La Commission européenne a présenté un plan d’action articulant cybersécurité et intelligence artificielle. Il arrive quelques semaines avant l’entrée en application, le 2 août 2026, des obligations de l’AI Act pour les modèles d’IA à usage général avancés.
Évaluer, encadrer, tester
La première brique du plan touche à l’évaluation des modèles eux-mêmes. Un appel à projets doit faire émerger une capacité européenne dédiée, incluant leur volet cybersécurité, avec une mise en service visée pour 2027. Elle s’ajoutera aux missions déjà confiées au Bureau européen de l’IA sur l’examen indépendant des capacités et des risques.
Reste ensuite la question de qui peut accéder à ces modèles les plus avancés, et dans quelles conditions, lorsqu’ils servent à la cybersécurité. C’est le chantier confié à l’ENISA, qui doit construire avec la Commission un cadre de référence pour un accès structuré, pensé aussi bien pour les organisations publiques que privées.
Vient enfin l’épreuve du réel : l’ENISA et le Centre commun de recherche doivent monter une plateforme sécurisée où tester l’IA appliquée à la cybersécurité, dans des environnements simulés. Les secteurs jugés critiques y auront accès en priorité : finance, énergie, santé, transports, administration publique.
Un dispositif qui s’appuie sur l’arsenal réglementaire existant
Le plan s’articule avec plusieurs textes déjà en vigueur ou en cours d’application : l’AI Act et ses obligations d’évaluation pour les modèles avancés, applicables à partir du 2 août 2026, accompagné du code de bonnes pratiques pour les modèles d’IA à usage général ; le Cyber Resilience Act, dont les exigences de sécurité dès la conception s’appliqueront fin 2027 ; NIS2 pour les secteurs critiques ; DORA pour la résilience opérationnelle numérique du secteur financier ; et le règlement sur la cybersolidarité, pour la détection et la réponse aux attaques de grande ampleur.
Le calendrier comme signal ?
La publication de ce plan à moins d’un mois de l’entrée en application des obligations AI Act sur les modèles à usage général avancé place la Commission en position de compléter son dispositif de supervision avant l’échéance : capacité d’évaluation annoncée pour 2027, cadre d’accès aux modèles avancés en cours d’élaboration avec l’ENISA, plateforme de test à venir. Autant de briques présentées comme complémentaires aux obligations qui s’imposeront aux fournisseurs de modèles à partir du 2 août.
