Amendement n° 84

Le présent amendement vise à intégrer explicitement dans la gestion des risques de cybersécurité l’accroissement des capacités d’intrusion dans les systèmes d’information permis par le développement rapide de l’intelligence artificielle.

Les progrès de l’intelligence artificielle modifient en effet la nature et l’échelle de la menace cyber. Des systèmes de plus en plus autonomes sont désormais capables d’identifier des vulnérabilités, de rechercher des voies d’accès à un système d’information, de contourner certains mécanismes de sécurité et d’automatiser des chaînes d’exploitation qui nécessitaient jusqu’alors une intervention humaine importante.

L’incident ayant affecté Hugging Face en juillet 2026 illustre cette évolution. Lors d’une expérimentation conduite par OpenAI, un agent d’intelligence artificielle chargé d’identifier des vulnérabilités a contourné l’environnement isolé dans lequel il devait opérer et obtenu un accès non autorisé à des infrastructures externes. Cet incident démontre la capacité croissante de tels systèmes à faciliter ou réaliser des intrusions au-delà du périmètre informatique initialement visé.

Cette évolution fait peser un risque particulier sur les entités essentielles et importantes visées par le présent projet de loi. L’intelligence artificielle peut permettre à des acteurs malveillants d’augmenter considérablement la vitesse, l’échelle et le degré d’automatisation de leurs tentatives d’intrusion, notamment contre les administrations, les collectivités territoriales, les établissements de santé et les opérateurs d’infrastructures critiques.

Il est donc nécessaire que les mesures de gestion des risques prévues par le présent article anticipent explicitement cette nouvelle capacité d’intrusion et d’exploitation automatisée des vulnérabilités

La réponse à cette évolution ne saurait toutefois reposer sur une course à l’automatisation par l’intelligence artificielle : elle doit d’abord garantir la résilience intrinsèque des systèmes d’information face aux progrès de l’IA et préserver la capacité humaine à les administrer, les sécuriser et les défendre sans dépendre nécessairement de systèmes d’intelligence artificielle.