L’UE dévoile un plan d’action pour la cybersécurité de l’IA, mais se contente principalement de recommandations, Bruxelles s’appuyant sur un accès négocié à des modèles d’IA américains comme Mythos d’Anthropic, révélant ainsi sa dépendance technologique.
La Commission européenne a présenté son plan pour lutter contre les risques de cybersécurité posés par l’IA de pointe, mais Bruxelles n’a guère plus à offrir que des recommandations et une tentative de négocier un accès anticipé avec les entreprises américaines spécialisées dans l’IA.
L’intelligence artificielle redéfinit le paysage des cybermenaces, permettant aux acteurs malveillants de mener des opérations moins coûteuses, plus évolutives et plus sophistiquées.
Dans ce que les critiques considèrent comme un réflexe typique de l’UE consistant à générer de la paperasserie plutôt qu’à résoudre des problèmes complexes, la Commission a élaboré un plan d’action — un assemblage disparate d’outils réglementaires existants et de nouvelles initiatives, le tout formant une réponse supposément cohérente.
« Ces modèles d’IA avancés peuvent désormais concevoir des failles de sécurité en quelques minutes ou quelques heures, à un coût bien inférieur à celui de la découverte de vulnérabilités par des humains qualifiés. Une fois exploitées, ces vulnérabilités mettent en péril la sécurité de nos infrastructures et de notre société », a déclaré Henna Virkkunen, commissaire européenne au numérique, au Parlement européen mardi, lors de la présentation de cette initiative.
Le modèle d’IA le plus puissant d’Anthropic, Mythos, a été capable d’identifier en quelques heures des vulnérabilités exploitables pour pirater des systèmes informatiques hautement sensibles du gouvernement américain, ont déclaré les agences de sécurité américaines le mois dernier .
Ces capacités sans précédent, et les conséquences potentiellement catastrophiques si elles tombaient entre de mauvaises mains, ont incité Washington à imposer des restrictions à l’exportation sur les modèles avancés d’Anthropic. Ces restrictions ont depuis été levées par le département du Commerce américain, rétablissant ainsi l’accès mondial à ces modèles.
Les autorités européennes et l’agence de cybersécurité de l’UE, l’ENISA, ont obtenu un accès restreint à Mythos via le projet Glasswing d’Anthropic, suite à un intense lobbying de Bruxelles.
Ce plan prévoit un modèle européen pour un accès structuré aux capacités d’IA avancées en matière de cybersécurité, aidant ainsi les autorités publiques et les entreprises privées à accéder à ces modèles.
Pour la Commission, le processus d’octroi à un nombre restreint d’organisations d’un accès initial aux tests manque souvent de transparence – d’où ce plan directeur, destiné à clarifier comment les acteurs européens peuvent se procurer une IA dotée de capacités cybernétiques avancées.
Dans le même temps, cette initiative met en lumière la dépendance de l’UE dans ce domaine : Bruxelles se retrouve réduite à négocier l’accès avec les États-Unis, où se concentre la majeure partie de l’innovation.
« Notre dépendance ne porte pas principalement sur les modèles d’IA, mais sur l’infrastructure dont ils dépendent. L’Europe dispose d’une recherche solide en IA, mais trop peu d’entreprises opèrent à la pointe de ce domaine », a déclaré l’eurodéputée Aura Salla (Finlande/PPE) lors du débat en séance plénière.
La Commission indique que son bureau de l’IA travaillera avec des évaluateurs de modèles spécialisés afin d’évaluer et d’atténuer les risques posés par les modèles d’IA les plus avancés avant leur mise sur le marché de l’UE, conformément à la loi phare de l’Union européenne sur l’IA.
L’applicabilité de ces règles avant la commercialisation reste toutefois sujette à controverse parmi les entreprises technologiques. Jusqu’à présent, les principaux laboratoires d’IA, tels qu’OpenAI et Anthropic, ont privilégié l’évaluation de leurs modèles par l’Institut britannique de sécurité de l’IA (AI Security Institute), celui-ci ne disposant d’aucun pouvoir réglementaire.
Le plan énonce également des orientations sur la manière dont les entreprises peuvent se défendre contre les cybermenaces alimentées par l’IA, accélérer la correction des vulnérabilités exploitables et comprend une évaluation du niveau de préparation des infrastructures critiques face aux cyberattaques potentielles.
« Les choses ont changé. Vos logiciels et systèmes informatiques seront testés par des pirates informatiques, à l’aide des modèles d’IA les plus récents. Ces pirates agiront à la vitesse de la lumière et tenteront de vous mettre hors d’activité », a déclaré Bart Groothuis (Pays-Bas/Renew).
