Quand les garde-fous de l'IA désarment nos défenseurs numériques

# Quand les garde-fous de l'IA désarment nos défenseurs numériques

Il y a une ironie cruelle dans la situation que vivent aujourd'hui les équipes de cybersécurité européennes. D'un côté, les attaques se sophistiquent à une vitesse inédite — alimentées, elles, par des modèles de langage sans aucune retenue morale, entraînés dans des juridictions qui se soucient peu de nos chartes éthiques. De l'autre, nos propres défenseurs se heurtent à des LLM bridés, incapables de générer un code malveillant à des fins d'analyse, d'anticiper un vecteur d'attaque ou de simuler le comportement d'un adversaire.

Le paradoxe est brutal : nous avons construit des garde-fous pour protéger les citoyens, et ces mêmes garde-fous protègent désormais les attaquants.

Le problème n'est pas l'éthique. C'est le calibrage.

Soyons précis : personne ne plaide ici pour des IA sans contraintes. L'AI Act européen, entré pleinement en application en 2026, repose sur une logique légitime. Mais dans sa déclinaison opérationnelle, il a produit un effet que ses rédacteurs n'avaient probablement pas anticipé avec suffisamment de sérieux : il traite la cybersécurité offensive — c'est-à-dire le red teaming, la simulation d'intrusion, l'analyse de malwares — avec le même niveau de restriction que des usages réellement dangereux pour la société civile.

Résultat concret : un analyste SOC qui demande à un LLM de décompiler et d'interpréter un ransomware reçoit un refus. Un pentesteur qui veut générer des variantes d'un payload pour tester la robustesse d'un système se voit opposer un mur. Ces situations ne sont pas théoriques. Elles se produisent quotidiennement dans les équipes que je rencontre.

Pendant ce temps, les acteurs américains avancent. Pas nécessairement parce qu'ils sont plus éthiques ou moins régulés — mais parce que leur cadre réglementaire distingue, lui, les usages professionnels défensifs des usages malveillants. Des exemptions existent, des certifications sectorielles permettent d'accéder à des capacités étendues pour les opérateurs de sécurité accrédités. L'Europe, elle, a produit une règle générale là où il aurait fallu une règle graduée.

Une asymétrie qui menace notre autonomie stratégique

Je veux être direct sur ce point : cette situation n'est pas neutre géopolitiquement. Elle crée une dépendance de fait. Les RSSI européens qui ont besoin de capacités IA non bridées pour leur activité défensive se tournent vers des solutions américaines — souvent hébergées hors de l'UE, souvent soumises au Cloud Act. Non par idéologie, mais par nécessité opérationnelle.

C'est ici que le bât blesse vraiment. On ne peut pas plaider pour la souveraineté numérique européenne d'un côté, et de l'autre imposer à nos acteurs locaux un cadre réglementaire qui les rend moins compétitifs que leurs concurrents américains sur leur propre marché domestique.

Des éditeurs comme Tehtris, acteur français de cybersécurité qui développe activement des capacités IA sur ses plateformes de détection, se retrouvent dans une position inconfortable : intégrer des LLM européens bridés qui limitent leurs cas d'usage, ou recourir à des modèles moins contraints dont ils ne maîtrisent ni l'hébergement ni la gouvernance. Ce n'est pas un choix acceptable.

Ce que la réglementation doit corriger — maintenant

Il faut une révision ciblée du cadre d'application de l'AI Act sur le périmètre cybersécurité. Pas une remise en cause du texte dans sa globalité — mais une reconnaissance explicite que la sécurité offensive à finalité défensive est un usage légitime et encadrable.

Concrètement, cela implique trois choses. Premièrement, créer un statut d'opérateur de cybersécurité qualifié, sur le modèle des accréditations déjà existantes dans le secteur (PASSI en France, schémas ENISA au niveau européen), qui ouvre l'accès à des capacités IA étendues dans un cadre auditable. Deuxièmement, mandater l'ENISA pour co-construire avec les éditeurs européens un référentiel d'usage IA en contexte de cyberdéfense — un travail technique, pas un comité de plus. Troisièmement, intégrer ce périmètre dans les discussions NIS2 en cours d'ajustement, pour éviter que deux textes majeurs continuent de se contredire en pratique.

Ce n'est pas une demande de déréglementation. C'est une demande de réglementation intelligente — celle qui distingue le contexte d'usage plutôt que d'appliquer une règle uniforme à des réalités radicalement différentes.

Le temps joue contre nous

Chaque trimestre où ce vide persiste, c'est un trimestre de plus où nos équipes de cyberdéfense travaillent avec des outils moins efficaces que leurs adversaires. C'est un trimestre de plus où les PME et ETI européennes — notre lectorat, nos clients, notre tissu économique — subissent des attaques que nous aurions pu détecter plus tôt, contenir plus vite, analyser plus précisément.

L'Europe a choisi d'être un espace de règles. C'est une force. Mais une règle qui désarme ses propres défenseurs n'est plus une protection — c'est une vulnérabilité.