Chez les DPO, il y a ceux qui perçoivent la conformité à l’AI Act comme un « prolongement naturel » de leurs missions. Et ceux qui estiment qu’elle ne relève pas de leur périmètre.

De ces deux orientations, aucune « n’apparaît s’imposer avec la force de l’évidence », pour reprendre les propos de la CNIL. La dernière vague de l’observatoire du métier des DPO* en témoigne… dans une certaine mesure. Ils sont 2390 à avoir répondu à l’enquête (1896 internes, 234 mutualisés, 260 externes). 55 % ont déjà l’AI Act dans leur périmètre de responsabilité et 71 % souhaitent que leur fonction l’englobe.

Le DPO, pas mentionné dans l’AI Act

En novembre 2025, au lancement de l’enquête, la CNIL avait rappelé l’obligation d’impliquer les DPO sur les traitements de données mis en œuvre par l’IA. Cela ne suppose toutefois pas forcément d’en faire les chefs de file sur la conformité à l’AI Act, avait-elle précisé. D’autant que le règlement ne mentionne pas explicitement les DPO.

La Commission avait ajouté que l’application de l’AI Act nécessiterait la mobilisation de compétences qui « ne sont pas nécessairement celles attendues du DPO ». Elle avait néanmoins appelé à une « mobilisation judicieuse » de leur expertise RGPD, vu les similarités entre les deux règlements (approche par les risques, principe de responsabilité, exigence de documentation et de transparence, etc.).

Principal défi : identifier le niveau de risque

Un élément ne plaide pas en faveur de la prise en charge de l’AI Act par les DPO : la charge de travail que représente déjà le RGPD. Y compris appliqué aux systèmes d’IA. Principaux défis en la matière :

• Garantir la minimisation des données (57 % des DPO ont sélectionné cette option)
• Gérer le cycle de vie des données (54 %)
• Assurer la transparence et l’explicabilité des décisions algorithmiques (53 %)
• Sécuriser les données et les modèles d’IA (51 %)
• Respecter le principe de la limitation des finalités (47 %)
• Gérer les droits des personnes concernées (46 %)
• Réaliser les études d’impact sur la protection des données personnelles (AIPD ; 45 %)

L’AI Act engendre d’autres défis :

• Identifier le niveau de risque des systèmes d’IA (62 %)
• Documenter et obtenir de la documentation auprès des prestataires (53 %)
• Assurer l’articulation entre AIPD et AIPF (analyses d’impact sur la protection des droits fondamentaux ; 41 %)
• Détecter, prévenir et corriger les biais (40 %)
• Assurer la fiabilité des prédictions/décisions et des données produites (39 %)
• Assurer l’explicabilité des systèmes d’IA (38 %)

Peu de politiques IA formalisées jusque-là

Selon les DPO, parmi les structures qui utilisent des systèmes d’IA ou qui le prévoient, 6 % sont bien préparées à l’application de l’AI Act. Elles sont 25 % en phase de préparation (analyse des impacts en cours). 28 % sont « conscientes des enjeux » mais n’ont pas lancé d’actions concrètes. 27 % se disent peu ou pas informées. 10 % se déclarent non concernées (pas d’utilisation d’IA à risque).

Environ une sur cinq (19 %) a une stratégie ou une politique formelle pour l’IA. 46 % en ont une en cours de préparation (50 % dans les structures de plus de 1000 salariés ; 36 % dans celles de moins de 50).

Lorsqu’une stratégie existe ou est en préparation, les DPO font partie des principaux responsables de la gouvernance dans 39 % des cas (44 % pour les DSI/CTO). Ils sont plus nombreux (66 %) à participer régulièrement aux comités d’éthique – ou autres organes similaires dédiés à l’IA -… lorsque ces derniers existent (20 % des cas).

Une opportunité d’évolution, mais une nette charge de travail

42 % des DPO se disent impliqués tout au long des projets d’IA. Détail phase par phase :

• 24 % sur l’idéation/conception initiale
• 9 % sur le développement/entraînement des modèles
• 14 % dans les tests/validations
• 26 % avant le déploiement en production
• 18 % pendant l’exploitation

Les DPO estiment que l’accompagnement de ces projets rend leur rôle plus stratégique (27 %), mais aussi plus complexe et technique (58 %). Si c’est une opportunité d’évolution (37 %), c’est aussi une nette augmentation de la charge de travail (33 %).

Au moment de répondre à l’enquête (novembre 2025), peu avaient suivi une formation spécifique à l’IA (15 %). Les deux tiers disaient manquer d’outils ou de méthodes adaptés pour évaluer la conformité à l’AI Act. Les priorités de formation vont à l’articulation avec le RGPD et aux méthodologies d’évaluation des risques spécifiques à l’IA.

À consulter en complément :

Comment interpréter les obligations de transparence de l’AI Act
La CNIL joue les généalogistes des modèles d’IA
REGALIA, une synthèse des enjeux de régulation des algorithmes
Le projet PANAME teste sa bibliothèque d’audit de confidentialité des LLM
L’omnibus numérique fait tiquer les CNIL européennes
Face aux saisines, une société ne peut invoquer les droits RGPD de ses salariés

* Étude de l’Agence nationale pour la formation professionnelle des adultes (Afpa), pour la CNIL, le ministère du Travail et l’Association française des correspondants à la protection des données (AFCDP). Sauf si précisé, les taux annoncés sont rapportés aux structures qui utilisent de l’IA.

Illustration générée par IA

The post L’AI Act doit-il être l’affaire des DPO ? appeared first on Silicon.fr.

Malgré les feux qui progressent dans la région, pas question de déroger aux traditions pour le camping « La Cargolade » d’Argelès-sur-Mer. Le traditionnel concours de « Miss T-Shirt Mouillé » organisé chaque année par l’établissement laissera sa place à un concours de « Miss T-Shirt Sec » tout aussi festif. « Je sais qu’il fait une chaleur étouffante et qu’on a déjà perdu 45 bungalows, mais ce n’est pas une raison pour arrêter la festoche » scande le propriétaire des lieux Jérôme Abanelli dit  « Jéjé le Zozo ». « Mesdames, à vous de jouer ! Il est temps de faire monter la température » ajoute-t-il hilare, avant de faire monter 22 femmes en T-Shirt blanc, sur une scène à moitié ravagée par les flammes. 

Au rythme d’une bande-son « piquante » et  « caliente », c’est finalement Martine, 45 ans, qui remportera la féroce compétition grâce à un T-Shirt Monoprix épais, rêche et opaque. Une performance applaudie à tout rompre par l’ensemble des vacanciers présents sur place et lui donnant droit à un caquelon contenant 40 kilos de tomme des Pyrénées fondue. « C’est le plus beau jour de ma vie ! » scande-t-elle à tue-tête avant de voir un pin centenaire en flammes s’écraser sur sa Mini Cooper. 

Aujourd’hui totalement réduit en cendres, le camping « La Cargolade » ne devrait pas pouvoir rouvrir avant l’été 2029. Une première édition du jeu que Jérôme Abanelli qualifie néanmoins de « franc succès » et qu’il n’exclut pas de renouveler tous les ans dès la réouverture du camping et ce à chaque incendie. 

Crédits photo : Natural selection David Ponton via GettyImages.

L’article Incendies – Un camping organise le concours de « Miss T-Shirt Sec » est apparu en premier sur Le Gorafi.fr Gorafi News Network.

C’est un véritable coup de semonce que viennent d’adresser les plus hautes instances de contrôle financier du Vieux Continent.

Face à l’émergence fulgurante des modèles d’IA dits « frontières » (frontier AI), le ton n’est plus à la simple vigilance, mais à la mobilisation générale.

Le constat est sans appel : ces technologies font peser un « risque systémique » inédit sur l’ensemble du système bancaire européen.

Quatre mois pour s’armer

Claudia Buch, la présidente du conseil de surveillance prudentielle de la Banque centrale européenne (BCE), a pris la plume ce mardi pour envoyer un courrier direct et pressant à 110 des principaux établissements de crédit de la zone euro.

Le tempo imposé est d’une rareté absolue dans le calendrier feutré de la régulation bancaire.  Les banques ont jusqu’à la fin du mois d’octobre pour formaliser un « plan d’action complet » destiné à contrer les cybermenaces dopées à l’IA.

Pour donner de l’air aux équipes techniques des banques face à ce sprint de quatre mois, la BCE a même consenti à un aménagement de calendrier, repoussant de septembre à février prochain l’envoi de son questionnaire annuel sur les risques informatiques.

L’heure n’est plus à remplir des formulaires, mais à fortifier les défenses.

Un changement de paradigme technique

Qu’est-ce qui terrifie tant les autorités de contrôle ? Un rapport du Comité européen du risque systémique (CERS) publié le 7 juillet lève le voile sur l’ampleur du péril. L’institution a officiellement rehaussé son évaluation du risque cyber-systémique, le qualifiant désormais de « sévère », contre « élevé » auparavant.

Le CERS évoque un véritable « changement de paradigme pour la cybersécurité ».

Grâce à cette nouvelle génération d’IA, des pirates informatiques isolés ou des États hostiles peuvent désormais automatiser à un coût dérisoire des attaques d’une complexité absolue.

Là où des ingénieurs devaient passer des semaines à chercher une faille de sécurité, les modèles d’IA « frontières » sont capables d’identifier et d’exploiter les vulnérabilités informatiques « à une vitesse, une échelle et un niveau de précision » sans précédent. Des faiblesses structurelles peuvent ainsi être militarisées et exploitées en « quelques minutes ou quelques heures ».

Des banques aux pieds d’argile

Face à cette guerre éclair algorithmique, les institutions financières traditionnelles souffrent d’un lourd handicap.

Engluées dans des architectures informatiques vieillissantes (legacy IT systems), contraintes par des processus de mise à jour excessivement lents de la part de leurs fournisseurs de logiciels, et bridées par la lourdeur des processus réglementaires, les banques peinent à répliquer en temps réel.

L’inquiétude traverse aussi la Manche. La Banque d’Angleterre a elle aussi tiré la sonnette d’alarme ce mardi, confirmant que les progrès fulgurants de l’IA augmentaient de manière critique les risques pesant sur la résilience opérationnelle des marchés mondiaux.

Dans sa missive, Claudia Buch exige des mesures concrètes comme une allocation massive de ressources, une attribution de responsabilités claires au sein des états-majors et des calendriers stricts de déploiement.

Mais le défi est aussi d’ordre externe. À court terme, si les banques devront prouver leur capacité à détecter et repousser des attaques de grande envergure, elles devront également s’assurer que leurs sous-traitants informatiques et fournisseurs de services Cloud soient au même niveau d’alerte.

La BCE prévient déjà : des inspections sur place et des analyses approfondies seront menées au cas par cas pour vérifier la robustesse de ces plans de défense. Les banques européennes savent désormais à quoi s’en tenir : l’IA n’est plus seulement un sujet de gains de productivité pour leurs conseillers clientèle, c’est une menace immédiate pour leur survie informatique.

The post Quand les régulateurs somment les banques de se barricader face à l’IA appeared first on Silicon.fr.

Interprétation de contexte de l’environnement cible en langage naturel, commentaires justifiant chaque action, diagnostic et correction d’erreurs à une vitesse impensable pour l’humain… Pas de doute, on a affaire à un « ransomware agentique ».

Sysdig a tiré cette conclusion après avoir analysé une attaque à visée probablement destructrice. Il a d’abord affirmé qu’une IA avait piloté l’opération de bout en bout… avant de reconnaître qu’un humain avait tout de même défini les paramètres initiaux et provisionné l’infrastructure sous-jacente.

Des secrets partout… et des authentifiants par défaut

L’accès initial s’est fait via une instance Langflow exposée à Internet. Le vecteur : une RCE (CVE-2025-3248) dans l’endpoint de validation de code. Elle a permis de récolter des secrets à plusieurs niveaux. Notamment en extrayant la base de données de Langflow et en accédant à un bucket de configuration sur un magasin MinIO… configuré avec le port et les authentifiants par défaut.

La véritable cible était un serveur de production hébergeant une instance de Nacos (Naming and Configuration Service), outil open source de découverte et de configuration de services made in Alibaba.

Le mécanisme d’authentification de Nacos a déjà été maintes fois contourné. En particulier parce que la clé de signature JWT par défaut est documentée publiquement et encore présente sur beaucoup de déploiements.

Un accès root venu d’on ne sait où

La cyberattaque dont il est ici question a exploité cette vulnérabilité. Elle a aussi tiré parti d’un accès root à MySQL, grâce à des authentifiants root… dont Sysdig dit ne pas connaître l’origine. Cet accès a permis d’injecter une backdoor admin dans la base de données de Nacos. Et, au final, de chiffrer toutes les configurations de services via la fonction AES_ENCRYPT() de MySQL. D’abord au niveau des lignes, puis au niveau de schémas entiers. l’environnement de production s’est ainsi trouvé paralysé.

La clé AES, générée aléatoirement, n’a jamais été stockée ou exfiltrée. N’étant apparue qu’une fois dans les logs, et l’agent ne disposant pas d’une mémoire à long terme, elle a été perdue, rendant le déchiffrement impossible. Ce qui n’a pas empêché le dépôt d’une note de rançon, avec une adresse Bitcoin.

Des comportements dits typiquement agentiques

Plusieurs observations accréditent la thèse d’une opération automatisée. L’une concerne la phase d’énumération. Ayant reçu du XML alors qu’il avait demandé du JSON, l’agent a adapté son parseur avant de renvoyer la requête.

L’injection de la backdoor a aussi exposé un comportement typiquement agentique. La procédure consistait à générer un hash bcrypt, à injecter le compte puis à lui donner le rôle admin. La première tentative n’a pas fonctionné (échec du test de login). En à peine 30 secondes, une solution a été trouvée, sans intervention humaine : recréer le compte avec un hash correspondant à un mot de passe plus simple. Dans cet intervalle, il a fallu lire le message d’erreur login, identifier la cause racine (un problème de sous-processus), élaborer un script et le soumettre.

Le même pattern s’est retrouvé au niveau de la destruction de la base de données. En raison d’une contrainte de clé étrangère, le premier DROP DATABASE avait échoué. La deuxième charge utile avait éliminé temporairement la vérification des clés étrangères.

Sysdig perçoit deux autres signes d’attaque agentique. D’une part, la justification de presque chaque action par un commentaire, jusqu’à la logique de priorisation du chiffrement. De l’autre, l’écriture d’un marqueur d’achèvement typique des agents qui, ayant terminé une tâche, signalent qu’ils sont prêts à continuer.

Autre indice potentiel : la capacité à exploiter du contexte que la cible présentait en langage naturel et que du pattern matching n’aurait possiblement pas suffi à interpréter. Ce comportement s’est retrouvé dans des sessions séparées de plusieurs semaines.

Au cours de l’attaque, l’agent a accédé à des clés d’API OpenAI, Anthropic, Google et DeepSeek.

La présence de secrets dans l’environnement Langflow a facilité les choses. Comme l’authentification par défaut sur Nacos, qui pouvait par ailleurs se connecter en root à la base de données.

Illustration générée par IA

The post Un premier « ransomware agentique » repéré dans le cyberespace appeared first on Silicon.fr.

Nouveau coup de théâtre dans la Coupe du monde de football organisée sur le sol américain. Quelques minutes seulement après la défaite cuisante infligée par la Belgique aux États-Unis, Donald Trump s’est empressé de contacter le président de la FIFA : « Oui, j’ai appelé Gianni Infantino pour lui demander de mettre fin à cette compétition stupide : plus personne ne s’intéresse au soccer de toute façon », confirme le chef d’État.

Le président de la FIFA aurait essayé de temporiser en proposant plusieurs solutions, comme la possibilité de réintégrer les États-Unis dans la compétition à la place d’un pays comme la Norvège ou le Maroc, « dont l’absence en quarts de finale ne devrait choquer personne ». Peine perdue : excédé par les performances décevantes de son équipe et l’ingratitude de “Farine Balgolune”, Donald Trump a exigé la fin de la compétition, ainsi que l’interdiction définitive de jouer au soccer sur le sol américain.

Le chef d’État américain aurait décidé en parallèle d’organiser sa propre Coupe du Monde de football, « une fête incroyable, la plus belle Coupe du monde de l’Histoire, réunissant les meilleures équipes de la planète » à l’exception de la Belgique. Selon nos informations, les règles du jeu seraient légèrement différentes : les joueurs, équipés de casques, d’épaulières et de protège-dents, seront autorisés à jouer avec les mains et devront franchir la ligne de but adverse avec le ballon pour marquer des points.

La nouvelle a immédiatement réjoui l’Italie, enthousiaste à l’idée de disputer à nouveau une Coupe du monde de football.

Photo Getty Images

L’article Donald Trump demande à la FIFA de « mettre fin à cette Coupe du monde stupide » est apparu en premier sur Le Gorafi.fr Gorafi News Network.