Bruxelles dévoile son plan d'action IA pour la cybersécurité

Bruxelles a choisi la voie de la mise en œuvre plutôt que celle d'une loi supplémentaire. Le 7 juillet, la Commission européenne a présenté son plan d'action sur la cybersécurité et l'IA, selon l'annonce officielle de la Commission, un texte qui n'est pas accompagné de nouvelle législation et qui s'adosse à l'AI Act, au Cyber Resilience Act, à la directive NIS2 et au Cyber Solidarity Act déjà en place.

L'axe le plus concret est l'évaluation. La Commission veut renforcer la capacité européenne à évaluer les modèles IA avancés avant leur mise sur le marché de l'Union, en appui du travail réglementaire de l'AI Office. En parallèle, elle travaillera avec l'ENISA, l'agence européenne pour la cybersécurité, à un « European Blueprint » qui doit organiser l'accès des organisations publiques et privées aux systèmes IA de pointe « en toute sécurité » et « sans retard indu ». ENISA et le Joint Research Centre doivent livrer, d'ici le quatrième trimestre 2026, une plateforme européenne d'essai sécurisée destinée à évaluer les modèles IA aux capacités cyber avancées, au bénéfice des opérateurs des secteurs critiques comme l'énergie, les transports, la santé, la finance et l'administration publique.

Le volet capacité industrielle s'appuie sur les briques existantes : AI Factories, futures Gigafactories, capital de la Tech Sovereignty Package, et un « EU Grand Challenge on AI for Cybersecurity » qui doit réunir entreprises, chercheurs et organisations autour de solutions européennes. « AI is transforming the meaning of cybersecurity. And we must keep pace », a déclaré Henna Virkkunen, vice-présidente exécutive chargée de la souveraineté technologique, de la sécurité et de la démocratie, citée par Euronews, qui souligne aussi la dépendance persistante de l'Europe aux modèles américains.

Le caveat honnête, c'est que la capacité d'évaluation, le blueprint d'accès et la plateforme d'essai sont pour l'instant des annonces avec une échéance de fin 2026. Le texte ne précise pas le budget mis en face, ni qui arbitrera l'accès aux modèles frontière quand la demande des opérateurs critiques dépassera la capacité disponible. Le plan reconnaît la question de la souveraineté sur les modèles avancés mais ne prétend pas la résoudre à ce stade.

Pour un responsable de la sécurité d'une infrastructure critique européenne, le signal utile est le calendrier : d'ici la fin de l'année, un canal européen d'accès aux capacités IA de pointe et un banc d'essai sécurisé sont censés exister, et les fournisseurs européens de cybersécurité ont pour la première fois un débouché de commande publique clair à viser avec le Grand Challenge.