Les États ont toujours cherché à protéger leurs communications diplomatiques, militaires, économiques ou stratégiques.
L’informatique a cependant changé l’échelle, la vitesse et la nature du problème.
Je me souviens notamment des premières versions de Microsoft Windows, au début des années 1990, et des discussions relatives à leur commercialisation en France.
À cette époque, les moyens de cryptologie étaient soumis à une réglementation particulièrement stricte.
La France ne refusait pas Windows en tant que tel. Elle imposait aux éditeurs, dont Microsoft, de se conformer aux restrictions nationales applicables aux fonctions de chiffrement.
La robustesse d’un mécanisme cryptographique était notamment appréciée à travers la longueur de sa clé, mesurée en bits.
Des versions volontairement limitées pouvaient ainsi être proposées pour respecter les réglementations nationales ou les contraintes américaines relatives à l’exportation des technologies de chiffrement.
Il ne s’agissait donc pas d’autoriser davantage ou moins de « mots de mémoire d’ordinateur », mais de limiter la longueur des clés et, par conséquent, la puissance du chiffrement.
Je me souviens notamment des premières versions de Microsoft Windows, au début des années 1990, et des discussions relatives à leur commercialisation en France.
À cette époque, les moyens de cryptologie étaient soumis à une réglementation particulièrement stricte.
La France ne refusait pas Windows en tant que tel. Elle imposait aux éditeurs, dont Microsoft, de se conformer aux restrictions nationales applicables aux fonctions de chiffrement.
La robustesse d’un mécanisme cryptographique était notamment appréciée à travers la longueur de sa clé, mesurée en bits.
Des versions volontairement limitées pouvaient ainsi être proposées pour respecter les réglementations nationales ou les contraintes américaines relatives à l’exportation des technologies de chiffrement.
Il ne s’agissait donc pas d’autoriser davantage ou moins de « mots de mémoire d’ordinateur », mais de limiter la longueur des clés et, par conséquent, la puissance du chiffrement.
Cet épisode est important, car il montre que la cryptographie n’a jamais été seulement une question de mathématiques.
Elle constitue également une question politique.
Quel niveau de chiffrement un État doit-il autoriser ?
Les citoyens et les entreprises doivent-ils pouvoir disposer de communications que personne, y compris la puissance publique, ne peut déchiffrer ?
Comment concilier la protection de la vie privée, la sécurité économique, la lutte contre la criminalité et les nécessités du renseignement ?
Au début des années 1990, les autorités françaises considéraient encore les technologies de chiffrement robuste comme des outils stratégiques devant être étroitement contrôlés.
Le cadre a ensuite été progressivement assoupli à mesure que l’économie numérique, les services en ligne et le commerce électronique se développaient.
Quel niveau de chiffrement un État doit-il autoriser ?
Les citoyens et les entreprises doivent-ils pouvoir disposer de communications que personne, y compris la puissance publique, ne peut déchiffrer ?
Comment concilier la protection de la vie privée, la sécurité économique, la lutte contre la criminalité et les nécessités du renseignement ?
Au début des années 1990, les autorités françaises considéraient encore les technologies de chiffrement robuste comme des outils stratégiques devant être étroitement contrôlés.
Le cadre a ensuite été progressivement assoupli à mesure que l’économie numérique, les services en ligne et le commerce électronique se développaient.
Cette évolution rappelle que la cryptographie ne protège pas seulement des données.
Elle contribue à créer les conditions techniques de la confiance.
Grâce à elle, nous pouvons effectuer un virement bancaire, signer un contrat à distance, transmettre un dossier médical, accéder à une administration ou échanger avec une personne que nous ne connaissons pas.
La confiance ne repose plus uniquement sur la connaissance directe des individus. Elle repose aussi sur des logiciels, des protocoles, des infrastructures et des mécanismes mathématiques.
Mais la cryptographie ne suffit pas, à elle seule, à produire la confiance.
Un message peut être parfaitement chiffré et pourtant contenir une information fausse.
Une transaction peut être sécurisée tout en étant exécutée par un logiciel défaillant.
Une donnée peut être protégée pendant son transport, puis utilisée par un algorithme biaisé.
Grâce à elle, nous pouvons effectuer un virement bancaire, signer un contrat à distance, transmettre un dossier médical, accéder à une administration ou échanger avec une personne que nous ne connaissons pas.
La confiance ne repose plus uniquement sur la connaissance directe des individus. Elle repose aussi sur des logiciels, des protocoles, des infrastructures et des mécanismes mathématiques.
Mais la cryptographie ne suffit pas, à elle seule, à produire la confiance.
Un message peut être parfaitement chiffré et pourtant contenir une information fausse.
Une transaction peut être sécurisée tout en étant exécutée par un logiciel défaillant.
Une donnée peut être protégée pendant son transport, puis utilisée par un algorithme biaisé.
Une intelligence artificielle peut fonctionner dans un environnement techniquement sécurisé sans que ses recommandations soient explicables, équitables ou conformes aux intérêts de la société.
C’est pourquoi il convient de distinguer la sécurité et la confiance.
La sécurité cherche à protéger un système contre les intrusions, les altérations ou les usages non autorisés.
La confiance désigne la relation qui permet à des individus, à des entreprises ou à des institutions d’accepter de dépendre de ce système.
La sécurité peut être testée, mesurée et renforcée par des moyens techniques.
La confiance, elle, se construit dans la durée. Elle repose sur la compétence, la transparence, la responsabilité, le respect des engagements et la possibilité d’un contrôle.
La cryptographie constitue donc une condition essentielle de la confiance numérique, mais elle n’en est pas la totalité.
L’émergence de l’informatique quantique rend cette distinction encore plus importante.
Hier, les États s’interrogeaient sur la puissance du chiffrement qu’il fallait autoriser.
Aujourd’hui, ils doivent anticiper la possibilité que certains mécanismes cryptographiques considérés comme robustes deviennent vulnérables face à de nouvelles capacités de calcul.
La sécurité cherche à protéger un système contre les intrusions, les altérations ou les usages non autorisés.
La confiance désigne la relation qui permet à des individus, à des entreprises ou à des institutions d’accepter de dépendre de ce système.
La sécurité peut être testée, mesurée et renforcée par des moyens techniques.
La confiance, elle, se construit dans la durée. Elle repose sur la compétence, la transparence, la responsabilité, le respect des engagements et la possibilité d’un contrôle.
La cryptographie constitue donc une condition essentielle de la confiance numérique, mais elle n’en est pas la totalité.
L’émergence de l’informatique quantique rend cette distinction encore plus importante.
Hier, les États s’interrogeaient sur la puissance du chiffrement qu’il fallait autoriser.
Aujourd’hui, ils doivent anticiper la possibilité que certains mécanismes cryptographiques considérés comme robustes deviennent vulnérables face à de nouvelles capacités de calcul.
La question n’est plus seulement :
Quel chiffrement pouvons-nous autoriser ?
Elle devient :
Comment préserver la confiance lorsque les fondements techniques sur lesquels elle repose peuvent être remis en cause ?
La réponse ne pourra pas être uniquement cryptographique.
Elle devra naturellement inclure la migration vers des solutions post-quantiques. Mais elle devra également reposer sur la capacité des organisations à remplacer rapidement leurs mécanismes de sécurité, à identifier les données sensibles, à inventorier leurs dépendances technologiques et à adapter leurs logiciels.
C’est le sens de la crypto-agilité : ne plus considérer un mécanisme de chiffrement comme une composante définitive, mais comme un élément qui doit pouvoir être remplacé lorsque les risques, les normes ou les technologies évoluent.
Elle devient :
Comment préserver la confiance lorsque les fondements techniques sur lesquels elle repose peuvent être remis en cause ?
La réponse ne pourra pas être uniquement cryptographique.
Elle devra naturellement inclure la migration vers des solutions post-quantiques. Mais elle devra également reposer sur la capacité des organisations à remplacer rapidement leurs mécanismes de sécurité, à identifier les données sensibles, à inventorier leurs dépendances technologiques et à adapter leurs logiciels.
C’est le sens de la crypto-agilité : ne plus considérer un mécanisme de chiffrement comme une composante définitive, mais comme un élément qui doit pouvoir être remplacé lorsque les risques, les normes ou les technologies évoluent.
Cette logique rejoint directement les enjeux actuels de l’intelligence artificielle.
Avec l’IA, nous ne confions plus seulement aux systèmes numériques le stockage ou le transport de nos informations.
Nous leur demandons d’analyser, de recommander, de prédire et parfois de participer à la décision.
La question de la confiance devient alors systémique.
Elle repose d’abord sur la confiance mathématique : la solidité des méthodes de chiffrement et de protection.
Elle repose ensuite sur la confiance logicielle : la qualité des programmes qui exécutent ces méthodes.
Elle suppose une confiance dans les données : leur origine, leur exactitude, leur représentativité et leur intégrité.
Elle nécessite une confiance algorithmique : la compréhension des règles, des modèles et des critères qui conduisent à une recommandation ou à une décision.
Elle dépend enfin d’une confiance organisationnelle et institutionnelle : qui conçoit le système, qui le contrôle, qui l’audite, qui répond de ses conséquences et selon quelles règles ?
Nous pouvons ainsi disposer d’un excellent chiffrement sans disposer d’un système digne de confiance.
Nous leur demandons d’analyser, de recommander, de prédire et parfois de participer à la décision.
La question de la confiance devient alors systémique.
Elle repose d’abord sur la confiance mathématique : la solidité des méthodes de chiffrement et de protection.
Elle repose ensuite sur la confiance logicielle : la qualité des programmes qui exécutent ces méthodes.
Elle suppose une confiance dans les données : leur origine, leur exactitude, leur représentativité et leur intégrité.
Elle nécessite une confiance algorithmique : la compréhension des règles, des modèles et des critères qui conduisent à une recommandation ou à une décision.
Elle dépend enfin d’une confiance organisationnelle et institutionnelle : qui conçoit le système, qui le contrôle, qui l’audite, qui répond de ses conséquences et selon quelles règles ?
Nous pouvons ainsi disposer d’un excellent chiffrement sans disposer d’un système digne de confiance.
La cryptographie protège les échanges.
La gouvernance doit préserver la confiance qui permet à ces échanges de durer.
À l’ère du quantum et de l’intelligence artificielle, la confiance ne peut donc plus être considérée comme une simple conséquence de la technologie.
Elle doit devenir un objectif explicite de conception, de management et de politique publique.
Elle doit être pensée comme une infrastructure stratégique.
Une infrastructure qui ne repose pas seulement sur des réseaux, des centres de données ou des logiciels, mais aussi sur des règles, des responsabilités, des mécanismes d’audit, des institutions crédibles et des citoyens informés.
L’apocalypse du quantum ne signifie peut-être pas la fin de la confiance numérique.
Elle pourrait plutôt marquer la fin d’une illusion : celle selon laquelle la confiance pourrait être garantie durablement par les seules mathématiques.
La cryptographie crée certaines conditions techniques de la confiance. L’intelligence artificielle en élargit les enjeux.
La gouvernance la construit, l’entretient et lui permet de résister aux transformations technologiques.
À l’ère du quantum et de l’intelligence artificielle, la confiance ne peut donc plus être considérée comme une simple conséquence de la technologie.
Elle doit devenir un objectif explicite de conception, de management et de politique publique.
Elle doit être pensée comme une infrastructure stratégique.
Une infrastructure qui ne repose pas seulement sur des réseaux, des centres de données ou des logiciels, mais aussi sur des règles, des responsabilités, des mécanismes d’audit, des institutions crédibles et des citoyens informés.
L’apocalypse du quantum ne signifie peut-être pas la fin de la confiance numérique.
Elle pourrait plutôt marquer la fin d’une illusion : celle selon laquelle la confiance pourrait être garantie durablement par les seules mathématiques.
La cryptographie crée certaines conditions techniques de la confiance. L’intelligence artificielle en élargit les enjeux.
La gouvernance la construit, l’entretient et lui permet de résister aux transformations technologiques.