Conformité à la loi européenne sur l'IA
L'EU AI Act exige que les systèmes d’IA à haut risque soient précis, robustes et sécurisés. Découvrez comment ImmuniWeb vous aide à répondre à vos obligations en matière de cybersécurité de l’article 15 en sécurisant les systèmes et applications autour de votre IA.
Conformité au règlement européen sur l'intelligence artificielle (IA)
Qu'est-ce que l'EU AI Act?
L'AI Act adopte une approche basée sur le risque, classant les systèmes d'IA en catégories interdites, à risque élevé, à risque limité ou à risque minimal. Les fournisseurs de systèmes d'IA à risque élevé doivent satisfaire à un ensemble d'exigences (articles 8 à 15) couvrant la gestion des risques, la gouvernance des données, la documentation technique, la journalisation, la supervision humaine, ainsi que la précision, la robustesse et la cybersecurity, et doivent accomplir une évaluation de conformité.
La cybersécurité est une exigence contraignante pour l'IA à haut risque. Il convient de noter que lorsqu'un système d'IA à haut risque relève également du Cyber Resilience Act et remplit ses conditions, il peut être réputé conforme à l'exigence de cybersécurité de l'article 15 de l'AI Act.
Découvrez comment ImmuniWeb prend en charge l’article 15 de l’AI Act: sécurisez les web apps, les API et l’infrastructure par lesquelles vos systèmes d’IA sont exposés. Demandez une démo · ou effectuez un test gratuit de la Community Edition.
Qui doit se conformer à la loi européenne sur l’IA?
Le Règlement sur l’IA s’applique à:
- Fournisseurs qui développent ou mettent sur le marché de l'UE des systèmes d'IA, y compris les systèmes à haut risque.
- Déploiants qui utilisent des systèmes d'IA dans l'UE.
- Les organisations situées hors de l'UE dont les systèmes d'IA ou les outputs sont utilisés dans l'UE (portée extraterritoriale).
Les applications web, les API et l’infrastructure par lesquelles on accède aux systèmes d’IA font partie de la surface d’attaque qui doit être sécurisée.
Principales exigences de l'AI Act pour la sécurité des applications
La sécurité des applications est régie par l’article 15:
- Article 15 – Cybersécurité: les systèmes d'IA à haut risque doivent être résilients face aux tentatives de tiers non autorisés visant à exploiter des vulnérabilités et à modifier leur utilisation, leur comportement ou leurs performances.
- Article 15 - Robustesse: les systèmes doivent fonctionner de manière cohérente et résister aux erreurs, aux défaillances et aux incohérences.
- Systèmes supports: les applications, les API et l'infrastructure au service des systèmes d'IA doivent elles-mêmes être sécurisées.
Les exigences de cybersécurité de l'AI Act en détail
Article 15 – Cybersécurité des IA à haut risque
L’article 15 exige que les systèmes d’IA à haut risque soient résilients face aux tentatives d’exploitation de leurs vulnérabilités. En pratique, une grande partie de la surface d’attaque réelle provient des applications web, des API et de l’infrastructure via lesquelles les systèmes d’IA sont déployés et accessibles, et ces composants doivent être testés et sécurisés.
Sécurisation des applications autour de l'IA
Les systèmes d'IA fonctionnent rarement de manière isolée ; ils sont exposés via des applications web et mobiles ainsi que des API. Les tests d'intrusion et l'analyse des vulnérabilités de ces applications et API réduisent la surface d'attaque que l'Article 15 attend des fournisseurs qu'ils défendent.
Risques courants des applications Web et mobiles à remédier
Les vulnérabilités des applications et des API liées aux systèmes d’IA correspondent étroitement à l’OWASP Top 10:
- Broken Access Control — les utilisateurs accédant à des données ou à des actions qu'ils ne devraient pas.
- Défaillances cryptographiques — chiffrement faible ou absent exposant des données sensibles.
- Injection — Injection SQL, de commande ou autre via des entrées non validées.
- Insecure Design — des contrôles de sécurité manquants par conception, et non pas seulement par bug.
- Mauvaise configuration de sécurité — configuration par défaut, incomplète ou non sécurisée.
- Composants vulnérables et obsolètes — bibliothèques et frameworks non patchés.
- Échecs d'identification et d'authentification — gestion faible des connexions, des sessions ou des identifiants.
- Échecs d’intégrité des logiciels et des données — mises à jour non fiables, pipelines CI/CD non sécurisés.
- Échecs de la journalisation et de la surveillance de la sécurité — attaques non détectées.
- Server-Side Request Forgery (SSRF) — le serveur induit en erreur pour effectuer des requêtes malveillantes.
Pour les applications mobiles, le OWASP Mobile Top 10 constitue la référence équivalente (stockage de données non sécurisé, communication non sécurisée, cryptographie faible, etc.). Identifier fiablement ces problèmes nécessite de tester l'application en cours d'exécution, et non de se limiter à une revue de documentation.
Comment soutenir l'article 15 de l'AI Act avec ImmuniWeb
- Cartographiez la surface d'attaque de l'IA. Inventairez les applications, API et l'infrastructure exposant les systèmes d'IA avec ImmuniWeb Discovery.
- Testez les applications web et les API avec On-Demand et Neuron.
- Testez les frontends mobilesavec MobileSuite et Neuron Mobile.
- Corriger et retester avec des rapports exploitables et sans faux positifs.
- Développement sécurisé avec Continuous dans CI/CD.
- Surveillez votre exposition avec Discovery.
Comment ImmuniWeb vous aide à vous conformer à l'EU AI Act
ImmuniWeb aide à respecter l’article 15 en sécurisant les applications, API et infrastructures par lesquelles les systèmes d’IA à haut risque sont exposés et accédés.
| Exigence | Ce que cela nécessite | Produits ImmuniWeb |
|---|---|---|
| Article 15 – cybersécurité | Résilience à l'exploitation des vulnérabilités. | On-Demand, Neuron, Continuous |
| Applications et API sous-jacentes | Sécuriser les applications et les API au service des systèmes d’IA. | On-Demand, Neuron, MobileSuite, Neuron Mobile |
| Surface d’attaque | Cartographier et surveiller la surface d'attaque de l'IA. | Discovery (ASM / Dark Web) |
ImmuniWeb On-Demand et MobileSuite offrent des tests d’intrusion web, mobile et API ; Neuron et Neuron Mobile fournissent des scans automatisés ; Continuous intègre les tests dans le CI/CD ; et Discovery cartographie la surface d’attaque autour de vos systèmes d’IA, soutenant ainsi l’exigence de cybersécurité de l’Article 15.
EU AI Act vs Cadres internationaux
Si vous respectez déjà des normes internationales, les mêmes tests ImmuniWeb les couvrent toutes:
| Framework | Perspective sécurité des applications | Comment ImmuniWeb s'aligne |
|---|---|---|
| Loi européenne sur l’IA | Article 15: cybersécurité de l’IA à haut risque | Sécurisation des applications, des API et de l'infrastructure autour de l'IA |
| EU CRA | Product cybersecurity (may satisfy Art 15) | Tests d’intrusion et analyse de sites Web et d’applications mobiles |
| RGPD | Sécurité du traitement (Article 32) | Les mêmes tests couvrent les deux |
| ISO/IEC 27001 | Annexe A: contrôles techniques | Tests comme preuve de contrôle |
Tests d'intrusion vs scans de sécurité
Les deux sont nécessaires. Le scan automatisé (DAST) offre une couverture large et fréquente et est idéal pour les tests continus dans le CI/CD ; le penetration testing manuel trouve les vulnérabilités de logique métier et complexes que les scanners manquent et produit la profondeur attendue par les auditeurs et les régulateurs. Combinez le scanning continu avec du penetration testing manuel périodique, et re-testez après des changements significatifs.
Liste de contrôle de conformité (Sécurité des applications)
- Inventaire des applications, API et infrastructures exposées à l'IA
- Applications web et API testées contre le Top 10 de l’OWASP
- Interfaces mobiles testées selon le OWASP Mobile Top 10
- Systèmes de support durcis et résilients face à l'exploitation
- Les failles identifiées sont corrigées et retestées ; les enregistrements sont conservés
- Tests intégrés au cycle de vie du développement
- Surveillance de la surface d’attaque en place
Pourquoi la conformité à l'Acte IA de l'UE est-elle importante?
The AI Act carries significant penalties (up to EUR 35 million or 7% of global turnover for prohibited practices, and up to EUR 15 million or 3% for other violations), and high-risk obligations - including cybersecurity under Article 15 - apply from 2 August 2026. Conformity is a precondition for placing high-risk AI on the EU market.
La surface d'attaque concrète des systèmes d'IA étant les applications, API et infrastructures les entourant, les sécuriser et les tester constitue l'un des moyens les plus directs de se conformer à l'Article 15.