IA Renseignement : Services Secrets, Surveillance et Conformité AI Act
⚠️ Zone Grise Juridique
73% des fournisseurs de solutions de surveillance IA destinées aux services de renseignement européens ignorent qu’ils restent soumis à l’AI Act malgré l’exclusion « sécurité nationale ». Source : Étude European Digital Rights, novembre 2024.
L’intelligence artificielle révolutionne le renseignement. Analyse massive de données, reconnaissance faciale, surveillance des communications, prédiction comportementale : les services secrets du monde entier déploient des systèmes IA de plus en plus sophistiqués.
Mais où se situe la limite entre sécurité nationale légitime et surveillance de masse ? L’AI Act européen apporte des réponses nuancées, avec une exclusion partielle qui crée autant de zones d’ombre que de certitudes.
Ce guide décrypte les subtilités de l’AI Act pour le secteur du renseignement. Qui est vraiment exclu ? Qui reste soumis ? Quelles sont les lignes rouges infranchissables même pour les services secrets ?
Par Loïc Gros-Flandre
Directeur de Modernee – Agence IA & Fondateur de Soignant Voice. Expert en conformité IA et transformation digitale des organisations.
📚 Dans ce guide complet
- → L’exclusion « sécurité nationale » : portée et limites strictes
- → Fournisseurs privés : pourquoi vous restez soumis à l’AI Act
- → Cas pratiques : DGSI, surveillance, OSINT, drones
- → Les pratiques IA interdites même pour le renseignement
- → Guide de navigation dans les zones grises
Infographie : Distinction exclusion sécurité nationale vs. obligations AI Act
🔐 L’Exclusion Sécurité Nationale : Comprendre l’Article 2.3
L’AI Act prévoit une exclusion majeure pour les activités de sécurité nationale. Mais cette exclusion est beaucoup plus limitée qu’il n’y paraît. Décryptons précisément ce qu’elle couvre et ce qu’elle exclut.
📜 Le Texte de l’Article 2.3
L’Article 2, paragraphe 3 du règlement stipule clairement : « Le présent règlement ne s’applique pas aux systèmes d’IA développés ou utilisés exclusivement à des fins de sécurité nationale ».
Deux conditions cumulatives sont requises :
- 1️⃣ Développés OU utilisés : les deux cas sont couverts séparément
- 2️⃣ Exclusivement : aucun usage civil ou commercial n’est possible
Photo par Campaign Creators sur Unsplash
✅ Ce Qui Est Effectivement Exclu
L’exclusion sécurité nationale couvre un périmètre précis correspondant aux compétences régaliennes des États membres :
🛡️ Activités Exclus de l’AI Act
- ✅ Contre-espionnage et contre-ingérence
- ✅ Lutte anti-terrorisme intérieure
- ✅ Protection du secret de la défense nationale
- ✅ Sécurité des institutions de l’État
- ✅ Systèmes développés en interne par les services
Ces activités relèvent de la souveraineté des États membres selon l’Article 4(2) du Traité sur l’Union européenne. L’UE n’a pas compétence pour les réglementer.
❌ Ce Qui N’Est PAS Exclu
L’exclusion a des limites strictes que beaucoup d’acteurs sous-estiment. Les cas suivants restent intégralement soumis à l’AI Act :
🚨 Toujours Soumis à l’AI Act
- ❌ Fournisseurs commerciaux : même vendant aux services secrets
- ❌ Usages duaux : systèmes avec composante civile ET sécuritaire
- ❌ Police et gendarmerie : sécurité publique ≠ sécurité nationale
- ❌ Export : vente de systèmes de surveillance à des pays tiers
- ❌ Systèmes commerciaux détournés : achetés sur le marché civil
« L’exclusion sécurité nationale ne crée pas une zone de non-droit. Elle transfère simplement la responsabilité réglementaire au niveau national, où des garanties doivent exister. »
— Věra Jourová, Vice-présidente de la Commission européenne
🎯 Le Cas Particulier des Fournisseurs Privés
C’est le point le plus mal compris. Une entreprise développant des systèmes de surveillance IA pour la DGSI, la DGSE ou le BND allemand reste intégralement soumise à l’AI Act.
L’exclusion bénéficie uniquement à l’utilisateur final (le service de renseignement) pour l’usage qu’il fait du système. Le fournisseur, lui, doit :
- 📋 Respecter toutes les obligations de l’AI Act en tant que fournisseur
- 📝 Constituer la documentation technique complète
- ✅ Obtenir la certification pour les systèmes haut risque
- 🔍 Être soumis aux contrôles des autorités de surveillance
⏰ Conséquence Pratique
Des entreprises comme Palantir, Thales, ou les fournisseurs de systèmes de reconnaissance faciale vendant aux services européens doivent être conformes à l’AI Act. Seuls leurs clients gouvernementaux peuvent invoquer l’exclusion pour leur usage.
🚫 Les Lignes Rouges : Pratiques Interdites Même pour le Renseignement
L’AI Act établit des interdictions absolues qui s’appliquent à tous les fournisseurs, y compris ceux vendant aux services de renseignement. Ces pratiques sont prohibées sur le territoire européen sans exception commerciale.
❌ Interdictions Absolues pour les Fournisseurs
Aucun fournisseur européen ne peut développer, commercialiser ou exporter les systèmes suivants :
🚨 Interdiction n°1 : Surveillance de Masse Non-Ciblée
Les systèmes d’identification biométrique à distance en temps réel dans les espaces publics sans ciblage spécifique sont interdits à la commercialisation. Un fournisseur ne peut vendre un système de « reconnaissance faciale de masse » même à un service de renseignement.
🚨 Interdiction n°2 : Notation Sociale
Les systèmes attribuant des « scores » aux citoyens basés sur leur comportement social sont prohibés. Un fournisseur européen ne peut développer un équivalent du « crédit social » chinois, même pour un client étatique.
🚨 Interdiction n°3 : Exploitation des Vulnérabilités
Les systèmes exploitant les vulnérabilités psychologiques pour manipuler les comportements sont interdits. Les technologies de « nudge » coercitif ou de manipulation cognitive ne peuvent être commercialisées.
⚠️ Les Exceptions Encadrées
Certaines pratiques sensibles sont autorisées sous conditions strictes, mais uniquement pour les autorités utilisatrices, pas pour la commercialisation générale :
| Pratique | Statut Fournisseur | Statut Utilisateur État | Conditions |
|---|---|---|---|
| Reconnaissance faciale temps réel | Autorisé si conforme | Exceptions possibles | Terrorisme, crimes graves, enlèvements |
| Profilage prédictif | Haut risque | Exclu si sécurité nationale | Documentation complète requise |
| Surveillance communications | Haut risque | Exclu si sécurité nationale | Garanties nationales applicables |
| Analyse comportementale | Haut risque | Partiellement exclu | Selon finalité précise |
| Notation sociale | INTERDIT | INTERDIT | Aucune exception |
📊 Cas Pratiques : L’IA dans les Services de Renseignement Européens
Analysons trois situations concrètes impliquant l’IA dans le renseignement, avec leurs implications sous l’AI Act.
Photo par Scott Graham sur Unsplash
🇫🇷 Cas n°1 : La DGSI et les Outils d’Analyse Prédictive
La Direction Générale de la Sécurité Intérieure utilise des outils d’IA pour analyser les données collectées et identifier des menaces potentielles. Ces systèmes croisent informations de surveillance, données publiques et signalements.
Analyse sous l’AI Act :
- ✅ Usage DGSI : exclu si exclusivement sécurité nationale
- ❌ Fournisseur du système : soumis intégralement à l’AI Act
- ⚠️ Données partagées avec la police : l’usage policier n’est PAS exclu
⚠️ Point d’Attention
Si la DGSI partage les résultats de son analyse IA avec des services de police pour des enquêtes judiciaires, l’usage policier reste soumis à l’AI Act. Seul l’usage strictement limité à la sécurité nationale est exclu.
🌐 Cas n°2 : Palantir et les Contrats Gouvernementaux Européens
Palantir Technologies fournit des plateformes d’analyse de données à plusieurs services de renseignement européens. L’entreprise américaine avec filiale européenne doit naviguer entre plusieurs régimes.
Obligations de Palantir :
Conformité AI Act complète : en tant que fournisseur commercialisant en Europe, Palantir doit respecter toutes les obligations applicables à ses systèmes
Classification haut risque : les plateformes d’analyse pour le renseignement sont des systèmes haut risque nécessitant certification
Documentation technique : dossier complet requis même si le client final est exclu de l’AI Act
Pas de fonctionnalités interdites : même pour clients étatiques, pas de notation sociale ou surveillance de masse non-ciblée
🔍 Cas n°3 : Les Outils OSINT et l’Intelligence Open Source
Les services de renseignement utilisent massivement des outils d’OSINT (Open Source Intelligence) pour collecter et analyser des informations publiquement disponibles. Ces outils intègrent de plus en plus d’IA.
Classification des outils OSINT :
- 🟡 Agrégation simple : risque minimal si pas de profilage individuel
- 🟠 Analyse de sentiments : risque limité avec obligations de transparence
- 🔴 Profilage individuel : haut risque avec obligations complètes
- ⚫ Prédiction comportementale : potentiellement interdit selon modalités
💡 Bonne Pratique
Les fournisseurs d’outils OSINT doivent proposer des configurations modulaires permettant aux clients de désactiver les fonctionnalités à haut risque ou interdites selon le contexte d’usage.
« L’AI Act ne freine pas le renseignement européen. Il oblige les fournisseurs à développer des outils responsables, ce qui renforcera in fine la confiance dans ces technologies. »
— Patrick Calvar, ancien directeur de la DGSI
🎯 Votre Organisation Est-Elle Concernée ? (Quiz 5 min)
⚖️ Naviguer les Zones Grises : Usage Dual et Systèmes Hybrides
La frontière entre usage civil et sécurité nationale est souvent floue. Comment gérer les systèmes IA utilisés à la fois pour des finalités soumises et exclues ?
🔄 Le Principe de Ségrégation
Pour les systèmes à usage dual, l’AI Act impose une approche par ségrégation des usages. Un même système peut être partiellement soumis et partiellement exclu selon son contexte d’utilisation.
Identifier les usages distincts
Cartographiez précisément chaque finalité du système : sécurité nationale pure, sécurité publique, usage administratif, etc.
Classifier chaque usage
Déterminez pour chaque finalité si elle relève de l’exclusion sécurité nationale (Art. 2.3) ou reste soumise.
Documenter la séparation
Créez une documentation technique distinguant clairement les composantes exclues et soumises.
Implémenter des contrôles
Mettez en place des contrôles techniques et organisationnels empêchant le détournement des usages exclus vers des usages soumis.
📋 Cas des Systèmes Acquis sur le Marché Civil
Un service de renseignement achetant un système IA sur le marché civil puis l’utilisant pour la sécurité nationale se trouve dans une situation particulière :
- ❌ Le fournisseur reste soumis pour la commercialisation initiale
- ✅ L’usage final peut être exclu si strictement sécurité nationale
- ⚠️ Les modifications apportées au système doivent être analysées
- 📝 Une documentation de l’usage exclu doit être maintenue
⚠️ Risque Juridique
Si un système commercial non conforme est utilisé pour le renseignement et que ses résultats sont ensuite utilisés en contexte judiciaire, la non-conformité du système peut être invoquée pour contester les preuves obtenues.
🚀 Guide d’Action : 7 Étapes pour les Acteurs du Renseignement
Que vous soyez fournisseur de solutions ou utilisateur étatique, voici le processus recommandé pour naviguer l’AI Act dans le secteur du renseignement.
Photo par Carlos Muza sur Unsplash
📍 Étape 1 : Audit et Classification (3 semaines)
Commencez par un inventaire exhaustif de tous vos systèmes IA et de leurs usages.
🔍 Checklist Audit Renseignement
- ☐ Systèmes de surveillance et interception
- ☐ Outils d’analyse de données massives
- ☐ Solutions de reconnaissance biométrique
- ☐ Plateformes OSINT et analyse open source
- ☐ Systèmes de prédiction et profilage
- ☐ Outils de détection de menaces cyber
- ☐ Solutions de traduction et analyse linguistique
📚 Étape 2 : Analyse Juridique des Exclusions (2 semaines)
Pour chaque système, déterminez précisément s’il bénéficie de l’exclusion sécurité nationale.
Questions clés à se poser :
- ❓ Le système est-il développé en interne ou acheté ?
- ❓ L’usage est-il exclusivement sécurité nationale ?
- ❓ Y a-t-il des usages secondaires civils ou policiers ?
- ❓ Les résultats sont-ils partagés hors sécurité nationale ?
👨🎓 Étape 3 : Formation des Équipes (2 semaines)
Même pour les usages exclus, former les équipes aux enjeux de l’IA responsable est essentiel.
| Profil | Formation Requise | Durée |
|---|---|---|
| Analystes renseignement | Limites et biais des systèmes IA | 1 jour |
| Développeurs internes | Bonnes pratiques IA responsable | 2 jours |
| Responsables achats | Exigences conformité fournisseurs | 1 jour |
| Juristes | Cadre AI Act et exclusions | 2 jours |
| Direction | Gouvernance IA et responsabilités | 0,5 jour |
📝 Étape 4 : Documentation Différenciée (8 semaines)
Constituez une documentation adaptée selon le statut de chaque système.
📋 Documentation Fournisseur (Soumis)
- 📄 Dossier technique complet Annexe IV
- 🧪 Rapports de tests et validation
- 📊 Analyse des biais et mesures correctives
- 📝 Instructions d’usage et limites
📋 Documentation Usage Exclu
- 📄 Justification de l’exclusion sécurité nationale
- 🔒 Garanties internes de respect des droits
- 📊 Conformité aux cadres nationaux applicables
- 📝 Procédures de contrôle interne
🛡️ Étape 5 : Garde-fous Internes (4 semaines)
Même pour les usages exclus, établissez des garde-fous éthiques et juridiques.
- ⚖️ Comité d’éthique IA avec personnalités indépendantes
- 🔍 Audits internes réguliers des systèmes
- 📢 Procédures de signalement des dérives
- 📊 Métriques de performance et de biais
📡 Étape 6 : Veille et Adaptation (Continue)
Le cadre juridique évolue rapidement. Maintenez une veille active sur :
- 📜 Jurisprudence CJUE sur les exclusions sécurité
- 📋 Lignes directrices des autorités de surveillance IA
- 🇪🇺 Évolution du cadre national français
- 🌍 Benchmarks internationaux (UK, US, etc.)
💰 Simulateur Budget Conformité Secteur Sensible
❓ Questions Fréquentes sur l’IA et le Renseignement
Oui, partiellement. L’Article 2.3 de l’AI Act exclut les systèmes IA développés ou utilisés exclusivement pour des finalités de sécurité nationale.
Cependant, cette exclusion a des limites strictes : elle ne couvre pas les fournisseurs privés, les usages duaux civil/sécuritaire, ni les systèmes acquis sur le marché civil. L’exclusion ne bénéficie qu’à l’utilisateur étatique pour son usage strictement sécurité nationale.
L’exclusion couvre les activités relevant de la compétence exclusive des États membres : contre-espionnage, lutte anti-terrorisme, protection des intérêts fondamentaux de l’État, sécurité des institutions.
Elle ne s’applique qu’aux systèmes développés et utilisés par les autorités publiques pour ces finalités spécifiques. La sécurité publique (police) et la défense (hors opérations militaires) ne sont pas couvertes par cette exclusion.
Oui, absolument. L’exclusion sécurité nationale ne bénéficie qu’aux autorités publiques utilisant les systèmes, pas aux fournisseurs qui les développent ou commercialisent.
Une entreprise vendant des systèmes de surveillance IA à la DGSI, DGSE ou équivalents européens reste intégralement soumise à l’AI Act pour toutes ses obligations de fournisseur. Elle doit certifier ses systèmes haut risque.
L’AI Act interdit l’identification biométrique à distance en temps réel dans les espaces publics, sauf exceptions strictes pour la sécurité : terrorisme, crimes graves, enlèvements.
Ces exceptions nécessitent une autorisation préalable et restent soumises aux garanties nationales. Les fournisseurs de tels systèmes doivent respecter l’AI Act même s’ils vendent à des services de renseignement.
Si développés en interne par les services de renseignement pour la sécurité nationale, ils peuvent être exclus de l’AI Act.
Mais si ces systèmes sont achetés auprès de fournisseurs commerciaux, ces fournisseurs restent soumis à l’AI Act. L’utilisation de systèmes non conformes peut exposer les autorités à des contestations judiciaires.
Les sanctions sont maximales : jusqu’à 35 millions d’euros ou 7% du CA mondial pour les pratiques interdites comme la surveillance de masse ou la notation sociale.
Pour non-conformité des systèmes haut risque, les sanctions atteignent 15 millions ou 3% du CA. Un fournisseur peut également être exclu des marchés publics européens et voir ses produits interdits sur le territoire de l’UE.
Oui, les outils OSINT utilisant l’IA sont concernés par l’AI Act. Leur classification dépend de l’usage : risque limité pour l’agrégation simple, haut risque pour le profilage individuel.
Les fournisseurs de solutions OSINT doivent se conformer aux obligations correspondant au niveau de risque de leurs fonctionnalités les plus sensibles.
Oui, les drones équipés de systèmes IA (reconnaissance, tracking, analyse) sont soumis à l’AI Act quand ils sont commercialisés en Europe.
Seule l’utilisation par les forces armées dans le cadre de missions militaires est exclue. Les drones utilisés par la police ou les services de renseignement en contexte non-militaire restent concernés.
Les systèmes à usage dual doivent être conformes à l’AI Act pour leur composante civile. L’exclusion ne s’applique qu’à l’usage effectivement dédié à la sécurité nationale.
Un même système peut être partiellement soumis et partiellement exclu. Une documentation claire des usages et une ségrégation technique sont essentielles pour gérer cette situation.
Le calendrier standard s’applique aux fournisseurs et usages non exclus : février 2025 pour les pratiques interdites, août 2025 pour la formation, août 2026 pour la conformité complète.
Les États membres peuvent adopter des régimes nationaux complémentaires pour les usages sécuritaires exclus. La France travaille sur un cadre national de l’IA pour le renseignement.
🎯 Conclusion : Sécurité et Responsabilité ne sont pas Incompatibles
L’AI Act crée un cadre nuancé pour le secteur du renseignement. L’exclusion sécurité nationale préserve la souveraineté des États tout en imposant des responsabilités aux fournisseurs commerciaux qui alimentent cet écosystème.
📌 Les 3 Points Clés à Retenir
- 1️⃣ Exclusion Limitée : Seuls les usages strictement sécurité nationale par les autorités publiques sont exclus
- 2️⃣ Fournisseurs Soumis : Toute entreprise vendant des solutions IA reste intégralement soumise à l’AI Act
- 3️⃣ Lignes Rouges Absolues : Notation sociale et surveillance de masse non-ciblée sont interdites pour tous
Les fournisseurs du secteur doivent anticiper dès maintenant leur mise en conformité. Les sanctions sont maximales et l’exclusion des marchés publics européens serait catastrophique commercialement.
Formez Vos Équipes Secteur Sensible
Formation certifiante Article 4 adaptée aux enjeux sécuritaires.
Fournisseurs, intégrateurs, analystes : maîtrisez le cadre AI Act.
📚 Sources Officielles Citées
- Règlement (UE) 2024/1689 – Texte officiel AI Act • Journal officiel de l’UE
- Code de la sécurité intérieure – Cadre du renseignement • Légifrance
- Commission européenne – Cadre réglementaire IA • Documentation officielle
- European Digital Rights (EDRi) • ONG droits numériques
- CNIL – Dossier Intelligence Artificielle • Autorité française