Vers un cadre juridique clair pour l’OSINT. Nicole Tortello-Duban. Présidente d’AleVia Conseil

Le 16 octobre 2025, l’Association des auditeurs en intelligence économique de l’IHEDN a réuni, à l’École militaire, un public nombreux autour d’un sujet dont l’importance ne cesse de croître : l’OSINT, ou Open Source Intelligence.
Cette rencontre, qui rassemblait plusieurs professeurs de droit parmi les plus éminents spécialistes de la matière, Bertrand Warusfel, Michel Séjean-Chazal et Émilie Musso, a marqué une étape majeure dans la réflexion française sur la place du renseignement d’origine source ouverte dans la sécurité et la souveraineté numérique.
 

Si l’OSINT demeure un terme technique pour beaucoup, il désigne pourtant une pratique qui consiste à recueillir, croiser et interpréter des informations librement accessibles. Dans le champ de la cybersécurité, cette démarche permet d’identifier les fuites de données, de repérer les vulnérabilités, d’anticiper les attaques. Dans celui de l’intelligence économique, elle éclaire la décision et la veille stratégique. Plus largement, elle fonde une culture de la vigilance, indispensable dans un monde saturé de signaux faibles

Pourtant, cette pratique, aussi ancienne qu’essentielle, continue de se déployer dans un cadre juridique incertain. La collecte et l’analyse d’informations publiques peuvent, dans certains cas, être assimilées à du recel de données volées, plaçant les acteurs de la cybersécurité dans une situation paradoxale : contribuer à la protection des systèmes tout en risquant la sanction.

Cette ambiguïté nourrit depuis plusieurs années un débat récurrent entre deux visions. La première, attachée à la souplesse, considère que le flou actuel permet une adaptation pragmatique des pratiques. La seconde, défendue notamment par les agences de recherche privée et de nombreux experts en cybersécurité, plaide pour une sécurité juridique accrue, condition de la confiance et de l’investissement dans un écosystème souverain.
 

C’est précisément ce débat qu’ont souhaité éclairer les professeurs Warusfel, Séjean-Chazal et Musso dans une étude publiée par la revue Dalloz IP/IT sous le titre « Assurer la cybersécurité par l’OSINT : une offre de législation ».

Leurs travaux, menés sous l’égide de la Chaire CYBER et souveraineté numérique de l’IHEDN, ne se limitent pas à une analyse doctrinale. Les auteurs formulent une véritable proposition politique. Ils appellent à la création d’un droit commun de l’OSINT qui consacrerait la liberté de collecter et de traiter les informations accessibles au public, dans le respect de la vie privée, des secrets protégés et des droits de propriété intellectuelle.
Ils préconisent aussi l’introduction d’un fait justificatif pénal, permettant de protéger les professionnels de la cybersécurité contre le risque de poursuite lorsqu’ils agissent dans un but légitime de recherche ou de prévention.
 
 

Une telle approche ne vise pas à déréguler, mais à clarifier. Elle n’entend faire du droit une condition de la confiance. En effet, sans cadre clair, la pratique de l’OSINT reste exposée à l’arbitraire et décourage les acteurs français, au bénéfice d’outils étrangers souvent plus rapides, parfois moins scrupuleux.
 
L’Union européenne, à travers la directive NIS 2, a d’ailleurs reconnu le rôle central de l’OSINT dans la résilience numérique des États membres. Elle a inscrit le recours aux sources ouvertes dans les exigences de cybersécurité et de gestion des risques. Cette reconnaissance européenne crée une dynamique à laquelle la France doit désormais prendre part pleinement. Refuser d’adapter notre droit, ce serait renoncer à maîtriser nos propres instruments d’analyse, et donc à exercer notre souveraineté informationnelle.
 
Car l’OSINT n’est pas une menace. C’est un outil de connaissance et de prévention. Il ne s’agit pas de légaliser la surveillance, mais de donner un cadre éthique et opérationnel à l’observation. De tracer les frontières du licite, non pour restreindre la liberté d’action, mais pour l’ancrer dans la responsabilité. Dans un monde où la donnée est devenue la première ressource stratégique, la France doit affirmer sa capacité à en faire un usage souverain, conforme à ses valeurs démocratiques.
 
La conférence du 16 octobre dernier a montré qu’un consensus se dégage désormais entre les chercheurs, les praticiens et les juristes. Le droit ne doit plus ignorer la pratique. Entre le flou et la rigueur, il faut choisir la clarté. Entre la souplesse et la sécurité, il faut choisir la cohérence. Le moment est venu de faire du droit un levier d’intelligence collective, destiné à protéger nos infrastructures, nos données, nos institutions, sans entraver la recherche ni l’innovation.