Emmanuel Macron a consacré hier un conseil de défense entier à l’intelligence artificielle. Pour les entreprises, les obligations de sécurité sont suspendues à une loi de cybersécurité que l’Assemblée nationale n’a toujours pas examinée en séance, près de deux ans après l’échéance fixée par Bruxelles.
Pour l’Élysée, l’intelligence artificielle est un « domaine stratégique qui soulève des enjeux majeurs de sécurité nationale et de souveraineté », à l’égal du spatial et du nucléaire, d’après un communiqué diffusé mercredi matin. Autour du chef de l’État, les participants devaient examiner les risques de cette technologie pour les administrations et les entreprises, puis arrêter les priorités de la France à l’échelle nationale et européenne. Prévue de longue date, la réunion n’avait cependant aucun lien avec le piratage des frigos de centaines de supermarchés dans la nuit du 11 au 12 octobre, d’après Europe 1. Il avait suffi aux pirates d’exploiter des failles documentées dès le mois d’août pour pousser les températures à 50 °C. Après cette attaque, les dirigeants d’entreprise attendent surtout de connaître les règles de sécurité que l’État pourra leur imposer à la suite de ce conseil.
L’IA à la table de la dissuasion et du renseignement
Près d’un mois avant cette réunion, le chef de l’État avait convoqué un conseil de défense consacré aux attaques hybrides attribuées à la Russie. La France a aussi porté en septembre le dossier de l’IA à New York, où elle présidait le Conseil de sécurité de l’ONU. Sous présidence française, ses quinze membres ont entendu le 23 septembre les dirigeants des principaux laboratoires d’IA, dont Sam Altman (OpenAI) et Dario Amodei (Anthropic). Jean-Noël Barrot, ministre de l’Europe et des Affaires étrangères, a alerté à cette occasion sur l’apparition, chez les modèles de pointe, de capacités « qui n’avaient pas été anticipées ».
En réunissant un conseil de défense sur le sujet, Emmanuel Macron a soumis l’IA aux mêmes arbitrages que la dissuasion ou le renseignement. Dans le code de la défense, ce conseil est chargé de définir les orientations de l’État en matière de dissuasion, de renseignement, de sécurité économique ou de réponse aux crises majeures. Il n’est nulle part question d’intelligence artificielle dans cette liste, et c’est au titre de la sécurité nationale que l’Élysée l’a inscrite à l’ordre du jour. Le Premier ministre Sébastien Lecornu et la ministre des Armées Catherine Vautrin étaient annoncés à la table, avec le chef d’état-major des armées, le général Fabien Mandon. Ces réunions sont préparées par le secrétariat général de la défense et de la sécurité nationale (SGDSN), dont dépend l’ANSSI. Cette agence serait aussi chargée de contrôler la cybersécurité de milliers d’entreprises, une fois adoptée la loi attendue depuis 2024.
Les obligations des entreprises suspendues à la loi Résilience
Pour fixer des règles de sécurité aux entreprises, l’État doit passer par le Parlement. Le projet de loi Résilience est la transposition française de la directive européenne NIS2, que les États membres devaient intégrer à leur droit avant le 17 octobre 2024. Faute de texte voté, la Commission européenne a saisi la Cour de justice de l’Union européenne contre la France le 8 juillet. Trois mois plus tard, la conférence des présidents de l’Assemblée nationale a une nouvelle fois retiré le projet de l’ordre du jour, la veille de son examen en séance prévu le 7 octobre. Avec ce texte, quelque 15 000 entités seraient soumises à des obligations de cybersécurité, dans 18 secteurs contre 6 aujourd’hui. Elles devraient donner l’alerte dans les 24 heures en cas d’incident, et les plus critiques risqueraient jusqu’à 10 millions d’euros d’amende ou 2 % de leur chiffre d’affaires mondial. En commission, les députés ont ajouté les éditeurs de logiciels au périmètre, et les entreprises qui développent des outils d’IA pourraient donc être concernées.
