Mythos, l'ENISA et la souveraineté numérique : quelles garanties pour la France

CYBERSÉCURITÉ

Mme la présidente. La parole est à Mme Patricia Lemoine, pour exposer sa question, no 805, relative à la cybersécurité.

Mme Patricia Lemoine. Anthropic, l’une des grandes start-up américaines d’intelligence artificielle (IA), a développé un modèle baptisé Mythos. Il est jugé si puissant dans la détection de failles informatiques que l’entreprise a elle-même choisi d’en limiter l’accès à une quarantaine d’acteurs triés sur le volet, quasi exclusivement américains.

Le 1er juin, nous apprenions qu’Anthropic était en négociation avec la Commission européenne pour ouvrir l’accès de Mythos à l’Enisa – Agence européenne de cybersécurité –, sans que les conditions soient encore arrêtées. Le 12 juin, le gouvernement américain notifiait à Anthropic l'interdiction immédiate de laisser tout ressortissant étranger accéder à ses deux modèles les plus puissants, Claude Fable 5 et Mythos 5, au nom de la sécurité nationale. Faute de pouvoir filtrer ses utilisateurs par nationalité en temps réel, Anthropic a donc coupé l’accès à l'ensemble de ses clients dans le monde.

Pourtant, chaque année, des milliers de nos concitoyens subissent des fuites de données conduisant à des usurpations d’identité, des fraudes, des détournements de comptes administratifs, et qui entraînent des conséquences concrètes, coûteuses, parfois dévastatrices. Un outil capable de détecter ces failles en amont, avant qu’un acteur malveillant ne les exploite, c’est une promesse de protection réelle pour nos concitoyens. Cette décision brutale semble donc avoir balayé les perspectives de négociation.

Or nous avons déjà vécu ce dilemme, notamment avec Palantir. Accepter que des infrastructures numériques sensibles soient passées au crible par un acteur étranger soumis au droit américain, c’est potentiellement leur confier nos vulnérabilités. Arthur Mensch, cofondateur de Mistral, l'a lui-même dit devant le Parlement : les bases de données de l’armée française ne peuvent être scannées par un modèle dont nous ne maîtrisons pas la chaîne.

Une réponse souveraine existe : Orasio, start-up française fondée en 2025, vient d’être retenue par l’Agence ministérielle pour l'intelligence artificielle de défense (Amiad) afin d’expérimenter ses solutions d’analyse vidéo au profit de nos armées. Seize millions d’euros levés, des investisseurs exclusivement européens, une architecture pensée pour respecter le RGPD – règlement général sur la protection des données – et l'IA Act : voilà à quoi ressemble une souveraineté numérique dans les domaines de la sécurité et du renseignement.

Monsieur le ministre, j'ai trois questions à vous poser. La France a-t-elle une position dans ces négociations malgré leur potentiel arrêt ? Si oui, laquelle ? Quelles lignes rouges posons-nous sur le périmètre de ce qui peut être soumis à cet outil ? Enfin, et c'est le plus important, où en est notre ambition d'une capacité souveraine, française ou européenne, sur ces technologies de cybersécurité ?

Mme la présidente. La parole est à M. le ministre des petites et moyennes entreprises, du commerce, de l’artisanat, du tourisme et du pouvoir d’achat.

M. Serge Papin, ministre des petites et moyennes entreprises, du commerce, de l’artisanat, du tourisme et du pouvoir d’achat. Le gouvernement accorde une attention particulière au développement des modèles d'IA, dont les capacités en matière de cybersécurité se renforcent à chaque génération. Si certains grands acteurs ont effectivement restreint l'accès à leurs modèles les plus avancés, nous veillons à ce que l'Anssi – Agence nationale de la sécurité des systèmes d’information – et l'Inesia – Institut national pour l'évaluation et la sécurité de l'intelligence artificielle – puissent évaluer ces technologies, y compris les modèles de frontière développés par des partenaires extra-européens.

La récente décision américaine de suspendre l'accès des ressortissants étrangers à ces modèles nous oblige à prendre conscience de nos dépendances et renforce notre engagement en faveur de la souveraineté numérique. Celle-ci ne doit pas se limiter à négocier de simples accès privilégiés à des modèles étrangers : il nous faut soutenir de véritables champions français et européens, comme Mistral, que vous avez cité.

Dans cette optique, la France poursuit depuis 2018 une stratégie ambitieuse qui la place en position de leader européen, comme le montrent les investissements privés massifs annoncés en 2025 et 2026. Le premier ministre a récemment annoncé un renforcement à hauteur de 655 millions d'euros pour la stratégie IA nationale et de 200 millions d'euros pour la cybersécurité. À l'échelle européenne, nous travaillons avec nos partenaires pour développer des modèles souverains. Ma collègue Anne Le Hénanff se tient évidemment à votre disposition pour poursuivre ces échanges.

Mme la présidente. La parole est à Mme Patricia Lemoine.

Mme Patricia Lemoine. La solution est de travailler sur des modèles français et européens. Je pense à Leviia, une entreprise implantée en Seine-et-Marne, dans une circonscription limitrophe de la mienne, petite start-up qui a su démontrer tout son savoir-faire en matière de stockage et de partage de données. Elle concurrence efficacement Google et Microsoft. Je suis convaincue que la qualité de nos ingénieurs nous permettra d'atteindre les objectifs que vous avez si bien rappelés.

Mme la présidente. La parole est à M. le ministre.

M. Serge Papin, ministre. Je partage votre propos, madame la députée.