La sécurité de l’IA est en train de passer d’un « ajout optionnel » à une composante centrale de l’architecture d’entreprise : Google réapprend aussi cette leçon

Lorsque l’IA entre dans les systèmes d’entreprise, la sécurité n’est plus une question de « dernière ligne droite »

Francis de Souza, COO de Google Cloud, a récemment livré une observation essentielle au sujet de la sécurité de l’IA : même une entreprise aussi grande que Google est en train d’« apprendre en temps réel » à faire face aux défis de sécurité de l’ère de l’IA.

L’intérêt de cette phrase ne réside pas seulement dans l’idée que « l’IA est dangereuse » — c’est désormais un lieu commun. Ce qui compte davantage, c’est qu’elle montre que les entreprises entrent dans une nouvelle phase : l’IA n’est plus seulement un outil autonome, elle commence à s’intégrer aux données, aux autorisations, aux workflows, au support client, au code, à la recherche, aux outils bureautiques et aux chaînes de décision. Dès lors que l’IA entre réellement en production, la sécurité ne peut plus être comprise comme un correctif ajouté après le lancement d’un projet ; elle doit être intégrée dès la conception de l’architecture.

C’est aussi la raison pour laquelle de Souza insiste sur le fait que « sans stratégie de données, pas de stratégie IA ; sans stratégie de sécurité, pas de stratégie IA ». Par le passé, les entreprises privilégiaient souvent d’abord les fonctionnalités, puis la protection ; à l’ère de l’IA, cet ordre est en train de devenir caduc.

Le vrai risque n’est pas une vulnérabilité ponctuelle, mais l’« IA fantôme » au sein de l’entreprise

Un problème souvent évoqué, mais fréquemment sous-estimé, est celui de la shadow AI, c’est-à-dire l’utilisation par les employés, sans supervision de l’organisation, de divers outils d’IA grand public.

En apparence, il ne s’agit que de l’utilisation d’outils non conformes. Mais du point de vue de la gouvernance d’entreprise, cela révèle trois évolutions plus profondes :

1. Les frontières des données deviennent floues : les employés peuvent envoyer des documents internes, des informations clients ou des extraits de code vers des modèles externes. 2. La chaîne d’approbation est contournée : les équipes IT et sécurité ne peuvent plus maîtriser entièrement les flux de données. 3. Le risque à l’échelle de l’organisation est masqué par la commodité des outils : le gain de productivité individuel peut se payer par une exposition au niveau de l’entreprise.

Si ce type de risque est si difficile à traiter, c’est parce qu’il ne s’agit pas d’une intrusion de hacker au sens traditionnel, mais d’un canal de fuite créé par l’outil de « productivité » lui-même. Les entreprises avaient l’habitude de concentrer la sécurité sur les attaques externes ; à l’ère de l’IA, ce qui s’amplifie en premier, ce sont souvent les usages internes non contrôlés.

La vitesse est en train de réécrire les règles de l’offensive et de la défense sur le réseau

de Souza a également mentionné une évolution aux conséquences plus fortes pour le secteur : le rythme des cyberattaques modernes s’accélère nettement, et la fenêtre de temps entre la percée et l’étape suivante est passée de plusieurs heures à quelques dizaines de secondes.

Qu’est-ce que cela signifie ?

Cela signifie que la fenêtre de réponse humaine sur laquelle reposaient les systèmes de sécurité traditionnels est en train de disparaître. Autrefois, les entreprises pouvaient s’appuyer sur les alertes, les investigations, les vérifications manuelles et la coordination des équipes pour gérer un incident ; aujourd’hui, la vitesse de propagation d’une attaque peut déjà dépasser le cycle de décision de la plupart des personnes.C’est aussi pourquoi « machine speed against machine speed » devient un mot-clé de plus en plus fréquent chez les équipes de sécurité. Autrement dit, le versant défensif doit lui aussi être automatisé, voire encore plus automatisé. Ici, l’IA ne crée pas seulement de nouveaux risques : elle oblige aussi le secteur de la sécurité à repenser sa logique défensive :

• une détection des anomalies plus rapide
• une réduction des privilèges plus automatisée
• une orchestration des réponses en temps réel
• un premier mécanisme de blocage moins dépendant des décisions humaines

Il ne s’agit pas d’une simple montée en gamme des outils de sécurité, mais d’un signal indiquant que l’industrie de la sécurité se dirige vers des « systèmes de défense autonomes ».

Les agents d’IA peuvent révéler plus vite les systèmes hérités des entreprises

Un autre axe qui mérite d’être surveillé est l’entrée des agents d’IA dans les systèmes internes des entreprises.

Du point de vue de l’efficacité, ces agents peuvent aider les employés à rechercher des informations, exécuter des tâches et appeler des systèmes. Mais du point de vue de la sécurité, ils peuvent aussi découvrir plus rapidement les zones longtemps négligées : des SharePoint obsolètes, des bases de données abandonnées, des systèmes internes aux paramètres de droits désorganisés, ou encore d’anciens services non maintenus mais toujours en ligne.

Ces problèmes ne sont pas apparus avec l’IA, mais l’IA les rend plus faciles à détecter et donc plus faciles à amplifier.

Dans les environnements IT traditionnels, si tant de systèmes hérités n’avaient pas posé problème pendant des années, c’était souvent parce qu’ils étaient « trop discrets » ; mais lorsqu’un agent d’IA peut, comme un utilisateur interne, rechercher, assembler et raisonner à travers plusieurs systèmes, ces actifs endormis deviennent au contraire une surface d’attaque rapidement exploitable.

C’est aussi pourquoi les entreprises ne peuvent pas se contenter de discuter de « ce que l’IA peut faire » ; elles doivent aussi répondre simultanément à « ce que l’IA peut voir, à quoi elle peut accéder et ce qu’elle peut appeler ».

Les questions de sécurité deviennent un sujet de conseil d’administration

La CISO de LinkedIn, Lea Kissner, a indiqué que le secteur pourrait faire face, dans les prochaines années, à une nouvelle vague de vulnérabilités déclenchées par l’IA.

Le poids de ce constat tient au fait qu’il montre que la sécurité de l’IA n’est plus seulement une affaire d’équipes techniques, mais devient un sujet de gouvernance d’entreprise. Autrefois, le conseil d’administration se préoccupait de conformité, de finances et de risques pour la marque ; aujourd’hui, la sécurité de l’IA devient un enjeu stratégique du même niveau.

La raison est simple :

• les entreprises dépendent de plus en plus de l’IA pour le travail intellectuel
• les entrées et sorties des systèmes d’IA sont plus difficiles à auditer complètement
• les modèles, plugins, agents et connecteurs de données se multiplient
• une seule erreur de configuration peut provoquer une fuite systémique

Dans un tel environnement, le budget sécurité n’est plus seulement un coût IT, mais une condition préalable à la commercialisation de l’IA. Sans gouvernance de la sécurité, les gains de productivité de l’IA peuvent rapidement être engloutis par le coût des incidents.

Pourquoi ce changement n’est pas seulement un problème pour Google

Si l’on comprend cette information simplement comme « Google parle de sécurité de l’IA », on voit trop étroitement.Plus précisément, c’est le signe que l’ensemble de l’industrie de l’IA entre dans les eaux profondes. Dans la phase précédente, la concurrence dans le secteur portait surtout sur la capacité des modèles, la vitesse d’inférence, la longueur du contexte, le prix et l’expérience utilisateur ; dans la phase suivante, les clients entreprises se soucieront de plus en plus de trois choses :

• Les données sont-elles contrôlables ?
• Les permissions sont-elles auditables ?
• L’automatisation peut-elle être isolée ?

Cela influencera directement le paysage concurrentiel du marché de l’IA.

Pour les fournisseurs de cloud, les capacités de sécurité deviendront un argument clé au même titre que la puissance de calcul, les modèles et les outils de développement ; pour les sociétés de modèles, celui qui saura mieux démontrer sa sécurité et sa gouvernance de niveau entreprise aura plus de chances d’accéder à des scénarios d’achats à grande échelle ; pour les startups, le nouveau marché autour de la sécurité de l’IA, des permissions des données, de la gouvernance des agents, de l’audit des modèles et de la défense automatisée continuera de s’élargir.

Autrement dit, la sécurité de l’IA n’est pas un secteur de niche périphérique, mais la couche centrale de la prochaine génération d’infrastructures d’IA pour les entreprises.

Du « combat des modèles » au « combat des systèmes »

Aujourd’hui, la concurrence en IA ne peut plus être décrite simplement par « quel modèle est le plus puissant ».

Ce qui détermine vraiment le déploiement commercial, ce sont de plus en plus les capacités système : cloud, identité, permissions, journaux, audit, pipelines de données, capacités côté terminal, réponse de sécurité et cadres de gouvernance. Le modèle n’est que la porte d’entrée ; le système est le véritable champ de bataille.

Cela explique aussi pourquoi les grandes entreprises technologiques avancent simultanément sur les plateformes d’IA, les services cloud et les produits de sécurité. Car sur le marché des entreprises, la monétisation de l’IA ne consiste pas à vendre un modèle isolé, mais à restructurer l’ensemble de l’architecture informatique.

Si, au cours de la dernière décennie, l’enjeu de la concurrence dans le cloud était de savoir « qui peut héberger les applications de manière moins chère et plus stable », alors à l’ère de l’IA, la réponse devient : qui peut assurer la souveraineté des données, les frontières d’accès et la défense en temps réel tout en hébergeant l’intelligence.

À plus long terme, la sécurité de l’IA va remodeler la division du travail

L’impact de la sécurité de l’IA ne se limitera pas non plus à la couche technique.

À mesure que la défense automatisée, l’exécution par agents et les réponses à la vitesse des machines se généraliseront, les tâches internes de sécurité, de conformité et de maintenance de base des entreprises connaîtront toutes des changements structurels. Beaucoup de tâches qui dépendaient autrefois d’inspections manuelles, d’approbations et de traitements pourraient être réorganisées en processus semi-automatiques, voire entièrement automatiques.

Cela ne signifie pas la disparition du rôle humain, mais un déplacement des rôles :

• De l’exécutant au rédacteur de règles
• Du gestionnaire d’incidents au superviseur des anomalies
• De l’administrateur système au gestionnaire de stratégie

À l’ère de l’IA, les équipes de sécurité ne sont plus seulement des « brigades anti-incendie », mais ressemblent davantage à des concepteurs des frontières des systèmes intelligents de l’entreprise.

Conclusion : plus l’IA se généralise, plus la sécurité ressemble à une infrastructure

La discussion autour de Google Cloud révèle en réalité qu’un consensus sectoriel est en train de se former : l’IA ne résoudra pas d’abord les problèmes de sécurité avant d’entrer dans l’entreprise ; au contraire, c’est précisément dans le processus de déploiement massif de l’IA en entreprise que les problèmes de sécurité seront mis au premier plan.Dans les prochaines années, le succès ou l’échec de l’IA en entreprise ne dépendra pas seulement des performances des modèles, mais aussi de sa capacité à rester contrôlable, auditabile, isolée et récupérable dans de véritables organisations.

L’IA ne crée pas une nouvelle catégorie de fonctionnalités logicielles ; elle réécrit la structure de confiance des systèmes d’entreprise.

Et lorsque la structure de confiance est réécrite, la sécurité n’est plus un accessoire, mais l’industrie elle-même.