Le post sur le « piratage » par les entreprises d'IA récolte 205 points et 164 commentaires sur Hacker News

Le post de Mortoray « Why aren't AI companies being charged for hacking? » a recueilli 205 points et 164 commentaires sur Hacker News. La question posée par le titre est simple. Celui qui contourne la protection du serveur d'un tiers risque des poursuites pénales. Des entreprises dont les bots aspirent depuis des années le contenu de sites malgré leurs interdictions, elles, lèvent des fonds sans encombre. Précision : notre flux ne contient que le titre, le lien et les métriques de la discussion ; nous ne résumons donc pas les arguments de l'auteur. Voici le contexte juridique et pratique de la question elle-même.

Pourquoi la loi sur le piratage ne s'applique pas

L'outil américain principal en la matière, le Computer Fraud and Abuse Act de 1986, est restreint depuis longtemps par la jurisprudence. Dans l'affaire Van Buren v. United States (2021), la Cour suprême a limité la notion de « dépassement d'accès autorisé » et instauré de fait une logique de « portail ouvert ou fermé ». Si une page est accessible à tout visiteur sans mot de passe, il est difficile de qualifier sa récupération de piratage. La cour d'appel du neuvième circuit a confirmé cette ligne dans l'affaire hiQ contre LinkedIn : le scraping de profils publics ne viole probablement pas le CFAA. hiQ a perdu par la suite, mais sur un fondement contractuel, pour violation des conditions d'utilisation.

Le cas de robots.txt est plus faible encore. Le protocole d'exclusion a été standardisé en 2022 sous la référence RFC 9309, mais il reste un arrangement entre acteurs de bonne foi. Le fichier lui-même n'a aucune force juridique. Un bot qui l'ignore enfreint l'étiquette, pas la loi.

Où se jouent réellement les litiges

Significatif : les poursuites contre les entreprises d'IA reposent sur d'autres fondements :

• New York Times contre OpenAI et Microsoft (décembre 2023) : droit d'auteur.
• Bartz contre Anthropic : règlement amiable de 1,5 milliard de dollars en 2025, la plainte portant sur des copies pirates de livres.
• Reddit contre Anthropic (juin 2025) : violation des conditions d'utilisation, et non piratage.
• Cloudflare a accusé Perplexity en août 2025 de contourner les interdictions en changeant de user-agent. Perplexity l'a nié.
• Depuis juillet 2025, Cloudflare bloque par défaut les crawlers d'IA pour les nouveaux domaines et teste un modèle pay-per-crawl.

Autrement dit, les juristes contournent le CFAA. Le copyright et les contrats offrent un résultat plus prévisible, et sur la question « est-ce du piratage ? », les tribunaux ne tranchent pour l'instant pas en faveur des plaignants. C'est précisément le principal grief de la communauté : la réalité technique, où un site a dit explicitement « non » et où le bot revient quand même, ne coïncide pas avec la réalité juridique.

Que faire dès maintenant lorsqu'on possède un site

Attendre un changement de la loi n'a aucun sens : la protection est aujourd'hui technique et documentaire.

1. Conservez les logs de requêtes et analysez le comportement des bots : fréquence, plages d'IP et ASN, écart entre le user-agent déclaré et le trafic réel. 2.

Activez le rate limiting et des règles WAF au niveau du CDN. De nombreux fournisseurs proposent des listes prêtes à l'emploi de crawlers d'IA connus. 3.

Inscrivez l'interdiction de la collecte automatisée de données dans les conditions d'utilisation. Les actions en justice qui aboutissent reposent justement sur des violations contractuelles, comme dans l'affaire hiQ. 4.

Maintenez robots.txt à jour, mais ne comptez pas dessus comme protection. Pour le contenu de valeur, utilisez l'authentification ou l'accès payant.

5. Conservez les preuves du contournement des interdictions, notamment les changements d'en-têtes et la rotation d'adresses. Si l'affaire arrive devant un tribunal, c'est le socle de votre position.

Cet article ne constitue pas un conseil juridique, et la pratique du droit varie selon les juridictions. Néanmoins, la discussion sur Hacker News montre que le problème a depuis longtemps dépassé la querelle de blogueurs et qu'il est débattu dans l'industrie à un niveau où on ne peut plus l'ignorer.