Trump supprime les garde-fous : 3 risques cyber que personne ne calcule

L'Amérique vient de retirer le filet de sécurité de l'IA. Et personne ne sait vraiment ce qui se passe ensuite.

En janvier 2025, Donald Trump a signé un décret exécutif abrogeant les directives Biden sur la régulation de l'intelligence artificielle. La décision a été saluée par les géants de la Silicon Valley. Mais derrière les applaudissements, une question reste sans réponse : qui protège les infrastructures critiques, les entreprises et les citoyens lorsque l'IA devient une arme entre de mauvaises mains ?

La réponse officielle de l'administration Trump est simple : les entreprises elles-mêmes. La régulation volontaire, pilotée par l'industrie, remplace désormais toute contrainte fédérale. C'est un pari idéologique massif. Et les experts en cybersécurité, eux, ne dorment plus aussi bien qu'avant.

Ce que Trump a réellement supprimé

Le décret de Biden, signé en octobre 2023, imposait aux développeurs de systèmes d'IA dépassant certains seuils de puissance de partager leurs résultats de tests de sécurité avec le gouvernement fédéral. Il établissait également des standards minimaux pour les modèles utilisés dans des secteurs sensibles : défense, énergie, santé, finance.

Trump a tout effacé d'un trait de plume. L'objectif affiché : supprimer les "barrières bureaucratiques" qui freinent l'innovation américaine face à la Chine. L'argument est séduisant sur le papier. Mais il repose sur une confusion dangereuse entre régulation et entrave.

• Aucun audit obligatoire des modèles d'IA déployés dans les infrastructures critiques
• Aucun standard fédéral de robustesse face aux attaques adversariales
• Aucune transparence imposée sur les failles de sécurité découvertes en interne

Ce n'est pas de la déréglementation. C'est de l'aveuglement organisé.

Les 3 risques cyber que la régulation volontaire ne peut pas couvrir

1. Les attaques par injection de prompts sur des systèmes autonomes

Des outils comme ChatGPT ou Claude, intégrés dans des workflows d'entreprise, sont vulnérables aux attaques par "prompt injection" : un acteur malveillant insère des instructions cachées dans des documents ou des e-mails pour détourner le comportement de l'IA. Sans standard de sécurité obligatoire, chaque entreprise gère ce risque à sa façon — ou ne le gère pas du tout.

2. La génération automatisée de cyberattaques à grande échelle

Les modèles de langage permettent aujourd'hui de générer du code malveillant, des campagnes de phishing hyper-personnalisées ou des deepfakes vocaux convaincants en quelques secondes. Des groupes criminels et des États-nations exploitent déjà ces capacités. Sans obligation de reporting ni de coopération public-privé, les agences fédérales comme la CISA naviguent à l'aveugle.

3. L'empoisonnement des données d'entraînement

Un adversaire sophistiqué peut corrompre les données utilisées pour entraîner un modèle d'IA, introduisant des comportements erronés ou des biais délibérés. Dans un système médical ou financier, les conséquences peuvent être catastrophiques. La régulation volontaire ne prévoit aucun mécanisme de vérification indépendante de l'intégrité des données d'entraînement.

L'argument de l'autorégulation : solide en théorie, fragile en pratique

Les partisans de l'approche Trump citent volontiers le modèle de l'industrie aéronautique ou pharmaceutique, où les entreprises investissent massivement dans la sécurité sans contrainte externe permanente. Mais la comparaison s'arrête là.

Dans ces secteurs, les incentives économiques alignent naturellement intérêt privé et sécurité publique : un crash d'avion détruit une marque. Une faille d'IA, elle, peut rester invisible pendant des mois, exploitée silencieusement par des acteurs étrangers, sans jamais faire la une des journaux.

OpenAI, Google DeepMind et Anthropic ont signé des chartes volontaires de sécurité. C'est bien. Mais une charte sans mécanisme de contrôle est une promesse sans engagement. Et les centaines de startups qui déploient des agents IA dans des systèmes critiques sans être signataires de ces accords ? Personne ne les surveille.

Ce que font les autres : l'Europe montre une autre voie

Pendant que Washington recule, Bruxelles avance. L'AI Act européen, entré en vigueur en 2024, classe les systèmes d'IA selon leur niveau de risque et impose des obligations strictes aux applications à haut risque : transparence, robustesse, supervision humaine. Ce n'est pas parfait. Mais c'est un cadre.

Le paradoxe est cruel : les entreprises américaines qui souhaitent vendre leurs solutions en Europe devront se conformer à l'AI Act, alors qu'elles n'ont aucune obligation similaire sur leur propre sol. La compétitivité tant défendue par Trump pourrait finalement être sacrifiée sur l'autel du laisser-faire.

Conclusion : l'innovation sans garde-fous n'est pas de la liberté

La course à l'IA est réelle. La menace chinoise est réelle. Le besoin d'alléger certaines contraintes bureaucratiques est légitime. Mais confondre agilité et impunité, c'est préparer la prochaine grande crise de cybersécurité à bras ouverts.

Les prochaines années diront si le pari de Trump était visionnaire ou irresponsable. En attendant, les RSSI, les DSI et les dirigeants d'entreprise ne peuvent pas se permettre d'attendre la réponse. Dans un environnement sans règle fédérale, la sécurité de l'IA devient une responsabilité individuelle — et un avantage concurrentiel pour ceux qui la prennent au sérieux.

— Reservoir Live