Muse de Meta et votre entreprise, ce qui s’est passé en octobre
Muse de Meta a dépassé les 10 millions de téléchargements en 40 jours, selon Sensor Tower. La grande majorité vient des États-Unis. Meta dit que le magasinage est une de ses principales utilisations. Trois nouvelles du mois touchent directement les entreprises.
Un clic sur « Allow always », et l’agent a donné son adresse
Le 21 octobre, CBC a raconté l’histoire d’un Torontois. Il avait demandé à Muse de Meta de gérer ses ventes sur Marketplace. Un acheteur a écrit. L’agent a accepté son prix, lui a donné l’adresse de l’homme et lui a dit de venir tout de suite. L’homme n’était au courant de rien. Il n’était même pas chez lui.
Il avait cliqué « Allow always » (toujours autoriser) au lieu de « Allow one time » (une seule fois). Selon lui, ce clic a permis à l’agent d’envoyer des messages en son nom, avec l’adresse de cueillette dedans. Meta dit avoir confirmé avec lui qu’aucun contrôle de confidentialité n’a été contourné. C’est justement le problème. L’agent a fait ce que le clic permettait.
Des liens de partage qui ont exposé des dossiers d’entreprise
Le 20 octobre, Ars Technica a rapporté que la firme de sécurité Claroc avait trouvé 6 800 liens de partage de Muse de Meta. Le titre de chaque conversation apparaissait dans l’adresse web, et des registres publics gardaient ces adresses. Dans les conversations ouvertes, les chercheurs ont vu la demande de prêt d’un propriétaire de petite entreprise, la revue des revenus d’une firme de marketing et le calendrier de vacances d’une équipe au complet. Meta a suspendu le partage pendant qu’elle examine le problème.
Une conversation partagée devient une page web. Si un employé y a mis un dossier client, c’est une question Loi 25. Notre page sur la Loi 25 explique quoi ne pas coller dans un outil d’IA.
Les nouvelles conditions de Meta et votre site web
Meta met à jour ses conditions commerciales. Elles s’appliquent dès que vous utilisez ses produits pour affaires, par exemple pour gérer une Page ou acheter de la pub. Elles entrent en vigueur le 20 novembre 2026. La date prévue était le 30 octobre. Meta l’a repoussée le 23 octobre, après des plaintes d’éditeurs de presse.
Le texte autorise Meta à explorer, copier et analyser les sites web « associés » à vos produits ou services. Il lui permet aussi d’y revenir chercher les mises à jour. Le texte parle de fournir et de « développer » ses produits de publicité et d’affaires.
Après la grogne, Meta a retiré le mot « entraîner » du texte. Des juristes cités par Nieman Lab disent que « développer » reste assez large pour couvrir l’entraînement de l’IA. Meta n’a pas précisé ce que ce retrait change dans les faits.
Il n’y a pas d’option pour refuser. Si vous n’acceptez pas les conditions, Meta vous demande de cesser d’utiliser ses produits pour affaires. Meta dit respecter le fichier robots.txt de votre site. Le texte des conditions, lui, n’en parle pas.
Cinq questions avant de laisser un agent travailler pour vous
Posez-les avant de brancher Muse de Meta, ou n’importe quel autre agent, sur un compte de l’entreprise. Si personne ne sait répondre, l’agent attend.
1. Qu’est-ce qu’il peut lire ?
Un agent lit ce que vous branchez. Meta propose de relier Muse de Meta à des outils comme QuickBooks, Shopify, Slack ou vos comptes Facebook, Instagram et publicitaires. Chaque connexion ouvre une porte de plus. Si la boîte courriel contient des dossiers clients, l’agent les lit aussi.
Pensez aux gens qui vous écrivent. Éric Parent, expert en cybersécurité, le rappelait à CBC. Ils s’attendaient à ce que vous lisiez leur message, pas un agent. Avant de brancher, faites la liste de ce qui entre.
2. Qu’est-ce qu’il peut envoyer ?
Lire et envoyer, ce n’est pas le même risque. Un courriel à un client, un message sur Marketplace, une publication sur votre Page ou un achat, ça sort de chez vous. Meta écrit que rien ne s’envoie sans votre approbation. Pour le Torontois, l’approbation était le clic « Allow always ».
Décidez d’avance ce que l’agent peut envoyer seul. Dans une PME, la bonne réponse de départ est souvent rien. L’agent prépare le brouillon. Une personne l’envoie.
3. Autoriser une fois, pas toujours
« Allow always » veut dire oui pour toutes les prochaines fois, y compris celles que vous n’avez pas prévues. « Allow one time » vous redemande à chaque geste. C’est plus lent, et c’est voulu.
Passez en revue les autorisations déjà données. Meta dit que Muse de Meta garde un historique de tout ce que l’agent a fait. Lisez-le pendant la première semaine.
4. Jamais d’accès bancaire
Ne donnez pas votre code d’accès bancaire à un agent. Le 13 octobre, la banque américaine JPMorgan Chase a confirmé à CNBC qu’elle bloque les tiers qui se connectent aux comptes avec les identifiants d’un client. Sa porte-parole a dit que ce n’est pas sécuritaire.
Lisez les conditions de votre propre banque avant de brancher quoi que ce soit. Gardez la même règle pour la carte de crédit de l’entreprise et le compte de paie.
5. Qui dit oui chez vous ?
Quelqu’un doit décider quels agents entrent dans l’entreprise, et avec quels accès. Sinon, chaque employé décide seul, un soir, sur son cellulaire. Selon une étude du CRIMT et d’IVADO rapportée par Le Devoir, 43 % des Québécois utilisent déjà l’IA au travail.
Nommez une personne. Écrivez la règle sur une page et ajoutez-la à votre politique d’utilisation de l’IA. Si vous n’en avez pas encore, commencez par cette page-là. Pour aller plus loin avec les agents déjà inclus dans Copilot, ChatGPT ou Claude, voyez agents IA, par où commencer dans une PME.
Avant le 20 novembre, votre site et votre Page
Il n’y a rien à décocher chez Meta. Ce que vous contrôlez, c’est votre site et les gens qui gèrent votre Page.
- Regardez ce qui est public sur votre site. Tout ce qu’un visiteur ouvre sans mot de passe, un robot peut le lire. Un vieux PDF, une page oubliée ou un document client dans un dossier public, retirez-le.
- Un fichier robots.txt peut demander aux robots de Meta de ne pas explorer votre site, sans garantie qu’ils obéissent. Si vous les bloquez tous, vos liens perdent leur aperçu sur Facebook. Demandez à la personne qui gère votre site.
- Faites la liste des gens qui gèrent votre Page et vos pubs, agence comprise. Les conditions les visent aussi quand ils agissent pour vous.
- Si un contrat client vous interdit de laisser un tiers lire certains contenus, parlez-en à votre conseiller juridique avant le 20.
Les agents comme Muse de Meta magasinent aussi pour vos clients. Si vos heures, vos services et votre façon de vous joindre sont écrits clairement sur le site, un agent les trouve.
Questions fréquentes
C’est quoi, un agent IA ? En quoi c’est différent de ChatGPT ?
Un agent IA fait des tâches à votre place. Il lit, remplit, envoie ou achète, selon les accès que vous lui donnez. Un robot conversationnel comme ChatGPT répond surtout à vos questions. ChatGPT, Copilot et Claude ont aussi des fonctions d’agent. Plus un outil peut agir seul, plus il faut décider d’avance ce qu’il peut toucher.
Est-ce que Muse de Meta est sécuritaire pour une PME ? Est-ce que c’est gratuit ?
Meta dit que Muse de Meta est gratuit pour l’essentiel, avec des forfaits payants pour en faire plus. La sécurité dépend surtout des accès que vous donnez. En octobre, un agent a donné l’adresse d’un utilisateur après un clic sur « Allow always ». Des liens de partage ont aussi exposé des dossiers d’entreprise. On n’a aucun lien avec Meta. Branchez un compte d’entreprise seulement après les cinq questions plus haut.
Est-ce que je peux laisser un agent IA accéder à mes courriels d’entreprise ?
Seulement si une personne chez vous l’a approuvé, et en sachant ce que la boîte contient. Un agent qui lit vos courriels lit aussi les dossiers clients et les messages des gens qui vous écrivent. Commencez par la lecture seule. Gardez l’envoi pour une personne. Pour les renseignements personnels, voyez les données qu’un agent peut voir.
« Allow one time » ou « Allow always », qu’est-ce que je choisis ?
Choisissez « Allow one time » au début. « Allow always » donne votre accord pour tous les gestes du même genre, même ceux que vous n’avez pas prévus. C’est ce qui est arrivé à l’homme dont l’agent a donné l’adresse sur Marketplace. Une fois que vous connaissez bien l’outil, vous pourrez revoir le réglage, geste par geste.
Est-ce que je peux donner mes accès bancaires à un agent IA ?
Non. Ne donnez jamais votre code d’accès bancaire à un agent. La banque américaine JPMorgan Chase bloque déjà les tiers qui se connectent avec les identifiants d’un client, parce que ce n’est pas sécuritaire. Lisez les conditions de votre propre banque. Gardez aussi la carte de crédit et la paie de l’entreprise hors de portée.
Est-ce que Meta peut utiliser le contenu de mon site web ?
À partir du 20 novembre 2026, les conditions commerciales de Meta l’autorisent à explorer les sites liés à une Page ou à des pubs, pour ses produits de publicité et d’affaires. Meta a retiré le mot « entraîner », mais des juristes disent que « développer » peut le couvrir. Les comptes d’affaires ne peuvent pas refuser ces conditions. Ce n’est pas un avis juridique.
Est-ce que je peux bloquer le robot de Meta avec robots.txt ?
En partie. Meta dit respecter robots.txt, un fichier qui demande aux robots de ne pas explorer votre site, sans garantie qu’ils obéissent. Si vous les bloquez tous, vos liens perdent leur aperçu sur Facebook. Demandez à la personne qui gère votre site.