Plan de quinze pages, accès aux modèles d’IA, retrait de services, ce que Bruxelles prépare face aux géants étrangers

La Commission européenne a présenté un plan d’action de quinze pages consacré au lien entre cybersécurité et intelligence artificielle. Le document, publié dans un contexte de tensions numériques persistantes, pointe une dépendance jugée préoccupante aux fournisseurs d’IA situés hors d’Europe. Bruxelles veut organiser l’accès des administrations, agences de sécurité et opérateurs critiques aux modèles les plus avancés, tout en préparant des scénarios de restriction ou de retrait de services.

Bruxelles confie à l’Enisa un plan directeur IA

Le texte publié par la Commission européenne se veut d’abord opérationnel. Il demande à l’agence européenne chargée de la cybersécurité, Enisa, d’élaborer un plan directeur pour encadrer l’accès des organisations européennes aux outils d’intelligence artificielle. L’objectif est de définir des procédures communes, capables d’éviter que chaque État membre négocie seul avec des fournisseurs qui contrôlent déjà une part majeure des capacités disponibles.

Ce cadrage vise les administrations, les autorités compétentes et les opérateurs d’infrastructures critiques. Ces acteurs utilisent déjà l’automatisation pour analyser des journaux techniques, détecter des comportements suspects ou produire des rapports d’incident. L’arrivée de modèles plus puissants donne accès à des fonctions plus rapides, mais accroît la dépendance contractuelle et technique. Bruxelles reconnaît que l’accès aux IA de pointe est de plus en plus décidé hors du continent, ce qui limite la marge d’action européenne lors d’une crise.

Le plan de quinze pages évoque aussi l’hypothèse d’un financement collectif. Si un modèle avancé devient nécessaire pour protéger des réseaux sensibles, plusieurs entités publiques ou privées pourraient obtenir un accès groupé. Cette logique réduirait les coûts, mais poserait des questions de gouvernance, de confidentialité et de contrôle des données. Les autorités devront déterminer qui valide les usages, qui supporte la dépense et comment empêcher la circulation d’informations sensibles dans des environnements mal maîtrisés.

L’Enisa devra aussi anticiper les restrictions soudaines. Un fournisseur peut modifier ses conditions d’utilisation, retirer une fonctionnalité, limiter certains usages cyber ou suspendre un accès pour des raisons commerciales, juridiques ou géopolitiques. Pour les services de sécurité informatique, une telle rupture peut ralentir l’analyse d’une attaque en cours. Le plan directeur doit donc prévoir des solutions de remplacement, des procédures de bascule et des critères permettant d’évaluer la fiabilité des prestataires non-européens.

La France relie espionnage russe et résilience numérique

La publication du plan intervient alors que la diplomatie française a de nouveau mis en cause l’espionnage cyber russe à la veille du 14-Juillet. Cette prise de parole illustre la pression exercée sur les États européens, confrontés à des campagnes d’intrusion, de collecte d’information et de déstabilisation numérique. Les attaques ne visent pas seulement les ministères. Elles touchent aussi les sous-traitants, les collectivités, les fournisseurs d’énergie et les acteurs du transport.

Dans ce contexte, l’intelligence artificielle est perçue comme un outil de défense, mais aussi comme un accélérateur pour les attaquants. Les groupes hostiles peuvent s’en servir pour améliorer des messages de hameçonnage, automatiser la recherche de vulnérabilités ou adapter leurs codes malveillants. Les défenseurs, de leur côté, espèrent gagner du temps dans le tri des alertes. Un centre opérationnel de sécurité reçoit parfois des milliers de signaux par jour, dont une partie seulement correspond à une menace réelle.

La résilience numérique devient le mot-clé de cette stratégie. Pour Bruxelles, il ne suffit plus de renforcer les pare-feu ou d’imposer des audits. Les institutions veulent savoir si les acteurs critiques peuvent continuer à fonctionner quand un service d’IA disparaît, quand un fournisseur étranger change ses règles ou quand une attaque vise précisément les outils utilisés pour détecter les intrusions. Cette approche élargit le champ classique de la cybersécurité.

Les infrastructures critiques concentrent une grande partie des inquiétudes. Réseaux électriques, hôpitaux, systèmes de paiement et plateformes logistiques dépendent de chaînes numériques complexes. Une IA de supervision peut aider à repérer une anomalie, mais elle peut aussi devenir un point de fragilité si son fonctionnement n’est pas compris par les équipes internes. Le plan européen pousse donc les organisations à documenter leurs usages, tester des solutions alternatives et vérifier que les décisions automatisées restent contrôlables par des experts humains.

L’accès aux modèles américains devient un risque opérationnel

Le principal constat de Bruxelles tient à la concentration du marché. Les modèles les plus performants sont majoritairement développés par de grands fournisseurs américains, avec une concurrence chinoise sur plusieurs segments. Cette situation ne bloque pas l’usage européen, mais elle place les administrations et les entreprises dans une relation de dépendance. Les conditions d’accès, les tarifs, les limites fonctionnelles et les priorités de développement échappent largement aux décideurs de l’Union.

Le sujet est particulièrement sensible pour les usages cyber. Une autorité nationale peut avoir besoin d’un modèle avancé pour analyser un logiciel suspect, résumer des éléments techniques ou repérer des liens entre plusieurs campagnes d’attaque. Si cet accès dépend d’un prestataire étranger, la question porte sur la disponibilité du service et sur la protection des données transmises. Même avec des garanties contractuelles, les acteurs publics hésitent à exposer des informations liées à une enquête, à un incident ou à un système stratégique.

Le plan européen cite l’idée d’un accès de groupe aux capacités nécessaires. Cette solution donnerait un levier financier aux acteurs européens et renforcerait leur position dans les négociations. Elle impose néanmoins une coordination difficile entre États membres, agences et opérateurs privés. Un hôpital, une autorité de régulation et un groupe énergétique n’ont pas les mêmes contraintes de confidentialité. Le futur cadre devra donc distinguer les usages de veille, d’analyse technique, de réponse à incident et de formation.

Les discussions autour de Google DeepMind, d’OpenAI ou d’autres fournisseurs montrent aussi que la gouvernance de l’IA de pointe devient un enjeu diplomatique. Le patron de Google DeepMind défend l’idée d’un organisme d’autorégulation mené par les États-Unis pour les technologies les plus avancées. Vu de Bruxelles, cette proposition confirme l’urgence de construire une position européenne. Sans capacité d’évaluation indépendante, l’Union risque de subir les standards définis ailleurs, y compris lorsque ses propres services publics utilisent ces outils pour protéger des réseaux sensibles.

Scaleway, Qarnot et l’enjeu industriel de l’UE

La réponse européenne ne peut pas se limiter à l’achat de licences. Elle suppose aussi des capacités de calcul, des centres de données, des spécialistes en sécurité et des fournisseurs capables d’héberger des usages sensibles. L’acquisition de Qarnot par Scaleway, présentée au nom de l’indépendance technologique de l’Union, illustre cette dynamique industrielle. Le signal reste limité à l’échelle du marché mondial, mais il montre que les acteurs européens cherchent à renforcer leur présence sur la chaîne de valeur.

Le défi tient au coût. Les modèles avancés exigent des processeurs spécialisés, une alimentation électrique stable, des équipes de recherche et une capacité commerciale internationale. Les États membres peuvent soutenir des projets, mais la compétition se joue face à des groupes disposant de moyens financiers considérables. Dans la cybersécurité, cette différence se traduit par une question simple: les outils européens pourront-ils traiter assez vite les données nécessaires lors d’une attaque majeure?

Bruxelles dispose déjà d’un arsenal réglementaire avec NIS2, l’AI Act et le Cyber Resilience Act. Le nouveau plan doit s’articuler avec ces textes sans créer une couche administrative supplémentaire pour les entreprises. Les responsables sécurité attendent des consignes exploitables: critères pour choisir un modèle, exigences de journalisation, règles de conservation des données, tests de robustesse et procédure à suivre si un fournisseur suspend une fonction critique.

Le calendrier de mise en œuvre sera déterminant. L’Enisa devra transformer des orientations politiques en procédures techniques utilisables par les États membres et les opérateurs. Les prochains mois devraient préciser les modalités d’accès groupé, les scénarios de retrait de service et les exigences applicables aux fournisseurs d’IA. Pour les équipes de cybersécurité, l’enjeu immédiat consiste déjà à cartographier les outils utilisés, identifier les dépendances externes et préparer des solutions de continuité avant la prochaine crise numérique majeure.