Encourager le piratage éthique : renforcer la sécurité juridique et supprimer les obstacles d’accès

Les procédures fondées sur l’IA permettent de détecter les failles de sécurité en continu. Des règles claires pourraient permettre d’exploiter ce potentiel et faciliter l’accès des chercheurs indépendants et des nouveaux prestataires. Dans son rapport du 29 novembre 2023 en réponse au postulat 20.4594, le Conseil fédéral a estimé qu’une modification du droit pénal n’était pas nécessaire et a renvoyé au consentement des personnes habilitées à autoriser l’accès aux systèmes. L’OFCS recueille les signalements de failles tout en mettant en garde contre les risques de poursuites pénales et civiles. La portée de son engagement à ne pas engager de démarches juridiques en cas de recherches menées dans le respect des règles sur les systèmes de la Confédération reste toutefois à préciser.

• Quels sont les risques pénaux et civils liés à la recherche responsable sur des systèmes accessibles au public, sans consentement préalable individuel, lorsque les preuves se limitent au strict nécessaire et que les failles sont signalées sans délai ? Il convient de distinguer les analyses de code source sans accès à des systèmes tiers des tests de systèmes en exploitation, ainsi que les consentements exprimés publiquement des consentements individuels.

• Quels services et quels actes sont couverts par l’engagement de l’OFCS ? Cet engagement lie-t-il les autres unités administratives, aux autorités de poursuite pénale et aux tiers concernés ? Quelles lacunes subsistent en matière de protection et comment pourraient-elles être comblées ?

• Comment la Confédération garantit-elle un accès à la recherche transparent, non discriminatoire et indépendant des plateformes aux activités de recherche ? Dans le cadre des programmes fermés, qui décide de l’admission et sur la base de quels critères ?

• Comment les laboratoires indépendants peuvent-ils obtenir des mandats d’essai et de recherche, notamment dans le cadre de la poursuite du projet pilote de l’OFCS sur la sécurité de l’open source ? Quelles sont les procédures de sélection prévues ?

• Les obstacles à l’entrée sur le marché résultant de l’insécurité juridique et de la dépendance à l’égard des plateformes privées ont-ils été analysés ? Quels projets pilotes permettent à des équipes indépendantes d’évaluer des procédures de test fondées sur l’IA dans des environnements de test ? Le Conseil fédéral est-il, le cas échéant, prêt à examiner ces obstacles et à lever les entraves à la concurrence ?

• Dans quelle mesure les procédures fondées sur l’IA modifient-elles l’évaluation effectuée par le Conseil fédéral en 2023 ? À la lumière de l’expérience belge, le Conseil fédéral est-il prêt à réexaminer le cadre juridique à la lumière de l’expérience belge, par exemple dans le cadre de la loi sur la cybersécurité ?

• Le Conseil fédéral est-il prêt à envisager examiner l’instauration d’un régime légal de protection (« safe harbor ») pour la recherche responsable menée sans consentement préalable individuel, pour autant qu’il n’y ait aucune intention de nuire, que les interventions soient proportionnées, que les données de tiers soient protégées, que les failles soient signalées sans délai et que les publications soient coordonnées ? Si tel n’est pas le cas, pourquoi ?