Ali Hayat, PDG et fondateur d’Axipro – Série d’entretiens

Ali Hayat est PDG et fondateur d’Axipro. Il associe une expérience de la gestion des risques industriels et des audits ISO à une expertise en cybersécurité et en conseil en conformité. Au début de sa carrière, il a travaillé dans des environnements industriels à forts enjeux, où la sécurité, les exigences réglementaires et les risques opérationnels étaient au cœur des préoccupations. Il a ensuite créé Axipro sans financement extérieur, avec pour objectif d’aider les entreprises en croissance à mettre en place des mesures de sécurité concrètes, à se préparer aux audits et à gérer les risques émergents liés à l’IA.

Axipro est un cabinet de conseil en cybersécurité et en conformité qui accompagne des organisations dans le respect de référentiels tels que SOC 2, ISO 27001 et ISO 42001, ainsi que des exigences en matière de protection des données. Ses activités associent conseil, automatisation de la conformité, préparation aux audits et tests de sécurité, avec une attention particulière portée à la surveillance continue et au contrôle humain. Dans cet entretien, Hayat parle des processus de conformité pilotés par l’IA, de l’IA fantôme, des risques liés aux agents autonomes, des différences régionales en matière de gouvernance et du décalage entre certification et résilience en cybersécurité.

Votre carrière a débuté dans des environnements industriels à forts enjeux, où vous avez travaillé sur des projets impliquant Saudi Aramco, ADNOC et TotalEnergies, pour lesquels la sécurité, la gestion des risques et la conformité réglementaire étaient essentielles. Qu’est-ce qui vous a incité à passer de la sécurité industrielle et de l’audit à la cybersécurité, et qu’est-ce qui vous a finalement motivé à fonder Axipro ?

J’ai fondé Axipro parce que, lorsque je travaillais dans la gestion de la qualité, j’ai constaté une lacune sur le marché. En 2021, j’ai remarqué le lancement de nombreuses nouvelles plateformes de cybersécurité semi-automatisées, destinées à la conformité SOC 2 et ISO 27001.

Il est apparu clairement que, même si ces plateformes déchargeaient les équipes techniques d’une grande partie du travail lié à la conformité, elles nécessitaient toujours une configuration et une maintenance. Les jeunes entreprises, qui peinaient déjà à suivre leur croissance, étaient prêtes à payer une équipe humaine pour assurer le suivi de leur conformité. C’est ainsi qu’Axipro a vu le jour.

Puis, en 2022, les premières plateformes d’IA ont été lancées. Ce fut une nouvelle révélation. Alors que beaucoup de professionnels du secteur craignaient de devenir superflus, j’ai rapidement compris qu’il s’agissait d’une formidable occasion. L’IA allait très probablement entraîner une hausse exponentielle des cyberattaques, et des professionnels qualifiés seraient nécessaires pour accompagner les jeunes entreprises dans leurs besoins en matière de sécurité et de conformité.

Aujourd’hui, nous sommes partenaire Elite de Drata et partenaire Preferred de Vanta, et nous avons accompagné plus de 300 entreprises dans leur mise en conformité avec les principales normes de cybersécurité et d’IA.

Vous avez créé Axipro de toutes pièces, sans financement extérieur, et en avez fait un cabinet de conseil international qui accompagne des centaines de clients. Quelles ont été les principales difficultés rencontrées pour développer une entreprise de cybersécurité sur fonds propres, et comment la technologie et l’automatisation vous ont-elles aidé à développer vos activités tout en maintenant la qualité de service ?

Les premières années ont été extrêmement difficiles. Entre l’épuisement de mes économies alors que j’allais avoir un bébé et l’arrivée des premiers modèles d’IA qui ont bouleversé le secteur, les 2 à 3 premières années sont probablement responsables des cheveux gris que j’ai aujourd’hui.

J’étais en concurrence avec quelques géants jouissant d’une réputation bien établie, de grands bureaux et de budgets considérables. J’étais basé à Bahreïn, j’avais une expérience en gestion de la qualité et mon budget marketing était nul.

J’ai choisi une approche à contre-courant : je suis resté léger et efficace, et j’ai proposé des tarifs inférieurs à ceux des grands acteurs établis.

Cela m’a apporté de nombreux nouveaux clients, mais nos marges étaient faibles. La gestion de la trésorerie est devenue tout un art, et nous avons tout juste survécu à ces 2 premières années. Tout a changé lorsque nous avons signé notre premier contrat à cinq chiffres couvrant plusieurs référentiels. Cela nous a donné un peu de répit, m’a permis de recruter mes premiers salariés à temps plein et de commencer à envisager d’autres moyens de promouvoir l’entreprise que les partenariats et les recommandations.

Axipro s’attache à simplifier des référentiels de conformité complexes grâce à la transformation numérique et à l’automatisation. Comment l’intelligence artificielle transforme-t-elle les processus de conformité traditionnels, et quelles activités offrent, selon vous, les meilleures possibilités de gagner en efficacité grâce à l’IA ?

Le secteur de la conformité a largement bénéficié de l’IA. Auparavant, il reposait sur une grande quantité de tâches répétitives, comme la collecte et le classement des preuves, le remplissage de questionnaires de sécurité et la rédaction de politiques. Presque toutes ces tâches sont désormais automatisées. L’IA a également rendu possible la surveillance continue et le signalement des risques liés à la cybersécurité et à la conformité.

L’IA intervient désormais à presque toutes les étapes du processus de conformité. Dès qu’un nouveau client nous confie une mission, notre IA interne effectue une évaluation automatisée des risques en fonction du secteur d’activité, de la taille et de la localisation de l’entreprise. Nous disposons d’une vaste base de données regroupant nos missions précédentes, qui nous aide à détecter automatiquement les risques potentiels et les signaux d’alerte. C’est probablement là que l’IA apporte le plus de valeur.

Les cyberattaquants ont eux aussi tiré parti de l’IA, et les attaques ont augmenté de façon exponentielle. Une sorte de course aux armements entre IA se joue : d’un côté, des entreprises comme la nôtre travaillent à la détection automatique des menaces ; de l’autre, les pirates automatisent leurs attaques.

C’est là que le jugement humain intervient, et il est au cœur de notre façon de travailler : l’IA doit prendre en charge les tâches répétitives et améliorer l’efficacité opérationnelle afin que les humains puissent se concentrer sur l’évaluation des menaces et la réponse à y apporter.

De nombreuses organisations continuent d’aborder la conformité en matière de cybersécurité comme un exercice périodique axé sur la préparation des audits. Comment les outils fondés sur l’IA et les plateformes de surveillance continue comme Drata font-ils évoluer cette approche, et que signifie pour les entreprises la transition vers une conformité continue ?

Quand j’ai commencé à travailler dans la conformité, tout le monde redoutait la période des audits. Les entreprises négligeaient leurs contrôles pendant la majeure partie de l’année, puis passaient des semaines à courir après les captures d’écran et les journaux avant la date limite de l’audit. Réussir l’audit signifiait que l’on était en conformité ce jour-là, et c’était à peu près tout.

Drata et les plateformes similaires ont changé la donne. Elles se connectent aux outils infonuagiques et RH d’une entreprise et vérifient les contrôles chaque jour. Si quelqu’un désactive l’authentification multifacteur ou si un ancien employé a toujours accès aux systèmes, le problème apparaît immédiatement et notre équipe le corrige sans tarder.

Pour les entreprises, la conformité a cessé d’être un projet annuel et fait désormais partie des activités courantes. Les audits sont plus courts et moins coûteux, et les équipes commerciales peuvent communiquer à la demande leur niveau de sécurité aux acheteurs de grandes entreprises, ce qui aide à conclure des ventes plus rapidement.

La protection des données personnelles et la cybersécurité passent lentement du statut d’exigences pour les secteurs sensibles à celui d’atouts marketing à valeur ajoutée.

Alors que les organisations s’appuient de plus en plus sur l’IA pour produire de la documentation sur la sécurité, évaluer les risques et examiner les éléments probants de conformité, comment peuvent-elles s’assurer que ces systèmes fournissent des résultats exacts et fiables ? À quelles étapes de l’audit et de la certification l’expertise humaine doit-elle rester indispensable ?

L’IA est très douée pour rédiger des documents qui semblent crédibles. Une politique peut paraître parfaite tout en décrivant des processus qui n’existent pas dans l’entreprise.

Nous procédons ainsi : l’IA rédige des documents et signale les problèmes, mais un membre de notre équipe vérifie tout avant que le contenu ne soit transmis au client ou à l’auditeur. Tout ce que produit l’IA doit également renvoyer aux éléments probants sur lesquels cela repose, afin que nous puissions le vérifier.

C’est pour les audits internes et externes que je trace une ligne très nette. Les auditeurs engagent leur nom et leur réputation professionnelle lorsqu’ils donnent leur approbation. L’IA peut les aider à examiner les éléments probants plus rapidement, mais la décision de certifier ou non une entreprise doit rester entre les mains d’une personne. Si personne n’en est responsable, le certificat perd sa valeur.

Axipro accompagne les organisations qui doivent se conformer à des normes telles que l’ISO 27001, le SOC 2 et l’ISO 42001, la norme internationale relative aux systèmes de management de l’IA. Quels nouveaux défis les entreprises rencontrent-elles lorsqu’elles cherchent à mettre en place une gouvernance responsable de l’IA, et en quoi la gestion des risques liés à l’IA diffère-t-elle de la conformité traditionnelle en matière de sécurité de l’information ?

La plupart des entreprises avec lesquelles nous échangeons ne savent même pas à quel point elles utilisent l’IA. On parle d’« IA fantôme ».

L’équipe marketing s’est inscrite à un outil, les développeurs ont intégré un modèle au produit et quelqu’un du service financier colle des feuilles de calcul dans un agent conversationnel. Rien de tout cela n’est malveillant : les gens cherchent à travailler plus vite, et les outils d’IA sont peu coûteux et rapides. Cela peut toutefois exposer facilement les données de l’entreprise.

Pour la plupart des projets liés à l’ISO 42001 et à la conformité en matière d’IA, la première étape, et la plus importante, consiste à dresser l’inventaire de tous ces usages. Nous examinons les notes de frais, les inscriptions à des logiciels et les données réseau, et nous discutons avec chaque équipe de ce qu’elle utilise réellement au quotidien. La liste obtenue est presque toujours plus longue que prévu.

Interdire l’IA fonctionne rarement et s’avère contre-productif et inefficace. Nous voulons que nos clients puissent profiter des gains d’efficacité apportés par les modèles d’IA. Une meilleure approche consiste à fournir au personnel des outils approuvés qui répondent à ses besoins, à définir clairement les données qu’il est autorisé à y saisir et à faciliter les demandes d’accès à de nouveaux outils.

La gouvernance de l’IA soulève également des questions auxquelles la sécurité de l’information n’avait jamais eu à répondre. Avec l’ISO 27001, la principale préoccupation consiste à empêcher les personnes non autorisées d’accéder à vos données. Avec l’ISO 42001, il faut aussi savoir si l’IA se comporte correctement, si ses décisions peuvent être expliquées et qui est responsable lorsqu’elle se trompe.

Ces risques évoluent aussi plus rapidement. Un fournisseur peut mettre à jour un modèle du jour au lendemain et modifier le comportement de votre produit sans que vous n’ayez rien changé.

Les entreprises déjà certifiées ISO 27001 partent avec un avantage. Les deux normes reposent sur la même structure de système de management, de sorte qu’une grande partie du travail préparatoire est déjà faite.

Avec l’apparition d’agents d’IA autonomes capables d’accéder à des informations sensibles, d’interagir avec les systèmes d’entreprise et d’exécuter des processus opérationnels, quels nouveaux risques en matière de cybersécurité et de conformité les organisations devraient-elles anticiper ? Les cadres de sécurité existants sont-ils adaptés à ces systèmes de plus en plus autonomes ?

Les agents sont le domaine que je suis de plus près en ce moment. Un logiciel classique fait exactement ce qu’on lui demande. Un agent prend ses propres décisions et peut être trompé, mais aussi tromper les autres, comme l’a montré l’incident de hugging face.

Le risque le plus fréquent que nous observons est l’injection de prompt. Un attaquant peut dissimuler des instructions dans un courriel ou un fichier PDF et, lorsque votre agent le lit, il les suit en utilisant tous les accès que vous lui avez accordés.

Le deuxième risque est que les entreprises accordent beaucoup trop d’accès aux agents parce que c’est plus facile. Souvent, les employés donnent aux agents d’IA accès à leurs propres comptes de messagerie plutôt qu’à des comptes dédiés, ce qui rend extrêmement difficile de déterminer si une modification a été effectuée par une personne ou un robot. Si la journalisation est également insuffisante, il se peut même que vous ne sachiez pas ce que l’agent a fait.

ISO 27001 et SOC 2 couvrent toujours des éléments fondamentaux comme le contrôle des accès et la journalisation, tandis qu’ISO 42001 apporte un cadre du côté de l’IA. Cependant, aucun de ces référentiels n’a été conçu en tenant compte des agents autonomes, et je m’attends à ce que de nouvelles recommandations soient publiées prochainement.

AIUC-1 s’impose comme une norme de référence pour AIUC-1, et nous venons tout juste de commencer à former notre personnel à sa mise en œuvre. Nous en avons discuté à quelques reprises avec des clients, mais nous n’avons pas encore d’études de cas à présenter. Cette norme bénéficie du soutien de plusieurs grandes entreprises de cybersécurité ; nous nous attendons donc à ce que ce cadre devienne la principale norme pour les agents d’IA.

Ayant travaillé au Moyen-Orient, en Europe et aux États-Unis, vous avez été confronté à différents environnements réglementaires et approches de la gestion des risques. De quelle manière les différences régionales en matière de gouvernance de l’IA et de protection des données influencent-elles le déploiement de l’IA par les entreprises, et quels défis se posent lorsque des organisations exercent leurs activités dans plusieurs juridictions ?

Installé à Bahreïn et travaillant avec des clients en Europe et aux États-Unis, j’ai cessé de m’attendre à ce que les règles en matière d’IA convergent. Au contraire, les régions semblent s’éloigner davantage les unes des autres.

En Europe, la réglementation passe par la loi. Le règlement européen sur l’IA classe les systèmes d’IA selon leur niveau de risque et définit les obligations de chaque catégorie ; les entreprises européennes ont donc tendance à avancer prudemment et à tout documenter. Les États-Unis n’ont pas de loi fédérale sur l’IA, et c’est principalement le marché qui assure la régulation. Dans leurs contrats, les acheteurs demandent des cadres tels que le référentiel AI RMF du NIST, et la responsabilité juridique complète le dispositif. La Chine suit une troisième voie : elle adopte une nouvelle règle chaque fois qu’une technologie fait apparaître un nouveau risque.

C’est le Golfe que je trouve le plus intéressant. L’Arabie saoudite, par exemple, ne dispose pas encore d’une loi-cadre horizontale sur l’IA. La plupart des règles contraignantes relèvent du droit de la protection des données et des marchés publics, car l’État est le plus grand acheteur de technologies de la région. Les obligations auxquelles vous devez vous conformer dépendent en grande partie de l’identité de votre client. Lorsque SDAIA, l’autorité saoudienne de réglementation, a elle-même obtenu la certification ISO 42001 en 2024, cela a indiqué au marché quelle norme elle rechercherait dans les appels d’offres.

La principale difficulté survient lorsqu’une entreprise exerce ses activités dans plusieurs de ces régions. Une entreprise SaaS de Riyad qui vend ses services en Europe peut satisfaire aux exigences techniques de l’UE et néanmoins se retrouver en infraction en Arabie saoudite concernant les règles d’enregistrement et de transfert des données. Aucune des deux parties n’accepte les documents de l’autre.

Notre approche consiste à établir une base commune qui puisse s’appliquer partout — ISO 42001 associée à ISO 27001 — puis à y ajouter les exigences propres à chaque région. ISO 42001 ne garantit pas, à elle seule, la conformité juridique dans quelque région que ce soit, mais c’est ce qui se rapproche le plus d’un langage commun accepté par toutes ces régions.

Il existe souvent un écart considérable entre l’obtention d’une certification de sécurité et le maintien d’une véritable résilience en matière de cybersécurité. Comment les organisations peuvent-elles s’appuyer sur l’IA et l’automatisation pour dépasser la conformité de façade et mettre en place des pratiques de sécurité qui s’adaptent en permanence aux nouvelles menaces ?

J’ai vu des entreprises disposer d’un rapport SOC 2 tout récent alors que des failles de sécurité élémentaires, passées inaperçues, subsistaient. Leur objectif avait été de réussir l’audit. Un certificat atteste qu’une entreprise respectait une norme à une date donnée, mais ne prouve pas qu’elle est capable d’arrêter une attaque.

Pour aller au-delà, il faut se demander si chaque mesure de contrôle résisterait à des tests. L’automatisation est très utile à cet égard. La surveillance continue permet de repérer les problèmes tant qu’ils sont encore mineurs, et les données actualisées sur les menaces garantissent que les évaluations des risques tiennent compte des méthodes actuelles des attaquants. Des tests d’intrusion et des simulations d’attaque réguliers montrent ensuite si les mesures de contrôle fonctionnent dans la pratique.

L’obtention de la certification CREST cette année a participé à cette démarche. Nous voulions tester la sécurité de nos clients et en consigner les résultats.

Au cours des trois à cinq prochaines années, comment envisagez-vous la transformation du secteur du conseil en cybersécurité et en conformité par l’IA ? Pensez-vous que les agents d’IA finiront par prendre en charge de manière autonome la plupart des tâches courantes liées à la conformité, et comment Axipro évoluera-t-elle à mesure que ces technologies gagneront en maturité ?

Je pense que les agents d’IA prendront en charge la plupart des tâches courantes liées à la conformité d’ici cinq ans, notamment la collecte de preuves, la mise à jour des politiques et les questionnaires de sécurité. Les cabinets qui tirent leurs revenus de la facturation d’heures consacrées à ces tâches sans expertise particulière auront des difficultés.

Je ne pense toutefois pas que les agents gèreront la conformité de manière autonome. Plus l’IA prendra en charge de tâches, plus les décisions qui resteront à prendre auront d’importance. Quelqu’un devra toujours approuver un audit et gérer les conséquences en cas de problème. Comme les attaquants utilisent eux aussi l’IA, la demande de spécialistes qualifiés en défense continuera de croître.

Chez Axipro, je nous vois consacrer moins de temps à la documentation et davantage au conseil aux clients et aux tests de sécurité. Notre IA développée en interne prendra en charge une part croissante du travail opérationnel, et notre équipe se concentrera sur les décisions qui nécessitent un jugement humain. En 2022, beaucoup pensaient que l’IA rendrait des entreprises comme la nôtre obsolètes. Jusqu’à présent, c’est tout le contraire : notre activité a progressé de plus de 10 % d’un mois sur l’autre, et il nous est parfois arrivé d’avoir plus de travail que nous ne pouvions en gérer. Nous ne nous attendons pas à ce que la situation se calme.

Merci pour cette excellente interview. Les lecteurs qui souhaitent en savoir plus sur la conformité en cybersécurité, la gouvernance de l’IA et la mise en place de pratiques de sécurité continues devraient consulter Axipro.