L’essor de l’automatisation par l’intelligence artificielle dans les systèmes d’information
L’intégration des technologies d’intelligence artificielle s’accélère au sein des entreprises et des équipements numériques. Dans sa mise à jour du guide de recommandations pour les particuliers et les professionnels, le dispositif national d’assistance Cybermalveillance.gouv.fr identifie les rôles croissants pris par ces mécanismes dans les architectures modernes.
Dans les systèmes d’information, ces technologies interviennent directement dans l’automatisation de processus et d’actions complexes, mais aussi au cœur des opérations de cybersécurité, notamment pour la détection et la réponse automatisée aux menaces. L’organisme distingue principalement trois grandes familles technologiques :
- L’IA générative : dédiée à la création de contenus (texte, images, code, etc.).
- L’IA prédictive : adaptée aux analyses et aux projections basées sur des données existantes.
- L’IA agentique : composée d’agents ou d’assistants autonomes capables d’exécuter des séquences d’actions sans intervention humaine pour remplir un objectif précis.
Cette dernière catégorie concrétise l’automatisation de tâches avancées, comme le traitement ou la réponse aux courriels et la planification, mais son autonomie opérationnelle pose de nouveaux défis de gouvernance et de sécurité informatique.
Quels changements pour la sécurité des organisations ?
L’introduction d’agents autonomes et de processus automatisés modifie la surface d’attaque de l’entreprise. D’un côté, ces outils facilitent la détection rapide d’anomalies et l’orchestration des réponses aux incidents de sécurité. De l’autre, leur déploiement sans cadrage strict expose l’organisation à des risques majeurs : partage incontrôlé d’informations sensibles, fuites de données internes ou perte de savoir-faire.
Cybermalveillance.gouv.fr rappelle également que les modèles d’IA sont sujets à des phénomènes d’hallucination ou de confabulation, fournissant des résultats erronés affirmés avec assurance. Dans un contexte d’automatisation informatique ou de sécurité, une décision prise sans supervision humaine sur la base d’une information inventée peut entraîner des dysfonctionnements sur les serveurs ou interrompre des services critiques.
Les points d’attention et mesures de contrôle recommandés
Pour maintenir un niveau de sécurité optimal face à ces automatisations, plusieurs mesures concrètes sont préconisées pour les dirigeants, les équipes techniques et les responsables de la conformité :
- Encadrer et formaliser les usages : mettre en place une charte d’usage de l’IA, intégrée au règlement intérieur ou à la politique de sécurité de l’information (PSSI), afin d’interdire la transmission d’informations sensibles (données RH, projets confidentiels, données juridiques) hors d’un cadre maîtrisé.
- Séparer les environnements : exiger l’usage exclusif des solutions professionnelles souscrites par l’employeur et cloisonner strictement les usages personnels et professionnels.
- Sécuriser les accès d’administration : appliquer une politique de mots de passe robustes (au moins 12 caractères combinant majuscules, minuscules, chiffres et caractères spéciaux) et rendre obligatoire l’authentification à double facteur (2FA).
- Limiter les autorisations des agents : auditer les droits accordés aux extensions et aux agents automatisés, en restreignant strictement les actions exécutées en totale autonomie sans confirmation humaine.
- Assurer la conformité réglementaire : vérifier la conformité des outils aux législations nationales et européennes, en particulier le RGPD, ainsi qu’aux normes sectorielles comme la protection des données de santé.
- Gérer la confidentialité des données : ajuster les paramètres pour réduire la durée de conservation des journaux et échanges, et désactiver la réutilisation des données d’entreprise pour l’entraînement des modèles.
Pour la conception et l’intégration de ces briques logicielles dans les systèmes d’information, les équipes techniques sont invitées à s’appuyer sur les guides officiels de l’ANSSI relatifs aux risques cyber et à la sécurité de l’IA générative, ainsi que sur les fiches pratiques de la CNIL concernant le RGPD.