Unitree clôture à +460 % ses débuts en Bourse, premier fabricant d'humanoïdes coté sur le marché A
Unitree Robotics, officiellement Yushu Technology, est devenue le 19 août le premier fabricant de robots humanoïdes coté sur le marché des actions A chinois, sur le compartiment technologique de la Bourse de Shanghai. Deux chiffres circulent et ne disent pas la même chose. Le titre a ouvert à 1 100 yuans, soit 629,44 % au-dessus du prix d'introduction de 150,8 yuans, ce qui valorisait l'entreprise autour de 445 milliards de yuans, environ 66 milliards de dollars ; il a clôturé à 845 yuans, soit une hausse de 460 % et une valorisation d'environ 50 milliards de dollars. La dépêche de Xinhua, publiée cinq minutes avant la cloche, ne rapporte que l'ouverture. L'opération a levé environ 6,1 milliards de yuans, 905 millions de dollars, pour 40,45 millions d'actions représentant 10 % du capital élargi, au-delà de l'objectif initial de 4,2 milliards, sur un rapport cours-bénéfice de 219 fois. La demande des particuliers donne la mesure de l'engouement : près de 9,8 millions de comptes-titres se sont disputé les 9,7 millions d'actions de la seule tranche en ligne, pour un taux d'attribution final de 0,018 %. Fondée en 2016 à Hangzhou, l'entreprise a pour premier actionnaire extérieur Meituan, avec 8,7 % du capital après l'introduction ; DeepSeek et un véhicule de Tencent ont souscrit au placement stratégique, aux côtés du Fonds national de sécurité sociale et de trois groupes publics, Kunlun Capital pour China National Petroleum, China Southern Power Grid et Tianyi Capital pour China Telecom. Elle a déclaré pour 2025 un chiffre d'affaires de 1,7 milliard de yuans, 252 millions de dollars, et un bénéfice net de 278 millions de yuans. Son prospectus revendique plus de 5 500 humanoïdes livrés à des clients finaux la même année et 32,4 % du marché mondial ; le cabinet Omdia ne valide pas ce classement, puisqu'il recense 13 318 humanoïdes livrés dans le monde en 2025 et place AgiBot en tête avec 5 168 unités, devant Unitree et ses 4 200, soit une part de 32 % très proche de celle revendiquée mais pour un volume inférieur d'un quart et un rang de moins. Plusieurs réserves accompagnent la séance. Reuters rappelle que les ventes sont largement ponctuelles et que peu de robots tournent en environnement commercial ; Reuters et NBC situent la clientèle du côté des universités et des instituts de recherche, quand Fortune note que des groupes technologiques et des entreprises d'État chinoises commencent à explorer un usage opérationnel. La hausse n'a pas gagné le secteur robotique, et elle s'est détachée d'un marché en repli : l'indice composite du compartiment, qui couvre toute la cote technologique et non la seule robotique, a reculé de 7,2 % le même jour, et le Shanghai Composite de 2,4 %. Les avis d'analystes convergent plus qu'il n'y paraît. Nomura a ouvert son suivi du titre le jour même sur une recommandation d'achat, mais avec un objectif de cours de 370 yuans, soit 56 % sous les 845 yuans de clôture ; HSBC écrivait à la mi-juillet, sans citer Unitree, que la flambée des livraisons des fabricants de robots pourrait être illusoire ; et un associé du fonds shanghaïen Ivy Capital, qui tient l'entreprise pour un acteur de premier plan dont la singularité justifie une prime, estime que le prix relève de considérations politiques et économiques plutôt que de modèles de valorisation. Deux décisions américaines bornent enfin l'horizon commercial, sans le fermer : la FCC a interdit fin juillet l'homologation des futurs modèles de robots humanoïdes et quadrupèdes étrangers, dont ceux d'Unitree, les modèles déjà homologués restant vendables et l'administration fédérale en étant exemptée ; et le Pentagone a inscrit l'entreprise en juin sur sa liste d'entreprises militaires chinoises, ce qui n'est pas une sanction mais interdit à l'armée américaine de contracter directement avec elle. Les États-Unis pesaient environ 13 % du chiffre d'affaires 2025 selon le prospectus repris par NBC. Les fonds levés iront au développement des modèles de robots intelligents, à la recherche matérielle, au développement de nouveaux produits et à la construction de bases de production.
Pourquoi c'est important
Le canal marocain existe déjà, et il est tarifé. AYA Robotics, société installée à Aïn Sebaâ, à Casablanca, se présente comme le distributeur officiel des robots Unitree au Maroc et le partenaire officiel du fabricant pour l'Afrique du Nord ; elle affiche un catalogue public en dirhams, du quadrupède Go2 Pro à partir de 37 500 dirhams à sa version éducation à 112 000, de l'humanoïde G1 à partir de 179 900 au G1 EDU Standard à 439 000, jusqu'au quadrupède industriel B2 à 849 990. Médias24 documentait dès juillet 2025 l'arrivée d'un G1 au Maroc, apportée par un passionné de robotique originaire de Béjaâd, pour une tournée pédagogique vers les écoles et les universités dont AYA Robotics portait l'initiative et le financement. Ce qui se joue le 19 août n'est donc pas l'ouverture d'un marché, mais son approvisionnement, et il faut y regarder de près : sur les 6,1 milliards de yuans levés, 4,2 seulement sont fléchés vers les quatre projets du prospectus, dont un seul touche directement au volume, la construction de bases de production, à hauteur de 624 millions ; la part la plus lourde, un peu plus de 2 milliards, va au développement des modèles. Or c'est le volume, pas la capitalisation boursière, qui déplace une ligne budgétaire d'école d'ingénieurs. Pour un directeur d'établissement à Casablanca ou à Rabat, l'arbitrage se pose aujourd'hui entre un Go2 EDU à 112 000 dirhams et les plateformes concurrentes ; pour un industriel, entre un B2 à 850 000 dirhams et une automatisation classique. Le segment où le Maroc peut entrer sans attendre est précisément celui que décrivent Reuters et NBC, celui des universités et des instituts de recherche, où se vend aujourd'hui l'essentiel de la production. Une réserve s'impose : le statut de distributeur officiel est une déclaration d'AYA Robotics sur son propre site, reprise par Médias24, qu'aucune page d'Unitree ne confirme.
Source : Xinhua
L'équipe Ornith annonce trois modèles ouverts, dont un 9 milliards servable sur un seul processeur graphique
La collection Ornith-1.5 a été annoncée le 19 août, ses dépôts ayant été créés la veille sur Hugging Face. Elle couvre trois tailles : un mélange d'experts de 397 milliards de paramètres, un autre de 35 milliards n'en activant que 3 par jeton, et un modèle dense de 9 milliards. Ces poids ne partent pas de zéro, le billet indiquant qu'Ornith-1.5 prolonge la génération précédente, elle-même construite sur Qwen3.5, d'Alibaba, et Gemma 4, de Google. La particularité tient à la méthode d'entraînement. Plutôt que de s'appuyer sur des tâches écrites par des humains, le système propose lui-même des tâches de difficulté croissante, fabrique l'échafaudage qui servira à les résoudre, puis produit ses trajectoires de solution ; la récompense remonte sur les trois étages, si bien qu'il apprend aussi à écrire de meilleures tâches. La difficulté visée est calibrée sur un taux de réussite de 0,2, et une tâche jugée invalide met la récompense à zéro. Le dispositif ne concerne que l'entraînement : rien n'indique que le modèle se modifie pendant l'usage. Les résultats publiés appellent la prudence que commande leur provenance. Le laboratoire revendique l'état de l'art parmi les modèles ouverts de taille comparable, et va au-delà en affirmant que son 9 milliards surpasse des modèles plus gros — ce que son propre tableau nuance, Qwen3.6-35B y devançant le 9 milliards sur la majorité des lignes. Son 397 milliards obtient 86,1 sur Terminal-Bench 2.1 et 56,0 sur DeepSWE, ce qu'il présente comme une parité avec Claude Opus 4.8, crédité de 85,0 et 59,0. La formule est généreuse : il devance d'un point sur le premier banc, mais accuse trois points de retard sur le second, et sur l'ensemble du tableau le modèle d'Anthropic le devance sur dix des dix-sept bancs d'essai, Kimi K3 sur neuf des onze où les deux sont comparés. Tous ces chiffres sont produits par le laboratoire, sur un harnais qu'il a partiellement modifié, et deux des évaluations sont jugées par un modèle d'Anthropic, c'est-à-dire du concurrent auquel il se compare ; aucune évaluation tierce publiée ne les confirmait au 19 août. Ce sont les tailles qui font l'intérêt pratique. Le 9 milliards pèse environ 19 gigaoctets en précision bf16, tient sur un seul processeur graphique de 80 gigaoctets et se lance en une commande via Ollama ; le 35 milliards demande environ 70 gigaoctets et deux cartes ; le 397 milliards réclame environ 800 gigaoctets et huit H200 dans cette même précision, sa carte de modèle invitant, pour des déploiements plus modestes, à se tourner vers des versions compressées, publiées avec le reste de la collection. Les trois acceptent 262 144 jetons de contexte, extensibles à environ un million par une mise à l'échelle que la documentation assortit d'une réserve visant les moteurs d'exécution libres, qui l'appliquent au même facteur quelle que soit la longueur de la requête. Deux points enfin sur l'ouverture annoncée : la licence MIT ne figure que dans les métadonnées des cartes de modèle, le fichier de licence pointé renvoyant une erreur, et le billet ne mentionne ni cette licence ni le nom de DeepReinforce, l'équipe de recherche à laquelle des sources tierces rattachent la gamme Ornith. La génération précédente, parue le 25 juin, donne un ordre de grandeur de l'adoption réelle : ses deux versions compressées au format GGUF cumulent plus de huit millions et demi de téléchargements sur trente jours.
Pourquoi c'est important
L'article 11 de la loi 05-20, promulguée en juillet 2020 et complétée par son décret d'application de juillet 2021, réserve au territoire national l'hébergement des données sensibles. Une banque, un assureur ou une administration marocaine ne peut donc pas envoyer son code source ou les données de ses clients vers une interface de programmation étrangère, ce qui l'oriente vers les modèles ouverts auto-hébergés — une voie que la génération précédente du même laboratoire avait déjà ouverte le 25 juin. Ce que la publication du 19 août ajoute tient à l'échelle disponible : le 9 milliards s'installe derrière le pare-feu d'une direction informatique casablancaise sur une seule carte, le 35 milliards sur deux, sans contrat, sans transfert de données et sans autorisation transfrontalière. Le 397 milliards en précision native, lui, suppose un nœud de huit cartes H200 sur un seul serveur : c'est un investissement matériel, plus qu'une question d'électricité. Le parc d'hébergement local reste par ailleurs naissant — à la fin du deuxième trimestre 2026, le pays compte 1,5 mégawatt de capacité de centres de données installée pour quatorze sites en exploitation, contre 140 mégawatts en construction et 400 planifiés. Ce qui est utilisable sans rien attendre, ce sont donc les deux petites tailles et, pour qui accepte une version compressée, les déclinaisons du plus gros modèle. Le précédent est mesurable, même s'il est mondial : les deux versions GGUF de la génération précédente cumulent plus de huit millions et demi de téléchargements sur trente jours, et c'est précisément ce format-là que fait tourner une infrastructure modeste. Reste la contrepartie, et elle est sérieuse : aucun tiers n'a publié de vérification des scores, l'ouverture de la licence tient à une ligne de métadonnée, et un directeur technique qui bâtit sur ces poids devra mesurer lui-même ce qu'il obtient sur ses propres tâches.
Source : Ornith
Héberger et évaluer un modèle ouvert en interne →Nature Medicine publie le même jour deux évaluations d'IA clinique, l'une sur le diagnostic, l'autre sur l'usage
Deux évaluations cliniques d'intelligence artificielle ont paru le 19 août dans Nature Medicine. Elles ne se citent pas, ne portent ni sur le même outil ni sur la même spécialité, et l'une mesure ce que l'autre laisse de côté. La première décrit LiON, un système d'aide au diagnostic des tumeurs du foie sur scanner injecté, entraîné sur 6 443 patients puis validé rétrospectivement sur 22 251. Un essai mono-bras l'a ensuite installé comme lecteur supplémentaire dans le flux de travail d'un hôpital chinois, auprès de 10 333 patients recrutés entre septembre et novembre 2025 : le critère principal est atteint, avec une aire sous la courbe de 0,952, et la relecture conjointe du système et des radiologues a repéré 51 lésions passées inaperçues, dont 15 malignes, déclenchant 37 comptes rendus amendés et 22 saisines de réunion de concertation pluridisciplinaire. Les auteurs écrivent au conditionnel qu'une IA déployée de façon compatible avec le flux de travail « pourrait » aider à réduire les diagnostics manqués ou retardés, et réclament des études comparatives prospectives avant toute conclusion sur les résultats cliniques. Plusieurs limites bornent la portée : l'essai est sans groupe témoin et mené sur un site unique, l'ensemble des centres ayant fourni les cohortes de validation se situent en Chine, quatre co-auteurs sont salariés d'Alibaba, qui a co-développé le système et déposé un brevet, et l'un des auteurs correspondants déclare être cofondateur de deux sociétés et conseiller de trois autres. La seconde étude, menée aux urgences du Rambam Health Care Campus à Haïfa, est une étude pilote d'implantation. Elle mesure autre chose : non pas ce que l'outil sait faire, mais ce que les médecins en font. Sur quatre semaines de recueil achevées bien avant la parution, 1 138 patients ont été répartis entre deux ailes par allocation alternée, 584 dans l'aile équipée du système et 554 dans l'aile témoin. C'est dans la première que se mesure l'adoption, et la part des patients pour lesquels un médecin ouvrait l'interface y est tombée de 67,9 % la première semaine à 29,7 % la quatrième, soit 44,3 % sur l'ensemble de la période. La durée de séjour, elle, ne bouge pas : 4,9 heures des deux côtés. Aucun événement indésirable n'a été détecté et 99 des 100 réponses échantillonnées et soumises à relecture ont été jugées cliniquement appropriées. L'article publie aussi deux autres associations : les médecins ouvrent davantage l'outil pour les demandes d'avis de radiologie, et son usage décroche à mesure que la garde avance. Il présente ces estimations comme exploratoires, les valeurs p affichées dans ses figures d'efficacité n'étant pas ajustées pour comparaisons multiples, une table supplémentaire appliquant par ailleurs une correction de Holm-Bonferroni à la famille de ses analyses secondaires et de sensibilité. Les auteurs concluent que le verrou pourrait tenir à l'engagement durable des cliniciens plutôt qu'à la justesse algorithmique, et que ces résultats servent à concevoir un essai randomisé sans justifier de déployer une aide à la décision par IA à ce stade. L'évaluation n'est pas extérieure non plus : le système a été conçu dans l'hôpital même, sous la direction du chef de son service de neurologie, qui signe l'article comme auteur correspondant. Les auteurs déclarent en revanche n'avoir aucun conflit d'intérêts, la seule ressource extérieure étant un partenariat AWS assorti de 20 000 dollars de crédits de calcul, dont l'article précise que le financeur n'a joué aucun rôle dans la conduite de l'étude.
Pourquoi c'est important
Mises côte à côte, ces deux publications dessinent la question qu'un acheteur hospitalier marocain aura à trancher, et elle ne porte pas sur la performance. D'un côté un gain mesuré modeste mais réel, obtenu en repassant derrière des comptes rendus déjà signés : 37 rectifications chez 10 333 patients. De l'autre un outil jugé cliniquement approprié dans 99 cas sur 100 et pourtant délaissé en un mois par ceux qui devaient l'ouvrir. Le Maroc s'apprête seulement à poser l'infrastructure qui rendrait ces déploiements possibles, avec le projet de loi n° 52.26 sur le système national intégré d'information sanitaire, adopté en Conseil de gouvernement le 22 juillet mais pas encore voté au Parlement, qui prévoit une plateforme centrale des données de santé, un dossier médical partagé et un identifiant national. Le terrain, lui, est connu : le troisième Livre blanc du Centre d'innovation en e-santé de l'Université Mohammed V, paru en juillet, recense moins de 10 médecins pour 10 000 habitants — un chiffre qu'il compare à un seuil de 23 attribué à l'OMS, lequel additionne en réalité médecins, infirmiers et sages-femmes — et relève, auprès d'environ 400 professionnels, 97 % d'optimisme sur l'IA quand moins d'un sur cinq a accès aux outils qu'il réclame. Le même document formule la règle qui en découle, « une culture du résultat, pas du pilote ». Traduction pour un cahier des charges : exiger du fournisseur, à côté des scores de justesse, une courbe d'usage hebdomadaire mesurée sur au moins quatre semaines. Un système que personne n'ouvre ne rattrape aucune lésion.
Source : Nature Medicine
Accompagner l'adoption d'un outil d'IA par les équipes →Google ouvre un an d'abonnement IA gratuit aux étudiants, en version allégée hors des États-Unis
Depuis le 19 août, un étudiant du supérieur peut activer douze mois d'abonnement IA de Google sans payer, mais pas le même selon l'endroit où il étudie. Aux États-Unis, l'offre porte sur Google AI Pro, que l'éditeur valorise à 19,99 dollars par mois et qui ouvre des limites d'usage quadruplées par rapport aux comptes sans abonnement IA, l'accès à Gemini Spark et à Gemini Omni, Gemini dans des applications comme Gmail et Docs, 5 To de stockage et Google Health Premium. Ailleurs, elle porte sur Google AI Plus, plus étroit : Gemini Omni, des limites seulement doublées et 400 Go de stockage, dans les plus de 140 marchés où ce forfait est distribué, six d'entre eux étant nommément écartés, la Bolivie, l'Albanie, le Canada, Hong Kong, Macao et la Tunisie. Une troisième offre complète l'annonce, hors du gratuit : un pack combinant Google AI Pro et un abonnement YouTube Premium, jusqu'à 70 % de remise, réservé à une sélection de marchés. Le plan attribué dépend du pays de l'établissement et non de la nationalité de l'étudiant. Les conditions officielles, mises à jour le même jour, fixent le reste : 16 ans révolus, inscription dans un établissement du supérieur, vérification du statut d'étudiant par une adresse électronique scolaire lorsque Google la demande, compte Google personnel, aucun abonnement Google One en cours — la disqualification valant aussi pour un compte rattaché à un groupe familial, un compte supervisé, un abonnement souscrit par une entreprise, un abonnement obtenu dans un pack Pixel à tarif réduit ou un abonnement souscrit via un tiers — et, surtout, un moyen de paiement enregistré dès l'inscription. La page destinée aux étudiants resserre davantage le périmètre, puisqu'elle réserve l'offre aux 18 à 24 ans, seuil que les conditions ne reprennent pas, et impose de prouver son éligibilité chaque année. Les douze mois courent à compter de l'activation, possible jusqu'au 31 décembre 2026 ; à leur terme, le prélèvement démarre au tarif courant du pays, sauf résiliation. L'offre ne fonctionne pas sur les comptes Workspace for Education fournis par les universités. Google y ajoute un espace étudiant dans son application, à gemini.google.com/students, qui rassemble carnets d'étude, cartes mémoire et quiz d'entraînement. Le billet range dans le déploiement du jour cet espace, les carnets d'étude ouverts sur le web en juin, les visualisations interactives arrivées dans l'application au printemps et Deep Research dans Gemini Live, en les présentant comme destinés à l'ensemble des utilisateurs et non aux seuls étudiants ; les notes de bas de page réservent toutefois l'espace étudiant et les carnets aux comptes grand public connectés. Trois annonces restent en attente : l'ouverture de l'espace étudiant et des carnets aux comptes délivrés par les établissements et aux utilisateurs remplissant l'âge minimum, promesse déjà faite en juin pour les seuls carnets d'étude, l'espace n'existant pas encore ; puis l'ajout de graphiques et d'images aux leçons, toutes deux renvoyées aux semaines à venir ; et l'inscription des échéances d'un plan de cours dans Google Agenda, avec l'autorisation de l'étudiant.
Pourquoi c'est important
Google AI Plus est distribué au Maroc depuis septembre 2025 et le pays ne figure pas parmi les six marchés écartés : un étudiant inscrit dans un établissement marocain relève donc de la voie hors États-Unis, à activer au plus tard le 31 décembre 2026. Ce n'est pas une première pour lui — une année gratuite avait déjà été ouverte aux étudiants marocains fin 2025, sur le plan supérieur — et c'est justement ce qui rend l'écart lisible : cette fois, l'offre servie au Maroc est le forfait d'entrée de gamme. Consultée depuis une adresse marocaine, la page officielle chiffre l'après : 59,99 dirhams par mois prélevés automatiquement à l'issue de l'essai. Le gisement de départ se chiffre lui aussi, avec 1,31 million d'étudiants dans le supérieur en 2025-2026, dont 87 % dans le public, selon les chiffres présentés par le ministre Azzedine El Midaoui. La borne des 18 à 24 ans en retranche déjà une part, et deux frictions rétrécissent encore le reste. La première est le moyen de paiement, exigé avant qu'un seul dirham de service ait été consommé, dans un pays où la carte internationale n'est pas la norme chez les étudiants. La seconde tient à un détail des conditions : la vérification passe par l'adresse électronique de l'établissement, mais l'abonnement doit être porté par un compte Google personnel, l'offre ne fonctionnant pas sur le compte Workspace for Education délivré par l'université. Pour les étudiants dont l'université a confié sa messagerie à Google, l'adresse qui prouve leur statut est donc précisément un compte Google, mais pas celui qui peut recevoir l'abonnement : il leur faudra en manier deux. Pour un responsable de filière, la conséquence est immédiate : l'année à venir se jouera avec des étudiants équipés d'un abonnement gratuit douze mois à compter du jour de leur activation, qui deviendra payant à la même date l'année suivante, faute de résiliation.
Source : Google
Passer d'un abonnement gratuit à une compétence qui se prouve →Cinq agences américaines décrivent des scripts d'attaque écrits avec l'IA contre des automates Siemens
L'avis conjoint référencé AA26-231A, paru le 19 août, émane de la NSA, de la CISA, du FBI, du département de l'Énergie et de l'agence de protection de l'environnement. Il décrit une activité de reconnaissance et de développement de capacités en cours contre des parcs d'automates de marque Siemens exploités aux États-Unis, au moyen de scripts d'exploitation générés par IA et maquillés en outils de supervision légitimes ; ces scripts, écrits à partir d'informations publiques, servent selon l'avis à l'accès initial, à l'accès aux identifiants, au déni de service et à d'autres objectifs qu'il ne détaille pas. Le mode opératoire y est détaillé pas à pas. Les automates exposés ou mal cloisonnés sont repérés par des services de balayage d'Internet comme Censys ou ZoomEye. L'entrée passe par des identifiants non sécurisés, l'authentification étant laissée aux réglages d'usine ou à peine configurée ; l'avis ajoute que des vulnérabilités connues, classées critiques ou élevées, peuvent aussi être exploitées dès lors que l'automate est joignable ou mal cloisonné. Des bibliothèques libres d'automatisation industrielle, snap7.dll et python-snap7, associées à du script assisté par IA, donnent ensuite un accès en lecture et en écriture à la mémoire, aux données de configuration et aux programmes des automates via le protocole S7comm. Cinq séries sont visées : les S7-200, S7-300 et S7-400 dans toutes leurs variantes de processeur, les S7-1200 pour les seules variantes que l'avis énumère, 1211C, 1212C, 1214C, 1215C et 1217C, les S7-1500 dans toutes les leurs, contrôleurs de sécurité de série F compris. Les secteurs que l'avis dit les plus visés sont la fabrication critique, l'énergie, l'eau et les eaux usées, la chimie, l'agroalimentaire et les installations commerciales, et il ajoute que ces automates équipent d'autres secteurs, dont la base industrielle de défense, qui pourraient l'être également. Le ciblage dépasse d'ailleurs la seule marque Siemens, tous les exploitants d'automates étant appelés à appliquer les mesures. Les faiblesses qui reviennent le plus au fil du texte sont l'exposition à Internet, les micrologiciels non corrigés, les identifiants laissés par défaut ou à peine configurés et le cloisonnement insuffisant, l'avis renvoyant plus largement aux vulnérabilités connues, aux mauvaises configurations et aux autres faiblesses. Les agences écrivent que le recours à l'IA pour produire ces scripts marque une évolution des capacités adverses, en réduisant fortement l'expertise et le temps nécessaires, sans avancer de facteur ni de durée. Ce qui manque à ce document en dit long sur son statut : il n'attribue l'activité à aucun État ni groupe, ne cite aucune vulnérabilité référencée, ne donne aucun chiffre de volumétrie ni de victimes, et énonce au conditionnel les conséquences possibles, des arrêts de production aux incidents de sûreté, des dommages matériels à la compromission de données sensibles, jusqu'aux manquements réglementaires et aux effets en cascade sur les systèmes interconnectés. Aucun dommage matériel ni arrêt de production n'est rapporté. Les agences affirment en revanche que la menace est active et non théorique, et décrivent des opérations de lecture et d'écriture déjà conduites sur les blocs de données ; elles estiment que le schéma observé vise vraisemblablement une reconnaissance persistante destinée à préparer des effets opérationnels. Michael Garcia, ancien haut responsable de la CISA aujourd'hui vice-président du pôle cybersécurité d'un cabinet d'affaires publiques, a écrit sur LinkedIn, dans un propos repris par CyberScoop, que c'est le premier avis de la CISA qu'il ait vu affirmer qu'un acteur malveillant emploie des scripts d'IA contre des systèmes de technologie opérationnelle.
Pourquoi c'est important
La loi 05-20 s'applique déjà à un exploitant marocain d'infrastructure d'importance vitale, sans attendre de nouveau texte. Son article 8 impose de déclarer à l'autorité nationale, la DGSSI, tout incident affectant la sécurité ou le fonctionnement de ses systèmes d'information dès qu'il en a connaissance, et l'article 50 punit le manquement d'une amende de 100 000 à 200 000 dirhams. L'article 19 soumet tout système d'information sensible à une homologation avant mise en exploitation, l'article 20 permet à l'autorité d'exiger un audit, mené par elle-même ou par un prestataire qualifié, l'article 23 mettant le coût à la charge de l'exploitant dans ce second cas. Le guide de la DGSSI sur les systèmes d'information industriels, qui date de février 2017, cartographiait déjà ces faiblesses, de l'absence de veille sur les vulnérabilités à la gestion des mots de passe et au défaut de cloisonnement entre le système industriel et le système d'information de gestion ou un réseau public comme Internet. Il y ajoutait les solutions de télémaintenance, dont il écrit qu'elles diminuent considérablement le niveau de sécurité. L'encadré de tête de l'avis compte sept mesures : inventorier, corriger, couper l'accès depuis Internet, renforcer les contrôles d'accès, surveiller, durcir services et protocoles, chasser les anomalies. Cinq gestes en découlent pour un exploitant marocain, tous applicables sans nouvel investissement : inventorier les automates S7, appliquer les correctifs de micrologiciel, activer le mot de passe des automates et remplacer les identifiants laissés par défaut, fermer le port 102 en périmétrie, puis transmettre l'avis aux intégrateurs et prestataires disposant d'un accès distant en leur demandant d'appliquer ces mesures, dont le document souligne qu'elles importent particulièrement pour les exploitants qui recourent à de tels tiers. Le dernier geste est le plus délicat, parce qu'il se joue au contrat. Les propriétaires qui recourent à un prestataire ou à un intégrateur disposant d'un accès distant à leurs automates peuvent ignorer que leurs systèmes sont exposés, alors que la déclaration d'incident et l'amende, elles, restent à leur charge.
Source : CISA
Filmer à bord d'une voiture de location suppose une autorisation préalable, répond la CNDP
Hespress a publié le 14 août une enquête cherchant à établir si des caméras sont installées dans les voitures de location, et constaté le même jour, dans un véhicule particulier servant au transport par applications, une caméra filmant les visages des passagers, que son propriétaire a justifiée par un besoin de protection. Les deux cas ont été soumis à la Commission nationale de contrôle de la protection des données à caractère personnel, dont les réponses officielles, adressées au quotidien par son président Omar Seghrouchni, ont paru le 19 août. Sa position tient en une qualification : capter, visionner, enregistrer, conserver ou transmettre l'image d'une personne identifiable constitue un traitement de données personnelles au sens de la loi 09-08, que la caméra soit tournée vers l'habitacle ou vers la route. Suit la conséquence pratique. La délibération n° 350-2013 ne couvre que les lieux de travail et les lieux privés communs, si bien que les véhicules en sortent : les caméras embarquées ne relèvent pas du régime de déclaration préalable que ce texte organise pour ces deux catégories de lieux, mais de l'autorisation préalable, à demander au moyen du formulaire F-112. Une nouvelle délibération est annoncée « prochainement », sans date : la Commission indique qu'elle y traitera le cas des voitures de location comme celui des véhicules de transport par applications. Elle annonce dans la foulée une délibération sur les caméras embarquées à bord des camions transportant des marchandises sensibles ou dangereuses, sans préciser s'il s'agit du même texte ou d'un autre, et dit travailler également sur les ensembles résidentiels, les espaces publics ou les grandes surfaces. Pour les chauffeurs qui utilisent leur véhicule personnel via une application, la réponse est plus abrupte : la Commission n'examine la licéité d'un traitement que dans le cadre d'une activité permise par la loi, et un véhicule dépourvu de licence de transport ne peut donc même pas voir sa demande instruite. Pour les loueurs en règle, elle reconnaît dans le droit de propriété un intérêt légitime, sans y voir un droit absolu de surveiller les occupants, et renvoie à un équilibre gouverné par la nécessité et la proportionnalité. Rien de tout cela n'est une sanction : la Commission ne fait état d'aucune procédure ouverte et ne cite aucun opérateur, sans rien dire de l'ampleur du phénomène. Deux responsables de la location de voitures s'étaient exprimés dans l'enquête du 14 août, sans dire la même chose : le président du Syndicat national des propriétaires d'agences de location de voitures, Fouad El Mliani, niait catégoriquement la pratique au motif qu'il n'a jamais rencontré le cas en vingt-deux ans de métier, quand le secrétaire général de la Fédération des associations des agences de location de voitures au Maroc, Marouane Hanine, en confirmait l'existence chez une minorité de loueurs, la disant rare tout en relevant qu'elle permet de surveiller le client. Aucune organisation du transport par applications n'a été interrogée.
Pourquoi c'est important
Toute entreprise marocaine qui filme à bord d'un véhicule, loueur, société de flotte, livreur ou transporteur de marchandises, apprend ici qu'elle ne relève pas du régime allégé qu'elle croyait peut-être suivre. La déclaration ne suffit pas ; il faut une autorisation, que la Commission instruit en deux mois, prorogeables une fois, le délai ne courant qu'à dossier complet. Ce délai se réserve dès le cahier des charges. Le format à attendre est connu : en novembre dernier, la Commission a adopté un modèle type de demande d'autorisation pour la vidéosurveillance dans les établissements de santé, soit la même mécanique sectorielle que celle annoncée ici. Le coût du raccourci est chiffré par la loi : mettre en œuvre un fichier sans la déclaration ou l'autorisation requise expose à une amende de 10 000 à 100 000 dirhams, portée au double lorsque le contrevenant est une personne morale, comme l'ensemble des amendes de ce chapitre. Une précision s'impose sur les chiffres qui circulent : le quotidien titre sur des amendes atteignant 300 000 dirhams et rattache ce plafond à l'article 61 de la loi 09-08, alors que cet article plafonne à 200 000 dirhams pour une personne physique, la fourchette de 50 000 à 300 000 relevant de l'article 57, consacré aux données sensibles. Une inconnue demeure, et elle décidera de la portée de cette position : la délibération annoncée n'existe pas encore, et une réponse à un journal, si nette soit-elle, n'a pas la force d'un texte adopté.
Source : Hespress
Cadrer un projet de traitement de données avant son déploiement →