LA FIN D’UN MODÈLE : DE LA DÉTECTION À LA DISQUALIFICATION
L’intelligence artificielle, longtemps présentée comme l’auxiliaire rêvé de la cybersécurité, s’impose désormais comme le révélateur d’un basculement plus profond : l’effondrement du paradigme défensif occidental. Ce que nous vivons n’est pas une crise technologique ordinaire ni un retard passager dans l’innovation sécuritaire. C’est un renversement de logique. Le modèle linéaire de défense, fondé sur la détection, la classification et la neutralisation des menaces, vacille sous le poids d’une IA qui ne répond plus à la logique du rattrapage, mais à celle de l’anticipation autonome.
Depuis 20 ans, les doctrines de cybersécurité ont été bâties sur une idée faussement rassurante : que l’on pouvait réduire l’asymétrie entre attaque et défense par une amélioration continue des processus, des outils, des certifications. Mais les données récentes, notamment celles issues des travaux de DeepMind, montrent une réalité plus brutale. L’IA offensive évolue selon une dynamique exponentielle, créant, découvrant, combinant. L’IA défensive, elle, reste confinée à l’analyse du connu, à la réaction après détection, à la logique du « patient zéro ». Le déséquilibre n’est plus corrigible. Il est structurel.
Les systèmes les plus sophistiqués n’échappent pas à cette logique. Les architectures distribuées, les défenses collaboratives multiagents, les approches zéro-trust augmentées par apprentissage machine, toutes reproduisent, à un degré plus élevé de complexité, le même enfermement : elles perfectionnent la réaction sans jamais dépasser le seuil de la vulnérabilité inhérente. Et plus le système se raffine, plus il crée de points d’entrée, de connexions à détourner, de protocoles à corrompre. La sophistication ne renforce plus la sécurité : elle étale les failles.
L’ASSURANCE ALGORITHMIQUE : QUAND LE RISQUE DEVIENT SENTENCE
Ce déséquilibre technologique s’accompagne d’un second glissement : la transformation de l’assurance en dispositif de tri automatisé. En 60 secondes, une IA peut désormais scanner une empreinte numérique, croiser des usages, analyser des comportements, et produire un score de vulnérabilité. Ce score, devenu critère de tarification ou de refus, redéfinit la nature même de la couverture assurantielle.
Jadis espace de solidarité contractuelle face à l’aléa, l’assurance devient un mécanisme d’exclusion en temps réel. Les IA ne se contentent pas de détecter : elles classent, elles pondèrent, elles ajustent la prime. Mais les critères de cette classification sont le plus souvent opaques. Une activité jugée marginalement risquée, une application utilisée à des fins légitimes, un comportement technique mal interprété peuvent suffire à déclencher une réévaluation, voire un rejet. L’algorithme, nourri de corrélations statistiques, remplace l’expertise humaine par une présomption de danger.
Les grandes structures, mieux dotées, peuvent négocier, former leurs équipes, interagir avec les modèles. Les petites entreprises, les associations, les structures publiques n’ont ni les moyens techniques ni le levier d’influence. Elles subissent une notation sans recours, une décision sans explication. Le contrat se dissout dans le calcul. Et la vulnérabilité, au lieu d’être couverte, devient une faute.
Cette dérive ne se limite pas à l’assurance. Elle annonce une transformation plus large : celle d’une société dans laquelle la protection ne serait plus un droit, mais une conséquence d’un score. Dans ce modèle, il ne s’agit plus de savoir si une entité est exposée, mais si elle mérite d’être protégée.
Anne-Emmanuelle Lejeune
QUAND LA LOI INTERDIT LA DÉFENSE
Un troisième pilier s’effondre : le cadre juridique. Le RGPD, conçu en 2016 comme un rempart contre l’arbitraire algorithmique, devient, dans bien des cas, un verrou contre l’action défensive. Il interdit les traitements sans finalité explicite, les corrélations sans consentement, l’analyse comportementale invasive. Or ce sont précisément ces éléments qu’exigent les IA de cybersécurité les plus performantes. Pour détecter une menace avant qu’elle ne se manifeste, il faut surveiller les signaux faibles, corréler les séquences inhabituelles, anticiper les glissements internes. Le RGPD, en exigeant la prévisibilité de l’usage, interdit l’imprévisible.
Le paradoxe se déploie dans toute sa rigueur. Les responsables de la sécurité (RSSI) réclament une observation continue pour prévenir l’attaque. Les délégués à la protection des données (DPO), s’appuyant sur la lettre du règlement, s’y opposent. Le résultat est connu d’avance : les dispositifs sont suspendus, les outils bridés, les systèmes désarmés. Et lorsque l’attaque survient, il est trop tard pour constater que l’inaction était juridiquement conforme.
Des cas concrets attestent de cette impasse. Une banque française a dû désactiver son IA comportementale pour éviter un contentieux avec la CNIL ; trois mois plus tard, une attaque interne lui coûte 12 millions d’euros. Un hôpital nordique refuse de traiter ses logs d’accès via IA ; plus de 100 000 dossiers médicaux sont compromis. Dans ces exemples, ce n’est pas la négligence qui a ouvert la brèche, mais la conformité réglementaire elle-même.