Le 2 juin, la Maison-Blanche a publié son décret présidentiel sur « la promotion de l’innovation et de la sécurité en matière d’intelligence artificielle avancée ». À une époque où les capacités de l’IA progressent plus rapidement que jamais, ce décret impose la modernisation accélérée et la défense cyber des systèmes d’information fédéraux et critiques, en adoptant des outils d’IA avancés et sécurisés, tout en interdisant explicitement toute obligation de licence ou d’autorisation pour le développement ou la mise à disposition d’un modèle d’IA.
Nous sommes encouragés de constater que le décret reconnaît qu’innovation et sécurité ne sont pas des priorités concurrentes, mais bien deux aspects indissociables. Comme nous l’avons récemment exposé dans nos commentaires adressés au National Institute of Standards and Technology (NIST) National Cybersecurity Center of Excellence (NCCoE) sur l’identité des agents d’IA, exploiter la productivité à la vitesse des machines offerte par l’IA implique d’étendre les principes de Zero Trust aux systèmes autonomes. Analysons les principales initiatives.
Pourquoi c’est important
L’ordonnance énonce clairement une politique : les États-Unis favoriseront l’innovation et la sécurité en matière d’IA en collaborant avec le secteur privé afin de moderniser et renforcer les systèmes d’information des administrations et du secteur privé face aux menaces extérieures, de protéger l’ingéniosité américaine et la propriété intellectuelle contre le vol par des adversaires, et de développer les capacités avancées des États-Unis en matière d’IA.
Cette approche collaborative, du secteur public vers le secteur privé, constitue le modèle fondé sur la communauté qui permet d’obtenir les résultats les plus solides. En donnant la priorité à la modernisation rapide des défenses cyber des infrastructures fédérales et critiques tout en préservant l’innovation sur le marché, cet arrêté répond au principal défi de sécurité de l’ère de l’IA : sécuriser les agents IA et l’Enterprise agentique.
Principales initiatives en matière d’innovation en IA et de sécurité
À mesure que les modèles et agents d’IA gagnent en puissance, l’identité s’impose comme la couche fondamentale. L’identité traditionnelle répond à la question « Qui êtes-vous ?» — mais à l’ère de l’agentivité, il faut répondre à « Qu’êtes-vous autorisé à faire en mon nom ? » — de manière efficace accorder une « procuration » sécurisée à l’IA C’est sous cet angle que nous abordons chacune des initiatives clés présentées dans le décret exécutif.
Section 2 : mise à niveau des systèmes américains pour l’IA avancée
La section 2 demande une action rapide à l’ensemble du gouvernement. Dans un délai de trente jours, le Committee on National Security Systems doit accorder la priorité à la cybersécurité des systèmes de sécurité nationale, et le Secretary of War doit accorder la priorité à la cybersécurité des systèmes d’information du Department of War.
Dans le même délai de trente jours, le secrétaire à la Sécurité intérieure, par l’intermédiaire du directeur de la Cybersecurity and Infrastructure Agency (CISA) et en concertation avec l’Office of Management and Budget (OMB), la National Security Agency (NSA) et le National Cyber Director, est chargé de publier des directives opérationnelles contraignantes ainsi que d’autres recommandations afin d’accélérer la défense cyber des systèmes d’information civils du gouvernement fédéral, d’étendre les programmes fédéraux visant à renforcer les outils défensifs reposant sur l’IA, et de faciliter l’accès aux outils et services de cybersécurité, y compris, le cas échéant, aux modèles de pointe couverts.
Ce dernier point mérite d’être examiné attentivement. Le décret étend cet accès aux agences fédérales, aux autorités étatiques et locales, ainsi qu’aux opérateurs d’infrastructures critiques telles que les hôpitaux ruraux, les banques communautaires et les services publics locaux. Les organisations qui disposent souvent du moins de ressources sont fréquemment celles qui servent nos communautés les plus vulnérables. Les intégrer pleinement, plutôt que de les laisser se débrouiller seuls, témoigne d’une approche communautaire de la sécurité que nous défendons depuis des années.
Le décret crée également une plateforme centralisée dédiée à la cybersécurité de l’IA. Dans un délai de trente jours, le secrétaire au Trésor, en concertation avec le National Cyber Director, la NSA et la CISA, est chargé de mettre en place cette plateforme en collaboration volontaire avec le secteur de l’IA et les opérateurs d’infrastructures critiques, en coordonnant l’analyse des vulnérabilités, la validation et la distribution prioritaire des correctifs.
La vision d’Okta
L’identité constitue le socle de toute stratégie de défense moderne, et elle est désormais essentielle pour sécuriser les workflows agentiques. Pour éviter le modèle de confiance implicite à haut risque pouvant découler de l’IA autonome, les organisations doivent mettre en place des autorisations continues et dynamiques.
En s’appuyant sur Okta for AI Agents et sur des standards fondamentaux d’identité tels que le profilage d’interopérabilité pour une identité sécurisée en l'Enterprise (IPSIE) de l’OpenID Foundation ainsi que sur le protocole émergent Cross-App Access (XAA), Okta est en mesure d’accompagner le secteur public et les opérateurs d’infrastructures critiques — des banques communautaires aux réseaux de santé ruraux — dans l’adoption sécurisée d’outils d’IA avancés.
Alors que les agences s’efforcent de renforcer rapidement leurs systèmes, l’authentification résistante au phishing et des contrôles d’accès robustes constituent la première ligne de défense face aux menaces que cet ordre vise à traiter. Nous nous réjouissons de collaborer avec CISA et le département du Trésor afin d’intégrer une sécurité centrée sur l’identité au cœur de ces nouvelles initiatives.
Section 3 : Déploiement sécurisé du modèle frontier
La section 3 présente un framework volontaire. Dans un délai de 60 jours, le secrétaire au Trésor, la NSA et la CISA, en concertation avec le chef de cabinet de la Maison-Blanche par l’intermédiaire du directeur national de la cybersécurité, l’assistant du président pour la science et la technologie, ainsi que le secrétaire au Commerce par l’intermédiaire du NIST, sont chargés d’élaborer un processus de référence classifié afin d’évaluer les capacités cyber avancées des modèles d’IA et de déterminer à quel moment un modèle doit être désigné comme « covered frontier model ».
Le framework offre aux développeurs la possibilité de collaborer avec le gouvernement en amont, de permettre l’accès aux modèles de pointe concernés dans des conditions appropriées de confidentialité et de cybersécurité pendant une période pouvant aller jusqu’à 30 jours avant leur mise à disposition auprès de partenaires de confiance, et de participer à la sélection de ces partenaires de confiance. Il est important de noter que l’ordonnance précise qu’aucune disposition de cette section n’autorise la création d’une obligation gouvernementale de licence, d’autorisation préalable ou de permis pour le développement, la publication, la diffusion ou la distribution de nouveaux modèles d’IA, y compris les modèles de pointe.
La vision d’Okta
L’importance accordée à un framework volontaire, plutôt qu’à une obligation, est significative. Cela témoigne de la confiance accordée au secteur privé et reconnaît que les personnes qui conçoivent ces modèles sont également les mieux placées pour contribuer à leur sécurisation. Cet équilibre entre sécurité et réglementation mesurée est le bienvenu, car il préserve la liberté de choix à laquelle les clients et les développeurs peuvent légitimement prétendre.
Section 4 : Protection contre les acteurs malveillants
La section 4 demande au procureur général de donner la priorité à l’application des articles 1028, 1030, 1343 du Code des États-Unis et des autres lois pénales fédérales applicables à toute personne utilisant l’IA pour accéder illégalement à un ordinateur ou l’endommager, ou recourant à des agents IA pour accéder de manière illicite à des données qui seront ensuite utilisées à des fins criminelles.
La vision d’Okta
À mesure que les agents d’IA gagnent en capacités et se généralisent, la question de savoir qui agit et s’ils sont autorisés devient essentielle. Parce que l’IA élargit la surface d’attaque en exécutant des milliers d’opérations par minute, une responsabilisation stricte est essentielle. Il est nécessaire de tenir les acteurs malveillants responsables, et associer l’application des règles à des contrôles d’identité robustes permet de garantir que seuls les utilisateurs et agents autorisés peuvent accéder aux systèmes sensibles dès le départ.
Comment Okta accompagne la prochaine étape de la gouvernance de l’IA au niveau fédéral
À mesure que les agences fédérales, les gouvernements des États et les organisations du secteur privé s’efforcent de se conformer à ce nouveau décret, la demande de recommandations concrètes pour l'implémentation devrait fortement augmenter. Nous attendons des partenariats public-privé qu’ils favorisent une approche collective visant à élaborer des normes ouvertes et des recommandations d’implémentation fiables, et nous y sommes favorables.
Grâce à la neutralité d’Okta, les clients peuvent choisir les meilleurs produits, applications et outils de sécurité pour leur mission. Nous nous réjouissons de collaborer avec le Congrès, les décideurs et les agences afin de soutenir ces initiatives et de promouvoir le maintien du leadership des États-Unis dans le domaine de l’IA.
Prêt à aligner votre organisation sur ces nouveaux standards de sécurité ? Évaluez votre posture de sécurité avec le Blueprint Okta AI afin d’identifier les lacunes et d’élaborer une stratégie défendable pour vos systèmes autonomes.
