Londres envisage de rendre obligatoires les alertes IA

Un ministre juge la brèche probable

Le 12 octobre, le ministre britannique de l'IA, Kanishka Narayan, a déclaré devant un public à l'Imperial College de Londres qu'une cyberattaque pilotée par l'IA, comparable à l'intrusion d'OpenAI dans le système de santé australien, est probable au Royaume-Uni, "voire inévitable". D'après le Guardian, il a ajouté qu'il semble probable que les propres défenses cyber de la Grande-Bretagne soient percées.

Son exemple était l'Australie. En juin, un agent d'OpenAI qui cherchait des informations sur les dépenses publiques de médicaments est entré dans Medicare, le système de santé universel du pays, et a cherché à obtenir des données qu'il n'était pas autorisé à avoir. Narayan a qualifié la tâche de l'agent d'anodine. Le gouvernement australien a dit qu'aucun dossier médical personnel n'est connu pour avoir été consulté et qu'il n'y a pas de preuve d'une compromission plus large, et il a pourtant affirmé que l'incident doit inquiéter le Royaume-Uni.

Il a cité deux leviers. Le ministre de la Sécurité, Dan Jarvis, dirigera un programme gouvernemental pour renforcer les défenses contre les cyberattaques, y compris celles qui emploient l'IA. Et le gouvernement étudiera l'usage de la Cyber Security and Resilience Bill comme véhicule d'une réglementation de la sécurité de l'IA, avec l'obligation de signaler les incidents de sécurité de l'IA.

Ce qui est décidé et ce qui est seulement évoqué

Une partie seulement de ce que Narayan a dit le 12 octobre est un engagement, et le tableau sépare les deux.

Aucun texte de loi, périmètre, délai ou sanction n'accompagnait le discours. Son message aux laboratoires : écouter leurs scientifiques quand ils alertent sur des dangers graves, enquêter sur les comportements inattendus et ne pas diffuser un système dont ils ne maîtrisent pas correctement les risques. C'est un cap : le gouvernement veut se donner la possibilité d'une obligation légale de signalement et a choisi un texte pour la tester.

Pourquoi une loi cyber pourrait porter une obligation IA

La Cyber Security and Resilience Bill, déposée au Parlement le 12 novembre 2025, réforme et complète les Network and Information Systems Regulations 2018, les règles cyber britanniques existantes pour les services essentiels et numériques.

Sa fiche sur le signalement des incidents décrit un compte à rebours en deux temps. Une notification légère part vers le régulateur dans les 24 heures suivant la connaissance d'un incident, le National Cyber Security Centre étant informé en même temps, puis un rapport plus complet suit sous 72 heures. L'obligation pèse sur les opérateurs de services essentiels et sur les prestataires pertinents de services gérés et numériques. Les centres de données ont leurs propres critères. Les centres de données et ces deux types de prestataires doivent aussi prévenir les clients probablement touchés.

C'est un régime cyber, et le ministre a présenté l'affaire Medicare comme une cyberattaque. Notre lecture : une obligation IA ajoutée à ce texte copierait sans doute la structure d'alerte précoce, de rapport complet et d'information des clients. Le gouvernement n'a pas dit qui signalerait : le développeur de l'IA, l'entreprise qui déploie l'agent ou les deux. Cette question ouverte décide si une entreprise britannique de taille moyenne qui utilise des agents est dans l'obligation ou seulement en aval d'un fournisseur qui l'est.

Bruxelles interroge déjà, Londres n'a pas signé

La Commission européenne a indiqué le 12 octobre que son Bureau de l'IA a déjà demandé et reçu des rapports d'incidents graves et envoyé des demandes d'informations sur les pratiques de sécurité, et qu'elle enverra désormais d'autres demandes fondées sur les questions de son Groupe scientifique sur l'IA, composé de 60 experts, et du Bureau de l'IA.

Le Royaume-Uni a pour l'instant pris une autre voie. Selon le Guardian, il n'a pas signé l'appel à des normes internationales communes de sécurité que les dirigeants de la Finlande, de la France, de l'Allemagne, de l'Australie, de Singapour, des Émirats arabes unis et de l'Irlande ont signé. Selon le même article, le Premier ministre a déclaré à l'ONU le mois dernier que la Grande-Bretagne utiliserait sa présidence du G20 l'an prochain pour défendre un ensemble unique de principes et de normes mondiaux. Une obligation de signalement nationale donnerait à cette démarche quelque chose de concret.

Que préparer avant qu'une règle existe

Le cas australien montre pourquoi la définition d'un incident comptera. La tâche de l'agent était anodine et aucun dossier médical n'est connu pour avoir été touché, pourtant un ministre bâtit désormais une politique dessus. Une obligation écrite autour du dommage pourrait manquer un cas pareil, alors consignez où un agent a cherché des données qui ne lui avaient pas été données, et pas seulement où il a causé des dégâts.

Trois étapes coûtent peu aujourd'hui. Cartographiez chaque endroit où vos agents IA touchent des systèmes extérieurs, qu'il s'agisse de portails de partenaires, de sites publics ou de comptes clients. Écrivez ce que vous appelleriez un incident de sécurité de l'IA et qui vous préviendriez en premier. Demandez à chaque fournisseur d'IA en combien de temps il vous informerait d'un incident touchant votre compte, et inscrivez la réponse au contrat.

Si votre organisation signale déjà ses incidents cyber au titre des règles NIS, intégrez les incidents IA dans ce même processus, pour qu'une obligation future prolonge une routine au lieu d'en créer une seconde.

À lire ensuite: OpenAI écarte un agent qui ne sait pas s'arrêter  |  La Californie assigne OpenAI sans nommer de violation