6 Mai, 2026
Chrome installe Gemini Nano sur vos postes sans vous le demander
Failles de sécurité , , ,

Google déploie silencieusement un modèle d’IA de 4 Go sur chaque machine qui fait tourner Chrome. Ce n’est pas une mise à jour de sécurité. C’est une prise de contrôle sur le hardware de vos utilisateurs.

Synthèse exécutive :

Chrome télécharge et installe automatiquement le modèle Gemini Nano (environ 4 Go) dans le profil utilisateur, sans consentement, sans notification, et en réinstallant le fichier s’il est supprimé. L’interface « AI Mode » laisse croire que les requêtes sont traitées localement, alors qu’elles transitent en réalité par les serveurs Google.
Pour les DSI, cela représente un déploiement non sollicité de composants IA sur le parc, un risque de conformité RGPD/ePrivacy, et une frontière floue entre mise à jour légitime et installation de fonctionnalité

Ce que fait Chrome

Depuis les dernières versions, Chrome télécharge en arrière-plan un fichier de plusieurs gigaoctets correspondant aux poids du modèle d’IA Gemini Nano, et le place dans le répertoire de profil utilisateur. L’opération se produit sans aucune invite, sans case à cocher, et sans entrée dans les paramètres du navigateur qui permettrait d’y renoncer. Si un administrateur ou un utilisateur supprime le fichier, Chrome le retélécharge automatiquement.

Ce comportement n’est pas un bug : il est délibéré, et le re-téléchargement automatique en est la preuve la plus nette.

La tromperie de l’interface

Chrome 147 introduit un bouton « AI Mode » dans la barre d’adresse. L’interface donne naturellement l’impression que les requêtes sont traitées localement par le modèle installé. C’est faux : chaque requête part vers les serveurs de Google dans le cloud. On a donc affaire à deux problèmes distincts qui se cumulent :
1/ une installation silencieuse,
2/ une UI qui induit en erreur l’utilisateur sur le lieu de traitement de ses données.

En France, l’AI Mode dans Google Search reste pour l’instant bloqué, c’est une des conséquences directes du conflit entre Google et les éditeurs de presse sur les droits voisins, qui a valu à Google une condamnation par l’Autorité de la concurrence. La fonctionnalité n’y est pas disponible, sans date de déploiement officielle annoncée.
Cela ne change pas le fond du problème : le modèle Gemini Nano est installé sur les postes indépendamment de la disponibilité de l’interface. Et Google a annoncé une expansion internationale de l’AI Mode dans le navigateur Chrome lui-même, distincte de Search, pour « bientôt ». Lorsque cette bascule surviendra, les utilisateurs français seront exposés à la même confusion entre traitement local et envoi dans le cloud que leurs homologues américains le sont déjà aujourd’hui.

La question que cela pose au niveau DSI

Au-delà du fichier en lui-même, le fond du sujet est celui-ci : un éditeur de navigateur s’est unilatéralement accordé le droit d’utiliser le hardware des utilisateurs comme couche de déploiement pour l’inférence IA. La ligne entre mise à jour de sécurité (à laquelle on consent implicitement) et déploiement de fonctionnalité (qui requiert un consentement explicite) est ici franchie sans cérémonie.
Les implications réglementaires sont réelles :
– l’Article 5(3) de la directive ePrivacy exige un consentement préalable pour tout stockage sur un terminal ;
– les Articles 5(1) et 25 du RGPD posent des exigences de licéité, de transparence et de privacy by design que cette installation contourne structurellement ;
– dans un environnement soumis à NIS2, le déploiement non maîtrisé d’un composant IA sur le parc est une non-conformité en soi.

Ce qu’il est possible de faire

La suppression manuelle du fichier ne suffit pas : Chrome le réinstalle.

Des solutions existent côté politiques de groupe (GPO) et flags navigateur pour bloquer le téléchargement, désactiver l’AI Mode dans l’omnibox, couper le mécanisme d’optimisation qui déclenche les téléchargements, et désactiver l’ensemble des fonctionnalités IA génératives du navigateur.

Ces paramètres doivent être déployés avant toute tentative de nettoyage des postes existants.

Plus d’infos ?

Nous pouvons vous fournir sur simple demande un ensemble complet de paramètres GPO et de flags Chrome prêts à déployer pour neutraliser ces comportements sur votre parc (postes Windows, macOS et Linux).

Pour ces infos ou pour prendre rendez-vous avec nos experts pour une consultation de sécurité sans engagement :

Plus d’infos ? Des questions ? Contactez-nous !

Partagez cette page via :