Les modèles d'IA et la cybersécurité en Suisse

Texte déposé

Au mois d’avril 2026, l’entreprise Anthropic a lancé le modèle d’IA Claude Mythos Preview et le projet Glasswing. En quelques semaines, le modèle a permis d’identifier plus de 10 000 failles de sécurité jugées graves dans tous les grands systèmes d’exploitation et navigateurs, dont certaines existaient depuis 27 ans. Le modèle est capable non seulement d’identifier les vulnérabilités, mais aussi de développer de manière autonome des codes d’exploitation (exploits) fonctionnels. Il est probable que d’autres modèles disposeront aussi bientôt de capacités similaires.

La question de l’accès à de tels modèles est devenue très concrète : à la mi-juin 2026, le gouvernement américain a suspendu l’accès à des versions perfectionnées de Mythos, en invoquant des raisons de contrôle des exportations, et ce même pour les grandes entreprises technologiques américaines. La question est à présent de savoir si les autorités suisses et les exploitants d’infrastructures critiques pourront accéder aux outils d’IA défensive les plus performants en cas d’urgence.

Dans ce contexte, je prie le Conseil fédéral de répondre aux questions suivantes :

1. Selon lui, quels sont les opportunités et les risques liés aux nouveaux modèles d’IA pour la cybersécurité en Suisse, notamment en ce qui concerne les systèmes agentiques capables d’identifier et d’exploiter des vulnérabilités de manière autonome ?

2. Comment la Suisse compte-t-elle s’assurer que les autorités et les milieux économiques obtiendront en temps utile l’accès à des modèles d’IA performants pour une utilisation à des fins défensives ?

3. Face à l’incertitude quant au cadre réglementaire américain concernant les exportations de modèles d’IA, que fait le Conseil fédéral pour garantir que la Suisse conservera sa capacité d’action en matière de technologie à long terme ?

4. Les entreprises d’IA sont-elles actuellement tenues de fournir des informations transparentes sur les cyberrisques inhérents à leurs modèles ? Le Conseil fédéral estime-t-il qu’il y a lieu d’agir ?

Avis du Conseil fédéral

1. Dans son rapport donnant suite au postulat 23.3861 « Opportunités et risques des systèmes d’intelligence artificielle dans la cybersécurité », le Conseil fédéral a montré comment les modèles d’IA influençaient la cybersécurité. Les derniers modèles d’IA marquent une étape importante dans le développement de l’IA dans des domaines liés à la cybersécurité. Ils augmentent considérablement la vitesse, l’évolutivité et l’automatisation des cyberactivités défensives et offensives, ce qui accélère fortement la dynamique de la cybersécurité. Il n’est pas encore possible d’évaluer précisément les capacités concrètes des systèmes autonomes et leurs répercussions sur des environnements cibles réels. Il sera indispensable d’exploiter rapidement et de manière ciblée les capacités des modèles d’IA pour la protection contre les cybermenaces.

2. et 3. L’accès aux derniers modèles d’IA est important pour la protection contre les cybermenaces et la capacité d’action technologique de la Suisse. Il n’est pas possible de supprimer immédiatement les dépendances existantes, mais les risques peuvent être diminués grâce à un solide réseau d’experts internationaux. C’est pourquoi la Suisse participe activement à la coopération internationale. L’OFCS préside par exemple le groupe de travail « Digital Security » de l’OCDE. Dans ce contexte, le paysage fortement connecté de la recherche et de l’innovation en Suisse constitue un avantage indéniable. La Swiss AI Initiative, le modèle d’IA open source Apertus ou encore la participation de notre pays à des initiatives européennes contribuent à renforcer de manière ciblée les capacités d’IA et de calcul suisses et européennes. Cela ne remplace pas l’accès aux modèles de pointe internationaux, mais permet toutefois à la Suisse d’améliorer sa capacité à développer ses propres solutions d’IA, à évaluer en toute autonomie des modèles liés à la sécurité et à diminuer à long terme sa dépendance à l’égard de certains fournisseurs. Les compétences IA des organes fédéraux chargés de la cybersécurité doivent être consolidées de manière ciblée afin qu’ils puissent évaluer de manière indépendante les conséquences de l’IA sur la cybersécurité.

4. En Suisse, les fabricants de modèles d’IA ne sont actuellement pas légalement tenus de fournir à la population des informations transparentes sur les cyberrisques inhérents à leurs modèles. Le Conseil fédéral a décidé de ratifier la Convention sur l’IA du Conseil de l’Europe le 12 février 2025 et d’adapter la législation suisse en conséquence (https://www.bakom.admin.ch/fr/intelligence-artificielle). Pour ce faire, le DFJP prépare, en collaboration avec le DETEC et le DFAE, un projet de mise en consultation afin d’analyser notamment des mesures légales dans les domaines de la transparence, de la protection des données, de la non-discrimination et de la surveillance. La nécessité d’instaurer des obligations de transparence supplémentaires pour les cyberrisques liés aux modèles d’IA sera évaluée dans le cadre de ces travaux.