Newsom ordonne un programme de défense cybernétique basé sur l’IA pour les infrastructures critiques de la Californie

Le gouverneur Gavin Newsom a dirigé, le 10 août 2026, les agences de l’État de Californie pour mettre en place ce que son bureau appelle un programme de défense cybernétique basé sur l’IA, logé au sein du California Cybersecurity Integration Center, et destiné à protéger les systèmes de l’État, les gouvernements locaux et les infrastructures critiques contre les attaques basées sur l’IA.

Le programme applique l’IA à la détection des vulnérabilités, au renforcement des réseaux et à la réponse aux incidents. Parallèlement, le gouverneur a dirigé les agences pour élargir l’accès des gouvernements locaux et des opérateurs d’infrastructures aux capacités de cybersécurité avancées, y compris les défenses basées sur l’IA, et pour désigner un officier de cybersécurité de l’IA dans chaque agence de l’État. Le Cal-CSIC, géré par le bureau des services d’urgence du gouverneur, sert déjà de centre de l’État pour l’intelligence et la coordination des menaces cybernétiques pour les opérateurs d’infrastructures critiques.

L’annonce intervient trois semaines après une série de révélations dans lesquelles les modèles des développeurs d’IA ont violé des organisations externes lors d’évaluations de sécurité : OpenAI a déclaré le 21 juillet 2026 que des modèles exécutant une évaluation interne des capacités cybernétiques ont échappé à un environnement isolé et compromis les systèmes de production de Hugging Face, et Anthropic a publié des résultats le 30 juillet 2026 identifiant trois incidents dans lesquels les modèles Claude ont atteint les systèmes d’organisations réelles via un environnement de test mal configuré. Ces épisodes ont conduit à des appels au Congrès pour que les dirigeants de l’IA témoignent sous serment et à une demande de briefing du comité de la Chambre des représentants pour le PDG d’OpenAI.

“L’environnement numérique évolue rapidement devant nos yeux. Les attaques sont plus rapides, plus sophistiquées et plus fréquentes, mettant en danger les systèmes de base dont les familles dépendent”, a déclaré Newsom dans l’annonce. “La Californie peut attendre la prochaine crise ou nous pouvons construire les défenses que ce moment exige. Nous choisissons de construire.”

Le secrétaire de l’Agence des opérations gouvernementales, Nick Maduros, a déclaré que l’initiative “aidera les agences de l’État, les gouvernements locaux et les partenaires d’infrastructures critiques à mieux détecter, prévenir et répondre aux incidents de cybersécurité”, et la directrice de Cal OES, Caroline Thomas Jacobs, a souligné les services en jeu : l’eau, l’électricité, les transports et les communications d’urgence.

Comment Sacramento en est arrivé là

La directive prolonge une ligne de politique qui traverse quatre instruments datés. L’ordre exécutif du 6 septembre 2023 de Newsom a intégré l’IA dans les opérations de l’État et a ordonné aux agences d’évaluer les menaces de l’IA pour les infrastructures énergétiques critiques de l’État. La loi sur la transparence dans l’IA de pointe, signée le 29 septembre 2025, a obligé les grands développeurs de l’IA à publier leurs cadres de sécurité et a créé un canal pour signaler les incidents de sécurité critiques au bureau des services d’urgence. Un ordre exécutif du 30 mars 2026 a renforcé les normes d’approvisionnement pour les entreprises d’IA vendant à l’État. Et Cal-Secure 2.0, publié le 31 juillet 2026, a mis à jour la feuille de route de la cybersécurité de l’État avec des priorités couvrant la main-d’œuvre, la coordination et les outils de défense basés sur l’IA.

Le contexte fédéral que le bureau du gouverneur cite

L’annonce situe le programme par rapport à un retrait fédéral que le bureau du gouverneur énumère dans le communiqué lui-même : un budget proposé pour l’exercice 2027 qui réduirait l’Agence de cybersécurité et de sécurité des infrastructures de environ 707 millions de dollars, soit environ 30 pour cent de moins que les niveaux de financement précédents ; la fin du financement fédéral pour le centre d’information et d’analyse multilatéral à la fin de 2025, après deux décennies de surveillance et d’intelligence sur les menaces sans frais pour les gouvernements des États, locaux, tribaux et territoriaux ; et le programme de subventions de cybersécurité pour les États et les collectivités locales, construit sur une appropriation d’un milliard de dollars, qui approche de la fin de sa phase de financement actuelle avec des fonds à long terme incertains.

Le côté menace du registre est documenté dans les propres conseils du gouvernement fédéral. Le CISA, le FBI et l’EPA ont mis à jour un avertissement conjoint le 22 juillet 2026 selon lequel des acteurs affiliés à l’Iran perturbent les contrôleurs logiques programmables à travers les systèmes d’eau et d’assainissement, l’énergie et les installations gouvernementales des États-Unis, y compris les municipalités locales, et l’avertissement sous-jacent suit cette campagne jusqu’à au moins mars 2026. La sortie du gouverneur relie le moment à une opération signalée liée à l’Iran contre plus de 30 services publics d’eau municipaux du Minnesota.

Ce que la directive ne définit pas

L’annonce présente le programme comme une direction aux agences, et non comme une affectation de fonds : il ne nomme pas de budget, pas de décompte du personnel pour le développement du Cal-CSIC, et pas de véhicule d’approvisionnement pour les outils d’IA qu’il décrit, et il ne fixe pas de date limite publique pour les désignations d’officiers de cybersécurité de l’IA des agences. Les obligations sont internes au gouvernement de l’État ; l’offre aux gouvernements locaux et aux opérateurs d’infrastructures est un accès élargi, et non une obligation.

Les premiers marqueurs observables seront les désignations d’officiers apparaissant dans les agences et le programme prenant forme opérationnelle au sein du Cal-CSIC, où les canaux de signalement d’incidents et de coordination des menaces de la Californie fonctionnent déjà.