L'IA autonome ne peut pas faire l'impasse sur le référentiel IT

En cybersécurité, l'essor de l'IA soulève une question clé : sur quelles données et quels référentiels s'appuyer pour renforcer la résilience des organisations ?

Pendant une grande partie de la dernière décennie, la visibilité a été l’un des défis les plus persistants de l’IT d’entreprise. Les équipes ne pouvaient pas sécuriser, gérer ou corriger ce qu’elles ne pouvaient pas voir. Elles ont donc massivement investi dans les outils de supervision et d’analyse, ainsi que dans des tableaux de bord.

Résultat : la visibilité s’est améliorée. Mais la principale difficulté consiste désormais à agir suffisamment vite à partir de toutes ces informations pour réduire les risques. Cette frustration est de plus en plus visible chez les entreprises : le problème n’est plus tant le manque de données que l’incapacité à les exploiter efficacement lorsque les décisions doivent être prises rapidement.

À mesure que les organisations adoptent l’IA, ce défi devient encore plus crucial. L’IA ne réduit pas le besoin de disposer de données fiables : elle l’accroît.

La fragmentation est devenue trop risquée

Au-delà des données et de la visibilité, le problème est avant tout structurel.

L’IT d’entreprise s’est développé autour d’outils spécialisés — certains pour les terminaux, d’autres pour la gestion des services, la sécurité et, parfois, pour le suivi des actifs. Chacun peut remplir correctement sa fonction, mais aucun ne fournit un seul référentiel commun et fiable.

Les données se retrouvent donc dispersées, ce qui ralentit considérablement leur exploitation. Des questions qui devraient trouver une réponse en quelques secondes se transforment en une véritable chasse au trésor entre différents systèmes, qui décrivent parfois la même machine de plusieurs manières : quel est cet appareil ? Doit-il pouvoir se connecter à notre réseau ? À qui appartient-il ? Est-il conforme ? De quels autres systèmes dépend-il ?

Cette fragmentation des données IT et de sécurité reste largement répandu dans les grandes organisations. Or, à grande échelle, c’est précisément elle qui transforme une correction rapide en une intervention longue et complexe.

Pendant des années, les organisations ont accepté cette inefficacité parce que les équipes humaines pouvaient la compenser. Elles rapprochaient manuellement les informations, reliaient les processus et comblaient les lacunes opérationnelles. Mais l’IA change cette équation.

Plus les organisations automatisent les décisions et les actions, moins elles peuvent se permettre de s’appuyer sur des informations contradictoires.

L’IA impose une nouvelle réflexion

La gestion des correctifs logiciels (patching) en offre l’un des exemples les plus parlants. Le nombre de vulnérabilités divulguées chaque mois a dépassé désormais largement ce qu’un tri manuel peut raisonnablement absorber, tandis que leur découverte assistée par l’IA ne fait qu’accentuer la pression.

Ce qui était autrefois une opération de maintenance courante représente désormais un risque important pour l’entreprise. Les conseils d’administration et les comités d’audit s’intéressent directement à la conformité en matière de correctifs, un sujet qui, il y a encore quelques années, serait resté cantonné aux équipes IT.

C’est l’une des nouvelles réalités de l’IT d’entreprise : les décisions opérationnelles deviennent des décisions stratégiques. Lorsque le risque est celui d’une violation de données, l’application de correctifs n’est plus une simple tâche IT ; elle relève de la gestion des risques à l’échelle de l’entreprise.

Or, l’IA ne peut pas déterminer de manière autonome quels actifs existent, à qui ils appartiennent, ce qui a changé ou si une action est conforme aux politiques de l’entreprise. Ces réponses supposent l’existence d’un référentiel fiable.

Des systèmes de travail aux systèmes de référence

Face à la fragmentation, la réponse habituelle consiste à ajouter un nouvel outil chargé de relier ceux déjà en place. Trop souvent, cette approche ajoute une couche de complexité au lieu d’en supprimer une.

L’enjeu consiste au contraire à faire de l’intégration un principe de départ. Cela suppose de consolider l’environnement autour d’un système de référence partagé : une couche de confiance unique capable de recenser ce qui existe dans l’environnement, de comprendre comment les différents éléments sont reliés et de connaître leur état actuel.

Cette couche est peut-être moins visible que la dernière fonctionnalité d’IA à la mode, mais c’est elle qui permet à ces nouvelles capacités d’être réellement efficaces.

Cette approche s’inscrit dans une évolution plus large de l’IT d’entreprise. Les organisations doivent aller au-delà des systèmes conçus essentiellement pour suivre les tâches et les processus afin de disposer de référentiels capables de fournir un contexte fiable et faisant autorité pour la prise de décision.

C’est précisément de ce contexte que dépendent les systèmes d’IA modernes. Il est également indispensable aux équipes IT et de sécurité qui souhaitent automatiser davantage leurs opérations.

Les données avant l’autonomie

La fiabilité d’un système autonome dépend directement de celle des données sur lesquelles il repose. De nombreuses initiatives en matière d’IA n’échouent pas parce que le modèle est insuffisant, mais parce qu’il travaille à partir d’informations incomplètes, obsolètes ou contradictoires.

L’IA peut traiter les informations et formuler des recommandations plus rapidement que n’importe quelle équipe humaine. En revanche, elle ne peut pas savoir seule quels actifs possède l’organisation, comprendre l’état réel de son environnement ou déterminer si une situation respecte les exigences en vigueur. Autrement dit, l’IA ne peut pas décider elle-même quelles données font autorité. Seul un référentiel fiable peut lui fournir cette base.

L’autonomie exige également une gouvernance. Tout système capable de prendre des mesures doit fonctionner avec des garde-fous clairs : l’IA peut prendre en charge les tâches routinières auxquelles elle est la plus adaptée, tandis que les humains conservent la supervision dès lors que le jugement, la responsabilité ou l’évaluation du risque entre en jeu.

La rapidité compte, mais l’exposition aux risques s’accélère elle aussi. Or, la vitesse sans contrôle ne fait qu’amplifier les risques.

L’avenir ne réside donc pas dans des systèmes autonomes fonctionnant sans intervention humaine, mais dans une autonomie gouvernée, où l’IA agit dans le cadre de politiques définies, à partir de données fiables et dans des limites fixées par les humains.

Changer les fondations et passer à l’action

Trois forces convergent aujourd’hui : l’intensification des cybermenaces, la pression pour démontrer des retours mesurables sur les investissements dans l’IA et les attentes des conseils d’administration, qui réclament davantage d’efficacité sans complexité supplémentaire.

Les dirigeants ne peuvent donc plus considérer la sécurité, les opérations, les données et l’IA comme des sujets distincts. Tout est lié et la fondation sur laquelle ils reposent doit l’être également.

Cela ne signifie ni supprimer les outils qui fonctionnent déjà, ni espérer une transformation du jour au lendemain. Mais la direction à suivre est claire, et le coût lié au maintien d’environnements fragmentés devient de plus en plus difficile à justifier.

Pour les dirigeants, le point de départ consiste donc à donner l’impulsion : réunir les données, permettre aux systèmes de prendre en charge les tâches routinières en toute sécurité et donner aux équipes les moyens de se concentrer sur les problèmes qui nécessitent réellement un jugement humain.