Plan d'action cybersécurité et IA de l'UE : l'évaluation avant mise sur le marché atteint les modèles de frontière

De quoi s’agit-il ?

Le 7 juillet 2026, la Commission européenne a présenté son plan d’action sur la cybersécurité et l’intelligence artificielle. Ce plan fait ce que le texte de l’AI Act ne faisait pas à lui seul : il amorce la construction de la capacité technique dont l’UE a besoin pour réellement tester les systèmes d’IA avancés, plutôt que de s’en remettre à la documentation fournie par les éditeurs. Il s’organise autour de trois objectifs : promouvoir un usage sûr et responsable de l’IA avancée, renforcer la cybersécurité et la résilience de l’UE, et développer les capacités européennes d’IA au service de la cyberdéfense.

Le même jour, l’ENISA a publié un rapport complémentaire, « ENISA’s view on Cybersecurity in the Frontier AI Era », un premier jeu de recommandations destinées aux autorités nationales et aux défenseurs face à des menaces « à la vitesse machine », explicitement aligné sur le plan de la Commission. Ensemble, ils indiquent que l’UE traite l’évaluation des modèles de frontière comme une infrastructure à bâtir, et non comme une case à cocher.

Ce que le plan fait concrètement

La mesure la plus lourde de conséquences pour quiconque déploie de grands modèles est l’engagement à renforcer la capacité de l’Europe à évaluer les modèles d’IA avant leur mise sur le marché de l’UE, conformément à l’AI Act. En pratique, cela pointe vers une fonction d’évaluation indépendante, par un tiers, venant appuyer le rôle d’application du Bureau européen de l’IA (AI Office) — une rupture avec l’auto-évaluation comme voie d’accès au marché par défaut. La presse (Agence Europe et d’autres) présente cela comme une proposition de la Commission de se doter de sa propre capacité d’évaluation des modèles, l’échéance opérationnelle souvent citée étant 2027 ; le calendrier et le périmètre seront fixés par les orientations ultérieures de l’AI Office, et non par le plan lui-même.

À côté de l’évaluation, la Commission s’engage à travailler avec l’ENISA sur un « Blueprint européen » pour un accès sécurisé aux systèmes d’IA avancés à des fins de cybersécurité, et à construire une plateforme de test sécurisée pour que les organisations des secteurs critiques — énergie, transports, santé, finance et administration publique — puissent expérimenter et déployer l’IA en toute sécurité. Le plan s’appuie aussi sur le droit existant (directive NIS2 et Cyber Resilience Act), encourage les défenseurs à utiliser l’IA, y compris des modèles open source, pour détecter et corriger plus vite les vulnérabilités, et lance un « EU Grand Challenge » sur l’IA pour la cybersécurité.

Pourquoi c’est important

L’AI Act a créé des obligations ; ce plan porte sur la capacité à les vérifier à la frontière. Sans organe indépendant capable de mener des évaluations techniques, les règles sur les modèles les plus performants reposent largement sur des preuves fournies par les éditeurs. Une fonction crédible d’évaluation avant mise sur le marché change la donne pour tout fournisseur visant l’accès au marché européen : l’évaluation par un tiers devient une composante de la voie d’accès, et non un audit facultatif.

La question ouverte est de définition. Ce qui compte comme « modèle d’IA avancé » déterminera quels fournisseurs seront soumis à l’évaluation préalable et lesquels relèveront d’un régime plus souple. Ce seuil — attendu dans de futures orientations du Bureau de l’IA — pèse davantage sur la planification de conformité que l’annonce elle-même. La plateforme de test des secteurs critiques et le blueprint de l’ENISA comptent aussi sur le plan opérationnel : c’est là que les conditions d’accès sécurisé et la méthodologie d’évaluation prendront forme sur 2026-2027.

Que faire maintenant

Pour les équipes exposées au marché européen, le plan est un signal de planification plus qu’une obligation immédiate :

• Fournisseurs de modèles de frontière et de GPAI : commencez à rassembler les preuves qu’un évaluateur tiers demanderait — cartes de modèle, évaluations de cyber-risque, dossiers de sûreté — et suivez la façon dont l’AI Office définit le seuil de « modèle avancé » qui déclenche l’évaluation préalable.
• Équipes conformité et gouvernance : surveillez les orientations de l’AI Office, pas seulement le plan, pour savoir quelles catégories de modèles déclenchent l’évaluation ; ce sont elles qui fixeront votre calendrier. Notez la date du 2 août 2026, à laquelle les pouvoirs de sanction sur les GPAI et les obligations de transparence de l’article 50 deviennent applicables.
• Opérateurs de secteurs critiques (énergie, santé, finance, transports, administration) : surveillez les critères d’éligibilité et d’accès à la plateforme de test sécurisée, conçue comme une ressource directe pour vous.
• Défenseurs en général : lisez le rapport de l’ENISA comme une première check-list concrète face aux menaces à la vitesse machine, appelée à être affinée au rythme du plan de la Commission.

Statut

Élément	Valeur
Instrument	Plan d’action UE cybersécurité et IA (non contraignant, opérationnalise l’AI Act)
Publication	2026-07-07 (Commission européenne)
Rapport associé	ENISA, « View on Cybersecurity in the Frontier AI Era » (2026-07-07)
Mesures clés	Capacité d’évaluation avant mise sur le marché ; « Blueprint européen » ENISA pour un accès sécurisé ; plateforme de test des secteurs critiques ; EU Grand Challenge
Cible capacité d’évaluation	~2027 (selon la presse ; à confirmer par l’AI Office)
Échéance liée	2026-08-02 — pouvoirs de sanction GPAI et obligations de transparence (art. 50) applicables
Cadre juridique	AI Act, directive NIS2, Cyber Resilience Act, DORA, Cyber Solidarity Act

Dates clés : 7 juillet 2026 — publication du plan d’action et du rapport ENISA. 2 août 2026 — les obligations GPAI et de transparence deviennent applicables. ~2027 — capacité d’évaluation des modèles de l’UE visée comme opérationnelle (à confirmer par de futures orientations du Bureau européen de l’IA).