Nous devons déclarer nos revenus, justifier notre identité, transmettre notre adresse. Mais lorsque ces informations s’échappent, c’est à nous de surveiller nos comptes et de nous méfier du prochain appel. Dans un entretien pour Surfing Bitcoin, Fabrice Epelboin interroge cette asymétrie : un État qui exige la transparence des citoyens protège-t-il suffisamment les données qu’il leur demande ? Entre dette technique, pouvoir des gestionnaires et arnaques dopées à l’intelligence artificielle, la question dépasse largement l’informatique.
Une fuite de données ressemble rarement à une catastrophe. Aucun bâtiment ne s’écroule. Les guichets peuvent rester ouverts. Un communiqué annonce un incident, puis recommande la vigilance. Pourtant, quelque chose a changé : des informations qui devaient rester dans un dossier administratif peuvent désormais circuler hors de tout contrôle.
Enseignant et entrepreneur du numérique, Fabrice Epelboin développe dans cet échange un diagnostic sévère. Pour lui, les vulnérabilités actuelles résultent aussi de choix anciens : empiler des systèmes, privilégier les fonctionnalités visibles et tenir la compétence technique à distance des lieux de décision. Son propos mêle analyses éclairantes, généralisations contestables et scénarios prospectifs. Il mérite mieux qu’une reprise automatique de ses formules les plus explosives.
Fuites de données : le citoyen ne choisit pas toujours de s’exposer
Une entreprise peut perdre la confiance de ses clients après un piratage. Face à une administration, la relation est différente : on ne choisit pas librement de soustraire sa situation fiscale ou ses démarches obligatoires aux systèmes chargés de les traiter. Cette absence de choix renforce l’exigence de protection.
Les incidents évoqués ne relèvent pas seulement du discours alarmiste. France Titres a annoncé avoir détecté, le 15 avril 2026, un incident de sécurité concernant le portail de l’ANTS, susceptible d’impliquer la divulgation de données de comptes particuliers et professionnels.
Le 18 août 2026, la CNIL a également confirmé avoir été notifiée de violations affectant la DGFiP. Elle mentionnait notamment des informations fiscales et cadastrales : revenu fiscal de référence, quotient familial, adresses et surfaces de biens immobiliers. Selon les informations alors publiées, les identifiants et mots de passe des usagers ne seraient pas concernés.
Ce sont des faits documentés. En revanche, le récit précis des failles, l’âge des attaquants ou les responsabilités individuelles avancés dans l’entretien ne sont pas établis par ces seuls communiqués. Cette distinction compte : une critique solide n’a pas besoin d’ajouter de la certitude là où les preuves manquent.
La dette technique : les économies d’hier deviennent les risques d’aujourd’hui
Epelboin replace le problème dans l’histoire de l’informatisation française. Des organisations anciennes ont ajouté des applications, des connexions et des usages à des infrastructures conçues dans d’autres conditions. Le résultat peut devenir difficile à comprendre, à maintenir et à sécuriser.
C’est ce que recouvre la dette technique : des choix et des travaux reportés qui finissent par coûter plus cher. L’image d’une maison agrandie pendant des décennies est parlante. Chaque pièce remplit sa fonction ; personne ne sait plus exactement où passent toutes les canalisations.
Il faut toutefois éviter un raccourci : un système ancien n’est pas nécessairement vulnérable, et un logiciel neuf n’est pas automatiquement sûr. La maintenance, la maîtrise des accès, l’architecture et les moyens humains comptent autant que l’âge du code.
L’entretien pointe surtout un problème d’arbitrage. Une nouvelle fonctionnalité se présente aisément dans un bilan d’activité. Une catastrophe évitée se montre moins bien. Lorsque la sécurité est traitée comme une dépense sans résultat visible, elle risque de perdre face aux promesses de productivité. Jusqu’au jour où la facture change de colonne.
Qui décide : ceux qui comprennent ou ceux qui valident le budget ?
Le passage le plus politique concerne la place des techniciens. Epelboin décrit un fossé entre les directions et les responsables de la sécurité des systèmes d’information, les RSSI. Dans sa lecture, les hiérarchies sociales et les cultures professionnelles empêchent parfois la connaissance du terrain de peser sur les décisions.
Ses généralisations sur les diplômés des grandes écoles ou sur les agents publics ne constituent pas une enquête sociologique. Les proportions qu’il avance à partir de témoignages ne doivent pas devenir des statistiques. Mais la question qu’il soulève demeure : que vaut une expertise lorsqu’elle peut alerter sans pouvoir infléchir les priorités ?
La sous-traitance pose une question similaire. Elle peut apporter des compétences indispensables. Elle devient problématique lorsqu’une organisation délègue tant de savoir qu’elle ne sait plus évaluer ce qu’elle achète, ni contrôler ce qu’elle exploite. Externaliser une prestation ne devrait pas signifier abandonner la maîtrise du service.
Des fichiers volés aux personnes ciblées
Une adresse isolée ne raconte pas une vie. Croisée avec une situation familiale, une information financière ou un historique de démarches, elle peut devenir beaucoup plus révélatrice. C’est l’un des fils importants de l’entretien : le danger tient aussi au rapprochement d’informations dispersées.
La donnée volée peut alimenter une escroquerie personnalisée. Un interlocuteur qui connaît votre nom, votre adresse et une information fiscale inspire plus facilement confiance qu’un message anonyme. Son apparente familiarité peut devenir un piège.
Epelboin prolonge ce raisonnement jusqu’aux agressions visant des détenteurs de cryptomonnaies. Mais ni le lien entre une fuite administrative précise et un enlèvement donné, ni son affirmation selon laquelle la France serait le pays le moins cher pour organiser ces crimes ne sont démontrés dans l’entretien. Il faut garder ces limites visibles, sans perdre de vue la question centrale : une atteinte numérique peut produire des conséquences bien réelles.
L’IA rend-elle les arnaques plus convaincantes ?
L’intelligence artificielle intervient ici comme un moyen d’adapter un récit, de produire des contenus trompeurs et de rendre une usurpation plus crédible. Le scénario décrit par Epelboin est celui d’une manipulation personnalisée, nourrie d’informations réelles sur la personne visée.
Il imagine notamment un faux proche en visioconférence demandant un virement urgent. Ce scénario prospectif illustre une évolution inquiétante : reconnaître une voix ou un visage pourrait ne plus suffire à authentifier une demande. Cela ne signifie pas que toute conversation peut déjà être imitée parfaitement, ni que toutes les fraudes reposent sur de telles techniques.
Le Panorama de la cybermenace 2025 de l’ANSSI, publié en mars 2026, apporte une nuance utile. Il relève l’intérêt des attaquants pour l’IA, mais ne considère pas pertinent de parler d’un changement de paradigme. Il souligne également l’évolution de l’ingénierie sociale et l’augmentation significative des exfiltrations de données.
Le problème ne tient donc pas seulement à la puissance d’un outil. Il tient à la rencontre entre des informations disponibles, une histoire crédible et un moment de vulnérabilité. La peur, l’urgence et l’affection sont depuis longtemps des ressorts de manipulation ; les outils changent leur portée.
« Personne n’est responsable » : une formule à discuter
Epelboin revient à plusieurs reprises sur l’idée d’une absence de responsabilité dans l’État. Comme jugement sur la dilution des responsabilités ou sur les conséquences professionnelles d’un échec, la formule ouvre un débat. Prise comme une affirmation juridique, elle est trompeuse.
La CNIL rappelle qu’une indemnisation peut être demandée sous certaines conditions : une violation du RGPD, un préjudice réel et un lien de causalité doivent être établis. Lorsque la responsabilité d’une administration est en cause, le contentieux relève du tribunal administratif, selon les règles applicables. La CNIL ne verse pas elle-même de dommages et intérêts.
L’existence de recours ne garantit ni leur simplicité ni leur résultat. Elle interdit cependant de conclure que le citoyen ne dispose d’aucun droit. Pour l’incident de la DGFiP, la CNIL précisait d’ailleurs qu’elle était déjà saisie et qu’une plainte individuelle supplémentaire n’était pas nécessaire, sauf éléments spécifiques utiles aux investigations.
Autre précision institutionnelle : contrairement à l’hypothèse formulée dans l’échange, l’ANSSI n’est pas rattachée au ministère des Armées. Elle constitue un service du Premier ministre placé sous l’autorité du SGDSN.
Moins collecter, mieux protéger : sortir de l’accumulation
La discussion débouche sur une question plus profonde : pourquoi tant conserver ? Pendant des années, la donnée a été présentée comme une richesse à accumuler avant même d’en connaître l’usage. Mais ce qui représente un actif pour une organisation peut devenir un risque pour les personnes concernées.
Une politique numérique devrait pouvoir justifier les informations demandées, leur durée de conservation et les personnes autorisées à y accéder. Il ne s’agit pas de rendre impossible tout service administratif, mais de cesser de considérer l’accumulation comme une vertu en soi.
Epelboin défend la décentralisation et le logiciel libre, tout en reconnaissant qu’ils ne constituent pas une solution universelle. Répartir les données peut limiter certains risques de concentration ; multiplier des systèmes mal entretenus peut en créer d’autres. Le choix d’architecture doit être évalué, pas transformé en slogan.
De même, les sanctions radicales et les scénarios d’effondrement qu’il évoque dans la dernière partie relèvent de ses positions politiques et de la spéculation. Ils ne sont ni des conclusions techniques ni des prévisions établies. On peut exiger des responsabilités effectives, des compétences internes et des moyens durables sans faire de l’arbitraire une méthode de gouvernement.
La confiance numérique ne peut pas reposer sur la seule vigilance des victimes
L’entretien laisse une interrogation essentielle : pourquoi la sécurité finit-elle si souvent par être présentée comme le travail de celui dont les données ont été perdues ? Bien sûr, chacun doit apprendre à vérifier une demande inhabituelle. Mais la prudence individuelle ne répare pas une collecte excessive ou une organisation défaillante.
Pour Mat et le Web, c’est là que se situe l’enjeu politique. La souveraineté numérique ne se mesure pas seulement à l’emplacement des serveurs. Elle se mesure aussi à la capacité de comprendre ses systèmes, de maîtriser ses prestataires et de rendre compte aux personnes dont on détient les informations.
Un citoyen ne devrait pas avoir à devenir expert en cybersécurité pour compenser les faiblesses de services auxquels il ne peut pas se soustraire. Exiger des données crée une obligation de protection. Exiger la confiance crée une obligation de rendre des comptes.
Voir l’entretien et consulter les sources
Cet article est une lecture critique de l’entretien de Fabrice Epelboin diffusé par Surfing Bitcoin, réalisée à partir de la transcription fournie et complétée par les sources institutionnelles liées dans le texte. Les positions de l’invité sont distinguées des faits documentés et de l’analyse éditoriale.
À lire également sur Mat et le Web : IA et emploi : pourquoi se former ne suffira pas à sauver son poste, pour prolonger la réflexion sur la responsabilité collective face aux transformations numériques.
