modèles nécessitent des données plus riches que les textes ou les images, dont les sources restent parfois floues. La collecte de ces données et les usages futurs de ces systèmes soulèvent ainsi de nouveaux enjeux pour les droits des personnes.

The new edition of the Privacy Research Day will take place as part of hosting of the G7 Data Protection and Privacy Authorities by the CNIL in 2026. This call is open to all disciplines (Computer Science, Social Sciences, Law, Economics, Design, etc.).

La prochaine édition de la Journée de recherche sur la vie privée (Privacy Research Day) se tiendra dans le cadre du G7 des autorités de protection des données 2026 à Paris. L’appel à communication est ouvert à toutes les disciplines (informatique, sciences sociales, droit, conception d’interfaces, etc.).

The LINC is building tools and running experimentiongs. Find more about our projects

Discover long reads from the LINC and series of articles.

Dicover the LINC reports

Discover the LINC reports.