Expertises
Droit, technologies & prospectives
interview / Marie Potel-Saville
Fair design : une réponse aux limites du droit

Droit, technologies & prospectives
Tous les mois, toute l'actualité du numérique... Et tellement plus !
Nos derniers numéros







































































N°457 – mai 2020
N°456 – avril 2020
N°455 – mars 2020
N°454 – février 2020
N°452 – décembre 2019
N°451 – novembre 2019
N°450 – octobre 2019
N°449 – septembre 2019
N°448 – juillet 2019

















Sommaire
Edito
Focus
En bref
L’information rapide sur le monde du numérique
Magazine
L’information légale et jurisprudentielle du numérique
Interview
Doctrines
Demandes d’accès massives aux emails par d’ex-salariés : pistes liées à l’arrêt « Brillen Rottler »
Les capacités offensives émergentes de l’IA autonome : Enjeux techniques et défis juridiques
e-Evidence : l’exemple de la contrefaçon en ligne
Les DPO face à l’IA : opportunité ou risque ?
Lignes directrices du CEPD sur la recherche scientifique
L’IA et la décarbonation du secteur aéronautique
Quelle(s) responsabilité(s) pour un agent IA qui dépasse son mandat ?
Quand le RGPD s’invite dans le vestiaire…
L'édito du mois
Du vibe coding au vibe copying
Le 30 septembre dernier, un développeur américain a lâché une bombe sur le monde du logiciel, en déposant sur GitHub PhotoCraft, le clone open source et gratuit de Photoshop signé ArtCraft. Une semaine après, c’est la totalité des applications de la suite Adobe Creative qu’il avait clonée et mise à disposition : PhotoCraft (Photoshop), VectorCraft (Illustrator), FilmCraft (Premiere Pro), LightCraft (Lightroom), PrintCraft (Acrobat), EffectCraft (After Effects) et DesignCraft (InDesign). Après Adobe Creative, plus d’une quarantaine de versions clonées de logiciels phares ont été déposées sur Github dont WordCraft, GridCraft et DeckCraft, ses pendants de Word, Excel et PowerPoint, mais aussi CADCraft pour AutoCAD, SoundCraft pour Pro Tools, etc. Tout cela produits en quelques semaines, publiés sous licences MIT ou Apache 2.0, compilés nativement pour macOS, Windows et Linux et, pour la plupart, également exécutables dans un navigateur grâce à la technologie WebAssembly.
Les copies ressemblent à s’y méprendre aux originaux. L’ergonomie, la disposition et l’apparence des versions Artcraft reprennent celles des logiciels originels mais le code n’est pas du tout le même. Chaque programme a été recréé en « clean room design ». Les logiciels ont été codés avec l’aide de Claude Opus 5.5 d’Anthropic, en faisant tourner jusqu’à huit agents IA en parallèle. Le code source propriétaire n’a pas été reproduit, consulté ou décompilé. Le logiciel a été entièrement codé en Rust à partir uniquement des spécifications publiques, de la documentation et de l’observation visuelle du comportement du produit d’origine. Sans l’IA, cette opération aurait été impossible à mener, sauf à mobiliser des moyens énormes.
Le premier touché des éditeurs Adobe n’a, à ce jour, pas réagi immédiatement ni intenté d’action en justice. Mais une action judiciaire n’est peut-être pas opportune car elle pourrait produire un incontrôlable effet Streisand. N’oublions pas que c’est la colère d’un développeur, largement partagée, contre les pratiques contractuelles agressives d’Adobe qui a été le déclencheur du projet Artcraft.
Nul doute que la société a dû procéder à une analyse juridique et les arguments ne manquent pas. Au niveau du droit d’auteur, le code source n’a semble-t-il pas été copié mais la contrefaçon de logiciel ne se limite pas à sa reproduction. Certes ni les fonctionnalités, ni le langage de programmation, ni le format des fichiers ne sont protégeables, comme le rappelle la CJUE dans un arrêt du 2 mai 2012 (SAS Institute). Mais l’interface graphique, si elle est originale, peut être protégée par le droit d’auteur (CJUE, 22 décembre 2010, BSA, C-393/09). Par ailleurs, le règlement (UE) 2024/2822 entré en application le 1er mai 2025 sur les dessins et modèles protège explicitement les interfaces graphiques. Aux États-Unis, les design Patents protègent l’apparence visuelle de l’interface. Et en mars 2026, l’USPTO a émis de nouvelles directives pour assouplir et élargir les conditions de dépôt pour les écrans virtuels et les interfaces générées par ordinateur. En plus du droit des marques qui pourrait être invoqué, il reste le droit des brevets car Adobe détient de nombreux brevets liés à ses applications. Enfin, l’article 17 des conditions générales d’Adobe interdit formellement de faire de la rétro-ingénierie ou d’étudier le comportement de ses logiciels pour en faire des copies.
Est-ce la fin du logiciel propriétaire, comme certains le prédisent ? Une chose est certaine, cette affaire va avoir un impact sur cette industrie. À court terme, les entreprises ne vont probablement pas basculer vers les clones, encore expérimentaux, instables comportant des vulnérabilités critiques et sans support. Mais la complexité du code source n’est plus une protection infranchissable : on sait qu’il est désormais possible de recréer un logiciel personnalisé en reprenant les fonctions utiles à ses besoins. Les éditeurs vont sans doute devoir faire évoluer leurs pratiques éditeurs et leur modèle économique reposant sur un droit d’accès aux fonctionnalités figées.
Le focus du mois
Lunettes connectées : la crainte du panoptique
Les lunettes connectées suscitent une hostilité croissante du fait de l’invisibilité de leur dispositif de captation de sons et d’images. Les plaintes de femmes filmées à leur insu se multiplient. Parallèlement, de plus en plus d’organismes publics ou privés interdisent le port de ces lunettes dans leurs locaux.

En février dernier, lors de l’audition de Mark Zuckerberg, dans le procès contre Meta sur l’addiction aux réseaux sociaux, la cour supérieure de Los Angeles a demandé à l’entourage du PDG de Meta de retirer leurs lunettes Ray-Ban Meta et de supprimer tout enregistrement. Depuis, la méfiance à l’égard de ces lunettes high tech n’a cessé de grossir ; le 1er juillet dernier, le port de ces lunettes est interdit dans les 1 200 tribunaux de l’État de New York. Le Wisconsin, Hawaï et la Caroline du Nord ont également pris de telles mesures ainsi que l’Angleterre et le Pays de Galles. D’autres secteurs sensibles comme la médecine, l’éducation ou la finance les ont proscrites dans leurs locaux mais aussi l’US Air force, des organisateurs de croisières ou des compagnies aériennes. En Europe, une hostilité d’un autre ordre prend de l’ampleur. En septembre dernier, le parquet de Paris a annoncé avoir ouvert plusieurs enquêtes, suite à des plaintes de femmes filmées à leur insu dans la rue avec des lunettes connectées. En Allemagne, le parquet de Francfort a été saisi d’une plainte de l’organisation de défense des droits humains Hateaid demandant l’interdiction de la vente des lunettes Meta Ray-Ban « Wayfarer – Gen 2 ». Des associations de défense des droits en France mais aussi en Belgique et aux Pays-Bas alertent sur ce phénomène.
Cette hostilité n’a jamais été aussi forte qu’en 2026. C’est aussi l’année où les ventes ont explosé. Meta avait vendu 8,7 millions de lunettes en 2025 selon le cabinet Omdia, détenant ainsi près de 84% du marché. La technologie n’est pas nouvelle. En 2013, Google avait commercialisé ses « Google Glass » mais ce fut un échec commercial qui obligera le géant du numérique à renoncer à la cible du grand public. Pourtant en 2026 Google y revient. Le contexte a changé depuis. Les prix ont chuté : il fallait compter 1 500 $ en 2013. En 2026, les modèles premium se situent entre 350 et 500€. Par ailleurs, la captation de sons et d’images dans les lieux publics s’est complètement banalisée.
Alors pourquoi ces réactions de défiance ? Ce qui achoppe aujourd’hui, c’est l’invisibilité du dispositif intégré dans des lunettes de vue normales, comme les Wayfarer de Ray Ban portées par les Blue Brothers, et alors que les Google Glass avaient un design identifiable. Dans la mesure où ces lunettes ne sont pas clairement différenciables de lunettes « classiques », on peut donc filmer, photographier ou enregistrer la voix d’une personne à son insu. D’où le sentiment intrusif qui se dégage de cet objet du quotidien qui réactive l’imaginaire panoptique, l’idée d’être observé ou surveillé, peut-on lire dans le rapport du groupe d’experts formé par le Comité européen pour la protection des données (CEPD) et publié le 1er octobre dernier. Ainsi, les lunettes connectées comportent un germe de surveillance généralisée, privée et mobile, quasi invisible et omniprésente, qui pourrait induire une transformation profonde de nos comportements en public.
Cécile Alvarez, directrice des politiques de confidentialité chez Facebook, a rappelé, lors de la matinée organisée par la Cnil sur le sujet, que les personnes sont informées d’une captation par un voyant lumineux qui se déclenche quand la caméra est activée. Mais son efficacité est, semble-t-il, assez réduite. D’abord, le voyant n’est pas toujours très visible. Puis il suffit de couvrir la Led avec un voile qu’on peut acheter sur Amazon pour le neutraliser. Elle a également insisté sur le fait que ces lunettes ne permettent pas la reconnaissance faciale, l’identification de la voix, la géolocalisation ou la publication des photos ou vidéos sur les réseaux sociaux. Pour cela, il faut utiliser une application, ce qui n’est cependant pas très compliqué, comme la réidentification des personnes dont l’image a été captée.
Si les lunettes connectées font de plus en plus l’objet de plaintes contre l’usage abusif de ces captations, elles sont aussi utilisées comme outils d’observation, permettant d’anticiper les comportements déviants ou pour recueillir des preuves. Bien qu’interdites, ces preuves recueillies à l’insu des personnes peuvent être recevables, notamment par les assurances.
Prenant en compte les résultats d’un sondage qui font apparaître une inquiétude des personnes concernées, et au regard de l’importance des enjeux juridiques, éthiques et sociétaux que leur utilisation soulève, la Cnil a décidé de lancer des travaux sur la conformité des lunettes connectées en matière de protection des données personnelles. Le CEPD, de son côté, a publié, le 13 octobre dernier, un avis non contraignant sur le sujet. En plus de faciliter l’enregistrement non autorisé des personnes concernées, des conversations en arrière-plan, le Comité évoque leur utilisation potentielle, combinée à des systèmes de reconnaissance faciale ou vocale, qui « soulève des questions inédites quant aux choix de société et fait peser un risque majeur sur les droits et libertés dans l’espace public. Cela pourrait également engendrer un effet social insidieux : les individus pourraient modifier leur comportement, brider leur spontanéité et se conformer à des normes sociales jugées plus acceptables, par crainte d’une surveillance non encadrée ». En conséquence, il recommande l’élaboration de normes à l’échelle du secteur ainsi que la mise en œuvre de campagnes de sensibilisation, afin de garantir que les personnes puissent identifier les lunettes intelligentes et comprendre quel type de données y sont traitées.
Après les Ray-Ban Display, « à l’affichage propulsée par l’IA », Meta envisage-t-il d’intégrer à ces lunettes la reconnaissance faciale ? ; le dépôt d’un brevet pourrait l’indiquer. Le 13 avril dernier, une large coalition d’organisations dirigée par l’American Civil Liberties Union (ACLU), a cependant mis en garde Mark Zuckerberg sur « une ligne rouge que la société ne doit pas franchir ». Par ailleurs, les lentilles de contact dotées d’un écran ou de capacités de réalité augmentée sont actuellement expérimentées. L’espace public restera-t-il encore longtemps un espace fréquentable ?
L'invité du mois
Interview / Marie Potel-Saville
Fair design Une réponse aux limites du droit
Selon la Commission européenne, les dark patterns sont présents dans 97% des sites. Marie Potel-Saville, ex-avocate fondatrice et CEO de Fair Patterns, a pourtant identifié 140 fondements juridiques pour lutter contre le design prédateur, ces pratiques qui utilisent nos faiblesses cognitives pour nous faire acheter ou forcer notre consentement. Selon elle, le droit positif, encore très largement fondé sur l’illusion de la rationalité des choix des personnes et qui prévoit des sanctions dérisoires face à des géants, est impuissant. Face à ce constat, elle préconise de s’inspirer des méthodes de l’industrie automobile ou pharmaceutique qui ne mettent pas de produits sur le marché avant de les avoir testés. Elle milite pour l’imposition d’un scan de vérification, de sécurité humaine, avant la mise en ligne de nouveaux services digitaux afin de s'assurer de l'absence de design prédateur.

Sylvie Rozenfeld : Marie Potel-Saville, vous êtes fondatrice et CEO de Fair Patterns, membre du Support Pool of Experts on Dark Patterns du Comité Européen de Protection des Données. Mais vous avez commencé votre carrière comme avocate. Vous avez collaboré à des cabinets internationaux comme Freshfields Bruckhaus Deringer ou Allen & Overy où vous étiez spécialisée en droit de la concurrence, et vous avez également été directrice juridique EMEA chez Chanel et Estée Lauder Companies Europe. Désormais vous intervenez contre les pratiques trompeuses et les designs prédateurs. Qu’entendez-vous par design prédateur ?
Marie Potel-Saville : Il y a deux aspects. Le premier est le fait d’exploiter nos raccourcis mentaux, à savoir les biais cognitifs que nous avons tous, pour nous faire faire des choses que l’on n’aurait pas faites autrement. Par exemple : un bouton pour se désinscrire qui est complètement caché, avec un faible contraste ou quelque chose qu’on ne repère pas naturellement parce qu’on a un biais de saillance. Notre œil est attiré par ce qui se voit le plus, donc un gros bouton vert par exemple et ne pas voir par contraste le petit lien gris. Ces biais sont très faciles à exploiter puisqu’il suffit qu’on nous mette en très gros ce sur quoi on veut nous faire cliquer et en très petit à faible contraste ce sur quoi on ne veut pas que l’on clique. Autre exemple fréquent, les faux compteurs d’urgence ou de rareté. On nous dit qu’il n’y a plus que trois unités ou au contraire qu’il ne reste que 30 minutes pour profiter de cette offre. En général, ces compteurs d’urgence ou de rareté sont faux et ça se voit dans la ligne de code. Mais comme on a un biais d’aversion à la perte, si on pense qu’on risque de perdre, de passer à côté d’une offre, on va la vouloir. On est très facilement manipulable dès lors qu’il y a une fausse urgence ou une fausse rareté. Et puis troisième exemple basique, les écrans de consentement qui vont nous épuiser jusqu’à ce qu’on cède et qu’on donne notre “accord”, alors qu’on n’est d’accord avec rien car on n’a rien lu et que de toute façon ça n’était pas conçu pour être lu. On nous a à l’usure.
Deuxième chose que fait le design prédateur, c’est exploiter les systèmes de récompense du cerveau. Plus la récompense est inattendue, plus on a ce shot de dopamine qui va être libéré, dont on veut toujours plus. Et c’est bien pour ça que les machines à sous sont tellement addictives parce qu’à chaque fois qu’on va appuyer sur le bouton ou tirer le bras de la machine à sous, on ne sait pas si on va gagner ou pas, mais c’est précisément cette incertitude qui fait qu’on continue à jouer. Comme sur vos réseaux sociaux favoris, chaque swipe peut révéler quelque chose d’extraordinaire ou rien du tout, mais comme on ne le sait pas, eh bien, on continue à scroller. Ensuite, il y a des techniques qui exploitent notre sensibilité aux boucles de dopamine, avec par exemple le scroll infini qui supprime les points d’arrêt naturels.
Troisième chose, le pull to refresh, le fait de tirer pour rafraîchir sur les réseaux. Ce geste de haut en bas, c’est presque le miroir exact de ce qu’on fait quand on active le bras d’une machine à sous, du haut vers le bas.
Donc le design prédateur, pour faire quoi ?
Tout simplement pour nous faire acheter des choses, soit qu’on n’avait jamais eu l’intention d’acheter, grâce à de petites cases précochées que l’on ne remarque pas, de rajouter une assurance dans votre panier sans nous en rendre compte ou de nous faire partager plus de données personnelles que ce qu’on aurait fait si on avait compris. Donc là, les formes de manipulation vont être un petit peu plus subtiles, comme la formule « Active ta géolocalisation pour trouver tes amis » sur un réseau social. Ce qu’on ne nous dit pas, c’est que tous les data brokers vont aussi nous trouver, ni ce qu’on va faire avec nos données personnelles. On peut se poser la question de savoir ce qui reste de notre liberté en ligne, de notre capacité à faire de vrais choix libres et éclairés quand nos faiblesses cognitives intrinsèques sont ainsi exploitées par ce phénomène de captologie.
En fait, tout est fait pour attirer notre attention, mais aussi pour l’endormir.
On a beaucoup parlé de l’économie de l’attention, mais en réalité, il s’agit davantage d’une économie de l’inattention (formule trouvée à juste titre par les autrices Maya Bacache-Beauvallet et Françoise Benhamou), c’est-à-dire qu’on va faire en sorte que vous ne vous rendiez pas compte que vous partagez vos données per…
Les doctrines du mois
Demandes d’accès massives aux emails par d’ex-salariés : pistes liées à l’arrêt « Brillen Rottler »
La CJUE a rendu un arrêt le 19 mars 2026 concernant l’interprétation qualitative de la notion de demande d’accès excessive, qui pourrait constituer une piste de réflexion mobilisable dans les situations de demandes d’accès massives aux emails par d’ex-salariés. Il s’agit de démontrer une intention abusive, au moyen d’un faisceau d’indices, tenant notamment à l’objectif poursuivi par le demandeur et à son comportement au cours du traitement de la demande d’accès.
Les capacités offensives émergentes de l’IA autonome : Enjeux techniques et défis juridiques
En juillet 2026, plusieurs modèles d’intelligence artificielle (IA) d’OpenAI1 ont réussi à exploiter des vulnérabilités et à contourner les mécanismes de sécurité, compromettant l’infrastructure de production de Hugging Face lors d’une évaluation du benchmark ExploitGym. L’incident marque un changement de nature de la menace : l’IA ne se contente plus d’assister l’attaquant, elle peut repérer une faille, l’exploiter et enchaîner de manière autonome une suite d’actions offensives2. Ainsi, la frontière entre l’outil et l’acteur s’efface et l’IA s’impose comme moyen offensif autonome capable de conduire une cyberattaque.
e-Evidence : l’exemple de la contrefaçon en ligne
Depuis le 18 août 2026, le règlement e-Evidence ouvre aux autorités pénales un accès direct aux données détenues par les fournisseurs de services. Mais en France, le cadre n’est pas encore opérationnel, faute de transposition de la directive qui oblige tout fournisseur proposant ses services dans l’Union à désigner un « établissement » ou un « représentant légal » pour exécuter les injonctions. Un retard qui prive les titulaires de droits victimes de contrefaçon d’un dispositif pour obtenir les données utiles permettant l’identification du ou des contrefacteurs, détenues par une pluralité d’intermédiaires.
Les DPO face à l’IA : opportunité ou risque ?
Contrairement au RGPD qui impose suivant les cas la désignation d’un délégué à la protection des données (DPO), le règlement européen sur l’intelligence artificielle (RIA) ne prévoit pas une telle fonction pour structurer et suivre la conformité des organisations. Selon une étude récente auprès des DPO, 55 % d’entre eux ont déjà intégré le RIA et une majorité se dit favorable à l’élargissement officiel de leurs missions au RIA. Ce qui pose néanmoins un problème de montée en compétence et d’alourdissement de la charge de travail.
Lignes directrices du CEPD sur la recherche scientifique
Le Comité européen de la protection des données a adopté des lignes directrices sur les traitements de données personnelles dans le cadre de la recherche scientifique. Elles apportent des précisions notamment sur le champ d’application de la notion de recherche scientifique, sur le consentement ou l’information de personnes, tout en fournissant une boîte à outils aux responsables de traitements ainsi qu’aux acteurs de la recherche lors de leur appréciation des finalités de traitements de données dédiés.
L’IA et la décarbonation du secteur aéronautique
L’intelligence artificielle contribue à la décarbonation de l'aviation et l’Europe dispose d’un cadre juridique qui accompagne ce mouvement aux niveaux des opérations aériennes, de la maintenance prédictive, de la conception et de la fabrication, des carburants alternatifs.
Quelle(s) responsabilité(s) pour un agent IA qui dépasse son mandat ?
En plus de déterminer qui est responsable de l’agent, il va falloir démontrer pourquoi et comment celui-ci a dépassé les pouvoirs qui lui avaient été confiés.
Quand le RGPD s’invite dans le vestiaire…
Comme chaque mois, Alexandre Fievée sélectionne une décision sur la protection des données personnelles rendue par une autorité de contrôle ou une juridiction étrangère. Ce mois-ci, il se penche sur la question de savoir si l’enregistrement du contenu d’un casier utilisé par un salarié sur son lieu de travail peut s’analyser comme un traitement de données personnelles soumis au RGPD.
Tous les mois, toute l'actualité du numérique... Et tellement plus !
FORMULES D'ABONNEMENT
