Source: https://www.droit-patrimoine.fr/rubriques/magazine-droit-et-patrimoine/dossier/les-defis-juridiques-du-mariage-de-lia-et-de-la-cybersecurite-545609.php
Timestamp: 2020-05-29 05:53:36+00:00
Document Index: 267251497

Matched Legal Cases: ['§3', '§\u202f3', 'art. 44', 'art. 43', 'art. 53', 'art. 7', '§\u202f1', 'art. 8']

Les défis juridiques du mariage de l’IA et de la cybersécurité
Par Anne Cammilleri, Professeure des Universités, Université Paris 13 Sorbonne Cité, Co-directrice de l’Institut de droit public, sciences politiques et sociales – IDPS, Co-directrice du Master Droit des activités numériques, Université Paris 13, Co-directrice du Master Sécurité défense et intelligence stratégique – Sciences Po Rennes
Le défi juridique majeur du mariage de l’intelligence artificielle (IA) et de la cybersécurité sera de renforcer la protection des droits fondamentaux au sein de l’Union européenne en promouvant une démarche éthique de ce progrès scientifique.
Nous retiendrons comme définition suivante de l’IA, celle formulée par la Commission européenne, dans sa communication sur « L’intelligence artificielle pour l’Europe », du 25 avril 2018 : « Les systèmes qui font preuve d’un comportement intelligent en analysant leur environnement et en prenant des mesures – avec un certain degré d’autonomie – pour atteindre des objectifs spécifiques »(1). Celle publiée au Journal officiel de la République Française, plus fouillée, selon laquelle il s’agit d’un « champ interdisciplinaire théorique et pratique qui a pour objet la compréhension de mécanismes de la cognition et de la réflexion, et leur imitation par un dispositif matériel et logiciel, à des fins d’assistance ou de substitution à des activités humaines »(2), est intéressante en ce qu’elle est juridiquement plus précise et suffisamment large pour permettre l’innovation. Car la rencontre de l’IA et de la cybersécurité dans le monde du XXIe siècle est clairement une rencontre dématérialisée, permettant des usages polymorphes qui ne peuvent s’inscrire, dans leur acceptabilité sociale, que dans le cadre démocratique affirmé de nos démocraties occidentales (I). À chaque progrès scientifique nos démocraties doivent s’adapter pour s’approprier les vertus liées aux sciences et trouver le point d’équilibre de leur acceptabilité sociale. Mais l’IA défie la cybersécurité en ce qu’elle est susceptible potentiellement d’affaiblir sa portée, son efficience. Aussi convient-il de réfléchir à un modèle juridique et éthique qui permette un usage éthique de la nouvelle technologie compatible avec la nécessité de renforcer la protection des intérêts régaliens vitaux (II).
I – Les défis convergents de l’intelligence artificielle et de la cybersécurité : le respect des règles démocratiques
Le progrès scientifique que va nous offrir les applications hétérogènes de l’IA repose sur la méthode canadienne de la co-construction (A) et la Californie reste le berceau de la rencontre de l’intelligence artificielle et de l’éthique (B).
A – La méthode de la co-construction : l’exemple canadien comme modèle ?
Le modèle canadien promeut un dialogue constructif (1°) et il est largement suivi par les syndicats ouvriers et les universitaires dans le monde entier (2°).
1°/ Un dialogue citoyen constructif
Il existe des pratiques convergentes au Canada, en Suisse et aux États-Unis pour définir un modèle démocratique des usages de l’IA. Plusieurs acteurs font vivre les débats citoyens dans le monde. On retiendra, en ce qui concerne les usages acceptables de l’IA, le rôle des citoyens étudiants et universitaires, celui des travailleurs syndiqués. Face à ce nouvel essor technologique, l’émoi que soulève souvent l’IA concerne les risques d’inégalités, la rupture de l’unité de l’État, la dépossession de la personnalité juridique, la prise de pouvoir politique par une intelligence artificielle supérieure. Même Kafka n’avait pas imaginé un monde aussi sombre ! Pour surmonter ces peurs, il convient que le citoyen puisse s’emparer du débat sur ce que seront les contours de notre société moderne, pour promouvoir nos valeurs européennes ou universelles dans les usages de l’IA. Les Canadiens l’ont bien compris. Ils ont mis en œuvre une démarche participative citoyenne sur l’IA, lors du Forum sur IA responsable, tenu le 3 novembre 2017. En s’appuyant sur les nouvelles technologies, les universitaires qui l’ont initiée visaient à susciter un débat public et à proposer une orientation progressiste et inclusive du développement de l’IA : « Vous pouvez participer à la construction de la déclaration de Montréal en répondant directement aux questions soulevées ou en envoyant une recommandation écrite (jusqu’à 5 pages) avant le 31 mars 2018 ». C’est ainsi qu’a été initiée la déclaration de Montréal pour un développement responsable de l’intelligence artificielle, le 3 novembre 2017 : « Nous souhaitons que cette déclaration soit l’étincelle à l’origine d’un large dialogue entre le public, les experts et les représentants des pouvoirs publics, explique le recteur de l’université de Montréal, Guy Breton. Le thème de l’intelligence artificielle touchera progressivement tous les secteurs de la société et nous devons poser, dès maintenant, les balises qui encadreront son développement afin qu’il soit conforme à nos valeurs humaines et porteur d’un véritable progrès social. » Les Canadiens ont publié, lors de la déclaration de Montréal, les principes qui ont été retenus pour définir un usage éthique de l’intelligence artificielle lors du Forum canadien sur l’IA responsable. L’utilisation de scenarii de prospective sur l’IA en 2025 au Québec dans les domaines de la santé, l’éducation, la justice, la ville, et sur le monde du travail, a servi de point de départ méthodologique aux chercheurs et citoyens. À côté de cette démarche de co-construction, l’action des syndicats ouvriers est tout aussi intéressante.
2°/ L’appropriation du sujet de l’IA par les syndicats ouvriers et par les universitaires
Une autre forme de fédération de la réflexion sur les usages souhaités par les citoyens a été mise en œuvre par les syndicats d’ouvriers et de salariés à l’échelle internationale. Tel est notamment le cas de la Fédération syndicale internationale, qui a publié un document synthèse d’enquête réalisé sur les formes futures du travail face à l’émergence des nouvelles technologies(3) . Cette fédération, dont le siège est en Suisse, a ainsi sollicité l’avis de plus de 20 millions de membres. Ces travaux s’ajoutent à un courant de pensée scientifique américain qui, aujourd’hui, joue un rôle déterminant pour penser les contours d’une éthique des usages de l’IA.
B. La Californie, berceau de la rencontre de l’intelligence artificielle et de l’éthique
Si le Canada est très proactif dans la démarche ouverte à l’intelligence artificielle, son berceau est aux États-Unis, avec la consécration des principes « Azilomar » (1°) et l’émergence des premières règles juridiques (2°).
1°/ Paul Berg, la Californie et les principes « Azilomar »
C’est en Californie que les sources de la démocratie participative ont été identifiées, avec des conférences de chercheurs sur ce que l’on qualifie aujourd’hui de principes « Azilomar », lors de la conférence des 24 au 27 février 1975 tenue en Californie. Elle réunissait de nombreux chercheurs – dont Paul Berg, biochimiste de l’université de Stanford – sur le génie génétique et qui permirent de consacrer les principes « Azilomar ». Parmi ces vingt-trois principes aujourd’hui, il est courant de signaler celui relatif à une recherche pluridisciplinaire scientifique ouverte : « Ainsi, le but de la recherche en intelligence artificielle doit être non orientée et ouverte à toutes les disciplines (science informatique, cybersécurité, économie, droit, éthique et sciences sociales) ». La participation des citoyens à la réflexion sur les choix éthiques de l’IA s’agrège aux débats institutionnels aux États-Unis ou au sein du syndicalisme international et de l’Union européenne. Sur la base de cette méthode de construction citoyenne, on assiste à un foisonnement des propositions citoyennes au service d’un usage éthique de l’IA.
2°/ Les règles juridiques en faveur d’une intelligence artificielle éthique
Au titre des règles éthiques proposées par des chercheurs et des citoyens très largement approuvées, on retiendra la place de l’humain et de son bien-être, qui font l’objet d’un très large consensus sociétal, tout comme la question de la préservation de son autonomie.
La place centrale de l’humain, les références à l’humanité et au bien commun sont au cœur des règles d’acceptabilité sociale de l’intelligence artificielle. Si l’on agrège les résultats des multiples réunions alliant tant des scientifiques que des citoyens, les principes qui placent l’humain au centre des choix l’emportent. Rien de plus normal dans nos sociétés démocratiques. A Azilomar, le contrôle humain est posé comme pierre angulaire de l’acceptabilité sociétale de l’IA. Quatre règles ont ainsi été validées :
– l’humain doit rester au centre du dispositif de décision ;
– les humains devraient pouvoir choisir comment et s’ils veulent reléguer des décisions de leur choix aux intelligences artificielles (7e principe « Azilomar ») ;
– l’autonomisation et la prospérité économique résultant de l’IA doivent pouvoir profiter à toute l’humanité (6e principe « Azilomar ») ;
– une IA forte ne saurait être utilisée autrement qu’au service du bien commun. Les intelligences surdéveloppées devraient seulement être développées pour contribuer à des idéaux éthiques partagés par le plus grand nombre et pour le bien de l’humanité plutôt que pour un État ou une entreprise (23e principe « Azilomar ») ; trouver un équilibre entre l’automatisation et le maintien des ressources des personnes (2e principe « Azilomar »).
Ces règles ont été largement relayées auprès de la Fédération syndicale internationale (FSI), qui considère qu’il faut « faire en sorte que l’IA serve les individus et la planète » et « adopter une approche donnant les commandes à l’être humain ». Au Canada, l’éthique est sans aucun doute un enjeu sociétal majeur qui a aussi le mérite de nous inciter à nous questionner sur les limites acceptables de l’innovation. Ce constat fait écho à différentes initiatives québécoises récentes en la matière. En effet, Marc-Antoine Dulac de l’université de Montréal et Nathalie De Marcellis-Warin de l’École polytechnique de Montréal – pour présenter la déclaration de Montréal – ont souligné la nécessité de développer des intelligences artificielles responsables. Il a également été annoncé la création d’« AI as Common », organisation internationale à but non lucratif qui a pour but de promouvoir une IA au service des personnes(4). La Fédération syndicale internationale consacre aussi la nécessité de « veiller à une IA sans distinction de genre ni préjugés » et la nécessité de « faire partager les avantages des systèmes d’IA ».
L’Union européenne promeut elle aussi une recherche portant sur une intelligence artificielle axée sur le facteur humain(5). Elle souhaite porter son approche en matière d’IA sur la scène internationale parce que les technologies, les données et les algorithmes ne connaissent pas de frontières. À cette fin, la Commission renforce sa coopération avec les partenaires partageant les mêmes idées, comme le Japon, le Canada ou Singapour, et s’engage « à jouer un rôle actif » dans les discussions et initiatives internationales, y compris au sein du G7 et du G20. L’Union européenne s’est engagée, le 8 avril 2019, sur les « sept éléments essentiels pour parvenir à une IA digne de confiance » :
« 1. La confiance  : il n’y a de confiance en faveur de l’IA que si le contrôle reste humain avec des développements qui s’inscrivent dans le respect des règles juridiques nationales, européennes et internationales du respect des droits fondamentaux. La confiance est donc en lien étroit avec la connaissance mise au service d’une pensée critique face à la désinformation.
2. La robustesse et la sécurité : une IA digne de confiance nécessite des algorithmes suffisamment sûrs, fiables et robustes pour gérer les erreurs ou les incohérences dans toutes les phases du cycle de vie des systèmes d’IA. Le progrès scientifique est au service d’une IA conforme aux droits fondamentaux et permet la validation de la robustesse et de la sécurité des usages. La proposition canadienne est d’assurer de l’autonomie de tous les êtres humains et de contrôler, de manière responsable, celle des systèmes informatiques.
On retrouve la même logique dans les travaux de la Fédération internationale des syndicats qui mentionnent qu’il faut doter les systèmes d’IA d’une boîte noire éthique. À Azilomar, les chercheurs ont retenu trois règles structurantes : le développement de l’IA ne doit pas servir à créer une intelligence sans contrôle mais une intelligence bénéfique (Azilomar, principe 1), les relations entre les scientifiques et les législateurs doivent permettre un échange constructif entre les développeurs d’IA et les législateurs (Azilomar, principe 3).
3. Respect de la vie privée et gouvernance des données : il faut que les citoyens aient la maîtrise totale de leurs données personnelles et que les données les concernant ne soient pas utilisées contre eux à des fins préjudiciables ou discriminatoires.
4. Transparence : la traçabilité des systèmes d’IA doit être assurée.
5. Diversité, non-discrimination et équité : les systèmes d’IA devraient prendre en compte tout l’éventail des capacités, aptitudes et besoins humains, et leur accessibilité devrait être garantie.
6. Bien-être sociétal et environnemental : les systèmes d’IA devraient être utilisés pour soutenir des évolutions sociales positives et renforcer la durabilité et la responsabilité écologique.
7. Responsabilisation : il convient de mettre en place des mécanismes pour garantir la responsabilité à l’égard des systèmes d’IA et de leurs résultats, et de les soumettre à une obligation de rendre des comptes ».
C’est le rejet clair et net de la théorie de la singularité technologique !… et l’urgente nécessité de l’invocabilité de principes éthiques au service de la construction du droit des nouvelles technologies basées sur l’intelligence artificielle(6). La sensibilité du sujet et sa dimension juridique novatrice ont eu sur le législateur un effet louable, quasiment instinctif, de retour aux principes et valeurs qui guident la construction européenne, recentrée sur les personnes, le citoyen(7). Cela a permis de prendre en compte la spécificité de la cybersécurité européenne face à l’exigence de la protection des intérêts vitaux des États.
II. Les défis souverains : la spécificité de la cybersécurité européenne face à l’exigence de la protection des intérêts vitaux
Si les intérêts essentiels des États restent la priorité de la protection de l’action par le biais de leurs agences nationales (A), l’adoption par l’Union européenne de l’Acte européen sur la cybersécurité est une petite révolution dans un gant de velours (B).
A. La protection de la sécurité nationale : une stratégie régalienne exclusive. Les intérêts essentiels des États : no deal ! Intérêts stratégiques de la France
La structuration du réseau des agences nationales de sécurité (1°) a permis la refonte matérielle de notre système de protection européen (2°).
1°/ Le réseau d’agences nationales de sécurité
En France, l’Agence nationale de la sécurité des systèmes d’information (ANSSI) a été une actrice essentielle dans la mise en place du réseau des agences européennes. Rattachée au Secrétariat général de la défense et de la sécurité nationale (SGDSN), elle joue un rôle technico-politique central auprès des services du Premier ministre. L’agence a largement piloté l’émergence de la directive n° 2016/1148/UE du 6 juillet 2016 sur la sécurité des réseaux et des systèmes d’information (SRI – Network Information Security [NIS]) identifiant les services essentiels au niveau de l’Union européenne. Les États membres ont ainsi consacré des mesures destinées à assurer un niveau élevé commun de sécurité des réseaux(8) , contribuant à dessiner les contours d’un cyberespace qui n’est plus un espace sans foi ni loi.
2°/ La refonte matérielle de notre système de protection européen
Tant l’accord sur les sept services essentiels(9) que l’obligation de notifier les incidents ou le maintien de l’application de l’article 346 du Traité sur le fonctionnement de l’Union européenne (TFUE) sur la protection des intérêts essentiels des États membres ont permis de mieux encadrer le droit du cyberespace et de protéger les droits nationaux(10). La France est clairement engagée dans une cyberdéfense défensive… et offensive en s’appuyant sur le Commandement de cyberdéfense (Comcyber) ! C’est donc à la fois une protection effective des intérêts régaliens et la prise de conscience publique de nouvelles formes de violation des droits de la personne, des entreprises en cas de cyberattaques dans la société ou plus spécifiquement sur nos organismes d’importance vitale. Mais si la France a pu servir de modèle derrière l’Estonie sur sa capacité de mettre en œuvre une stratégie efficace des intérêts stratégiques de l’État, la vraie révolution culturelle depuis 2009 réside dans la prise de conscience collective de la nécessité d’aller au-delà d’une approche sectorielle autour des sept services essentiels par l’adoption de l’Acte européen sur la cybersécurité, règlement européen applicable dans le chef des particuliers.
B – L’Union européenne et l’Acte européen de cybersécurité
Enfin, la certification européenne voit le jour et s’accompagne du renforcement des compétences de l’Agence européenne chargée de la sécurité des réseaux et de l’information (European Network and Information Security Agency [ENISA]) au service de la résilience européenne (1°). Cette certification s’appuie sur une coopération fondée sur la confiance et la transparence (2°).
1°/ Vers une certification européenne encadrée par les États membres et par l’industrie
Face à l’état des menaces que constituent les cyberattaques de toute nature(11), la révision du statut de l’ENISA par l’Acte européen sur la cybersécurité du 17 avril 2019(12) a été l’occasion rêvée pour mieux définir, au sein des règles du marché intérieur, les marges de manœuvre des États en matière de certification nationale des produits de cybersécurité. Cela a permis aux États membres d’avoir la maîtrise de la labellisation des produits de sécurité conçus et existants sur le territoire national. Mais, dans la logique de la construction et de l’approfondissement de l’Union européenne, il était aussi nécessaire de concevoir, sur la base du volontariat, une procédure de certification au niveau européen. Si la procédure est assez lourde et longue, elle assurera un renforcement de la confiance dans les produits de la cybersécurité. Toutefois, les secteurs régaliens de la sécurité et de la défense sont mis sous cloche. Tout en respectant la logique du marché unique, il s’est avéré urgent de renégocier que toutes les activités régaliennes puissent rester de la compétence exclusivement nationale. C’est chose faite dans la version finale de l’Acte européen sur la cybersécurité, par l’article 1, paragraphe 1, du texte final, qui reconnaît la compétence exclusive des États membres en matière de cybersécurité « dans les domaines de la défense, la sécurité nationale et les activités de l’État dans les domaines du droit pénal ». C’est dans ce contexte qu’en France, le Comcyber se développe et constitue la pierre angulaire, avec l’ANSSI, de notre dispositif de protection et d’anticipation des crises. La nouvelle réglementation renforce l’assise de l’ENISA au service de la résilience du cyberespace. L’ENISA soutient la coopération opérationnelle des États membres dans le réseau européen des agences (Computer Security Incident Response Services [CSIRT]), article 7 §3 du règlement. On soulignera également positivement le rappel de la nécessité de coopérer avec le contrôleur européen de la protection des données, traduisant la montée en puissance de la protection des droits fondamentaux dans le cyberespace(13). Le soutien actif de l’ENISA prend des formes variées, allant du secrétariat du réseau des CSIRT, à une fonction de conseil ou d’aide à l’évaluation des incidents ayant un impact significatif et le Code de communications électroniques(14), ou encore par l’aide apportée à la Commission pour assurer le secrétariat du groupe des États contributeurs de l’article 53 (article 8 de la proposition de réglement). L’agence témoigne ainsi d’une certaine forme d’agilité institutionnelle dans l’accomplissement de ses missions(15). Toutefois, l’agence n’a pas totalement les mains libres puisque, dans ce dialogue, son indépendance vis-à-vis du groupe des États contributeurs de l’article 53 est, en revanche, inexistante. L’agence « doit tenir le plus grand compte de l’avis du groupe des États contributeurs » (article 44 § 3). Il s’agit là d’une compétence liée. Au niveau européen, les nouvelles missions de ce groupe européen de certification sont de consulter et d’assister la Commission, afin d’assurer la mise en œuvre cohérente de l’Acte sur la cybersécurité, en l’aidant à définir un programme de travail, une politique de certification, en œuvrant à la coordination des approches politiques et surtout à la préparation des systèmes européens de certification.
Par ailleurs, au nom de la cohérence des actions des États membres et de l’Union, il appartient au groupe de l’article 53 d’aider et de conseiller l’ENISA à rendre un avis sur un système de certification candidat (art. 44) ou de préparer un système européen de certification (art. 43, b, 2). Il facilite la coopération entre les agences nationales de certification, afin de renforcer les capacités, les échanges d’informations et de définir des méthodes communes (art. 53). L’approche est clairement technique, tournée vers la définition de méthodes les plus appropriées.
Enfin, on soulignera l’intérêt d’officialiser le réseau des agents de liaison nationaux. Mais si la création de ce groupe des parties intéressées (ou parties prenantes)(16) est une bonne chose, il ne s’agit que d’une fonction de conseil auprès de la Commission pour définir les questions stratégiques sur la cybersécurité, sur la certification et la normalisation. La coopération opérationnelle envisagée entre les États doit se faire dans le but d’atteindre « le plus haut niveau de certification dans l’Union européenne » (art. 7, § 1) et dans le respect de la protection des droits fondamentaux.
Il ne faut pas oublier, en dernier lieu, que, au-delà de l’Union européenne, le Conseil de l’Europe œuvre à l’adoption finale du second protocole à la Convention de Budapest sur la cybercriminalité (STE 185), portant notamment sur une entraide judiciaire plus efficiente. Au niveau international, la prise de conscience des États se fait de manière variable sur la nécessité de structurer la réponse à la cybercriminalité(17). Les États se sont entendus sur des principes fondateurs de leur coopération en matière de sécurité.
2°/ Les principes fondateurs de la coopération : la confiance et la transparence
La codification heureuse des principes de « Privacy by Design » et de « Security by Design » est effective : ces deux principes fondent la confiance, socle de la coopération en matière de cybersécurité. Pour que cette coopération européenne fonctionne avec succès, il convient que tous les acteurs aient confiance dans le système de protection qui les unit. Dès lors, la sécurité sera nécessairement la colonne vertébrale du cyberespace. Toutes les technologies qui concourent à la constitution d’un espace sûr et ouvert doivent être pensées, au moment de leur création, de telle manière qu’elles intègrent la recherche de la meilleure solution en matière de sécurité à toutes les étapes de la conception de la technologie et… tout au long de leur cycle de vie ! Ce sont les principes du « Security by Design » et du « Privacy by Design »(18) qui permettront ainsi d’assurer un niveau élevé de confiance en l’usage que l’on peut légitimement attendre d’un produit certifié au niveau national ou européen. D’une part, la consécration du principe de « Privacy by Design » est le reflet du renforcement législatif de la protection des droits fondamentaux depuis l’entrée en vigueur du règlement général sur la protection des données du 27 avril 2016 (RGPD), qui promeut notamment les labels de confiance(19); d’autre part, la prise de conscience que la sécurité doit être globale au niveau de l’Union européenne fait son chemin. Ce respect du principe du « Security by Design » au niveau de la certification européenne constitue dès lors un gage important du degré élevé recherché de protection des technologies du cyberespace. C’est ainsi que se crée un faisceau d’indices de confiance, fondé sur la capacité des États membres à coopérer entre eux à tous les niveaux.
Le cyberespace n’est pas un long fleuve tranquille !
(1) Stratégie de la Commission européenne du 25 avril 2018, Communication de la Commission au Parlement européen, au Conseil européen, au Conseil, au Comité économique et social européen et au Comité des régions, L’intelligence artificielle pour l’Europe, COM (2018) 237 final.
(2) JO 9 déc. 2018, texte 58.
(3) http://www.thefutureworldofwork.org/media.
(4) https://www.actuia.com/contribution/abderrahim-essaidi/retour-sur-les-conferences-qui-ont-marque-le-world-summit-ai-americas/.
(5) Service de la Commission, doc. de travail, La responsabilité pour les nouvelles technologies numériques accompagnant le document « Communication de la Commission au Parlement européen, au Conseil européen, au Conseil, au Comité économique et social européen et au Comité des régions », « L’intelligence artificielle pour l’Europe », COM (2018) 237 final, 26 avr. 2018.
(6) C. Villani, Donner un sens à l’intelligence artificielle. Pour une stratégie nationale européenne, Rapp. 2018.
(7) Règlement n° 2016/679/UE 27 avr. 2016, JOUE 4 mai 2016, n° 119 ; A. Cammilleri, Chronique annuelle sur les nouvelles technologies : 2017 Droit de la cybersécurité et intelligence artificielle, le rejet de la « singularité technologique », RDUE 2017, n° 04, p. 99-143, et En 2018, le calcul exaflopique nous fait tourner la tête !
RDUE 2019, n° 2, p. 65-102.
(8) Dir. n° 2016/1148/UE, 6 juill. 2016, concernant les mesures destinées à assurer un niveau élevé commun de sécurité des réseaux (NIS), JOUE 19 juill., n° L 194, et sa loi de transposition : L. n° 2018-133, 26 févr. 2018, JO 27 févr., texte n° 2.
(9) Les sept services essentiels européens dans les États membres sont qualifiés sont l’énergie, les transports, les banques, les infrastructures des marchés financiers, les secteurs de santé, les fournisseurs d’eau potable, les infrastructures numériques.
(10) O. Bonnet de Paillerets, La cyberdéfense : un modèle solide et agile pour le combat numérique, Revue de la Gendarmerie nationale (RGDN) 2017, n° 260, p. 32.
(11) Ministère de l’Intérieur, délégation ministérielle aux industries de sécurité et à la lutte contre les cybermenaces, État de la menace liée au numérique en 2018, rapp.
n° 2, mai 2018.
(12) Règl. PE et Cons. n° 2019/881/UE, 17 avr. 2019, relatif à l’Agence de l’Union européenne pour la cybersécurité et à la certification de cybersécurité des technologies de l’information et des communications, et abrogeant le règlement n° 526/2013/UE (règlement sur la cybersécurité),
JOUE 7 juin, n° L 151.
(13) Règl. PE et Cons. n° 2016/679/UE, 27 avr. 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive n° 95/46/CE (règlement général sur la protection des données), JOUE 4 mai,
n° L 119/1.
(14) Dir. n° 2016/1148/UE, 6 juill. 2016 ; Règl. d’exécution Comm. n° 2018/151/UE, 30 janv. 2018, portant modalités d’application de la directive n° 2016/1148/UE du Parlement européen et du Conseil précisant les éléments à prendre en considération par les fournisseurs de services numériques pour gérer les risques qui menacent la sécurité des réseaux et des systèmes d’information ainsi que les paramètres permettant de déterminer si un incident a un impact significatif, JOUE 31 janv., n° L 26/48 ; Dir. PE et Cons. n° 2018/1972/UE, 11 déc. 2018, établissant le Code des communications électroniques européen (refonte), JOUE 17 déc., n° L 321/36.
(15) Rapp. inf. AN n° 479, sur le marché unique, 6 déc. 2017, par E. Botherel et C. Le Grip.
(16) Regl. UE 2019/881 du Parlement et du Conseil, du 17 avril 2019, relatif à l'ENISA (précité), art. 8.
(17) D. Gazagne et A. Jouhanet, Livre blanc 2018, Cybersécurité, cyberdéfense et criminalité, panorama de la réglementation, cabinet Bensoussan, 2018, pris sur la base du Global Security Index, ONU, 2017.
(18) Pour une illustration des premières applications en France du principe de « Privacy by Design » par l’imagerie active sur une technologie de défense, v. A. Cammilleri, R. Prouvèze et I. Büschel, Nouvelles technologies et défis juridiques en Europe – L’imagerie active au service de la sécurité globale, Bruylant, Bruxelles, 2012, 260 p.
(19) C. Levallois-Barth (Chaire de valeurs et politiques des informations personnelles), Signes de confiance, l’impact des labels sur la gestion des données personnelles, Ed. Institut mines télécom, janv. 2018.