IA et cybersécurité : une feuille de route pour accélérer la cyberrésilience européenne

 

Répondre aux opportunités et aux risques posés par l'essor de l'intelligence artificielle (IA) d'avant-garde dans le domaine cyber.  Voici l’ambition de cette communication de la Commission européenne relative à un « Plan d’action en matière de cybersécurité et d’intelligence artificielle ». L’idée essentielle est que face à une IA d'avant-garde à double tranchant, capable d'automatiser des cyberattaques massives comme de démultiplier la défense, l'Union européenne doit agir vite pour ne pas subir de dépendances critiques. Le plan d'action, qui s'articule autour de trois piliers principaux, complétés par une dimension internationale,  vise à rendre l'IA sûre et accessible, à adapter le cyberécosystème à la vitesse de l'IA (notamment sur la correction des failles et l'open source), et à bâtir une souveraineté technologique européenne par des investissements massifs et le développement des compétences.

 

1. Contexte et enjeux stratégiques

• Une arme à double tranchant : L'IA d'avant-garde permet d'automatiser et de renforcer considérablement la cyberdéfense (détection rapide des menaces, remédiation). Cependant, elle permet aussi aux cybercriminels et acteurs étatiques de mener des cyberattaques plus sophistiquées, automatisées et massives.
• Souveraineté technologique : Comme les modèles de pointe sont majoritairement développés en dehors de l'UE selon des critères parfois opaques, l'Europe doit développer ses propres capacités souveraines pour éviter de nouvelles dépendances stratégiques critiques.
• Socle juridique existant : Le plan s'appuie sur la réglementation déjà adoptée, notamment le règlement sur l'IA, le règlement sur la cyberrésilience, la directive SRI 2 (NIS 2) et le règlement sur la cybersolidarité.

 

2. Les trois piliers du plan d’action

2.1. Pilier 1 : Rendre l’IA d’avant-garde sûre, accessible et déployable

• Évaluation préalable des risques : Dès le 2 août 2026, la Commission exercera ses pouvoirs de surveillance et d'exécution prévus par le règlement sur l'IA pour surveiller les risques systémiques. L'UE prévoit également de créer en 2027 une capacité européenne d'évaluation indépendante pour les modèles d'IA incluant la cybersécurité (Action clé 1).
• Accès structuré aux technologies de pointe : Pour éviter que les entités critiques européennes ne soient exclues des modèles les plus avancés par des fournisseurs tiers, la Commission et l'ENISA définiront d'ici fin 2026 un schéma directeur d'accès structuré et sécurisé (Action clé 2).
• Plateforme de test sécurisée : L'ENISA et le Centre commun de recherche (JRC) mettront en place une plateforme de test pour évaluer les modèles d'IA dans des scénarios opérationnels réalistes et des environnements simulés (« plateformes de simulation cyber ») sans risquer les infrastructures réelles (Action clé 3).

 

2.2. Pilier 2 : Préparer le cyberécosystème de l’UE à l’ère de l’IA

• Application des fondamentaux et hygiène cyber : Accélération de la mise en œuvre de la directive SRI 2, adoption de pratiques de « confiance zéro » et renforcement des défenses en s'appuyant notamment sur des modèles d'IA ouverts et sur la réserve de cybersécurité de l'Union. L'ENISA publiera des orientations dès le troisième trimerstre 2026 (Action clé 4).
• Gestion des vulnérabilités à la vitesse de l'IA : L'IA réduisant le temps nécessaire aux attaquants pour exploiter les failles, l'UE doit moderniser ses outils de signalement et de hiérarchisation des correctifs (comme la base de données EUVD) (Action clé 5).
• Protection des logiciels libres (open source) critiques : Les logiciels libres représentant une part majeure des codes des infrastructures critiques, l'UE lance fin 2026 une campagne pilote de parrainage et un catalogue de services d'IA pour accélérer la correction et la remédiation des failles dans ces composants (Action clé 6).

 

2.3. Pilier 3 : Renforcer les capacités et l’écosystème européens

• Grand défi sur la remédiation assistée par l'IA : Lancement au quatrième trimestre 2026 d'un grand défi de l'Union, associant recherche, industrie et open source, pour automatiser la correction des vulnérabilités et combler le retard des défenseurs face aux attaques (Action clé 7).
• Infrastructures souveraines et investissements massifs : Mobilisation des programmes Horizon Europe, Digital Europe, du Fonds du Conseil européen de l’innovation (CEI), ainsi que des futures gigafabriques d'IA (Action clé 8). Face à des besoins d'investissement estimés à plusieurs centaines de milliards d'euros, la Commission propose la création d'une nouvelle capacité européenne en fonds propres pour les technologies stratégiques.
• Développement des compétences : Formation ciblée des experts en cybersécurité aux outils d'IA via l'Académie européenne des compétences en matière de cybersécurité et mise à jour des référentiels de compétences par l'ENISA (Action clé 9). 

 

3. Procédures d'urgence et achats groupés européens

Pour faire face à une dépendance critique vis-à-vis de fournisseurs tiers, le plan prévoit des mécanismes de secours inédits :

• Plans de continuité et mesures d'urgence : définition d'actions au niveau de l'UE en cas de retrait soudain ou de restriction unilatérale d'accès à un modèle d'IA avancé par un fournisseur privé ou une autorité d'un pays tiers.
• Marchés publics conjoints : recours possible aux instruments financiers de l'UE et à des achats groupés entre États membres pour acquérir collectivement et rapidement des accès à des technologies d'IA d'avant-garde.

 

4. Articulation avec la défense, le double usage et l'OTAN

Le document intègre une forte composante de sécurité nationale et militaire :

• Groupe de travail avec l'AED : création d'une cellule de travail réunissant la Commission, les États membres, l'ENISA et l'Agence européenne de défense (AED) pour encadrer le déploiement de l'IA d'avant-garde dans les systèmes critiques de défense et à double usage.
• Financements ciblés défense / double usage : réorientation de 100 millions d'euros d'investissements du Fonds du Conseil européen de l’innovation (CEI) d'ici fin 2026 vers des start-up et scale-up stratégiques en cyber/IA appliquées à la défense.
• Coopération avec l'OTAN : renforcement des échanges institutionnels, notamment par l'intermédiaire du futur centre d'excellence de l'OTAN pour l'IA.

 

5. Projets européens concrets et initiatives déjà lancés

Le texte mentionne des réalisations et projets opérationnels spécifiques :

• Modèle souverain multilingue (Consortium EUROPA) : sélection du lauréat du grand défi de l'IA d'avant-garde bénéficiant des supercalculateurs d'EuroHPC pour concevoir un modèle ouvert d'avant-garde couvrant les 24 langues officielles de l'Union.
• Initiative RAISE (Resource for AI Science in Europe) : financement d'un réseau européen de laboratoires de pointe dédiés à la recherche en IA.
• Axe bilatéral franco-allemand : collaboration étroite avec la France et l'Allemagne (« initiative européenne sur l’IA d’avant-garde ») pour dynamiser la recherche, attirer les talents et faciliter les essaimages industriels.
• Trois projets phares Horizon Europe (fin 2026) : projets consacrés à la détection, à l'autoréparation des systèmes numériques et à la remédiation automatisée continue par IA générative.

 

6. Pouvoirs coercitifs et sanctions du Bureau de l'IA

Le document rappelle le volet répressif qui s'applique à compter du 2 août 2026 pour faire respecter l'atténuation des risques systémiques :

• Obligation pour les fournisseurs de donner accès à leurs modèles pour des évaluations indépendantes.
• Faculté pour la Commission d'exiger des mesures correctives, de restreindre ou d'ordonner le rappel d'un modèle sur le marché.
• Sanctions financières dissuasives : amendes pouvant atteindre jusqu'à 3 % du chiffre d'affaires mondial annuel.

 

7. développement d’une action à l’international

• Révision des normes internationales de divulgation (ISO/CEI) :  Face à la vitesse de découverte automatisée des vulnérabilités par l'IA, l'UE souhaite vérifier et réviser les politiques de divulgation coordonnée des vulnérabilités (CVD) et réexaminer l'adéquation des normes internationales ISO/CEI qui encadrent actuellement ces signalements.
• Coopération internationale: Concertation avec les partenaires internationaux partageant les mêmes valeurs (notamment au sein du G7, de l'ONU, de l'OTAN et du réseau mondial d'évaluation coordonné avec l'institut britannique AISI) afin d'harmoniser les normes de sécurité et de prévenir l'utilisation malveillante des modèles d'IA.

synthèse par Pierre Berthelet

• Communication élaborant un « Plan d’action en matière de cybersécurité et d’intelligence artificielle »