La Commission européenne devrait présenter, mardi 7 juillet, un nouveau 'Plan d'action sur l'intelligence artificielle et la cybersécurité' visant à doter l’UE d’une capacité propre d'évaluation des modèles d'intelligence artificielle, y compris sous l'angle de la cybersécurité, et à accélérer le développement des solutions européennes de cybersécurité fondées sur l'IA. Cette initiative fait suite aux révélations selon lesquelles le modèle Mythos de la société Anthropic est capable de détecter des vulnérabilités logicielles dissimulées, faisant craindre son utilisation comme cyberarme, ainsi qu'à la décision des États-Unis de restreindre l'accès à ce modèle aux utilisateurs non américains.
« Les capacités d''IA de frontière' sont principalement développées en dehors de l'Union européenne et leur disponibilité dépend souvent de processus étrangers peu transparents. La connaissance de ces capacités et l'accès à celles-ci constituent dès lors un enjeu non seulement de résilience numérique, mais aussi de souveraineté technologique européenne. Pour préserver cette souveraineté, l'Union doit veiller à ce que le déploiement de capacités avancées de cybersécurité fondées sur l'IA ne crée pas de nouvelles dépendances stratégiques », indique un projet de plan d'action consulté par Agence Europe.
Le document s'articule autour de trois priorités : rendre l''IA de frontière' sûre, accessible et déployable au service de la cybersécurité européenne ; préparer l'écosystème européen de cybersécurité à l'ère de l'intelligence artificielle ; renforcer les capacités européennes en matière d'IA appliquée à la cybersécurité.
Une capacité européenne d'évaluation des modèles d'IA. La Commission propose, en premier lieu, de créer en 2027 une capacité européenne d'évaluation des modèles d'IA. L'objectif est de permettre à l'Union « d'évaluer les modèles d''IA de frontière' avant leur mise sur le marché, y compris sous l'angle de la cybersécurité ». Cette capacité soutiendrait les activités réglementaires du Bureau européen de l'IA (AI Office), en offrant « une solution européenne pour les évaluations réalisées par des tiers concernant les modèles d'IA et les mesures d'atténuation qui leur sont associées ». À cette fin, la Commission proposera des critères applicables aux évaluateurs indépendants.
Un cadre européen pour l'accès structuré aux capacités avancées d'IA à des fins de cybersécurité. D'ici au quatrième trimestre 2026, et en coopération avec l'Agence de l'Union européenne pour la cybersécurité (ENISA), la Commission élaborera un cadre européen (European Blueprint) destiné à organiser l'accès aux capacités avancées d'IA à des fins de cybersécurité afin que les organisations européennes puissent y accéder « en toute sécurité » et « sans retard indu ». Cette initiative intervient à la suite des restrictions imposées par les États-Unis concernant l'accès aux modèles Mythos et Fable d'Anthropic, puis, plus récemment, au modèle GPT-5.6 d'OpenAI.
Ces orientations préciseront les critères devant être pris en compte pour accorder l'accès à des modèles d'IA disposant de capacités cyber avancées aux différentes catégories d'organisations européennes - institutions de l'Union, autorités nationales, opérateurs d'infrastructures critiques, prestataires de cybersécurité et organismes de recherche. Ce cadre devrait comprendre aussi des mesures de contingence applicables en cas de restriction ou de retrait d'accès à un modèle avancé par son fournisseur ou par les autorités d'un pays tiers. Si un accès à un modèle d''IA de frontière' s'avérait nécessaire à des fins d'intérêt général, la Commission, en coopération avec les États membres, examinerait la possibilité de recourir aux instruments financiers existants, y compris à des procédures d'achats conjoints afin d'obtenir collectivement l'accès à ces modèles.
Une plateforme européenne sécurisée de test des modèles d'IA avancés. L'ENISA et le Centre commun de recherche (JRC) de la Commission développeront, au quatrième trimestre 2026, une plateforme européenne sécurisée de test destinée à évaluer les modèles d'IA dotés de capacités cyber avancées dans des cas d'usage liés à la cybersécurité afin d'accélérer leur déploiement dans des conditions de sécurité optimales.
Accélérer la préparation des secteurs critiques et des PME face aux cybermenaces alimentées par l'IA. Dans le cadre du deuxième pilier du plan, l'Union entend accélérer les mesures destinées à renforcer la résilience des entreprises face aux cyberattaques exploitant l'intelligence artificielle. Elle encouragera le recours à « l'ensemble des capacités d'IA disponibles » afin de renforcer la cybersécurité des organisations et de corriger les vulnérabilités les plus critiques.
À partir du troisième trimestre 2026, l'ENISA publiera, en coopération avec les autres organismes compétents de l'Union, des orientations, recommandations et bonnes pratiques relatives à la protection contre les menaces fondées sur l'IA et à l'intégration sécurisée de cette technologie dans les opérations de cybersécurité.
Au quatrième trimestre 2026, l'ENISA lancera, avec la Commission, les États membres, les communautés open source et les acteurs industriels, un premier projet-pilote de campagne de résilience des logiciels libres critiques, visant à accélérer la correction des vulnérabilités, notamment grâce à l'IA.
Un 'EU Grand Challenge' pour faire émerger des solutions européennes de cybersécurité fondée sur l'IA. Dans le cadre du paquet législatif sur la souveraineté technologique ('Tech Sovereignty') (EUROPE 13880/1), la Commission a déjà engagé des consultations avec les États membres et le Groupe de la Banque européenne d'investissement sur la création éventuelle d'une nouvelle capacité européenne d'investissement en fonds propres destinée à financer des projets stratégiques, notamment dans le domaine de l''IA de frontière'.
Afin d'accélérer le développement des solutions européennes de cybersécurité fondées sur l'IA, elle lancera, au quatrième trimestre 2026, un EU Grand Challenge, réunissant entreprises européennes spécialisées dans l'IA et la cybersécurité, organismes de recherche, opérateurs d'infrastructures critiques et communautés open source.
Selon le projet de plan, cette initiative permettra de rapprocher recherche et déploiement opérationnel, de tester les solutions prometteuses dans des environnements réalistes et, à terme, de les mettre à la disposition des organisations européennes.
La Commission prévoit également d'ouvrir l'accès à la puissance de calcul des 'fabriques d'IA' (AI Factories) afin de tester, d'entraîner et de déployer des modèles d'IA avancés et 'de frontière' destinés à renforcer la cyberrésilience sur des infrastructures de calcul souveraines.
Enfin, elle travaillera avec les États membres et l'industrie à l'élaboration de modules de formation sur l'utilisation de l'IA en cybersécurité dans le cadre de la Cybersecurity Skills Academy, également à partir du quatrième trimestre 2026.
Renforcer la coopération avec les partenaires partageant les mêmes valeurs. L'Union européenne entend renforcer sa coopération avec les partenaires « partageant les mêmes valeurs », afin de promouvoir « une approche mondiale fiable et sûre de l''IA de frontière' et de la cybersécurité », notamment dans le cadre du G7, mais aussi intensifier ses échanges avec l'OTAN sur les opportunités et les risques liés aux capacités d''IA de frontière' dans le domaine cyber. (Ana Pisonero Hernández)