Le Royaume-Uni écarte les éditeurs d’IA du projet de cybersécurité

Le gouvernement britannique a rejeté, mardi 2 septembre 2026, des amendements qui auraient placé les vendeurs d’IA et les développeurs de modèles de pointe dans le champ du Cyber Security and Resilience Bill. À la place, Londres préfère cibler les organisations critiques qui utilisent ces systèmes, et s’appuyer sur des garde-fous volontaires pour les modèles eux-mêmes. Le choix compte, car il fixe la frontière entre réguler l’outil et réguler ceux qui l’emploient. Et dans ce dossier, la frontière est plus politique que technique.

Le gouvernement mise sur les utilisateurs, pas sur les vendeurs

Baroness Lloyd of Effra, ministre britannique en charge de la cybersécurité, a défendu une ligne simple devant le Grand Committee : inscrire les fournisseurs d’IA dans le texte ne permettrait pas d’empêcher leur usage malveillant. Selon elle, le projet doit rester « technology-agnostic » et imposer des exigences plus strictes aux organismes essentiels, plutôt qu’aux éditeurs eux-mêmes.

Cette approche laisse toutefois une zone grise [à vérifier] : les hôpitaux, les exploitants de réseaux ou les datacenters devront sécuriser leurs systèmes, mais les modèles d’IA susceptibles d’être détournés ne seront pas directement visés par le bill. Les pairs de la chambre haute y voient un angle mort, notamment après des signalements de comportements autonomes problématiques chez Anthropic et OpenAI.

Pourquoi les Lords poussaient pour des garde-fous plus durs

Les membres de la Chambre des lords ont plaidé pour des « red lines » claires. Leur idée : exiger des vendeurs d’IA qu’ils démontrent que leurs produits ne peuvent pas contourner la supervision humaine ou aider à développer des armes chimiques. Ils ont aussi défendu un pouvoir d’arrêt d’urgence pour le secrétaire d’État, capable de couper un centre de données ou un système d’IA largement déployé en cas de crise.

Baroness Kidron a résumé la critique en une formule acérée : « Have we not learned from countless experiences before in online safety, privacy, and in AI itself that allowing tech companies to set and mark their own homework endangers the public and our national security? » Pour elle, comme pour Lord Tarassenko, le recours au volontariat ne suffit pas quand les acteurs du marché gardent la main sur les règles du jeu.

Des pouvoirs ciblés sur les infrastructures, pas sur les modèles

Le gouvernement répond qu’il dispose déjà d’outils plus proportionnés. Si un système d’IA pose un risque qualifiant, l’exécutif pourra ordonner à une entité régulée d’agir, y compris à un opérateur de datacenter, mais pas à un fournisseur d’IA. En pratique, cela peut aller jusqu’à demander à une centrale ou à un service critique de cesser d’utiliser un modèle précis.

Baroness Lloyd a justifié ce cadrage par la complexité de l’infrastructure numérique : les systèmes d’IA sont souvent distribués sur plusieurs datacenters et dans plusieurs juridictions. Une fermeture ciblée serait donc, selon elle, plus efficace qu’un ordre général de mise hors ligne. Là encore, le gouvernement choisit le chemin qui évite le plus de câbles sectionnés d’un coup.

Le Royaume-Uni veut aussi peser sur les standards

Londres ne dit pas renoncer à toute régulation de l’IA. La ministre a mis en avant le AI Security Institute, qui teste les modèles avec les fournisseurs avant leur mise sur le marché, ainsi que le voluntary AI Cyber Security Code of Practice. Ce code a servi de base au premier standard mondial de cybersécurité appliquée à l’IA, ETSI EN 304 223, selon le gouvernement.

Le Cyber Security and Resilience Bill s’inscrit dans une réforme plus large des règles britanniques sur les infrastructures critiques. Présenté en novembre 2025, après avoir été annoncé dans le King's Speech de 2024, il élargit le régime existant à des acteurs comme les managed service providers, les datacenters et certains fournisseurs critiques désignés. Les amendes journalières de 100 000 livres initialement envisagées pour les organisations en infraction avaient déjà attiré l’attention.

Un texte de cybersécurité qui laisse revenir la question IA

Le débat n’est pas clos. La ministre a dit rester ouverte à de nouvelles discussions sur l’IA, en raison de son poids économique, et le Grand Committee doit reprendre l’examen du texte jeudi. Les élus critiques, eux, disposent d’un argument de plus : la promesse de garde-fous volontaires ne rassure pas tout le monde quand le marché avance vite et que les usages dérivent plus vite encore.

Le dossier dépasse d’ailleurs le seul Royaume-Uni. L’administration britannique a aussi lancé son Government Cyber Action Plan, sans obligations juridiques, tandis que le projet de loi lui-même avait déjà été critiqué pour l’exclusion des collectivités et de l’État central. Dans ce contexte, Londres cherche surtout à montrer qu’elle peut tenir la cadence réglementaire sans freiner la filière. Pas simple, mais c’est précisément là que se joue l’arbitrage.