ElegArtechTechnologie · Organisations · Action publique
S’abonner
Action publique—Cybersécurité · État et administration · Intelligence artificielle—Analyse

Quand l'ANSSI dit « proscrire » et que l'État dit « déployer »

Le 13 avril 2026, le CERT-FR a publié le bulletin d'actualité CERTFR-2026-ACT-016 qui proscrit le déploiement d'assistants personnels autonomes type OpenClaw ou Claude Cowork sur les postes de travail. Cinq jours plus tôt, le Premier ministre, David Amiel et Anne Le Hénanff réunissaient à Bercy le séminaire interministériel sur la souveraineté numérique pour accélérer la « réduction des dépendances extra-européennes », pendant que l'État poursuivait le déploiement d'« Assistant IA » (Mistral) auprès de 10 000 agents publics. La séquence est dense, les vocabulaires se télescopent, et le mot « agent » désigne deux objets très différents. L'événement n'est pas une rupture doctrinale mais une inflexion lexicale majeure : pour la première fois, l'ANSSI emploie le verbe « proscrire » à propos d'une catégorie technologique en pleine adoption mondiale. Ce dossier reconstitue ce que dit exactement le bulletin, ce que fait réellement l'État, et pourquoi la tension n'est pas tout à fait là où le récit médiatique la place.

AM
Par Alexandre Berge30 avril 2026 · 16 min de lecture
Illustration éditoriale pour « Quand l'ANSSI dit « proscrire » et que l'État dit « déployer » »
Entre ambition et réalité : les transformations à l’épreuve du terrain.

Ce que le bulletin dit, et ce qu'il ne dit pas

Le glossaire technique du CERT-FR

Le bulletin CERTFR-2026-ACT-016 distingue trois objets que le langage courant confond. Un assistant conversationnel (type ChatGPT, Mistral Le Chat, Albert) répond à des requêtes mais n'agit pas sur l'environnement de l'utilisateur. Un agent IA, au sens du CERT-FR, « est doté de capacités d'exécution lui permettant de réaliser des actions tangibles, telles que la programmation d'un évènement dans le calendrier, la lecture des courriels, la navigation sur Internet ou l'exécution de commandes ». Un assistant personnel autonome (APA) combine ces capacités avec un déclenchement par message texte transitant par Slack, WhatsApp, Discord ou équivalents, et une exécution avec les privilèges complets de l'utilisateur. Le bulletin nomme deux APA : OpenClaw et Claude Cowork. La proscription porte exclusivement sur cette troisième catégorie.

Le texte primaire est accessible sur cert.ssi.gouv.fr. Il est court, technique, signé « CERT-FR » sans signataire nominatif, daté de Paris, 13 avril 2026, sous l'en-tête SGDSN/ANSSI. Sa formulation pivot est sans ambiguïté : « En l'état, les assistants personnels autonomes tels qu'OpenClaw ne doivent pas être déployés sur des postes de travail et leur usage doit être proscrit, tant que le produit n'est pas stabilisé et éprouvé du point de vue de la sécurité. » Le bulletin précise que ces recommandations s'appliquent également aux mobiles. OpenClaw est un projet open-source MIT créé par Peter Steinberger (ex-PSPDFKit), après plusieurs renommages forcés par une plainte trademark d'Anthropic. Claude Cowork est un produit Anthropic passé en disponibilité générale enterprise le 24 février 2026, ciblant explicitement les non-développeurs. Les deux produits sont vérifiés sur leurs sites officiels respectifs.

Cinq risques sont énumérés par l'ANSSI : compromission du poste via vulnérabilité (les produits sont en bêta), fuite de données vers ressources non maîtrisées, droits d'accès démesurés sur l'environnement bureautique, partage des secrets d'authentification, et « perte de maîtrise des actions réalisées par les agents IA » ouvrant la voie à des actions destructrices. La surface d'attaque est aggravée par la chaîne d'approvisionnement des plugins, chargés dynamiquement et exécutés avec les privilèges de l'application hôte.

Quatre précisions critiques pour qui lirait trop vite. D'abord, le bulletin ne vise pas explicitement les administrations : il s'adresse génériquement à toute organisation exploitant des postes Windows, Linux ou mobiles, et mentionne les « équipes DSI et RSSI ». Toute formulation du type « l'ANSSI interdit aux administrations… » serait inexacte. Ensuite, le statut juridique reste celui d'un bulletin d'actualité du CERT-FR : ni alerte, ni avis CERTFR-AVI, ni circulaire, ni référentiel opposable type SecNumCloud, donc une recommandation technique juridiquement non contraignante mais constituant une doctrine ANSSI opposable dans une analyse de risques, notamment dans le cadre NIS2. Troisièmement, la liste des produits n'est pas close : la formule « et d'autres solutions en sources ouvertes » laisse délibérément ouvert le périmètre, sans citer Microsoft Copilot Cowork, Google Gemini Agent Mode ou OpenAI Operator pourtant techniquement comparables. Enfin, aucune réaction officielle de la DINUM, de la DITP ou de la CNIL au bulletin n'a été identifiée à ce jour.

L'État déploie de l'IA, mais pas (encore) ces agents-là

Au 25 avril 2026, le paysage du déploiement de l'IA générative dans l'administration française est dense, mais aucun cas public et avéré ne correspond à la définition ANSSI d'« assistant personnel autonome ». Albert, marque-ombrelle de la DINUM, a vu sa déclinaison France Services arrêtée fin 2025, au profit d'un socle interministériel structuré autour d'Albert API exposant désormais des modèles Mistral. L'Assistant IA interministériel, expérimenté depuis le 22 octobre 2025 sur 10 000 agents volontaires de huit ministères (Justice, Économie, Premier ministre, MEAE), tourne sur Mistral Medium 3 hébergé chez Outscale qualifié SecNumCloud 3.2. Le ministère de l'Intérieur a déployé MIrAI, ouvert aux 300 000 agents potentiels, environ 5 000 inscrits à trois mois, avec des expérimentations dans trois préfectures pilotes. Le ministère de la Transition écologique opère PIAG (25 000 collaborateurs ciblés). La DGFiP généralise « Langage clair » d'ici fin 2026 et industrialise « Foncier Innovant ». La Justice prépare un Assistant IA pour 91 000 magistrats et agents.

Anatomie d'une trajectoire en escalade lexicale

L'avis du 13 avril 2026 prolonge cinq années de doctrine ANSSI sur les technologies en pleine adoption commerciale. Avril 2020 : Zoom est « déconseillé fortement » dans l'administration. Juillet 2021 : la circulaire « Cloud au centre » (n°6282-SG) rend Microsoft 365 « non conforme à la doctrine » pour données sensibles. Novembre 2021, renforcée en novembre 2023 par une note signée Stéphanie Schaer : l'ANSSI « déconseille vivement l'utilisation des messageries ne présentant pas des garanties de sécurité suffisantes, telles que WhatsApp », accompagnée du déploiement effectif d'Olvid sur les cabinets ministériels. Avril 2024 : le guide ANSSI sur l'IA générative « déconseille formellement » ChatGPT, Gemini et Copilot pour données sensibles. Avril 2026 : « proscrire » apparaît pour la première fois. La trajectoire des verbes (déconseiller fortement, non conforme, déconseiller vivement, déconseiller formellement, proscrire) marque le franchissement d'un seuil rhétorique sans précédent.

Tous ces déploiements État sont des assistants conversationnels. L'utilisateur sollicite, le système répond, parfois avec RAG documentaire. Aucun ne mobilise de tool use OS, de Model Context Protocol, d'accès en écriture aux messageries professionnelles, ni d'orchestration agentique au sens du bulletin. Le seul cas frontalier identifié est MatchFT à France Travail (envoi automatisé de SMS de pré-qualification aux demandeurs d'emploi), encore loin du périmètre OpenClaw. La tension entre l'avis ANSSI et la réalité du déploiement État n'est donc pas frontale dans les faits.

Elle est en revanche frontale dans le récit. La rhétorique gouvernementale martèle « industrialisation », « passage à l'échelle », « l'IA dans l'État », et l'ambiguïté sémantique du mot « agent » brouille la lecture pour un cadre SI public. L'enquête diligentée par le cabinet Amiel auprès d'environ 1 867 répondants, publiée début avril 2026, annonce 89 % d'usage parmi les agents exposés à des outils IA, 80 % de demande d'extension, 55 % d'usage d'outils externes non validés, autrement dit un shadow AI déjà installé. C'est précisément ce shadow AI que cible l'ANSSI : l'utilisateur final qui installe OpenClaw chez lui, le branche sur sa messagerie, et migre la pratique sur le poste professionnel.

Code, pile, couplage : trois grilles pour comprendre

L'événement appelle des cadres conceptuels que la communication institutionnelle ne mobilise pas, mais qui en éclairent la portée. Trois suffisent.

« Code is Law », ou la régulation par l'architecture

Dans son article fondateur « Code Is Law » publié dans Harvard Magazine en janvier 2000, puis dans Code: Version 2.0 (Basic Books, 2006), Lawrence Lessig pose que le comportement humain est régulé par quatre modalités : la loi, les normes sociales, le marché et l'architecture, c'est-à-dire le code informatique et matériel. Sa formule centrale : « This regulator is code, the software and hardware that make cyberspace as it is. This code, or architecture, sets the terms on which life in cyberspace is experienced. » Lessig oppose le « West Coast Code » (le logiciel produit par la Silicon Valley) au « East Coast Code » (la loi produite à Washington). Sa thèse : quand la loi se tait, le code régule à sa place, et il le fait ex ante, sans organe d'application, donc plus efficacement.

Le bulletin ANSSI relève typiquement de cette dynamique. Le RGPD ne tranche pas la question des agents IA. L'AI Act non plus dans son calendrier actuel : les obligations de transparence de l'article 50 sur les systèmes interagissant avec des humains ne s'appliqueront qu'au 2 août 2026. Faute de norme juridique opérationnelle, l'ANSSI régule par recommandation technique, c'est-à-dire qu'elle agit sur l'architecture, demande aux DSI/RSSI de durcir les postes, exige des listes blanches de canaux, prescrit des sandbox. Lessig fournit le vocabulaire : ceci n'est pas une intervention administrative isolée, c'est une régulation par l'architecture qui supplée à la carence de l'East Coast Code.

Benjamin Bratton, dans The Stack: On Software and Sovereignty (MIT Press, 2015), propose une seconde grille. Le calcul à l'échelle planétaire forme selon lui une mégastructure accidentelle à six couches (Earth, Cloud, City, Address, Interface, User) qui constitue à la fois « a computational apparatus and a new governing architecture ». À l'ordre westphalien horizontal et territorial, Bratton substitue un « Nomos of the Cloud » vertical et stratifié. Toute interaction utilisateur active une column qui traverse les six couches. Or, et ceci est décisif pour notre sujet, la préface de l'édition du dixième anniversaire (MIT Press, 2025) précise : « with agentic AI, the boundary between Interface and User layers is blurred, perhaps forever ». Un agent IA déployé sur un poste public mobilise simultanément un LLM hébergé (Cloud, possiblement extra-territorial), des API standardisées (Address), une interface conversationnelle (Interface), et se constitue lui-même comme User semi-autonome agissant sur les comptes humains. La souveraineté française classique, territoriale et ministérielle, ne capture pas cette verticalité.

Charles Perrow complète utilement le diagnostic technique. Normal Accidents (Basic Books, 1984), né de l'analyse de Three Mile Island, postule que les systèmes à la fois interactivement complexes et étroitement couplés produisent des accidents inévitables, « normaux ». Un agent IA branché sur messagerie, calendrier, fichiers et API métier réunit exactement ces deux propriétés : la chaîne d'inférence du LLM peut produire des actions non prévues (complexité interactive), et l'exécution est rapide, déterministe, sans point d'arrêt humain entre intention et effet (couplage serré). Les cinq risques listés par l'ANSSI correspondent à un manuel d'application de Perrow. Il ne s'agit pas de prévoir un aléa marginal, mais de constater une propriété structurelle.

La France n'est pas isolée sur le diagnostic, elle l'est sur le verdict

Le diagnostic ANSSI converge avec celui de toutes ses homologues. Le NIST américain a lancé le 17 février 2026 son AI Agent Standards Initiative, identifie les mêmes risques (NIST AI 600-1 mis à jour le 8 avril 2026), et chiffre via CSA un taux de succès de 81 % des attaques contre les agents IA versus 11 % contre des défenses de référence. Le BSI allemand, dans le joint paper publié avec l'ANSSI en août 2025 (Design Principles for LLM-based Systems with Zero Trust), pose six principes de sécurité et avertit que « the outputs and automated actions of a potentially compromised LLM system should not be blindly trusted ». Le NCSC britannique parle de « tame autonomy » avec human-in-the-loop verification. La grille technique est partagée.

C'est sur le verdict opérationnel que l'ANSSI se distingue. Aucune autre autorité n'utilise le verbe « proscrire ». Le NIST parle de « trusted adoption », « cementing U.S. dominance », une logique compétitive-industrielle pro-déploiement. Le BSI prescrit Zero Trust et supervision humaine. Le NCSC dit « constrain », pas bannir. Le joint paper ANSSI-BSI d'août 2025 lui-même s'arrête à la prescription Zero Trust, sans interdiction. L'ANSSI est ainsi seule à franchir le pas de l'interdiction de fait sur des produits commerciaux en pleine adoption.

Cette singularité peut se lire de deux manières opposées. Première lecture : l'ANSSI joue son rôle de vigie, prend acte de l'immaturité technique, et anticipe les risques avant que des incidents n'imposent leur évidence. La documentation citée par le bulletin (Trend Micro sur les skills OpenClaw distribuant Atomic macOS Stealer, Cisco qualifiant les agents personnels de « security nightmare », Palo Alto Networks sur Moltbot/OpenClaw) atteste que le risque n'est pas théorique. Seconde lecture : la France adopte une posture défensive qui pourrait creuser l'écart industriel et freiner l'expérimentation, là où les États-Unis institutionnalisent l'adoption accélérée et où l'Allemagne préfère la prescription d'architecture. Les deux lectures sont légitimes. Le bulletin ouvre une porte, « tant que le produit n'est pas stabilisé », sans formaliser de critères d'éprouvabilité.

Ce que l'écosystème institutionnel ne dit pas

Cinq angles morts méritent d'être explicités pour les cadres SI publics. Premièrement, l'ambiguïté sémantique du mot « agent » est un risque opérationnel concret : un DSI ministériel lisant à la fois la communication DINUM (« déploiement de l'agent conversationnel à 10 000 agents ») et le bulletin CERTFR-2026-ACT-016 doit savoir qu'il ne s'agit pas du même objet. Aucun document interministériel public ne formalise à ce jour la distinction conversationnel/agentique pour cadrer les déploiements État. Deuxièmement, la coordination ANSSI/DINUM reste implicite. La note Olvid de novembre 2023 avait déjà laissé entrevoir des frictions. Le bulletin du 13 avril ne mentionne ni la DINUM, ni la circulaire Premier ministre de février 2026 sur la commande publique numérique, ni le séminaire du 8 avril. La séquence est cohérente sur le fond, maîtrise du poste de travail, mais aucun véhicule interministériel n'opère la synthèse.

Troisièmement, la statistique du shadow AI (55 % des agents exposés utilisent des outils non validés selon l'enquête Amiel) signale un déploiement non maîtrisé d'IA agentique grand public dans la sphère publique, dont les ordres de grandeur restent opaques. Quatrièmement, le bulletin ne référence pas l'AI Act, alors que l'article 50 deviendra applicable le 2 août 2026 et concernera frontalement les agents conversationnels et autonomes. La CNIL n'a pas publié de doctrine spécifique distinguant agents autonomes et conversationnels : son programme 2026 traite de la transcription vocale, de l'IA santé et travail, pas spécifiquement des agents. Cinquièmement, l'asymétrie franco-allemande mérite d'être surveillée. Le BSI, partenaire signataire du joint paper Zero Trust, n'a pas publié de bulletin proscrivant OpenClaw ou Claude Cowork, ce qui interroge sur la convergence opérationnelle réelle de la coopération.

Lire 2026 sans confondre les agents

L'épisode du 13 avril 2026 n'est ni une rupture ni un coup d'arrêt. C'est une inflexion lexicale qui condense cinq années de doctrine et qui pose, par anticipation, une question que le déploiement actuel de l'IA dans l'État n'a pas encore frontalement à trancher : que se passera-t-il quand les assistants conversationnels souverains aujourd'hui en déploiement (Assistant IA Mistral, MIrAI, PIAG) chercheront à devenir agentiques pour gagner en utilité réelle ? Le bulletin trace une ligne (observabilité, sandbox, validation humaine, listes blanches de canaux, périmètre minimal) et laisse à chaque DSI la responsabilité de l'interpréter. Lessig nous dit que c'est ainsi que le pouvoir s'exerce désormais. Bratton nous dit que ce pouvoir est limité par la verticalité d'une pile transnationale. Perrow nous dit que la prudence n'est pas excessive, elle est structurellement nécessaire pour des systèmes à couplage serré et complexité interactive.

L'hypothèse vérifiable que l'article propose se formule ainsi. Si la doctrine ANSSI tient, le passage des assistants conversationnels souverains (Albert, Assistant IA, MIrAI, PIAG) à des fonctionnalités agentiques avec exécution sur le poste fera l'objet, d'ici le 31 décembre 2026, d'un cadre interministériel formalisé distinguant les deux catégories et précisant les critères d'éprouvabilité ouverts par le bulletin. Trois indicateurs observables permettront de la tester par un lecteur extérieur, sans accès interne : (1) la publication par la DINUM, la DITP ou le SGDSN d'un document opposable distinguant agents conversationnels et APA dans le périmètre État, (2) la mise à jour publique du référentiel SecNumCloud ou d'une annexe technique intégrant un critère « agent autonome », (3) la position formalisée de la CNIL sur les agents IA dans son rapport annuel 2026 ou dans une délibération dédiée. L'absence de ces trois indicateurs au 31 décembre 2026 invaliderait l'hypothèse et signalerait une fragmentation durable de la doctrine numérique de l'État.

Note méthodologique

Citations du bulletin ANSSI vérifiées sur source primaire (cert.ssi.gouv.fr/actualite/CERTFR-2026-ACT-016). Citations Lessig vérifiées sur harvardmagazine.com et reprises de Code: Version 2.0. Citations Bratton vérifiées via résumé éditorial MIT Press et MIT Press Reader 2025. Citations Perrow vérifiées d'après l'édition originale 1984 et la postface 1999. Données de comparaison NIST/BSI/NCSC vérifiées sur sources officielles. Aucun élément Assurance Maladie/CNAM/CPAM/Sécurité sociale traité au fond, conformément à la consigne éditoriale permanente. Choix éditoriaux explicites : la grille Lessig a été retenue comme cadre central plutôt que Bratton ou Perrow, mobilisés en appui, parce qu'elle nomme le mécanisme spécifique observé (régulation par l'architecture en l'absence d'East Coast Code opérationnel). Le parallèle WhatsApp/Olvid 2021-2023 a été retenu comme parallèle historique principal pour sa proximité structurelle maximale, l'épisode Office 365 et Zoom étant mentionnés brièvement. Points appelant vérification avant publication : (1) absence persistante de réaction officielle DINUM/DITP/CNIL au bulletin, (2) couverture Next.ink et Acteurs Publics du bulletin non confirmée à date, (3) statut évolutif du paquet « Digital Omnibus » de l'AI Act au calendrier européen.

Sources

Sources primaires institutionnelles

Cadres théoriques mobilisés

Parallèles historiques (doctrine ANSSI)

Presse spécialisée et analyses secondaires

Toutes les analyses