Le Royaume-Uni durcit son arsenal contre les risques de l’IA

Le gouvernement britannique a dévoilé, le 12 octobre 2026, un ensemble de mesures pour mieux se protéger contre les risques posés par l’IA avancée. L’exécutif veut étendre un programme de cyberdéfense fondé sur l’IA, déjà crédité de plus de 1 000 vulnérabilités potentielles repérées et corrigées dans des systèmes gouvernementaux. L’enjeu dépasse la seule cybersécurité : Londres prépare aussi le terrain pour encadrer les incidents liés aux agents IA, aux systèmes autonomes et aux services publics qui en dépendent.

Un test grandeur nature pour l’État britannique

L’annonce a été portée par le Cabinet Office, l’AI Security Institute (AISI), le National Cyber Security Centre (NCSC) et le Department for Digital, Culture, Media and Sport. À Base One, l’incubateur science et technologie d’Imperial College London, le ministre de l’IA Kanishka Narayan a défendu une approche de résilience “whole-society”, c’est-à-dire qui associe l’État, les chercheurs, les entreprises et les opérateurs critiques. Son message est direct : plus les systèmes deviennent capables d’agir seuls, plus une faille peut avoir des effets rapides et étendus.

“I want Britain to become one of the hardest countries in the world to attack using artificial intelligence,” a déclaré Narayan. Le gouvernement dit vouloir légiférer quand ce sera nécessaire et s’appuyer sur l’expertise scientifique et industrielle britannique pour comprendre les systèmes de pointe, anticiper les menaces et réagir en cas d’incident. Les éditeurs de modèles sont aussi mis sous pression : Londres leur demande de prendre au sérieux les alertes de leurs propres chercheurs et de retenir tout système dont les risques ne peuvent pas être suffisamment maîtrisés.

Des hackathons, des vulnérabilités et des chiffres qui parlent

Le cœur de l’argumentaire repose sur un pilote mené avec le Government Cyber Coordination Centre (GC3), partenariat entre le NCSC et le Department for Science, Innovation and Technology. Selon une étude de cas publiée le 12 juin 2026, des hackathons hebdomadaires ont mobilisé de l’IA de pointe pour scanner des dépôts de code publics de l’administration. Les équipes travaillaient avec des spécialistes de l’AISI et du NCSC, mais sans méthode unique imposée : chacune construisait ses propres outils à partir des modèles accessibles.

Résultat, 407 alertes ont été remontées au total, dont des failles critiques exposant des services à des risques de contournement d’authentification, de fuite de données et d’exécution de code à distance. Toutes les vulnérabilités critiques ont été corrigées, sans preuve d’exploitation, pour un coût de 13 000 livres sterling en jetons sur neuf organisations gouvernementales sur un mois. Le cas le plus sensible concernait de vieux workflows GitHub Actions : un commentaire piégé sur une pull request pouvait déclencher une chaîne d’exécution menant à une prise de contrôle du runner et à l’extraction de secrets. Pas exactement le genre de surprise qu’une administration aime découvrir un lundi matin.

Ce que Londres veut changer dans la loi et dans les pratiques

Le gouvernement compte maintenant explorer un renforcement du Cyber Security and Resilience Bill et du cadre plus large afin de mieux protéger les hôpitaux, les utilities et les autres services essentiels contre les risques liés à l’IA, y compris les scénarios de perte de contrôle où un système autonome échappe à la supervision humaine. Les autorités veulent aussi clarifier la façon de signaler les incidents graves et les presque-accidents, pour accélérer les apprentissages et réduire les dommages futurs.

En parallèle, les équipes du NCSC et de l’AISI planchent sur la réponse à des incidents impliquant des agents IA, ces systèmes capables d’exécuter des tâches complexes avec peu d’intervention humaine. Le gouvernement estime qu’un tel événement pourrait se propager plus vite qu’une crise numérique classique. Il mise donc sur de nouvelles expertises, mais aussi sur un champ moins visible du grand public : la vérification de l’IA, qui consiste à contrôler si les déclarations des fournisseurs sur la conception, les tests et l’évaluation de leurs modèles tiennent la route. Londres dit vouloir jouer un rôle de premier plan dans ce domaine.

Une stratégie qui dépasse le seul périmètre technique

La ministre du cyber, Liz Lloyd, a rappelé que les incidents informatiques continuent de perturber les organisations “large and small” dans le public comme dans le privé. Selon elle, le gouvernement met la cybersécurité et la préparation à l’IA “at the heart of the UK’s digital future” en renforçant les projets pilotes et en faisant avancer le texte sur la résilience cyber. L’exécutif s’appuie aussi sur une lettre ouverte publiée le 15 avril 2026 par Liz Kendall et Dan Jarvis, qui appelait les entreprises à appliquer les bases de la sécurité, à utiliser Cyber Essentials et à s’inscrire au service gratuit Early Warning du NCSC.

Reste un point politique plus large : l’initiative s’inscrit dans le travail de la Prime Minister’s AI Taskforce, alors que le Premier ministre a promis à l’Assemblée générale de l’ONU en septembre de faire tout ce qui sera nécessaire pour protéger les Britanniques des risques liés à l’IA. Le dossier doit aussi prendre de l’ampleur avec la présidence britannique du G20. En clair, le Royaume-Uni ne parle plus seulement d’innovation, mais de robustesse. Et dans ce type de sujet, mieux vaut corriger une alerte que courir après une panne.