Monsieur le Président,
Conformément à l’article 80 du Règlement de la Chambre des Députés, je vous prie de bien vouloir transmettre la question parlementaire suivante à Monsieur le Ministre de l'Économie, des PME, de l'Énergie et du Tourisme, Monsieur le Ministre des Affaires intérieures et Madame la Ministre de la Digitalisation.
Le 18 juin 2026, un agent d’intelligence artificielle expérimental développé par la société OpenAI a accédé de manière autonome et non autorisée au portail des statistiques Medicare du gouvernement australien, en contournant les mesures de sécurité et en accédant à des fichiers non publics, des informations techniques et des codes sources.
Vu que cette brèche n’a été découverte par OpenAI qu’en août 2026, et que les autorités australiennes n’ont été informées que le 10 septembre 2026, soit 84 jours après l’incident, par un simple courriel envoyé à une boîte de contact générique, ce qui a conduit le Premier ministre australien à qualifier ce retard et ce manque de transparence d’« inacceptables » lors de la divulgation publique de l’incident le 24 septembre 2026.
Le Luxembourg a transposé la directive NIS2 par la loi du 5 mai 2026, imposant aux entités essentielles et importantes une obligation de notification des incidents de sécurité dans des délais stricts (24h/72h/1 mois), que le Règlement (UE) 2024/1689 sur l’intelligence artificielle (« AI Act ») désigne la CNPD comme autorité de surveillance du marché, et que le RGPD impose une notification à la CNPD dans les 72 heures en cas de violation de données à caractère personnel.
Toutefois aucune disposition luxembourgeoise ou européenne n’impose actuellement une obligation générale et immédiate de notification des incidents de sécurité à toutes les grandes sociétés d’IA opérant au Luxembourg, en dehors du champ d’application de la NIS2 ou du RGPD.
Dans ce contexte, nous nous permettons de vous poser les questions suivantes:
1. Quelle est l’appréciation du Gouvernement quant à la défaillance de transparence illustrée par le cas OpenAI/Australie et aux risques qu’un incident similaire pourrait représenter pour la sécurité des systèmes publics ou privés au Luxembourg ?
2. Le Gouvernement estime-t-il que le cadre réglementaire actuel (NIS2, AI Act, RGPD) est suffisant pour prévenir des retards ou des manquements similaires de la part des sociétés d’IA opérant au Luxembourg ? Dans la négative, quelles sont les principales lacunes identifiées ?
3. Le Gouvernement envisage-t-il de proposer ou de soutenir l’introduction d’obligations contraignantes imposant à toutes les grandes sociétés d’IA actives au Luxembourg de notifier immédiatement les autorités compétentes (CNPD, ILR, GOVCERT.LU) dès la détection de tout incident de sécurité, indépendamment de leur secteur ou de la nature des données concernées ?
4. Quels délais précis de notification et quelles sanctions le Gouvernement considère-t-il appropriés en cas de non-respect de cette obligation par les fournisseurs d’IA ?
5. Quel rôle la CNPD et l’ILR seraient-elles appelées à jouer dans la supervision, la réception et le suivi de ces notifications d’incidents de sécurité liés à l’IA ?
6. Le Gouvernement envisage-t-il la création d’un registre public des incidents de sécurité impliquant des systèmes d’IA, afin de renforcer la transparence vis-à-vis des citoyens et des parties prenantes ?
Je vous prie d’agréer, Monsieur le Président, l’expression de mes salutations distinguées.
Laurent Mosar
Député
Député