Questions

La question

M. Marc Chavent attire l'attention de Mme la ministre déléguée auprès du ministre de l'économie, des finances et de la souveraineté industrielle, énergétique et numérique, chargée de l'intelligence artificielle et du numérique, sur les conditions d'application effective, en France, des obligations de supervision humaine et de contrôle des systèmes d'intelligence artificielle à haut risque prévues par le règlement (UE) 2024/1689. Il rappelle que le règlement (UE) 2024/1689 du 13 juin 2024, dit règlement sur l'intelligence artificielle, impose depuis le 2 août 2026 aux systèmes classés à haut risque des obligations de journalisation, de supervision humaine effective et de robustesse. Son article 14 exige qu'un opérateur humain puisse surveiller, corriger et interrompre le fonctionnement de ces systèmes. Ce règlement s'applique sans préjudice du règlement général sur la protection des données et sa mise en œuvre relève en France d'autorités nationales compétentes, au premier rang desquelles la Commission nationale de l'informatique et des libertés. M. le député constate que plusieurs dirigeants d'entreprises majeures du secteur ont publiquement alerté, en septembre 2026, sur le risque que des systèmes autonomes échappent au contrôle humain à un horizon de quelques années et appelé à ralentir le rythme de développement de ces technologies. Il souligne que ces obligations de contrôle humain n'ont d'utilité que si elles s'appliquent réellement aux usages les plus sensibles, en particulier lorsque des systèmes automatisés interviennent dans la gestion d'infrastructures essentielles telles que l'énergie, l'eau, les établissements de santé ou les fonctions de sécurité. Il relève que l'effectivité de ces règles dépend directement des moyens humains et techniques dont disposent les autorités de contrôle pour mener leurs missions d'inspection et de sanction, ainsi que de la clarté des lignes directrices adressées aux acteurs concernés, dont de nombreuses petites et moyennes entreprises du tissu industriel, en particulier dans la 5e circonscription de l'Ain. Il lui demande de bien vouloir lui indiquer quels moyens sont alloués à la Commission nationale de l'informatique et des libertés pour assurer le contrôle des systèmes d'intelligence artificielle à haut risque, selon quel calendrier les lignes directrices d'application seront publiées à destination des entreprises et quelles initiatives la France entend porter aux échelles européenne et internationale pour garantir le maintien d'un contrôle humain effectif sur les systèmes intervenant dans les infrastructures critiques.

La question

M. Marc Chavent alerte M. le Premier ministre sur les failles de sécurité qu'entraîne l'usage, par certains personnels occupant des fonctions sensibles, d'applications de géolocalisation et de suivi d'activité installées sur téléphone portable, dès lors qu'elles peuvent révéler des déplacements, des horaires et des lieux confidentiels. En effet, ce n'est pas la première fois qu'un tel incident survient et il apparaît que la protection du secret des opérations et des positions stratégiques demeure insuffisamment garantie lorsque des terminaux personnels sont utilisés à des fins privées. Les faits récemment rendus publics illustrent un risque désormais bien identifié : une simple application grand public peut, par recoupement, permettre de reconstituer des itinéraires, des emplacements et des habitudes de personnels exposés, alors même que ces informations devraient rester hors d'atteinte. Le même type d'exposition avait déjà été relevé, ce qui démontre le caractère répétitif de la faille et l'insuffisance des mesures de prévention individuelles. Il apparaît nécessaire que soit établi un recensement interministériel des applications présentant un risque de géolocalisation, de collecte excessive de données ou de divulgation indirecte d'informations sensibles, afin d'en interdire l'usage sur les terminaux personnels ou professionnels des personnels exposés lorsqu'ils exercent des missions sensibles. Une telle mesure serait cohérente avec les bonnes pratiques de cybersécurité qui recommandent de limiter les permissions incohérentes avec la finalité d'une application et de mieux encadrer les téléchargements sur smartphone. Il convient également de s'interroger sur l'opportunité de rendre obligatoire, pour les personnels relevant d'emplois sensibles, une politique de sécurité numérique plus stricte, comprenant la désactivation ou l'encadrement des fonctions de géolocalisation, l'interdiction de certaines applications de sport ou de partage de trajets, ainsi qu'un contrôle préalable des autorisations demandées par ces logiciels. À défaut, les révélations successives de données de localisation risquent de continuer à exposer inutilement des moyens militaires, des mouvements de navires et, plus largement, des informations touchant à la sécurité nationale. Dans ce contexte, il souhaite savoir quelles mesures le Gouvernement entend prendre pour recenser sans délai l'ensemble des applications à risque, en interdire le téléchargement et l'usage sur les téléphones portables des personnels exposés et prévenir la répétition de telles divulgations de données sensibles.

Réponse

L'Agence nationale de la sécurité des systèmes d'information (ANSSI) constate la croissance du secteur privé de lutte informatique offensive et alerte sur la variété des menaces qui en résulte et sur l'émergence de nouveaux acteurs. Certains d'entre eux se spécialisent dans le renseignement issu de la publicité - ADINT (advertising intelligence) - qui peut se définir comme la distribution massive ou ciblée de contenus publicitaires vers une ou plusieurs cibles à des fins de profilage et de géolocalisation. Pour ce faire, ces acteurs mènent des activités d'annonceurs publicitaires ou collaborent avec des annonceurs et récoltent légalement des données sur un large ensemble d'individus ciblés : catégorie d'âge, modèle de téléphone, localisation, fuseau horaire… ; soit toute information faisant l'objet de la mise en relation habituelle entre annonceurs et acquéreurs d'espaces de publicité ciblée. Ne constituant pas des armes numériques, les services ADINT sont plus faciles à acquérir que les logiciels espions. Au-delà des fuites de données, le principal risque est le détournement d'usage afin de cibler spécifiquement un individu ou groupe d'individus permettant d'obtenir des informations sensibles. L'ANSSI est aussi vigilante au risque créé par de nouvelles technologies fondées sur l'ADINT, capables de compromettre des appareils mobiles et des ordinateurs, par la combinaison de l'envoi de publicité et de l'exploitation de vulnérabilités. Le simple affichage d'une publicité sur un téléphone ciblé aboutirait à sa compromission. Face à cette menace, l'État agit sur deux fronts. Premièrement, il participe au « Processus de Pall Mall », initiative internationale et multipartite visant à identifier et à mettre en œuvre des engagements politiques pour lutter contre la prolifération et l'usage irresponsable des capacités d'intrusion cyber disponibles sur le marché. Après l'adoption d'un code de bonnes pratiques à destination des États en 2025, des lignes directrices à destination de l'industrie sont en cours d'élaboration. Par ailleurs, cette menace est abordée par l'ANSSI sous l'angle de la sécurisation des appareils mobiles et de leur usage : la mise en œuvre de recommandations simples permet à tous les utilisateurs de limiter au maximum les risques d'une compromission. En particulier, il est recommandé de : séparer les usages professionnels et personnels, notamment en ne traitant pas de sujets professionnels sur des équipements personnels ; redémarrer régulièrement son appareil ; supprimer ou renouveler régulièrement l'identifiant de publicité du mobile ; appliquer régulièrement les mises à jour du système d'exploitation ; désinstaller les applications non utilisées ou encore entreposer tout équipement électronique hors de la pièce lors de discussions portant de sujets sensibles.La politique de sécurité des systèmes d'information de l'État se donne l'objectif de sécuriser l'ensemble de la téléphonie des utilisateurs de l'État. Elle sera alignée avec les dispositions prévues par le référentiel de cybersécurité - ReCyF issu de la transposition de la directive NIS 2. Celui-ci, bien qu'il ne soit pas exclusivement consacré à la téléphonie mobile, met l'accent sur la séparation des usages, en interdisant pour les entités essentielles - dont les administrations - le recours aux équipements de communication personnels. De manière générale, l'usage d'un téléphone mobile personnel pour des usages professionnels doit être limité au strict nécessaire et encadré par une charte informatique. Plus particulièrement, il est fait interdiction d'avoir recours aux équipements personnels dans le cadre règlementaire relatif à la protection du secret de la défense nationale, les agents de l'État amenés à manipuler de telles informations devant faire l'objet d'une sensibilisation sur ces aspects.

La question

M. Marc Chavent interroge M. le Premier ministre sur l'exposition de la France aux données civiles massives et les mesures de protection envisagées. Les conflits contemporains montrent que la phase initiale d'un affrontement armé est désormais largement informationnelle et statistique, fondée sur la collecte, la corrélation et l'exploitation de données issues de systèmes civils, bien au-delà des seules infrastructures classées d'importance vitale. La France produit quotidiennement, via son économie numérique et ses usages grand public, des volumes considérables de données civiles exploitées ou exploitables par des acteurs privés et publics, français ou étrangers. Les applications mobiles de sport, de navigation ou de livraison permettent de déduire des trajets récurrents, des horaires, des zones de résidence et de travail, ainsi que la fréquentation d'infrastructures sensibles, y compris lorsque ces trajets concernent des responsables publics ou des personnels des forces armées et de sécurité, dans un contexte où la CNIL rappelle que les données de connexion et de localisation permettent de reconstituer habitudes de vie, déplacements journaliers et milieux sociaux fréquentés. Les objets de santé connectés et les plateformes de e-santé manipulent des données dont la sensibilité et le volume ont déjà conduit à des cyberattaques massives et à des sanctions, comme l'a illustré la fuite de données de centaines de milliers de patients ou la sanction de 380 000 euros prononcée contre un grand site de santé en ligne pour manquements à ses obligations, ce qui confirme la valeur stratégique de ces informations pour des attaquants susceptibles de déduire état de fatigue, stress ou disponibilité opérationnelle d'individus et de catégories professionnelles entières. Les réseaux IoT civils, qu'il s'agisse de capteurs urbains, de compteurs intelligents ou de dispositifs connectés dans les transports, contribuent à une cartographie en temps réel des flux de population et de logistique ; divers travaux sur les réseaux IoT montrent que ces infrastructures permettent d'analyser en temps réel des flux vidéo, audio ou de données environnementales afin d'en déduire comportements collectifs et vulnérabilités, ce qui, corrélé à d'autres métadonnées, peut permettre d'identifier indirectement la localisation et le fonctionnement d'infrastructures critiques. Par ailleurs, le cadre juridique français a déjà reconnu la puissance stratégique des métadonnées : la loi relative au renseignement et les dispositions du code de la sécurité intérieure organisent la collecte des données de connexion, en ce compris la localisation d'équipements terminaux, les listes de numéros appelés et appelants, la durée et la date des communications, précisément parce que ces éléments permettent de reconstituer des réseaux relationnels, des chaînes de commandement et des schémas d'activité sans accéder au contenu des communications. La menace cyber elle-même fait l'objet d'une appréciation consolidée par les autorités compétentes : l'ANSSI décrit une hausse continue des incidents et signalements, notamment dans le cadre des grands évènements comme les jeux Olympiques et souligne que la menace affecte tous les territoires, avec une attention particulière aux systèmes d'information d'importance vitale et aux systèmes d'information d'importance vitale (SIIV) exploités par les opérateurs d'importance vitale dans le cadre du dispositif SAIV. Cette approche demeure néanmoins principalement centrée sur les infrastructures critiques identifiées, alors que les flux massifs de données civiles, non classés en tant que tels, peuvent produire du renseignement militaire par simple corrélation. Dans ce contexte, si la France s'est dotée de dispositifs avancés de cybersécurité, de souveraineté numérique sectorielle (notamment en matière de données de santé et de cloud souverain) et de coopération institutionnelle entre CNIL et ANSSI, ces cadres privilégient encore une approche par catégories de données (données à caractère personnel, données de santé, données d'importance vitale) plutôt qu'une approche par effets de corrélation et d'usage en situation de conflit ou de crise hybride. M. le député souhaite donc savoir, en premier lieu, quelle est l'évaluation actuelle des autorités françaises sur le rôle stratégique de ces données civiles massives (applications mobiles, objets connectés, réseaux IoT, métadonnées) lorsqu'elles sont exploitées par des puissances étrangères ou des acteurs non étatiques et quels scénarios opérationnels (cartographie de points faibles territoriaux, anticipation de mouvements de population, ciblage de campagnes d'influence, préparation de sabotages ou de cyberattaques) sont retenus dans l'analyse gouvernementale. Il souhaite également savoir si les services de renseignement disposent d'une capacité formalisée et identifiée pour analyser et intégrer ces risques dans la planification de la défense, au-delà des dispositifs de collecte de données de connexion déjà encadrés par la loi relative au renseignement et comment cette capacité s'articule avec les travaux de l'ANSSI sur les SIIV, la stratégie nationale de cybersécurité 2026-2030 annoncée par le Gouvernement et les missions de la CNCTR en matière de contrôle des techniques de renseignement. Il l'interroge en outre sur la manière dont l'État distingue juridiquement les données « civiles » des données « stratégiques » dès lors que leur corrélation, parfois simple et réalisée à partir de sources publiques ou commerciales, produit un renseignement d'intérêt militaire ou de sécurité nationale et si une évolution du droit (par exemple par la création d'une catégorie de « données d'intérêt stratégique » ou par l'extension du périmètre des systèmes d'information d'importance vitale) est envisagée pour mieux prendre en compte ces effets de corrélation. Enfin, il souhaite savoir s'il existe une doctrine nationale explicite visant à réduire l'exposition des flux critiques, y compris pour la mobilité et les habitudes numériques des décideurs et des personnels exposés, en matière de choix d'applications, de configuration des terminaux, d'usage de services reposant sur des infrastructures ou des clouds extra européens et si le Gouvernement entend renforcer, par des mesures réglementaires, techniques ou de sensibilisation, les obligations de sécurité applicables aux opérateurs économiques qui collectent et traitent ces données civiles massives susceptibles d'être détournées à des fins de renseignement ou de déstabilisation. Dans ce contexte, il souhaiterait savoir quelles actions le Gouvernement entend mettre en place pour reconnaître, encadrer et réduire l'exposition de la France aux risques stratégiques générés par l'exploitation de ces données civiles massives, tant pour la planification de la défense nationale que pour la protection des décideurs, des forces et des infrastructures essentielles.

La question

M. Marc Chavent alerte Mme la ministre déléguée auprès du ministre de l'économie, des finances et de la souveraineté industrielle et numérique, chargée de l'intelligence artificielle et du numérique, sur la nécessité, exprimée par un nombre croissant d'acteurs économiques, de disposer d'un système numérique souverain à l'échelle nationale. Selon les données les plus récentes, près de la moitié des entreprises françaises considèrent comme important, voire très important, de disposer d'un système souverain pour leurs usages numériques, notamment en matière d'hébergement de données, de messagerie, d'outils collaboratifs ou de cybersécurité. Cette attente traduit une prise de conscience des risques associés à la dépendance à des solutions étrangères, souvent soumises à des législations extraterritoriales et d'un besoin accru de confiance, de sécurité et de maîtrise des infrastructures stratégiques. Dans ce contexte, il lui demande si un système souverain français à destination des entreprises est actuellement en place, ou si le Gouvernement prévoit de soutenir une initiative ambitieuse en ce sens, afin de renforcer l'indépendance technologique nationale et d'accompagner les entreprises vers une transition numérique plus sécurisée et maîtrisée.

Réponse

Le Gouvernement soutient de manière générale le développement d'une offre de technologies numériques souveraines, notamment en matière de cloud, d'IA et de cybersécurité. En particulier, le Gouvernement est engagé en faveur d'une politique ambitieuse visant à soutenir un marché du cloud diversifié, concurrentiel et de confiance, bénéficiant tant aux administrations qu'aux entreprises. Cette ambition s'appuie sur deux piliers : l'instauration d'un cadre réglementaire protecteur et le soutien actif au développement d'une offre française et européenne. Cette politique s'illustre tout d'abord par la mise en place d'une stratégie de cloud de confiance qui repose sur la qualification SecNumCloud délivrée par l'Agence nationale de la sécurité des systèmes d'information (ANSSI). Destinée notamment aux données particulièrement sensibles des administrations et opérateurs de l'État, elle est également ouverte aux entreprises qui souhaitent en bénéficier. Ce label garantit pour les services commerciaux de cloud qualifiés par l'ANSSI un niveau de sécurité élevé, notamment contre les accès non-autorisés d'Etats tiers à l'Union européenne qui disposent de législations extraterritoriales. Au niveau de l'Union européenne, cette stratégie est défendue avec conviction par le Gouvernement afin de disposer d'un cadre européen fiable et robuste, qui garantisse une protection adéquate des données les plus sensibles en Europe, avec un degré de sécurité équivalent à celui de SecNumCloud. Par ailleurs, dans le cadre du projet de loi Résilience en cours d'examen au Parlement, visant à transposer trois directives européennes dont la directive NIS 2, des dispositions visent également à renforcer, sous l'égide de l'ANSSI, la cybersécurité des opérateurs essentiels et importants, notamment dans les secteurs de l'énergie, des transports, des services financiers, de la santé, de l'eau, du numérique et de l'espace. Outre l'établissement d'un environnement réglementaire renforçant la confiance, depuis 2021 le Gouvernement est pleinement engagé dans une politique de soutien et de développement d'une offre française et européenne de cloud qui réduit nos dépendances à des solutions étrangères et renforce la souveraineté numérique de la France. En témoigne tout d'abord la stratégie d'accélération cloud, dans le cadre du plan d'investissements France 2030, qui vise à soutenir l'essor d'offres françaises innovantes, y compris par le recours aux logiciels libres, à accélérer le passage à échelle des acteurs français sur les technologiques critiques et à intensifier le développement de technologies de rupture afin de positionner la filière française à la pointe de l'innovation. En l'espace de trois ans, plus de 300 millions d'euros ont ainsi été investis dans l'innovation française au travers : - d'un appel à manifestation d'intérêt qui a permis de faire émerger et de soutenir une grande diversité de projets sur toutes les thématiques du continuum cloud-edge ; - du PIIEC Cloud, porté par la France et l'Allemagne en tant que co-coordinateurs et validé par la Commission européenne, avec 3 grands projets français pilotés par de grands acteurs industriels français et européens (Orange, Atos et Amadeus) accompagnés de laboratoires et de PME ; - d'appels à projets ciblés pour accompagner la structuration de certaines communautés (suites collaboratives, espaces de données, etc) et soutenir les développements technologiques les plus récents, notamment en matière d'intelligence artificielle ; - et d'un programme et équipements prioritaires de recherche (PEPR) pour faire progresser les technologies cloud et faciliter le transfert des innovations et des solutions issues de la recherche vers l'industrie. En outre, la structuration de la filière cloud doit s'appuyer sur le développement des infrastructures. La localisation en France et en Europe de centres de données et d'infrastructures de calcul sont, en effet, des éléments essentiels pour renforcer notre autonomie stratégique. C'est pourquoi, le Gouvernement a identifié 63 sites susceptibles d'accueillir des centres de données, en sus des 315 installations déjà répertoriées en 2024 sur le territoire, et a mis en place une taskforce nationale pour faciliter l'implantation de centres de données. Enfin, la stratégie nationale cloud est complétée par un engagement constant de la France au niveau communautaire pour faire émerger un marché du cloud compétitif, ouvert et de confiance, répondant aux standards les plus exigeants en matière de sécurité, de transparence et de protection des données, qui bénéficie aux services publics, aux entreprises et aux citoyens. La France joue, à cet égard, un rôle actif dans la construction d'un cadre réglementaire européen robuste comme en témoigne son implication active dans la négociation et le suivi du règlement sur les données (Data Act), de la révision du règlement sur la cybersécurité (Cyber Security Act), de l'initiative sur le développement du cloud et de l'intelligence artificielle (Cloud and AI Development Act) ou encore du règlement omnibus de simplification en matière numérique.

La question

M. Marc Chavent attire l'attention de Mme la ministre déléguée auprès du ministre de l'économie, des finances et de la souveraineté industrielle et numérique, chargée de l'intelligence artificielle et du numérique sur la vulnérabilité croissante des entreprises françaises face aux cyberattaques. Selon les données du baromètre pour la cybersécurité de 2024, un tiers des entreprises déclarent avoir été victimes d'une cyberattaque au cours des douze derniers mois, soit une hausse de 11 points par rapport à l'année précédente. Cette tendance inquiétante touche des structures de toutes tailles, avec des conséquences parfois lourdes : hameçonnage, rançongiciel, vol ou perte de données, arnaque au président, interruption d'activité, atteinte à la réputation ou encore saturation des sites internet via des attaques DDoS. Face à cette menace grandissante, la préparation des entreprises constitue un enjeu stratégique majeur de résilience économique et de souveraineté numérique. Si certaines initiatives publiques existent en matière de sensibilisation, de conseil ou d'accompagnement, leur diffusion semble encore insuffisante au regard de l'ampleur du risque. Ainsi, il lui demande si le Gouvernement prévoit de renforcer sa politique de prévention et de soutien à la cybersécurité dans les entreprises, notamment par la généralisation de dispositifs d'audit, de formation ou de soutien financier, en particulier pour les petites et moyennes entreprises souvent les plus exposées et les moins préparées.

Réponse

La cybermenace s'étend à l'ensemble de l'économie et de la société. Face à ce phénomène, le Gouvernement a engagé plusieurs grands chantiers, aux niveaux national et européen. S'agissant de la législation, lors de la présidence française du Conseil de l'Union européenne en 2022, il a soutenu l'élaboration de la directive dite NIS2 qui vise à élever le niveau général de cybersécurité au sein du marché européen. Cette directive sera transposée en droit national en 2025. La nouvelle réglementation, issue de cette transposition, élargira le périmètre des entités réglementées et accompagnées dans le renforcement de leur sécurité. Le Gouvernement a également soutenu l'élaboration du règlement sur la cyber-résilience (Cyber Résilience Act). La déclinaison nationale de ce règlement est en cours. Elle aboutira à la définition des exigences minimales de cybersécurité pour l'ensemble des produits comportant des éléments numériques disponibles sur le marché européen. Au-delà du volet réglementaire, le Gouvernement a soutenu la mise en œuvre de plusieurs dispositifs visant à accompagner les entités victimes dans leur sécurisation et en cas de cyberincident. Dans le cadre du plan France Relance, l'Agence nationale de la sécurité des systèmes d'information (ANSSI) a animé des « parcours de cybersécurité » au profit de 945 entités sur l'ensemble du territoire. Ces parcours de cybersécurité constituent un acquis dans la durée, notamment dans la perspective de la mise en œuvre de la directive NIS2 via une méthode d'analyse des vulnérabilités et des besoins de cybersécurité, des outils désormais à la disposition de tous, ainsi qu'une offre de services et de solutions de cybersécurité étoffée. Des programmes complémentaires s'inspirent de ce modèle, à l'instar du plan CaRE du ministère du travail, de la santé, des solidarités et des familles, et témoignent de la robustesse de la méthode. Dans le cadre du plan France Relance, le Gouvernement a également soutenu la création et le développement de centres de réponse à incident (CSIRT) sectoriels et territoriaux. Ces centres peuvent notamment conduire des missions de sensibilisation et d'accompagnement en cas de cyber-incidents. Le Gouvernement a par ailleurs soutenu le lancement en décembre 2024 du « 17Cyber », porté par le groupement d'intérêt public ACYMA. Il s'agit d'un guichet en ligne grand public qui permet d'avoir des conseils en cas d'incident et d'être mis en contact avec la police nationale et la gendarmerie nationale, ou un prestataire privé selon le besoin. Le 17Cyber intégrera à terme les CSIRT territoriaux dans son « parcours utilisateur ». Dans le cadre de la mise en œuvre de NIS2, l'ANSSI a également déployé de nouveaux services pour accompagner les entités à l'instar de la plateforme « MesServicesCyber ». Enfin, le Gouvernement accompagne la filière de cybersécurité en lien avec les territoires, notamment au travers des « campus cyber », pour renforcer l'offre de solutions et de services de cybersécurité à la disposition des entités. Le Gouvernement entend nourrir cette dynamique pour accompagner entités réglementées et non réglementées et renforcer la visibilité de ces dispositifs. Cet objectif est inscrit dans la stratégie nationale de cybersécurité.