Le nouveau projet de Trump ? Des corsaires dans le cyberespace

Après la décision d’interdire l’accès aux derniers modèles IA d’Anthropic aux étrangers en juin dernier, l’administration américaine vient de franchir un nouveau seuil dans l’unilatéralisme technologique. 

Le 12 août 2026, Donald Trump a rendu public un mémorandum intitulé « Expanding Capabilities to Combat Transnational Cyber-Enabled Crime ». Ce document renverse la doctrine appliquée jusque-là aux États-Unis, et dans les autres pays occidentaux, qui refusait l’implication des firmes privées dans des cyberattaques. 

En autorisant formellement des entreprises à mener des opérations offensives de surveillance et de neutralisation contre les organisations criminelles transnationales, Washington opère, en effet, un déplacement doctrinal majeur : après les mercenaires du condottiere Erik Prince, l’heure est venue pour les corsaires du réseau.

Du point de vue des Européens, ce texte dépasse largement le cadre des affaires intérieures des États-Unis. Il remet en cause le droit international, menace la stabilité dans le cyberespace et prive les pays tiers de toute influence sur ce qui se passe sur leurs réseaux. Face à ce changement de paradigme, l’Union ne peut plus se contenter d’une position purement normative. 

Si elle souhaite éviter de devenir un terrain d’action pour des opérations de piraterie digitale menées par des acteurs privés agissant pour le compte d’entités étrangères, elle doit accélérer de toute urgence la mise en place d’infrastructures cloud et cyber sous son contrôle total, se doter de capacités autonomes pour détecter et identifier l’origine des cyberattaques, et renforcer le cadre réglementaire interdisant toute intrusion non autorisée sur son réseau. Ce memorandum doit être lu comme un avertissement. Sans autonomie technologique réelle, l’Union perdra irrémédiablement sa souveraineté numérique.

Renforcer les capacités de lutte contre la cybercriminalité transnationale

Mémorandum présidentiel, en date du 12 août 2026

À l’adresse de : 

M. Le Vice-président,

M. le Ministre des Affaires étrangères

M. le Ministre des Finances

M. le Ministre de la Guerre

M. le Ministre de la Justice

M. le Ministre du Commerce

M. le Ministre de l’Énergie

M. le Ministre de la Sécurité intérieure

Mme la cheffe de cabinet du président

M. le directeur du Renseignement national

M. le conseiller du président pour la Science et la Technologie

M. le directeur de la CIA

M. le directeur du Bureau de la gestion et du budget 

M. le conseiller pour la Sécurité nationale

M. le conseiller adjoint du président, le chef de cabinet adjoint chargé des politiques, et le conseiller à la Sécurité intérieure

M. le directeur national de la Cybersécurité

M. le chef d’état-major interarmées

M. le directeur de la NSA

En vertu des pouvoirs qui me sont conférés en tant que président, par la Constitution et les lois des États-Unis d’Amérique, j’ordonne ce qui suit :

Article 1. Objet. 

Les organisations criminelles transnationales (OCT) constituent une menace croissante pour les citoyens américains, les entreprises et la sécurité nationale. Ces organisations mènent des campagnes cybercriminelles soutenues afin de commettre des fraudes qui portent atteinte à la prospérité, à la sécurité et à la liberté des États-Unis. Par le décret présidentiel n° 14390 en date du 6 mars 2026 (Lutte contre la cybercriminalité, la fraude et les pratiques abusives à l’encontre des citoyens américains), j’ai ordonné au gouvernement fédéral de prendre diverses mesures pour lutter contre la cybercriminalité portant préjudice aux citoyens américains. Le présent mémorandum élargit la lutte contre la cybercriminalité perpétrée par les OCT en s’appuyant sur les ressources du secteur privé.

Le secteur privé américain est le plus innovant et le plus avancé technologiquement au monde, et son ampleur, sa rapidité et ses capacités assurent aux États-Unis un avantage cyberoffensif décisif. Pourtant, les capacités d’innovation des entreprises américaines ont historiquement été sous-exploitées dans les efforts visant à identifier et à démanteler les réseaux criminels opérant dans le cyberespace. C’est donc la politique des États-Unis d’utiliser tous les instruments du pouvoir national, y compris les capacités d’innovation du secteur privé, pour lutter contre la cybercriminalité. En nouant des partenariats avec des entreprises américaines dûment sélectionnées, soumises aux directives et à la supervision du gouvernement fédéral, nous renforcerons notre capacité à contrer les menaces liées aux organisations criminelles transnationales (OCT) et à lutter contre la cybercriminalité transnationale, la fraude et autres pratiques prédatrices visant les citoyens américains.

Pendant des décennies, la politique de sécurité informatique des États-Unis et de leurs alliés reposait sur un principe clair : seuls les États ont le droit de recourir à la violence légitime dans le cyberespace. Tout en encourageant les partenariats public-privé pour le partage de renseignements, la législation américaine, notamment le Computer Fraud and Abuse Act (CFAA) ¹ de 1986, interdisait strictement aux acteurs privés de se livrer à des contre-attaques ou de franchir les frontières numériques de réseaux tiers. Le « Hack Back » était fermement condamné en raison des risques d’escalade géopolitique, d’erreurs d’attribution et de dommages collatéraux. Lors de son premier mandat, Donald Trump avait déjà voulu bousculer ce consensus, mais la loi que les républicains avaient préparée à cet effet n’avait pas été votée. À noter : la Constitution des États-Unis (article I, section 8) confère expressément au Congrès le pouvoir de délivrer des lettres de marque et de représailles, et les États-Unis n’ont jamais adhéré à la Déclaration de Paris de 1856, qui abolissait la guerre de course menée par les corsaires pour le compte des nations. En agissant par le biais d’un mémorandum présidentiel, sans mentionner ce terme et sans procéder à un vote, Trump s’arroge une prérogative du Congrès. Or, le Congrès a refusé de légaliser le « Hack Back » privé en rejetant le projet de loi « Active Cyber Defense Certainty Act », qui avait été présenté en vain en 2017, puis en 2019. Désormais, le pouvoir exécutif met cette mesure en œuvre de son propre chef.

Art. 2. Mise en place du programme. 

( a ) Le Centre national de coordination (NCC), créé en vertu de l’article 6(d) du décret présidentiel n° 14159 du 20 janvier 2025 (Protection du peuple américain contre l’invasion), créera, gérera et assurera le fonctionnement d’un programme visant à autoriser les entreprises participantes, telles que définies à l’article 4(f) du présent mémorandum, à mener des opérations de cyber-surveillance et des opérations de cyber-effets contre des organisations criminelles transnationales étrangères recourant aux technologies cyber (CE-OCT), sous le contrôle et la supervision du gouvernement fédéral. 

Donald Trump impose une fois de plus par décret ce qui lui avait été refusé sous forme législative durant son premier mandat. Sous le couvert d’un encadrement par les départements de la Justice et de la Sécurité intérieure, l’État américain entend désormais déléguer l’exécution de la défense cyber-active et de certaines actions offensives à des sociétés privées. Cette décision est justifiée par l’incapacité des seules agences publiques à contenir le volume et la rapidité de la cybercriminalité transnationale. Ce passage d’un modèle d’action purement étatique à un régime d’auxiliaires privés assermentés, en quelque sorte des corsaires du cyberespace, reconfigure radicalement la frontière entre sécurité publique et intérêts économiques privés. On y reconnaît la marque d’Eric Prince, fondateur de « Blackwater » et partisan de la privatisation de la guerre irrégulière.

Dans le cadre d’opérations légales d’enquête, de protection ou de renseignement menées par les forces de l’ordre fédérales, ce programme doit :

( i ) être supervisé par deux directeurs exécutifs conjoints, l’un issu du ministère de la Justice, nommé par le ministre de la Justice, et l’autre issu du ministère de la Sécurité intérieure, nommé par le ministre de la Sécurité intérieure (les « directeurs exécutifs du programme »). Les directeurs exécutifs du programme se verront déléguer le pouvoir d’approuver, après s’être concertés, les opérations dans le cyberespace menées dans le cadre du programme par le personnel de leurs départements respectifs, à l’exception des opérations pouvant entraîner des « conséquences critiques », telles que définies à la section 4(b) du présent mémorandum.  Les opérations dans le cyberespace ne seront approuvées qu’après coordination entre les directeurs exécutifs du programme, et toute action opérationnelle qui en résulte sera menée exclusivement au nom et sous la supervision du gouvernement fédéral, conformément aux pouvoirs légaux de ce dernier ;

Le texte entretient une ambiguïté juridique lourde de conséquences potentielles. En plaçant l’action de ces entreprises sous le couvert de la sécurité nationale américaine, les mécanismes de responsabilité civile en cas d’erreur de ciblage ou de préjudice subi par une entité européenne du fait d’une opération menée par une entreprise américaine deviennent très incertains. Cet affaiblissement majeur du droit international au profit de normes unilatérales rend la question de la souveraineté numérique des États et des entreprises européennes toujours plus pressante.

(ii) exiger des entreprises participantes qu’elles concluent des accords contractuels avec le ministère de la Justice ou le ministère de la Sécurité intérieure, lesquels garantiront que les entreprises participantes soient soumises à une vérification rigoureuse et que leurs prestations respectent les procédures opérationnelles strictes décrites dans les directives de mise en œuvre visées à la section 3 du présent mémorandum ; et

( iii ) autoriser les entreprises participantes à conclure des accords commerciaux avec :

( A ) des entités du secteur privé, desquelles les entreprises participantes pourront recevoir, afin de proposer au NCC des opérations dans le cyberespace adaptées, toute information relative à des menaces recueillie dans le cadre des activités commerciales normales de ces entités ; et

( B ) des agences fédérales, d’État, locales, chargées des affaires tribales et territoriales, qui identifieront pour les entreprises participantes les menaces CE-OCT de manière à leur permettre de proposer au NCC des opérations cybernétiques visant à contrer ces menaces.

( b ) Le NCC mènera toutes les activités du programme conformément à la Constitution et à toutes les autres lois applicables ainsi qu’aux obligations internationales des États-Unis, y compris l’article 1030 du titre 18 du Code des États-Unis, garantissant ainsi que les entreprises participantes agissent sous le contrôle et la supervision du gouvernement des États-Unis.

Art. 3. Directives d’application 

( a ) Dans les 60 jours suivant la date du présent mémorandum, les directeurs exécutifs du programme devront, en coordination avec le Conseil de la sécurité intérieure, établir des procédures opérationnelles pour le programme de manière concertée, garantissant la supervision et le contrôle complets par le gouvernement fédéral des performances des entreprises participantes. Aucune opération ne pourra être approuvée si elle ne respecte pas ces procédures opérationnelles. Ces procédures doivent :

( i ) établir les normes minimales auxquelles les entreprises participantes doivent satisfaire pour prendre part au programme ; celles-ci doivent inclure des niveaux appropriés de maîtrise technique, des performances avérées en matière d’opérations dans le cyberespace, la sûreté des installations, la vérification des antécédents du personnel, la compétence, la fiabilité et tout autre facteur que les directeurs exécutifs du programme, en coordination avec le Conseil de la sécurité intérieure, jugent pertinent ou nécessaire pour garantir un haut niveau de confiance dans la capacité d’une entreprise participante à mener à bien ses missions dans le cadre du programme ;

( ii ) veiller à ce que les critères d’éligibilité du programme permettent la participation tant des grandes entreprises, qui apportent des capacités essentielles, que des entreprises plus petites et plus agiles, qui peuvent être mieux adaptées à des tâches spécialisées ou ponctuelles ;

Le mémorandum met en lumière l’asymétrie systémique majeure qui caractérise aujourd’hui le paysage technologique mondial. La capacité d’agir dans le domaine de la géopolitique des cyberattaques dépend d’un groupe restreint de géants du secteur, en grande majorité américains.

Donald Trump entend désormais en faire des agents de l’État américain à l’offensive dans le cyberespace. Cette symbiose renforcée entre l’État et ses champions technologiques accroît la dépendance de l’Europe à l’égard de décisions prises à Washington, en dehors de toute possibilité de contrôle démocratique ou juridique. Les entreprises et les services publics européens vont devoir vivre avec des technologies qui sont en réalité des vecteurs et des portes dérobées pour les affrontements cyber décidés par les États-Unis.

( iii ) exiger des entreprises participantes qu’elles communiquent à la NCC toutes les relations contractuelles conclues en vertu de la section 2(a)(iii) du présent mémorandum ;

( iv ) autoriser le ministère de la Justice et le ministère de la Sécurité intérieure à exiger, comme condition de leurs accords contractuels avec les entreprises participantes en vertu de la section 2(a)(ii) du présent mémorandum, que ces entreprises souscrivent une caution ou un dépôt fiduciaire d’un montant d’au moins 1 million de dollars, qui sera confisqué si l’entreprise participante ne respecte pas son accord contractuel décrit à la section 2(a)(ii) du présent mémorandum ;

( v ) conformément à l’annexe classifiée du présent mémorandum, définir le déroulement opérationnel du programme, qui inclura la coordination opérationnelle entre les forces de l’ordre fédérales, le Ministère des Affaires étrangères, le Ministère des Finances, le Ministère de la Guerre, le Ministère de la Justice et la communauté du renseignement des États-Unis ;

( vi ) conformément à l’annexe classifiée du présent mémorandum, fournir un cadre décisionnel garantissant que les activités opérationnelles ne visent que les CE-OCT et tiennent compte des autres intérêts du gouvernement des États-Unis ;

( vii ) définir des critères et des modèles standardisés pour l’identification des cibles ainsi que pour la création et le traitement des dossiers relatifs aux opérations de cyber-surveillance et aux opérations dans le cyberespace ;

( viii ) inclure des obligations de rapport pour les entreprises participantes qui permettront une meilleure compréhension des activités et de l’impact des CE-OCT étrangères, notamment en ce qui concerne la population et l’économie américaines, et qui garantiront que le NCC soit pleinement informé des activités opérationnelles des entreprises participantes ;

( ix ) prévoir des procédures, y compris un examen par le ministère de la Justice, garantissant que toute activité du Programme visant une personne américaine ou impliquant de quelque manière que ce soit les obligations du gouvernement des États-Unis en vertu de la Constitution, du droit fédéral ou du droit international, fasse l’objet de toute autorisation nécessaire, judiciaire ou autre, avant l’approbation de l’opération ;

( x ) prévoir des procédures garantissant qu’une entreprise participante qui constate une activité opérationnelle dépassant les paramètres et les restrictions de l’opération dans le cyberespace approuvée par les directeurs exécutifs du programme — telle que le ciblage involontaire (1) d’une personne américaine, (2) un système d’information situé aux États-Unis, ou (3) un système d’information sous le contrôle d’une personne américaine — mette fin à cette opération, mette en œuvre des procédures de minimisation et en informe immédiatement le NCC, qui en informera le ministère de la Justice ;

( xi ) prévoir des procédures imposant aux entreprises participantes d’informer immédiatement le NCC, qui en informera le ministère de la Justice, si elles découvrent une cyberattaque imminente contre une infrastructure critique des États-Unis ou si elles ont des raisons valables de croire qu’une opération dans le cyberespace ou une opération de cyber-surveillance approuvée est susceptible d’entraîner des conséquences critiques ;

( xii ) préciser que les entreprises participantes peuvent toujours mener d’autres opérations cyber-défensives licites qui leur sont par ailleurs autorisées, mais que toute activité autorisée par le programme doit être menée sous la supervision, le contrôle opérationnel et l’autorité légale du gouvernement des États-Unis ;

( xiii ) prévoir des procédures d’évaluation de chaque entreprise participante en vue du maintien de sa participation au programme, au moins une fois par an ; et

( xiv ) exiger que les directeurs exécutifs du programme examinent chaque dossier d’opération cybernétique et fournissent une approbation écrite ainsi que des instructions à l’entreprise participante avant que toute action ne puisse être entreprise.

( b ) Les directeurs exécutifs du programme doivent régulièrement évaluer et améliorer en permanence les procédures opérationnelles du programme afin de garantir une mise en œuvre efficace et efficiente des objectifs définis dans le présent mémorandum. Le NCC doit également recourir à l’automatisation pour rationaliser les éléments du programme chaque fois que cela est approprié, conformément à la législation applicable et aux exigences du présent mémorandum.

( c ) Les directeurs exécutifs du programme doivent, dans les 180 jours suivant la date du présent mémorandum, puis chaque année par la suite, établir un rapport détaillant l’état d’avancement du programme et le soumettre au conseiller adjoint du président et chef de cabinet adjoint chargé de la politique et conseiller à la sécurité intérieure, ainsi qu’au directeur national de la cybersécurité.

Art. 4. Définitions 

Aux fins du présent mémorandum :

( a ) « Opération dans le cyberespace » désigne toute activité menée au sein ou par le biais du réseau interconnecté d’infrastructures informatiques — qui comprend Internet, les réseaux de télécommunications, les ordinateurs, les systèmes d’information, les systèmes de contrôle industriels, les réseaux, ainsi que les processeurs et contrôleurs embarqués — et qui entraîne la manipulation, la perturbation, le déni d’accès, la dégradation ou la destruction de systèmes d’information, de réseaux, d’infrastructures physiques ou virtuelles contrôlées par des systèmes d’information, ou d’informations qui y sont stockées.

( b ) « Conséquences critiques ». Une action est considérée comme entraînant une conséquence critique si elle est susceptible :

( i ) d’entraîner la mort ou des blessures graves ; ou

( ii ) d’atteindre le niveau d’un recours à la force ou d’une attaque armée au sens du droit international.

( c ) « Organisation criminelle transnationale utilisant le cyberespace (CE-OCT) » désigne tout groupe étranger qui commet des infractions en utilisant le cyberespace à l’encontre du gouvernement des États-Unis, d’une personne américaine ou d’intérêts américains, et qui ne fait pas partie intégrante d’un gouvernement étranger ni n’est entièrement placé sous la direction d’un gouvernement étranger. Aux fins du présent mémorandum, un groupe étranger est présumé ne pas faire partie intégrante d’un gouvernement étranger ni être entièrement placé sous la direction d’un gouvernement étranger, à moins que des renseignements clairs n’établissent un tel lien.

Les États hostiles aux pays occidentaux n’attaquent que rarement à découvert via des acteurs publics revendiqués : les Russes, les Nord-Coréens ou les Chinois utilisent des « proxies », des entreprises mercenaires agissant de façon plus ou moins coordonnée ; d’autres pays, comme Israël ou l’Inde, se sont dotés d’une puissante industrie, liée à des commandes étatiques, qui a mis au point des systèmes utilisables dans le cadre d’une diplomatie cyber agressive, comme l’a illustré la société israélienne NSO Group avec son produit phare Pegasus. Enfin, les États-Unis ont longtemps privilégié une collaboration uniquement défensive, en demandant aux principales sociétés privées un certain nombre d’informations, y compris collectées hors des États-Unis, pour réagir ensuite via leurs agences fédérales, parfois masquées sous des groupes anonymes.

( d ) « Opération de cyber-surveillance » désigne les activités menées au sein ou par l’intermédiaire du réseau interconnecté de systèmes d’information comprenant Internet, les réseaux de télécommunications, les ordinateurs, les systèmes d’information, les systèmes de contrôle industriel, les réseaux, ainsi que les processeurs et contrôleurs embarqués, dans le but principal de collecter des informations ou des renseignements — y compris des informations susceptibles d’être utilisées pour de futures cyber-opérations — à partir de systèmes d’information, de réseaux, d’infrastructures physiques ou virtuelles contrôlées par des systèmes d’information, ou d’informations qui y résident, avec l’intention de passer inaperçu. Les opérations de cyber-surveillance impliquent l’accès à ces systèmes d’information sans l’autorisation du propriétaire ou de l’exploitant, ou en dépassant les limites de l’accès autorisé. Les opérations de cyber-surveillance comprennent les actions essentielles et inhérentes à leur mise en œuvre, telles que la manipulation ou la perturbation temporaire qui n’a pas pour but de provoquer des effets physiques ou d’affecter le fonctionnement d’infrastructures physiques ou virtuelles.

D’un point de vue européen, un tel dispositif soulève des inquiétudes majeures. À l’heure du cloud computing généralisé (Amazon/AWS, Microsoft/Azure, Google/GCP ou le cloud Oracle) et des services d’IA omniprésents, les groupes criminels n’agissent presque jamais en utilisant uniquement des équipements qui leur appartiennent ; ils détournent toujours des infrastructures légitimes situées sur le territoire de pays tiers neutres, notamment en Europe. 

L’autorisation accordée à des entités privées américaines de neutraliser ou d’infiltrer ces réseaux fait peser un risque critique sur la souveraineté des États et peut avoir des effets dévastateurs sur des entreprises ou des services publics européens qui n’ont rien à voir avec les cybercriminels.

( e ) Le terme « système d’information » a le même sens que celui défini à l’article 3502 du titre 44 du Code des États-Unis.

( f ) Le terme « entreprises participantes » désigne les entreprises privées américaines qui ont été admises au programme et qui seront autorisées à mener des cyber-opérations sous la direction du gouvernement américain.

( g ) Le terme « personne américaine » a le même sens que celui défini dans le décret présidentiel n° 12333.

Art. 5. Dispositions générales 

( a ) Aucune disposition du présent mémorandum ne saurait être interprétée comme portant atteinte ou affectant de quelque manière que ce soit :

( i ) les pouvoirs conférés par la loi à un ministère ou à un organisme exécutif, ou à son responsable ; ou

( ii ) les fonctions du directeur du Bureau de la gestion et du budget relatives aux propositions budgétaires, administratives ou législatives.

( b ) Le présent mémorandum doit être mis en œuvre conformément à la législation applicable et sous réserve de la disponibilité des crédits budgétaires.

( c ) Le présent mémorandum n’a pas pour objet de créer, et ne crée, aucun droit ni avantage, de nature substantielle ou procédurale, susceptible d’être invoqué en droit ou en équité par une partie quelconque à l’encontre des États-Unis, de leurs ministères, agences ou entités, de leurs responsables, employés ou agents, ou de toute autre personne.

DONALD J. TRUMP