IA et cybersécurité

1. Un paysage chiffré révélateur d’un déséquilibre structurel

Les chiffres sont têtus et le constat est sans appel. Alors que 53 % des dirigeants interrogés classent lucidement les cyberattaques « dopées à l’IA » au rang des menaces existentielles pour leurs organisations, l’intendance ne suit pas. À peine 5 % d’entre eux ont traduit cette inquiétude en décision budgétaire concrète.

Cette discordance flagrante entre la perception du risque (élevée) et l’investissement effectif (marginal) matérialise une asymétrie...

1. L’ancienne règle : la centralité (quasi exclusive) de la donnée

Sous l’empire exclusif du RGPD, la régulation se focalisait sur la data. Légalité du traitement, transparence, minimisation, droits des personnes : l’algorithme n’était perçu que comme un vecteur de traitement, une boîte noire que l’on tentait d’ouvrir via le droit à l’explication ou l’opposition au profilage. La sécurité était une obligation accessoire à la protection de la vie privée.

2. La nouvelle règle applicable : l’approche par les risques de l’IA (AI Act)

Le Règlement européen sur l’IA (AI Act) change la donne. Ce n’est plus la donnée qui est le sujet principal, mais le système d’IA lui-même. La logique est celle de la sécurité des produits (product safety). Pour les systèmes classés à « haut risque » (catégorie qui englobera nombre...

1. Les fondamentaux de la cybergouvernance

La doctrine moderne de la « cybergouvernance » postule que le risque numérique est un risque business comme les autres. Cartographie des actifs, désignation d’un RSSI et d’un DPO, Politique de Sécurité des Systèmes d’Information (PSSI) : ces fondamentaux sont désormais des standards de marché, dont l’absence est immédiatement sanctionnée par les régulateurs ou les partenaires commerciaux.

2. L’IA comme facteur de complexification de la gouvernance

L’introduction de l’IA démultiplie les strates de responsabilité. À la gouvernance du SI s’ajoutent :

1. Le système d’information victime au cœur de multiples régimes de responsabilité

L’IA ne crée pas ex nihilo un droit nouveau, elle percute les régimes existants. La victime d’une attaque dispose toujours de ses actions civiles et pénales. Les personnes dont les données ont fuité conservent leur droit à réparation sous l’égide du RGPD. L’assureur cyber, lui, cherchera dans les petites lignes du contrat la clause d’exclusion pour défaut de maintenance ou de sécurité.

a. L’asymétrie technique : la fin du temps humain

La réalité de la cyberguerre moderne est une question de cinétique. Une attaque par ransomware pilotée par IA peut chiffrer un réseau en quelques minutes, là où une équipe de sécurité humaine (SOC) mettra parfois des heures à simplement qualifier l’alerte.

Cette latence n’est plus acceptable. L’attaquant ne dort pas, ne se fatigue pas et traite des volumes de données inaccessibles au cerveau humain. Continuer à opposer des pare-feu classiques et une surveillance manuelle à des algorithmes d’attaque prédictifs revient à se présenter à un duel au pistolet armé d’un couteau.