Piratage du fisc : l'État confie à Mistral l'audit de ses failles et écarte OpenAI

Un vol de données massif à la Direction générale des finances publiques vient de produire une décision politique qui dépasse largement le cas d'espèce. Le 18 août, à l'issue du Conseil des ministres, le ministre du Budget David Amiel a annoncé que l'État confierait désormais l'audit de sécurité de ses propres systèmes à des entreprises d'IA « souveraines, telles que Mistral », en précisant sans détour que « cela exclut OpenAI ». La phrase a valeur de doctrine : pour la première fois, l'exclusion d'un fournisseur américain devient un critère explicite de la commande publique en cybersécurité.

Une brèche fiscale à 678 000 dossiers

L'affaire part d'une intrusion dans le système d'information de la DGFiP, détectée et refermée fin juin 2026. L'attaquant a exploité un accès VPN interne compromis à l'aide d'identifiants dérobés, ce qui lui a ouvert l'outil de recherche des contribuables. Le bilan officiel, confirmé mi-août, porte sur 678 000 personnes : noms, coordonnées complètes, numéros d'accès fiscal, taux de prélèvement à la source et historiques de correspondance. Point important, souvent mal compris : ni les mots de passe ni les identifiants de connexion des usagers n'ont été volés — ce sont des données déjà détenues par l'administration qui ont fuité, pas les clés d'accès aux comptes.

La gravité tient moins au volume qu'à la nature des informations. Un taux de prélèvement à la source ou un historique d'échanges avec le fisc alimentent des campagnes d'hameçonnage d'une précision redoutable : un escroc capable de citer votre situation fiscale exacte est bien plus convaincant qu'un spam générique. C'est le vrai risque des mois à venir pour les personnes concernées.

« Nous présentons nos excuses »

Le ton gouvernemental a tranché avec la langue de bois habituelle. « Oui, nous présentons nos excuses, car ce qui s'est passé est insupportable pour les Français », a déclaré David Amiel. L'aveu accompagne une séquence désagréable pour Bercy : au moment même où le ministère communiquait sur la première brèche, une nouvelle faille était repérée puis coupée, et les appels de contribuables inquiets affluaient vers les services du fisc. Difficile, dans ce contexte, de se contenter d'un communiqué technique.

L'audit offensif comme réponse

La réponse annoncée n'est pas seulement défensive. L'État veut passer à l'audit dit offensif : faire tourner des outils d'IA qui cherchent activement les vulnérabilités de ses services publics, à la manière d'une équipe de red teaming automatisée, avant que des attaquants ne les trouvent. C'est précisément cette mission — cartographier les failles de l'administration — qui rend le choix du prestataire si sensible. Confier cette cartographie à un modèle hébergé hors d'Europe reviendrait à exposer la liste de ses propres portes dérobées à une technologie soumise à des législations extraterritoriales.

D'où la logique de souveraineté assumée. L'orientation prolonge le programme « Notre IA » du ministère du Budget, qui déploie déjà des outils internes comme « L'Assistant », un système conçu par la direction interministérielle du numérique (DINUM), fondé sur un modèle de Mistral et hébergé dans des centres de données certifiés SecNumCloud. Le fil conducteur est le même que celui qui traverse la stratégie de compute souverain de Mistral : garder la donnée sensible sur des infrastructures sous droit européen.

Trois piliers, et autant de questions

La nouvelle doctrine tient en trois principes simples : recours exclusif à des acteurs français, exclusion formelle des modèles américains, intégration dans des infrastructures labellisées SecNumCloud. Sur le papier, la cohérence est totale avec le discours de souveraineté numérique que Paris tient depuis des années. Reste que l'exclusion nominative d'un fournisseur privé par un ministre pose des questions concrètes de droit de la commande publique : le code prévoit des motifs de sécurité pour restreindre la concurrence, mais nommer une entreprise à écarter et une autre à privilégier devra s'appuyer sur des critères objectifs pour tenir face à un recours.

Il y a aussi un pari industriel. Faire de Mistral le bras armé cyber de l'État, c'est miser sur la capacité d'un laboratoire encore jeune — quoique désormais épaulé, selon Cointribune, par l'équipementier ASML — à livrer un service d'audit de sécurité au niveau des meilleures équipes mondiales, sur un terrain où l'expérience compte autant que la puissance du modèle. La souveraineté ne dispense pas de la performance : un audit offensif souverain mais moins bon qu'un audit étranger laisserait, lui aussi, des failles ouvertes.

Un signal au-delà du fisc

Quelle que soit l'issue juridique, le message envoyé au marché est clair. La cybersécurité des systèmes de l'État devient un débouché fléché vers les acteurs européens, et la « préférence souveraine » cesse d'être un slogan pour devenir un critère d'attribution. Pour Mistral, c'est une validation stratégique autant qu'une responsabilité lourde. Pour les 678 000 contribuables concernés, c'est surtout un rappel que la meilleure doctrine industrielle ne remplace pas la vigilance : face aux tentatives d'hameçonnage qui vont suivre, aucune IA souveraine ne protège mieux qu'un contribuable qui sait que l'administration ne lui demandera jamais ses identifiants par courriel.