Redéfinir l’autorité dans la C‑suite: Ce que nécessite réellement le développement d’une relation avec l’IA

J’ai passé 25 ans du côté des acheteurs dans les opérations de sécurité, et je n’ai jamais perdu le sommeil à cause d’une règle de pare-feu. En revanche, l’IA m’a fait perdre le sommeil. L’automatisation traditionnelle, aussi complexe soit‑elle, suit une logique que l’on peut retracer. Or, à l’échelle sans précédent de l’IA agentique, on fait confiance aux systèmes pour prendre des décisions que les ingénieurs ne peuvent pas toujours expliquer pleinement – cette perte de transparence est exactement la raison pour laquelle tant de RSSI sont bloqués.

97% des responsables de la sécurité sont convaincus que l’IA peut gérer le triage, mais seulement 35 % l’utilisent réellement à ce stade. Ce point d’inflexion est un problème de confiance, et la confiance ne peut être résolue que comme toujours, par la structure, les preuves et le temps.

You Can See the Automation, but Can You Trust the AI?

Grâce à l’automatisation traditionnelle, les praticiens peuvent savoir avec certitude ce qui va se produire avant que cela n’arrive. Cette transparence explique pourquoi les équipes SOC ont passé une décennie à instaurer la confiance dans les flux de travail automatisés sans beaucoup de débats internes ; cependant, l’IA agentique a rompu ce schéma en introduisant une couche de jugement apprise – un système qui pèse le contexte, effectue des prédictions et aboutit à des conclusions via un processus qui n’est pas toujours entièrement lisible, même pour les personnes qui l’ont créé. 

Seuls 21% des organisations déclarent disposer d’un modèle de gouvernance mature pour l’IA agentique, bien que 74 % prévoient d’utiliser des agents IA au moins « modérément » d’ici 2027. Lorsque les praticiens de la sécurité ne peuvent pas expliquer de façon transparente ce type d’« IA boîte noire », cela témoigne de la difficulté à gouverner les outils d’IA. Ce n’est pas que les outils ne sont pas correctement sécurisés, mais que le fonctionnement interne de l’outil d’IA repose sur le jugement plutôt que sur un organigramme.

Dans les salles de direction, les dirigeants évaluent l’IA comme ils évalueraient l’automatisation, en demandant « puis‑je voir la logique », plutôt que « comment gagner confiance en un preneur de décision dont la logique évolue ? ». La plupart des RSSI connaissent probablement déjà la réponse, mais le défi consiste à l’appliquer concrètement.

Treating AI like a high-stakes hire

Pensez à l’intégration d’un nouvel analyste senior. Un RSSI ne confierait pas les accès à la production à un analyste tout fraîchement recruté dès le premier jour, même si son CV est impressionnant. Il commencerait par des tâches à faible risque, observerait comment il gère l’ambiguïté, puis élargirait son autorité au fur et à mesure qu’il la mérite. L’IA mérite la même intégration, fondée sur une confiance basée sur des preuves qui se construit avec le temps.

Nous avons déjà observé ces effets en pratique lorsqu’un agent Meta IA autonome a déclenché un incident de sécurité à l’échelle de l’entreprise après avoir agi sans approbation humaine, exposant des données sensibles de l’entreprise et des utilisateurs à des employés non autorisés pendant environ deux heures avant que le problème ne soit maîtrisé. La cause première était l’absence de supervision humaine dans la boucle au moment de la décision où une approbation explicite aurait dû être requise. C’est exactement le mode d’échec que les garde‑fous rigides sont conçus pour prévenir, et cela rappelle que la discipline du périmètre compte davantage que la sophistication du modèle.

L’IA mérite la même attention, et nous pouvons la concevoir comme une montée en puissance basée sur des preuves :

• Comprendre la logique de décision avant de la déployer. Vous n’avez pas besoin de voir chaque poids du modèle, mais il faut savoir sur quelles données il raisonne, quels résultats il optimise et où se situent probablement ses angles morts.
• Établir des garde‑fous rigides dès le premier jour. Définissez précisément ce que le système peut exécuter de façon autonome et ce qui nécessite une intervention humaine. Un périmètre restreint est la base sur laquelle la confiance se construit.
• Élargir les limites uniquement à mesure que les preuves s’accumulent. Chaque décision correcte constitue un point de donnée, et chaque erreur en constitue également un. Ouvrez l’ouverture proportionnellement au historique, et non à l’enthousiasme du fournisseur ou aux cycles budgétaires.

Suivre ces protocoles aidera à apaiser les craintes des RSSI, notamment en empêchant un système autonome de fonctionner au‑delà du point où quiconque l’a réellement vérifié et jugé digne de confiance.

The Three-Layer Model: Where AI Earns Its Place

SANS’ Secure AI Blueprint présente une structure de gouvernance construite autour de trois axes : protéger l’IA, exploiter l’IA, gouverner l’IA, couvrant six catégories de contrôle incluant l’accès, les données, le déploiement, l’inférence, la surveillance et la sécurité du modèle. C’est un point de départ utile, et pour aller plus loin, il est judicieux de structurer cette relation en divisant le SOC en trois niveaux afin de résoudre le problème de confiance de l’IA.

1. Résultat. C’est le niveau où réside le risque métier. Qu’est‑ce que l’organisation considère comme un résultat acceptable ? Quelle est la tolérance aux faux négatifs versus les faux positifs ? C’est une décision humaine, point final. Aucun modèle n’a son mot à dire sur ce que l’organisation est prête à risquer.
2. Jugement. C’est le niveau où les priorités sont définies et où les compromis sont faits en situation d’ambiguïté. Cette alerte doit‑elle être escaladée immédiatement ou conservée pour plus de contexte ? Cette anomalie vaut‑elle la peine d’interrompre la nuit de quelqu’un ? Le jugement peut être éclairé par l’IA, et il devrait de plus en plus l’être, mais l’autorité finale reste humaine. C’est le niveau que la plupart des organisations sont tentées de confier trop tôt, et c’est celui qui les brûlera si elles le font.
3. Exécution. C’est le niveau où l’IA doit assumer la charge lourde, et le faire à une vitesse qu’aucune équipe humaine ne peut égaler. Enrichir une alerte, corréler des signaux à travers une douzaine d’outils, rédiger une action de confinement, exécuter le playbook une fois qu’un humain ou une couche de jugement fiable a approuvé le chemin. Vitesse machine, déterministe une fois déclenchée, sans prétention.

Maturing the Partnership, Not Just Managing the Tool

Lorsque la relation de l’IA au sein du SOC est construite comme un partenariat plutôt que comme la supervision d’un outil, les RSSI peuvent commencer à considérer l’IA comme un coéquipier en développement, ce qui entraîne un changement fondamental dans la façon dont le RSSI consacre son temps.

Les SOC capables d’équilibrer cette relation sont ceux qui disposent du processus de construction de confiance le plus discipliné. Cette discipline permet à une opération de sécurité de s’étendre à la vitesse d’une machine au niveau de l’exécution sans perdre le jugement humain que les décisions au niveau des résultats exigent toujours, et exigeront toujours.

Nous avons dépassé le moment où l’IA était perçue comme le nouvel outil brillant destiné à impressionner les conseils d’administration. Les capacités et le potentiel de l’IA ont gagné l’autorité d’être traités comme tout le monde dans un SOC a toujours traité les technologies avancées, une décision vérifiée à la fois.