Francia elige Mistral AI tras el robo de datos de 700.000 contribuyentes

El hackeo de la Dirección General de Finanzas Públicas impulsa al Estado francés a revisar su estrategia de ciberseguridad. Frente a las fallas que afectan a las administraciones y exponen datos sensibles, el ejecutivo quiere reforzar en profundidad sus auditorías digitales gracias a la IA. Una respuesta a la altura de una amenaza que ya supera a los sistemas públicos. La información robada puede alimentar campañas de ingeniería social y dirigirse directamente a los ciudadanos, incluidos los poseedores de criptomonedas. Detrás de este cambio se juega también una cuestión mayor: la soberanía digital francesa.

La respuesta soberana de Bercy y la elección exclusiva de la IA de Mistral AI

Este martes 18 de agosto de 2026, tras el Consejo de Ministros en París, el gobierno francés decidió un giro tecnológico importante para reforzar la resiliencia de sus infraestructuras informáticas, mientras cerca de 700 000 contribuyentes están amenazados tras un ciberataque contra la DGFiP. El ministro de Presupuesto, David Amiel, anunció que el Estado utilizaría herramientas basadas en inteligencia artificial para identificar y probar de manera proactiva las vulnerabilidades de sus propios servicios públicos.

Para llevar a cabo esta delicada misión de auditoría ofensiva, Francia tomó la decisión deliberada de excluir a los gigantes estadounidenses en favor de actores locales. David Amiel fue particularmente categórico ante la prensa. Declaró que el gobierno recurriría a empresas de IA consideradas soberanas, « como Mistral », antes de aclarar explícitamente: « esto excluye a OpenAI ».

Esta orientación política sigue directamente el programa « Nuestra IA » revelado unos meses antes por el Ministerio de Presupuesto. Este plan ya buscaba desplegar herramientas soberanas dentro de los servicios del Estado, en particular a través de « El Asistente », un dispositivo diseñado por la dirección interministerial de la digitalización (DINUM), que se basa en el modelo de la joya parisina Mistral AI y alojado exclusivamente en centros de datos certificados SecNumCloud.

Al confiar la detección de sus fallas de seguridad a Mistral, empresa respaldada por el proveedor ASML, París rechaza exponer la cartografía de sus debilidades informáticas a tecnologías extraeuropeas. Esta elección de ingeniería preventiva responde directamente al impacto causado por la infiltración de los servidores fiscales, oficializada pocos días antes.

Para entender el alcance de esta orientación institucional, tres pilares fundamentales estructuran ahora la nueva doctrina de auditoría del gobierno :

• El recurso exclusivo a las joyas locales : el Estado encarga a actores franceses como Mistral AI auditar sus propios sistemas sin depender de actores estadounidenses ;
• La exclusión firme de modelos terceros : la decisión excluye formalmente a OpenAI para evitar cualquier transferencia de cartografía de vulnerabilidades hacia servidores sometidos a legislaciones extraterritoriales ;
• El anclaje en infraestructuras certificadas : la integración se basa en el programa « Nuestra IA » y el alojamiento en centros de datos con etiqueta SecNumCloud.

Una brecha informática abierta en la Dirección General de Finanzas Públicas

El detonante de esta reorganización gubernamental reside en una brecha de seguridad sin precedentes en la Dirección General de Finanzas Públicas (DGFiP). Revelada el jueves anterior gracias a los datos on-chain por el Ministerio de Economía y Finanzas, el ataque permitió a un hacker acceder a la herramienta de búsqueda de contribuyentes comprometiendo un acceso interno VPN mediante credenciales robadas.

La intrusión, detectada y cerrada a finales de junio de 2026, provocó la extracción de los archivos de cerca de 700 000 personas, incluyendo nombres, datos de contacto completos, números de acceso fiscal, tasas de retención en la fuente e historiales de correspondencia. La situación se agravó aún más el lunes cuando la directora general de la DGFiP, Amélie Verdier, confirmó que sus equipos acababan de descubrir una segunda fuga de datos, actualmente en evaluación.

Aunque la administración fiscal precisó que no se robaron contraseñas ni credenciales de acceso, la naturaleza de la información resulta particularmente tóxica cuando se cruza con el ecosistema financiero de las criptomonedas. La fuga de direcciones físicas y datos fiscales detallados constituye un terreno ideal para el phishing ultra-dirigido y el robo de identidad.

Esta vulnerabilidad hace eco de las preocupaciones expresadas a principios de año por Pavel Durov. En abril de 2026, el fundador de Telegram señaló públicamente las fallas de los registros públicos, revelando que Francia registró 41 secuestros o intentos de extorsión dirigidos a poseedores de criptos durante los primeros tres meses y medio del año.

Entre ambición de soberanía e imperativo de protección de datos

Más allá de la respuesta de emergencia aportada por Bercy, esta asociación con el ecosistema local plantea importantes cuestiones sobre la gestión futura de infraestructuras críticas europeas. Al negarse a alimentar a los modelos estadounidenses con el directorio de fallas de las administraciones públicas, Francia intenta imponer un estándar de confidencialidad estricto bajo el control del derecho europeo.

Sin embargo, este método de pruebas automatizadas mediante IA soberana deberá demostrar su eficacia frente a modos operativos humanos muchas veces basados en el compromiso de credenciales legítimas, una brecha que el análisis algorítmico de código no siempre logra tapar. La confrontación entre la potencia analítica de los grandes modelos de lenguaje y la realidad del riesgo humano se anuncia decisiva.

En el futuro, la reacción francesa podría sentar jurisprudencia dentro de la Unión Europea respecto a la obligación de auditar sistemas críticos mediante inteligencias artificiales estrictamente confinadas bajo soberanía jurídica local. No obstante, si la tecnología de Mistral AI ofrece garantías contra la fuga de información hacia actores terceros, no podrá borrar retroactivamente las cientos de miles de fichas de contribuyentes ahora en circulación. Para inversores y poseedores de capital, la urgencia ya no reside solo en la seguridad técnica de sus carteras, sino en una vigilancia permanente frente a intentos de ingeniería social, hechos tremendamente efectivos por la exposición involuntaria de su identidad administrativa.