IA à grande échelle : la confiance ne passera que par la cybersécurité 

La confiance ne naît pas de la puissance des modèles, mais de la solidité des garde-fous. À Cyber IA Expo, le ton a été donné d’emblée : l’IA ne s’imposera pas par fascination technologique, mais par maîtrise du risque. “L’IA ne pourra créer la confiance qu’en passant par la porte de la cybersécurité”, a affirmé Christophe Blassiau, SVP & Group CISO, Schneider Electric. Derrière cette formule, un enjeu stratégique. Chez Schneider Electric, 150 000 collaborateurs et des infrastructures industrielles critiques imposent une discipline d’ingénierie. “L'IA a de l’intérêt uniquement si on est capable de la déployer à l’échelle”, a rappelé Philippe Rambach, Chief AI Officer, Schneider Electric. Or l’échelle change tout. Elle expose davantage de données, multiplie les interconnexions, densifie les dépendances cloud. Dans la banque, l’exigence est encore plus aiguë. “On ne peut pas déployer une IA dans un monde bancaire sans cybersécurité”, a souligné Bernard Gavgani, Senior Advisor to the Group’s General Management, BNP Paribas. La promesse d’efficacité devient alors une question de continuité d’activité, de supervision réglementaire et, in fine, de responsabilité exécutive. Reste que la confiance client est l’actif qui se volatilise le plus vite quand le contrôle vacille. 

L’IA dope les attaques, puis grippe l’adoption 

Mais à mesure que l’IA se diffuse, elle recompose aussi la menace. Ce n’est pas la nature des risques qui change radicalement, c’est leur vitesse et leur intensité. L’ingénierie sociale, déjà redoutable, gagne en crédibilité et en automatisation. “L’ingénierie sociale a fait un pas extrême”, a constaté Christophe Blassiau. Les faux mails grossiers ont laissé place à des messages impeccables, voire à des deepfakes de dirigeants utilisés pour sensibiliser les équipes. La frontière entre simulation et attaque réelle se brouille. Dans le même temps, l’exploitation des vulnérabilités s’accélère. Des campagnes massives ont exploité des failles en quelques jours, siphonnant des données dans des CRM (Customer Relationship Management) et ERP (progiciel de gestion intégré). “On a vu une exploitation phénoménale”, a-t-il observé. Il suffit de peu d’attaquants pour atteindre de nombreuses cibles. L’interconnexion achève le tableau. Une API compromise, un prestataire fragilisé, et l’onde de choc se propage. Cette dynamique nourrit une inquiétude diffuse. “On observe une érosion de la confiance”, a-t-il ajouté. Or une organisation qui doute ralentit. La méfiance freine les projets autant qu’un incidents et l’innovation se grippe. 

Pas de silo “risque IA”, sinon angle mort garanti 

La mauvaise réponse serait de traiter l’IA comme un silo, soit la meilleure façon de créer un angle mort. Philippe Rambach a rejeté l’idée d’un risque IA autonome, non par déni, mais par pragmatisme. L’IA amplifie des risques connus et doit être absorbée par les mécanismes existants. “On a du mal à trouver un risque totalement nouveau”, a expliqué le Chief AI Officer, Schneider Electric. Il rappelle notamment que l’arnaque au dirigeant existait déjà et que la différence tient désormais à l’échelle. Selon lui, le danger rréside dans la dilution des responsabilités. “Si on crée un risque séparé, la conséquence serait que personne ne se sente vraiment en charge, chacun pensant que c’est le sujet de l’autre”, a-t-il averti. Un trou dans la raquette typique des grandes organisations. La réponse passe donc par l’intégration aux cadres existants, en y injectant l’expertise IA. Adapter les processus plutôt que les contourner. Bernard Gavgani a apporté la perspective aux secteurs régulés. “L’IA se transforme de plus en plus en infrastructure critique », a-t-il souligné. Dès lors, la question n’est plus seulement technique. Elle touche à la qualité des données, à la traçabilité des décisions, à la gouvernance des dépendances cloud et GPU. Dans un environnement supervisé, la cybersécurité n’est pas un frein mais une condition d’autorisation. 

Sécuriser avant d’ouvrir, arbitrer avant d’industrialiser 

Le vrai test n’arrive pas en démo, il arrive le jour de l’incident, et ce jour-là, l’IA ne doit pas être un alibi. Sur le terrain, Schneider Electric a choisi l’apprentissage contraint plutôt que l’enthousiasme libre-service. "Ne jamais croire à 100 % un résultat fourni par l’IA générative. Elle peut commettre des erreurs”, a martelé, Philippe Rambach. Raison pour laquelle l’IA a rejoint les formations obligatoires des 140 000 employés, au même titre que la cyber. Mais sécuriser l’IA exige des garde-fous qui frustrent les utilisateurs, donc des arbitrages assumés. “On met du guard railing… on perd de la flexibilité contre la sécurité”, a-t-il reconnu, en décrivant la pression des équipes qui comparent tout à ChatGPT. Christophe Blassiau a revendiqué une gouvernance itérative. “Qu’est-ce qu’on bloque, qu’est-ce qu’on monitore”, a-t-il expliqué. Cette mécanique implique aussi de surveiller les dépendances et les coûts, au lieu d’empiler une couche de contrôle après coup. Il ne faut pas être ébloui car le run IA s’ajoute au run IT et la facture suit le volume de tokens et d’usages. La course à l’IA se gagnera moins à la puissance qu’à la discipline, celle qui transforme la cybersécurité en porte d’entrée, pas en frein d’urgence.