Repenser la résilience de l’IA : pourquoi il est temps d’abandonner le modèle « Configurer et oublier »

Un sondage Gallup récent indique une tendance à l’adoption croissante de l’IA, plus de la moitié des adultes salariés déclarant l’utiliser au moins quelques fois par an. Ces données ne sont qu’un aperçu de la rapide adoption de l’IA dans les environnements d’entreprise. Bien que de nombreux dirigeants d’entreprise aient commencé à remettre en question le ROI de l’IA, cela n’a pas empêché les organisations de s’appuyer sur la technologie pour rationaliser les tâches manuelles et maximiser la productivité.

Alors que cette adoption se poursuit, les organisations peuvent être tentées d’ignorer les erreurs préjudiciables liées aux flux de travail automatisés. Elles considèrent l’IA comme une solution clé en main, ne demandant aux équipes informatiques que de déployer la technologie, la laisser fonctionner et « oublier » son existence. Certaines équipes de sécurité tentent de contrer cette mentalité en créant des guides d’automatisation destinés à favoriser une utilisation sûre et sécurisée de l’IA. Pourtant, même les meilleures équipes IT et de sécurité laissent peu de marge de manœuvre pour ajuster ces guides. Ainsi, les entreprises ne peuvent pas évoluer en toute sécurité avec l’IA, tout comme la technologie évolue elle‑même.

À mesure que les entreprises confèrent davantage d’autorité à l’IA dans les flux de travail critiques, l’agilité opérationnelle doit devenir le nouveau mandat des organisations d’aujourd’hui. Pour que cela devienne une pratique universelle, les responsables de la sécurité d’entreprise doivent abandonner la mentalité « configurer‑et‑oublier » et concevoir la résilience.

Comprendre le paradoxe de l’automatisation

L’automatisation alimentée par l’IA génère d’énormes gains de productivité dans de nombreuses fonctions d’entreprise. Prenons la cybersécurité comme exemple. Les outils d’IA permettent aux analystes d’effectuer des étapes supplémentaires qu’ils n’avaient jamais le temps de réaliser dans des centres d’opérations de sécurité surchargés et débordés. Cela comprend des tâches telles que la priorisation des alertes, la révision des événements, la détection des menaces, la validation croisée et l’obtention d’un second avis. Contrairement à certains dirigeants du C‑suite, les RSSI restent généralement optimistes quant à la valeur que l’IA apportera à l’avenir. Selon les données du « CISO Report : From Risk to Resilience in the AI Era », 83 % des RSSI estiment que l’automatisation est l’investissement le plus susceptible de dépasser les attentes.

En dépit de ces avantages, un paradoxe subsiste. Le même rapport souligne le scepticisme des RSSI à l’égard de l’IA, craignant les conséquences des erreurs autonomes. 83 % des RSSI classent les impacts des hallucinations, telles que des alertes manquées ou des faux positifs, comme leur principale préoccupation concernant l’IA agentique. Des preuves suffisantes étayent ces craintes. Une grande compagnie aérienne commerciale a été jugée légalement responsable et condamnée à verser des dommages après que son chatbot de service client a « halluciné » une politique de remboursement de tarif de deuil. Une entreprise de renseignement sur les menaces fait face à des problèmes juridiques parce qu’elle aurait publié un rapport reliant une start‑up à des hackers d’une puissance étrangère. Lorsque l’IA se trompe, les répercussions peuvent s’étendre au-delà des systèmes internes, affectant à la fois le capital et la réputation.

Le problème des guides obsolètes

Les guides de sécurité axés sur l’IA constituent une base pour une adoption réussie et sûre de l’IA. Cependant, des problèmes surviennent lorsque ces guides ne changent jamais. Les menaces, l’infrastructure informatique et les environnements commerciaux évoluent constamment. L’IA permet aux acteurs malveillants de multiplier leurs attaques, tandis que l’expansion et la complexité croissante des environnements informatiques rendent la détection plus difficile. Parallèlement, à mesure que les entreprises confient davantage de responsabilités à l’IA, les conséquences des erreurs deviennent plus importantes.

Si tous ces facteurs continuent d’évoluer, la logique d’automatisation doit évoluer avec eux. Les guides d’automatisation figés empêchent cela. Ils laissent les équipes de sécurité faire face aux problèmes actuels avec une logique obsolète. Dans certains cas, ce scénario peut même être pire que de ne disposer d’aucun guide.

Pour que les guides deviennent des organismes vivants adaptés à l’implémentation actuelle de l’IA, favorisant ainsi la résilience interne, ils doivent être :

• Testés en continu avec des renseignements sur les menaces récents
• Mises à jour après la survenue d’incidents réels
• Retirés lorsqu’ils ne sont plus efficaces ou utiles

Cette mentalité s’aligne avec les directives de la Cybersecurity and Infrastructure Security Agency (CISA) et d’autres agences mondiales de cybersécurité, qui préconisent une surveillance continue des systèmes d’IA et une intervention humaine permanente.

Mise en œuvre de la formule de résilience

L’ère de l’IA incite les entreprises à abandonner la mentalité qui considère l’IA comme une solution ponctuelle, ou qui se contente d’ajouter de l’automatisation aux cas d’usage existants. Les organisations doivent plutôt instaurer une culture de résilience qui permette aux équipes informatiques et aux systèmes d’amplifier les réussites de l’IA — et de réagir efficacement lorsque la technologie se trompe.

Une formule pratique en trois parties peut aider à intégrer cette résilience dans les actions automatisées.

• Confiance: Pour chaque flux de travail automatisé, les équipes doivent se demander : quel est notre degré de confiance dans le déclencheur qui a initié la réponse automatisée ?
• Réversibilité: L’action est‑elle réversible ? Le cas échéant, à quelle vitesse et avec quelle sécurité pouvons‑nous la rétablir ?
• Rayon d’impact: Quelle portée ont les conséquences si une erreur se propage, et à quel point l’actif concerné est‑il critique pour l’entreprise ?

Les bons outils d’observabilité et de surveillance sont essentiels pour répondre à ces questions. Les équipes doivent exploiter une plateforme unifiée d’observabilité et de gestion des données afin de comprendre pleinement où, dans un environnement informatique, une réponse automatisée peut se produire, quels autres actifs elle affecte et quelles en sont les conséquences commerciales. Réaliser cet exercice régulièrement permettra aux équipes de sécurité de maintenir des guides d’IA à jour. De plus, cela favorisera des pratiques adéquates d’humain dans la boucle, les équipes IT sachant où et comment intervenir pour empêcher que des actions automatisées inappropriées n’aient des effets étendus et coûteux.

Fini le modèle « Configurer et oublier »

Il est essentiel que les CISO et les dirigeants informatiques modernes comprennent que la responsabilité leur incombe en matière de comportement de l’IA. Plus l’IA intervient dans des tâches critiques de l’entreprise, plus le fardeau pesant sur les responsables de la cybersécurité augmente. Une règle d’or à retenir est : « L’automatisation change qui appuie sur le bouton. Elle ne change pas qui est responsable lorsque le bouton est pressé. »

Les enjeux et la responsabilité qui pèsent aujourd’hui sur les CISO sont trop importants pour maintenir des guides « configurer‑et‑oublier ». Au contraire, la résilience doit être à la fois une pratique et une culture qui imprègne l’entreprise et lui permet de rebondir après une erreur d’IA. Lorsque les équipes intègrent la surveillance continue, la réversibilité, le confinement et la responsabilité humaine dans le guide d’automatisation, les entreprises peuvent empêcher qu’une décision automatisée ne devienne un problème à l’échelle de l’entreprise.