Paris maintient ses tests cyber en interne, Mistral remplaçant OpenAI pour les travaux
Points clés
- •Le ministre du Budget David Amiel a déclaré que la France s’appuiera sur des sociétés d’IA souveraines comme Mistral pour détecter les vulnérabilités des systèmes gouvernementaux, en excluant explicitement OpenAI de l’opération.
- •Une violation à la Direction générale des Finances publiques a exposé les données d’environ 700 000 contribuables après qu’un attaquant a utilisé un VPN interne compromis et une identité volée pour accéder à un outil de recherche des contribuables.
- •Les dossiers compromis comprenaient les noms, les éléments de naissance, les adresses postales et électroniques, les numéros de téléphone, les numéros d’identification fiscale, les taux de prélèvement à la source et la correspondance avec les agents, mais pas les noms d’utilisateur ni les mots de passe.
- •La responsable de l’administration fiscale, Amelie Verdier, a indiqué qu’une deuxième violation de données avait été découverte et était toujours en cours d’évaluation, tandis que la CNIL a été informée et que la DGFiP a annoncé le dépôt d’une plainte pénale.
- •Le plan s’inscrit dans l’initiative « Notre IA » de la France, dont l’assistant basé sur Mistral, « L’Assistant », développé par DINUM et hébergé dans des datacenters certifiés SecNumCloud, est déployé auprès de près d’un million d’agents publics.
La France fera appel à des fournisseurs d’IA « souverains » tels que Mistral — et non OpenAI — pour tester les systèmes gouvernementaux à la recherche de vulnérabilités de sécurité, a déclaré mardi le ministre du Budget David Amiel.
L’annonce intervient quelques jours après qu’une violation au sein de l’agence fiscale nationale a exposé les données d’environ 700 000 contribuables, soulignant pourquoi les responsables français associent les travaux de cybersécurité à des outils qu’ils disent pouvoir être hébergés et contrôlés selon des règles nationales.
« Cela exclut OpenAI »
Répondant aux journalistes après une réunion du cabinet à Paris, Amiel a déclaré que l’État confierait ces travaux à ce qu’il a appelé des entreprises d’IA souveraines, « telles que Mistral ». « Cela exclut OpenAI », a-t-il dit.
Amiel avait confirmé le projet plus tôt dans la journée : le gouvernement déploiera des outils d’IA pour identifier les vulnérabilités de ses propres services face aux cyberattaques. Le déclencheur a été la violation de l’agence fiscale révélée le jeudi précédent, lorsque le ministère français des Finances a indiqué que les données d’environ 700 000 contribuables avaient été prises.
Mistral, la start-up parisienne soutenue par le fournisseur d’équipements pour la fabrication de puces ASML, est devenue l’entreprise de référence pour la France lorsque le gouvernement veut montrer qu’il peut faire fonctionner des systèmes critiques sans dépendre de la technologie américaine. Ce positionnement s’inscrit aussi dans une dynamique plus large à Paris en faveur d’une IA du secteur public pouvant être utilisée au sein d’une infrastructure de confiance plutôt que relayée par des fournisseurs étrangers de cloud et de modèles.
En juin, Amiel a présenté un plan gouvernemental intitulé « Notre IA », pour diffuser des outils souverains dans les services publics. Sa pièce maîtresse, un assistant appelé « L’Assistant », a été développé par l’agence numérique de l’État DINUM, à partir du modèle de Mistral, et hébergé dans des datacenters certifiés SecNumCloud. L’outil était déployé auprès de près d’un million d’agents publics.
Une violation qui continue de s’étendre
Amelie Verdier, qui dirige l’administration fiscale française, a déclaré lundi que ses équipes avaient découvert une deuxième violation de données. Elle a indiqué que cette intrusion était toujours en cours d’évaluation.
La première violation, au sein de la Direction générale des Finances publiques, avait été signalée plus tôt ce mois-ci par Cryptopolitan. Selon la DGFiP, un attaquant a utilisé un VPN interne compromis et une identité volée pour accéder à un outil de recherche des contribuables.
L’accès a été retracé jusqu’à la fin juin 2026 et fermé avant la fin du mois — au moment où l’attaquant avait déjà consulté et extrait des dossiers.
Les données exposées comprennent les noms, les éléments de naissance, les adresses postales et électroniques, les numéros de téléphone, les numéros d’identification fiscale, les taux de prélèvement à la source et la correspondance avec les agents, a indiqué la DGFiP. L’agence a souligné que les noms d’utilisateur et les mots de passe ne faisaient pas partie des données exposées.
La CNIL, le régulateur français de la vie privée, a été informée, et la DGFiP a indiqué qu’elle déposerait une plainte pénale. Alors que les dossiers fiscaux figurent parmi les ensembles de données gouvernementales les plus sensibles, l’affaire devrait continuer d’attirer l’attention non seulement sur la violation elle-même, mais aussi sur la manière dont les agences françaises testent, sécurisent et isolent les systèmes qu’elles exploitent.
Ces violations surviennent alors que la France a été touchée en 2026 par une vague d’attaques violentes contre des détenteurs de crypto-actifs, a rapporté Cryptopolitan. En avril, le fondateur de Telegram, Pavel Durov, a déclaré sur X que le pays avait enregistré 41 enlèvements de détenteurs de crypto-actifs au cours des trois premiers mois et demi de l’année. Il a imputé cela à des fuites de données personnelles, y compris des dossiers détenus par les autorités fiscales.