Le Bureau de l’IA de la Commission européenne a retenu Capgemini comme chef de file d’un consortium avec Wavestone et le LNE. Il devra modéliser les cybermenaces des modèles d’IA à usage général et outiller l’application de l’AI Act.
Jeudi 5 novembre, Andrea Falleni, CEO de la région Europe du Sud de Capgemini et membre du Group Executive Board, a présenté la sélection du groupe par le Bureau de l’IA (AI Office) de la Commission européenne, rattaché à la direction générale CNECT. Capgemini conduit un consortium qui réunit Wavestone et le LNE (Laboratoire national de métrologie et d’essais), institution publique française. Le marché correspond au lot 2 de la procédure EC-CNECT-2025-OP-0032.
Un marché centré sur le risque cyber offensif des modèles généralistes
La mission s’inscrit dans le programme de sécurité de l’IA de l’Union européenne. Elle porte sur l’évaluation et l’atténuation des risques de cyberoffensive liés aux modèles d’IA à usage général, ceux que l’AI Act désigne sous l’acronyme GPAI (General-Purpose AI). Le consortium doit appuyer la modélisation des cybermenaces et l’évaluation des risques posés par les systèmes d’IA avancés.
Le communiqué énumère quatre types de prestations : la modélisation des risques émergents de cyberoffensive, le développement d’outils d’évaluation, la conception de méthodologies de conformité technique et la réalisation d’évaluations techniques à la demande. L’objectif affiché est d’identifier les risques systémiques et de faire respecter les obligations que le règlement impose aux fournisseurs de ces modèles.
Trois capacités sont citées comme sources de risque : la découverte automatisée de vulnérabilités, la génération d’exploits et l’orchestration d’attaques informatiques à grande échelle. Les compétences réunies couvrent la gestion des risques cyber, la sécurité opérationnelle, l’évaluation de l’IA et l’évaluation de la conformité.
Un Bureau de l’IA qui s’appuie sur des évaluateurs externes
Cette sélection répond à une contrainte que Bruxelles assume. Selon Euronews, qui détaillait l’entrée en application des principales dispositions de l’AI Act le 2 août, le Bureau de l’IA dispose de ressources limitées et affronte la concurrence du secteur privé pour recruter. La Commission prévoit donc de recourir à des experts externes. Le texte impose aux développeurs des modèles les plus puissants d’identifier et d’atténuer les risques qu’ils font peser sur la société.
Le sujet cyber figurait déjà au programme européen. D’après Euronews, le plan présenté le 7 juillet devant le Parlement européen prévoit que le Bureau de l’IA travaille avec des évaluateurs spécialisés pour examiner les modèles les plus avancés avant leur mise sur le marché de l’Union. Ce principe est contesté par les entreprises technologiques : OpenAI et Anthropic privilégient des évaluations menées par l’AI Security Institute britannique, qui ne dispose d’aucun pouvoir réglementaire.
La question de la maîtrise européenne de l’évaluation
Le choix d’un consortium conduit depuis la France, avec un laboratoire public parmi ses membres, prend un relief particulier dans ce débat. Euronews rapportait en juillet que l’accès de l’ENISA et d’autres autorités européennes au modèle Mythos d’Anthropic, via le programme Project Glasswing, n’avait été obtenu qu’après un fort lobbying de Bruxelles, et que l’Union devait négocier cet accès avec les États-Unis. Disposer d’équipes capables de bâtir des outils et des méthodes d’évaluation sur le sol européen répond à cette dépendance.
Le dossier prolonge les travaux sur la sécurité de l’IA que Refrance a déjà suivis, de l’Appel de Paris signé par six États et dix entreprises dont Mistral AI à la mise en place des outils de contrôle du règlement européen.
Andrea Falleni a présenté le projet comme un engagement partagé en faveur d’un développement et d’un déploiement responsables de l’IA, au moment où l’Europe met en œuvre ce qu’il décrit comme le premier cadre complet de sécurité de l’IA au monde. Il a mis en avant l’association de la rigueur scientifique, de l’expertise opérationnelle et du savoir-faire en IA de confiance, qui doit renforcer la résilience numérique européenne.
Ce que le communiqué ne dit pas
Le communiqué ne précise ni la durée du marché, ni ses dates de début et de fin, ni son montant. La répartition du travail et des sommes entre Capgemini, Wavestone et le LNE n’est pas non plus indiquée, pas plus que les modèles qui seront évalués en premier.
