De l'IA éthique à l'IA opposable : sécuriser la chaîne d'approvisionnement européenne.

AVIS D’EXPERT

Avec l’entrée en vigueur du Règlement européen sur l’intelligence artificielle (AI Act), de la directive sur la sécurité des réseaux et des systèmes d’information (NIS2), du Cyber Resilience Act (CRA) et de l’initiative d’alignement « Digital Omnibus » à venir, l’Union européenne dépasse désormais la notion d’« IA digne de confiance » pour instaurer des exigences contraignantes et opposables en matière de sécurité technique et d’auditabilité des systèmes d’IA. La souveraineté numérique européenne dépend de plus en plus de l’intégrité, de la traçabilité et du caractère exécutoire des contrôles de sécurité tout au long des chaînes d’approvisionnement de l’IA.  

L’AI Act impose des obligations concrètes aux systèmes à haut risque, notamment en matière de gestion des risques, de gouvernance des données, de traçabilité, de supervision humaine, de documentation technique, de contrôle des accès et de résilience face aux altérations. La directive NIS2 étend les obligations de cybersécurité aux instances dirigeantes, rendant les conseils d’administration et les directions générales directement responsables de la supervision des risques cyber, de la sécurité de la chaîne d’approvisionnement et du dialogue avec les autorités réglementaires. Le Cyber Resilience Act impose une sécurité « by design » et « by default » pour les produits numériques, avec des obligations de gestion des vulnérabilités et de divulgation coordonnée applicables à partir de septembre 2026. Le Data Act complète ce dispositif en encadrant l’accès aux données, leur portabilité et leur interopérabilité entre services et appareils connectés.

Pris ensemble, ces textes constituent une architecture de conformité en couches exigeant une maturité cyber continue et démontrable des systèmes d’IA ainsi que de leurs dépendances amont et aval. Les incidents propres à l’IA, tels que l’empoisonnement de modèles, l’injection de prompts, les fuites de données d’entraînement ou les manipulations adversariales, peuvent constituer un incident de cybersécurité au sens de NIS2, une défaillance d’intégrité du système au regard de l’AI Act ou, lorsqu’il y a des données personnelles en jeu, une violation au sens du RGPD. Ce chevauchement réglementaire introduit des obligations de notification parallèles, potentiellement non harmonisées, auprès des autorités de supervision nationales et européennes.  
Sans gouvernance des identités opposable et visibilité en temps réel des accès, les organisations ne peuvent ni attribuer fiablement les actions, ni contenir une compromission, ni produire des rapports défendables auprès des autorités dans des cadres juridiques multiples. En pratique, l’application des règles se matérialise d’abord via la commande publique. Les acheteurs publics intègrent de plus en plus directement les exigences réglementaires dans les cahiers des charges et accords-cadres. La gouvernance des identités, la gestion des accès à privilèges et l’auditabilité continue deviennent des critères de qualification en amont de l’attribution, et non plus de simples mesures correctives post-incident.  

Les clauses contractuelles incluent désormais fréquemment des droits d’audit étendus sur les journaux d’accès et les configurations, l’obligation de divulguer les incidents liés à la cybersécurité et à l’IA, ainsi que des exigences d’assurance continue plutôt qu’une certification ponctuelle. L’accès au marché européen dépend de plus en plus de la capacité à démontrer des contrôles effectifs et opposables couvrant le développement, l’entraînement, le déploiement et la maintenance continue des systèmes d’IA.


La gouvernance des identités comme plan de contrôle de la conformité IA