← Retour au blog de sécurité

Lancement des directives de sécurité dès la conception de la 6G, le risque interne de l'IA atteint des niveaux critiques, les jours zéro d'entreprise atteignent un niveau record - Résumé de la réglementation en matière de sécurité

Sept pays occidentaux publient des principes de sécurité dès la conception pour les réseaux 6G avant même que les normes ne soient finalisées. Mimecast rapporte que les menaces internes basées sur l'IA sont devenues une « menace commerciale critique » : 42 % des organisations ont constaté une augmentation des incidents internes malveillants et négligents. Le Threat Intelligence Group de Google a suivi 90 zero-days en 2025, les logiciels d'entreprise étant désormais la cible principale. Microsoft répond aux problèmes de fuite de données de Copilot avec de nouveaux contrôles DLP. Et une vulnérabilité Gemini AI de haute gravité dans Chrome soulève de nouvelles questions sur la sécurité de l’IA dans le cadre de la loi européenne sur l’IA. Voici ce sur quoi les régulateurs et les équipes de conformité doivent agir cette semaine.

---

📡 GCOT lance les principes de sécurité dès la conception de la 6G

Pourquoi c'est important avant que la 6G n'existe

Le déploiement commercial de la 6G n’étant pas attendu avant 2029-2030, il s’agit de l’un des premiers cas de réglementation sur la sécurité dès la conception précédant la technologie qu'elle régit. La coalition a estimé que la 6G apportera davantage de fonctions réseau virtualisées, des architectures désagrégées avec des interfaces standardisées et une intégration native de l’IA – chacune créant de nouvelles surfaces d’attaque qui doivent être traitées au niveau des normes, et non modernisées après le déploiement.

Les huit principes

Le GCOT a défini quatre objectifs de sécurité et quatre objectifs de résilience :

Catégorie	Principe	Exigence clé
Sécurité	Endiguement	Limiter la propagation des acteurs malveillants à travers le réseau
Sécurité	Confidentialité	Confidentialité dès la conception pour les données des utilisateurs, sécurisées contre les écoutes clandestines
Sécurité	Intégrité	Garanties d’intégrité des données sur l’ensemble du transit et de l’infrastructure du réseau
Sécurité	Contrôle d'accès	Authentification et autorisation pour tous les composants du réseau
Résilience	Continuité des services	Maintenir la disponibilité dans des circonstances difficiles
Résilience	Chaîne d'approvisionnement	Sécurité multifournisseur avec assurance d’un fournisseur fiable
Résilience	Sécurité physique	Résilience face aux menaces physiques et environnementales
Résilience	Récupération	Restauration rapide après des incidents ou des perturbations de sécurité

Alignement réglementaire

Ces principes correspondent directement aux réglementations européennes existantes et émergentes :

• NIS2 Article 21 : Les principes de sécurité reflètent les mesures de gestion des risques de NIS2 pour les entités essentielles du secteur des télécommunications : le confinement, l'intégrité et le contrôle d'accès sont des exigences fondamentales de NIS2.
• Loi européenne sur la cyber-résilience (CRA) : Les principes de la chaîne d'approvisionnement et de la sécurité dès la conception s'alignent sur les exigences de sécurité des produits de l'ARC, qui s'appliqueront à l'équipement du réseau 6G une fois commercialisé.
• Code des communications électroniques européen (EECC) : Les principes de résilience du GCOT complètent les articles 40 et 41 de l'EECC sur la sécurité et l'intégrité des réseaux.
• J'AI Acte : L’IA étant nativement intégrée aux réseaux 6G, les exigences de gouvernance de l’IA en vertu des articles 6 à 49 s’appliqueront aux composants d’IA de l’infrastructure 6G classés comme à haut risque.

---

🤖 Risque interne lié à l'IA : une « menace commerciale critique »

Principales conclusions

• Augmentation de 42 % des incidents internes malveillants : Les employés volent, manipulent ou détruisent délibérément des données, utilisant souvent des outils d'IA pour localiser et exfiltrer des informations sensibles à grande échelle.
• Augmentation de 42 % des incidents de négligence : Employés utilisant des comptes cloud personnels, des mots de passe faibles ou tombant dans le piège du phishing amélioré par l'IA – une négligence amplifiée par le faux sentiment de sécurité que procurent les outils de productivité de l'IA.
• Croissance de 10 % sur un an Les RSSI s'inquiètent des attaques internes malveillantes, les responsables de la sécurité s'attendant désormais à une moyenne de six menaces internes par mois
• L’IA comme arme et vulnérabilité : Les attaquants utilisent l’IA pour créer des leurres de phishing plus convaincants, tandis que les initiés utilisent l’IA pour rechercher et extraire des données sensibles plus efficacement.

Implications de la loi européenne sur l’IA

Le cadre fondé sur les risques de la loi européenne sur l’IA est directement pertinent pour les menaces internes liées à l’IA :

• Article 9 (Gestion des risques) : Les systèmes d'IA à haut risque déployés dans les environnements de travail doivent inclure des systèmes de gestion des risques qui traitent les scénarios d'utilisation abusive, y compris les abus délibérés par des utilisateurs autorisés.
• Article 14 (Contrôle humain) : Les outils d'IA utilisés dans les environnements d'entreprise doivent maintenir des capacités de surveillance humaine, y compris la capacité de détecter et d'empêcher les modèles d'exfiltration de données.
• Article 13 (Transparence) : Les organisations qui déploient des outils de productivité d'IA doivent informer les utilisateurs sur les capacités et les limites du système : les employés doivent comprendre à quelles données les outils d'IA peuvent accéder.
• Article 52 (Transparence spécifique) : Les systèmes d'IA générant du contenu ou interagissant avec des humains doivent être identifiables comme étant de l'IA. Cela s'applique aux e-mails de phishing créés par l'IA et ciblant les employés.

Exigences NIS2 et DORA

Les menaces internes entrent explicitement dans le champ d’application des deux cadres :

• Article 21(2)(i) du NIS2 : Nécessite des mesures de « sécurité des ressources humaines », notamment la vérification des antécédents, la sensibilisation à la sécurité et la gestion des accès — la gouvernance des outils d'IA doit désormais en faire partie
• NIS2 Article 21(2)(a) : Les politiques d’analyse des risques et de sécurité des systèmes d’information doivent tenir compte des scénarios de risques internes amplifiés par l’IA
• DORA Article 5 : Les entités financières doivent inclure des scénarios de menaces internes dans leurs cadres de gestion des risques liés aux TIC, les menaces basées sur l'IA nécessitant des capacités de détection et de réponse spécifiques.
• DORA Article 13 : L'apprentissage et l'évolution des exigences signifient que les entités financières doivent mettre à jour leurs renseignements sur les menaces pour inclure les modèles d'attaques internes basés sur l'IA.

---

🎯 Les Zero-Days d'entreprise atteignent un niveau record : 90 en 2025

Le changement d’entreprise

L'analyse de Google révèle un changement structurel dans le paysage des menaces :

• 43 produits d'entreprise ciblés Zero Day — appareils de sécurité, équipements réseau, plates-formes de virtualisation et applications d'entreprise
• 21 d’entre eux (près de la moitié) ciblaient les solutions de sécurité et de mise en réseau — pare-feu, VPN, routeurs et passerelles de sécurité situés à la périphérie du réseau
• Les appareils Edge sont des angles morts : Les appliances de sécurité manquent souvent de couverture de détection et de réponse des points finaux (EDR), ce qui rend l'exploitation du jour zéro plus difficile à détecter.
• Les attaquants s’implantent profondément dans une infrastructure d'entreprise critique, en utilisant des outils d'entreprise compromis pour l'élévation des privilèges et les mouvements latéraux

Résultats supplémentaires du GTIG

• Windows reste l'OS le plus ciblé : Sur les 47 utilisateurs finaux Zero Day, 24 (27 % du total) ciblaient les systèmes d'exploitation, Microsoft Windows étant en tête.
• Les zero-days mobiles ont explosé : 15 systèmes d'exploitation mobiles Zero Day en 2025, contre 9 en 2024, soit une augmentation de 67 %
• Les zero-days des navigateurs ont atteint un plus bas historique : À mesure que le sandboxing des navigateurs s'améliore, les attaquants se tournent vers des cibles moins sécurisées.
• CVE-2026-0628 (Gemini AI dans Chrome) : Une vulnérabilité d'élévation de privilèges de haute gravité (CVSS 8.8) permettant à des extensions malveillantes de détourner Gemini Live dans le panneau du navigateur Chrome.

Implications réglementaires

Cadre	Exigence	Impact de la surtension Zero Day
NIS2	Art. 21(2)(e) — Gestion des vulnérabilités	Les entités essentielles doivent disposer de processus pour la détection du jour zéro, le tri et l'application de correctifs d'urgence à l'infrastructure de l'entreprise.
DORA	Art. 9 — Gestion des risques TIC	Les entités financières doivent inclure des scénarios d'entreprise « jour zéro » dans leurs évaluations des risques et maintenir des procédures de correctifs d'urgence.
ARC	Art. 11 — Rapports de vulnérabilité	Les fabricants de produits seront soumis à un reporting obligatoire 24 heures sur 24 sur les vulnérabilités activement exploitées à partir de septembre 2026.
J'AI Acte	Art. 15 — Précision, robustesse, sécurité	Les systèmes d'IA doivent être résilients à l'exploitation — le Gemini Chrome CVE démontre que les composants d'IA créent de nouvelles classes de vulnérabilité

---

🛡️ Protection des données Microsoft Copilot : la gouvernance de l'IA en pratique

Ce qui a changé

Le problème principal : l'assistant IA de Microsoft 365 Copilot pouvait accéder et traiter les fichiers stockés localement sur les machines des utilisateurs, même lorsque les politiques DLP restreignaient ces mêmes fichiers sur OneDrive et SharePoint. Cette lacune signifiait que les documents confidentiels – marqués comme sensibles par les règles DLP – pouvaient être résumés, cités ou référencés dans les rapports générés par Copilot sans aucune protection appliquée.

• Nouveau comportement par défaut (avril 2026) : Les politiques DLP s'appliqueront à tous les fichiers auxquels Copilot accède, quel que soit l'emplacement de stockage.
• Appliqué par défaut : Les organisations n’ont pas besoin d’adhérer – la protection sera automatique
• Application rétroactive : Les politiques DLP existantes s'étendront pour couvrir l'accès aux fichiers locaux de Copilot

Importance réglementaire

Cet épisode illustre un modèle réglementaire que les équipes de conformité doivent internaliser :

• Article 25 du RGPD (Protection des données dès la conception) : Le comportement initial de Copilot – traiter des données confidentielles sans appliquer les règles DLP existantes – a sans doute violé le principe de protection des données dès la conception et par défaut. Les organisations qui ont déployé Copilot sans vérifier la couverture DLP peuvent être tenues responsables du contrôleur.
• Article 9 de la loi de l’UE sur l’IA (gestion des risques) : Les systèmes d’IA qui traitent des données personnelles ou confidentielles doivent inclure des contrôles pour empêcher l’exposition non autorisée des données. L'écart DLP de Copilot est exactement le type de risque que les systèmes de gestion des risques de l'article 9 doivent identifier et atténuer.
• Article 28 de DORA (Risque informatique lié aux tiers) : Les entités financières utilisant Microsoft 365 Copilot doivent traiter cette lacune DLP comme un événement de risque informatique important. Documentez l'écart, le calendrier de remédiation (avril 2026) et tout contrôle compensatoire intermédiaire dans votre registre des risques liés aux tiers.
• NIS2 Article 21, paragraphe 2, point d) — Sécurité de la chaîne d’approvisionnement : Copilot est un composant d'IA tiers dans votre environnement TIC. Son comportement en matière de traitement des données constitue un risque pour la chaîne d’approvisionnement qui doit être évalué en permanence

---

⚠️ Fausses extensions de navigateur AI : écart en matière de protection des consommateurs

Le fossé réglementaire

Cette tendance révèle des lacunes critiques dans les cadres réglementaires existants :

• Article 52 de la loi de l’UE sur l’IA (transparence) : Les systèmes d’IA interagissant avec les utilisateurs doivent être identifiables comme étant de l’IA et divulguer leur objectif. Les fausses extensions d'IA violent à la fois les exigences de transparence et de limitation des finalités, mais les mécanismes d'application pour la distribution sur l'App Store ne sont pas définis.
• Loi sur les services numériques (DSA) : Les magasins d'applications sont considérés comme des « plateformes en ligne » au sens du DSA et doivent mettre en œuvre des mesures pour empêcher la distribution d'extensions malveillantes. Cela inclut des obligations proactives d’examen de la sécurité pour les très grandes plateformes en ligne (VLOP).
• Article 5(1)(b) du RGPD — Limitation de la finalité : Les extensions qui collectent des données au-delà de leur fonctionnalité d'IA déclarée violent le principe de limitation des finalités. Les autorités chargées de la protection des données devraient donner la priorité à la répression contre ces acteurs
• Sécurité des produits de l'ARC : Lorsque les obligations de déclaration de l'ARC entreront en vigueur en septembre 2026, les magasins d'applications pourraient être tenus de signaler les vulnérabilités activement exploitées dans les logiciels distribués, y compris les extensions malveillantes.

---

📅 Calendrier réglementaire : dates clés à venir

Date	Cadre	Jalon
11 mars 2026	Patch mardi	Version Microsoft de mars 2026 : après 90 jours zéro en 2025, préparez-vous à des correctifs importants
avril 2026	Microsoft	Protection des fichiers locaux Copilot DLP appliquée par défaut : vérifiez que vos politiques DLP couvrent toutes les catégories de données.
2 mai 2026	J'AI Acte	Les obligations de transparence du modèle GPAI entrent en vigueur – les fournisseurs d’IA doivent publier des résumés des données de formation
2 août 2026	J'AI Acte	Exigences applicables aux systèmes d'IA à haut risque (articles 6 à 49) — pile de conformité complète requise
11 septembre 2026	ARC	Début du signalement obligatoire des vulnérabilités activement exploitées – exigence de notification 24 heures sur 24
17 octobre 2026	NIS2	Délai de transposition par les États membres — les 27 pays de l’UE doivent avoir NIS2 dans leur droit national
2029-2030	GCOT/6G	Déploiements commerciaux initiaux attendus de la 6G : les principes de sécurité dès la conception doivent être intégrés dans les normes d'ici là.

---

🔑 Points clés à retenir pour les équipes de conformité

1. Les normes de sécurité 6G sont en train d’être élaborées. Les huit principes du GCOT définissent des attentes qui deviendront des exigences obligatoires. Les opérateurs de télécommunications et les fabricants d’équipements devraient dès aujourd’hui aligner leurs processus de sécurité dès la conception sur ces principes – attendre les normes définitives signifie rattraper leur retard.
2. Le risque interne lié à l’IA est une obligation de conformité et non un problème de ressources humaines. Alors que 42 % des organisations signalent une augmentation des menaces internes basées sur l'IA, les programmes de conformité NIS2 et DORA doivent inclure des contrôles spécifiques de gouvernance des outils d'IA : audits d'IA fantôme, DLP pour l'accès assisté par l'IA et lignes de base des menaces internes qui tiennent compte des capacités de l'IA.
3. Votre infrastructure de sécurité est la cible. Les 90 résultats zéro jour de Google, dont près de la moitié ciblent les appareils de sécurité et de réseau d'entreprise, signifient que les programmes de gestion des vulnérabilités doivent donner la priorité aux outils destinés à vous protéger. Supposons que les appareils de périphérie soient compromis et mettent en œuvre une surveillance hors bande.
4. L'écart DLP de Microsoft Copilot est un aperçu des échecs de la gouvernance de l'IA. Les organisations qui déploient des outils de productivité d’IA sans vérifier les contrôles de traitement des données sont confrontées à la responsabilité du RGPD, de la loi européenne sur l’IA et du NIS2. Auditez l’accès aux données de l’outil d’IA avant que les régulateurs ne posent des questions.
5. Les fausses extensions d’IA constituent une crise en matière de protection des consommateurs. Jusqu'à ce que l'application des DSA et des CRA rattrape son retard, la liste blanche des extensions de navigateur d'entreprise constitue votre seule défense fiable. Mettez-le en œuvre maintenant.
6. La préparation du Patch Tuesday n’est pas facultative. Après une année record de zéro jour en entreprise, les entités DORA et NIS2 sans procédures de correctifs d'urgence documentées et testées connaissent un déficit de conformité que les superviseurs identifieront.