Conformité cybersécurité : l’IA sans fausse promesse

La conformité en cybersécurité ne se « gagne » pas avec un achat. Elle se construit, se prouve, se maintient. Et en 2025, beaucoup d’organisations découvrent la même chose au moment le moins confortable : quand un audit tombe, quand un assureur pose de nouvelles exigences, ou quand un incident transforme un tableau Excel en pièce à conviction.

À Black Hat USA 2025, un point a fait mouche : le mythe de la « balle en argent ». Dans une salle remplie de RSSI, tout le monde attend toujours que quelqu’un annonce la solution. La réalité est moins spectaculaire et beaucoup plus utile : chacun détient un morceau de la réponse, et la sécurité progresse quand on assemble les morceaux — gouvernance, technique, métiers, juridique, assurance, et désormais IA.

Dans cette publication de notre série « Intelligence artificielle dans la cybersécurité », je prends ce constat au sérieux : l’IA aide vraiment, y compris sur la conformité. Mais la traiter comme un pilote automatique est une erreur coûteuse.

Le mythe de la solution miracle : pourquoi il persiste

La « solution miracle » persiste parce que le problème est anxiogène et complexe. Quand la surface d’attaque s’étend (SaaS, télétravail, shadow IT, fournisseurs), l’idée qu’un produit puisse « régler la cybersécurité » est rassurante. Sauf que le risque cyber fonctionne comme un système : vous améliorez un maillon, l’attaquant contourne.

Le piège le plus courant, je le vois souvent, c’est celui-ci : on confond conformité et sécurité.

• La conformité prouve qu’on respecte un cadre (norme, loi, politique interne) à un instant donné, avec des preuves.
• La sécurité réduit la probabilité et l’impact d’un incident, même quand tout ne se passe pas comme prévu.

On peut être « conforme » et pourtant fragile (contrôles sur le papier, exceptions partout). Et on peut être « non conforme » sur un point précis tout en étant plutôt robuste sur le terrain. Le but n’est pas de choisir : il faut aligner les deux, parce que les régulateurs, les clients et les assureurs regardent les deux.

La sécurité est un sport d’équipe (et la conformité aussi)

Le panel de Black Hat insistait sur l’idée que personne — ni un fournisseur, ni un cabinet, ni un RSSI — ne peut résoudre seul l’équation. C’est vrai, et ça a une conséquence pratique : vos preuves de conformité dépendent de votre capacité à faire collaborer des équipes qui n’ont pas les mêmes priorités.

• IT veut de la stabilité.
• Sécurité veut réduire l’exposition.
• Métiers veulent aller vite.
• Juridique veut limiter le risque.
• Achats veut optimiser les coûts.

Si vous n’orches trez pas ce collectif, l’IA ne fera pas de miracle : elle automatisera surtout du chaos.

Partage d’information : le point faible culturel

Le manque de partage d’information est un frein majeur à la posture de sécurité. Le parallèle fait dans l’article source avec la sécurité physique est parlant : dans le commerce, des agents se préviennent entre magasins voisins. En cyber, beaucoup gardent le silence par peur d’entacher leur image, de donner des indices à des concurrents, ou simplement par réflexe.

Pourtant, en 2025, les attaques opportunistes (phishing, compromission d’identifiants, ransomware « industrialisé ») se propagent vite. Partager tôt des indicateurs et des modes opératoires permet souvent d’éviter que la vague ne traverse tout un secteur.

Côté conformité, le partage a aussi un intérêt très concret : il accélère la standardisation. Quand un secteur converge sur des exigences minimales (journalisation, MFA, gestion des tiers), les audits deviennent moins « artisanaux », donc moins coûteux.

L’IA peut aider… si on lui donne des signaux fiables

L’IA est efficace quand elle ingère :

• des logs cohérents,
• des événements bien horodatés,
• des référentiels à jour (inventaire des actifs, CMDB, IAM),
• et des règles claires.

Sans ces fondations, un modèle détecte peut-être des anomalies… mais vous ne saurez pas si elles sont exploitables. Et côté conformité, c’est pire : un reporting automatique basé sur des données incomplètes vous donne une fausse assurance.

Conformité en 2025 : la pression vient de l’argent, pas seulement des règles

La conformité monte en charge parce que le risque devient financier et systémique. Oui, les politiques publiques se durcissent, et les cadres se multiplient. Mais le déclencheur côté direction générale, c’est souvent :

• le coût total d’un incident (arrêt d’activité, restauration, expertise, communication),
• la perte de chiffre d’affaires (clients inquiets, appels d’offres perdus),
• et la pression des assureurs cyber (questionnaires plus stricts, exclusions, franchises).

Une idée forte de Black Hat (et je suis assez d’accord) : la posture de cybersécurité s’améliore souvent parce que le risque est devenu un sujet de comité de direction, pas uniquement parce qu’une nouvelle règle est sortie.

Ce que ça change pour vos programmes IA + conformité

Si votre objectif est « être conforme », vous risquez de construire un système qui optimise l’audit, pas la résilience.

Si votre objectif est « réduire le risque business », l’IA devient un accélérateur :

• priorisation des correctifs selon l’exposition,
• détection plus rapide des comportements anormaux,
• surveillance continue des dérives de configuration,
• et production automatisée de preuves.

Dit autrement : la bonne question n’est pas “sommes-nous conformes ?” mais “qu’est-ce qui nous rend non conformes et vulnérables en même temps ?” C’est là que l’IA est utile.

IA et conformité : utile, mais jamais en pilote automatique

L’IA apporte une réponse pragmatique à un problème réel : la conformité est devenue trop volumineuse pour être gérée manuellement. Entre les politiques internes, les exigences clients, les normes sectorielles et les demandes des assureurs, maintenir un état de conformité « vivant » est un travail à plein temps.

L’idée discutée à Black Hat est simple : des outils d’IA peuvent suivre les changements de règles et « calculer » un niveau de conformité.

Le problème, lui, est encore plus simple : et si l’IA se trompe ?

Qui est responsable si l’IA « valide » à tort ?

Réponse opérationnelle : vous.

Le régulateur, l’auditeur, le client ou l’assureur ne jugent pas votre intention. Ils jugent votre capacité à démontrer :

1. quels contrôles existent,
2. comment ils sont appliqués,
3. et quelles preuves vous pouvez produire.

Si un outil IA vous a indiqué « conforme » alors que la journalisation était inactive sur une partie du parc, l’erreur d’outil n’efface pas le risque. Et en cas d’incident, l’écart entre ce que vous pensiez vrai et ce qui est vrai devient un angle d’attaque… y compris juridiquement.

Les 4 garde-fous à imposer à un outil IA de conformité

Un bon programme “IA pour la conformité” ressemble plus à un système de contrôle interne qu’à un assistant magique. Voici ce qui marche.

1. Traçabilité des décisions : chaque statut (conforme / non conforme / inconnu) doit être justifiable par des données et des règles. Si c’est une boîte noire, c’est inutilisable en audit.
2. Gestion de l’incertitude : un bon outil doit savoir dire « je ne sais pas ». Un “conforme” par défaut est dangereux.
3. Échantillonnage humain régulier : contrôles manuels sur un sous-ensemble d’actifs et de règles, toutes les semaines ou tous les mois. Pas pour refaire le travail, mais pour valider le moteur.
4. Séparation des rôles : ceux qui configurent les règles ne doivent pas être les seuls à valider les résultats. Sinon, l’IA devient une auto-certification.

Phrase que j’aimerais voir affichée dans chaque comité conformité : « L’IA accélère la preuve, elle ne remplace pas la responsabilité. »

MFA : le “minimum syndical” qui évite des drames

Le MFA (authentification multifacteur) n’est pas négociable en 2025. Le panel de Black Hat parlait d’une approche « whole-nation » pour en faire un standard de base. Je partage cette position : quand l’immense majorité des intrusions commencent par des identifiants volés ou réutilisés, laisser des accès sans MFA, c’est laisser une porte entrouverte.

Pour rendre le MFA réaliste (et accepté), la stratégie qui fonctionne le mieux est progressive :

• Phase 1 (2–4 semaines) : MFA obligatoire pour les comptes admin, VPN, messagerie, outils de gestion IT.
• Phase 2 (1–2 mois) : MFA pour tous les accès externes et tous les comptes à privilèges métiers.
• Phase 3 : durcissement (MFA résistant au phishing, politiques conditionnelles, suppression des méthodes faibles).

L’IA peut aider ici aussi : détection d’anomalies d’authentification, scoring de risque, déclenchement adaptatif de contrôles (accès inhabituel = défi plus fort). Mais la base reste non discutable : le MFA partout où c’est possible.

Mettre l’IA au bon endroit : une feuille de route simple

L’IA donne les meilleurs résultats quand elle s’attaque à la surveillance continue et à la priorisation, pas quand elle prétend “certifier” à votre place. Voilà une feuille de route pragmatique pour 2026.

1) Stabiliser les données avant d’acheter des promesses

Objectif : rendre vos signaux fiables.

• inventaire des actifs (postes, serveurs, SaaS, identités),
• centralisation des journaux critiques,
• hygiène IAM (comptes orphelins, droits excessifs),
• référentiel de politiques clair (versionné).

2) Automatiser la collecte de preuves, pas l’interprétation finale

Objectif : gagner du temps sans se mentir.

• preuves de configuration (CIS, durcissement),
• preuves d’exécution (patching réel, pas “planifié”),
• preuves d’accès (MFA, logs d’authentification),
• preuves de réponse (exercices, tickets, délais).

3) Utiliser l’IA pour prioriser ce qui compte

Objectif : réduire le risque mesurable.

• corrélation événements + exposition (internet, privilèges),
• tri des alertes (réduction du bruit),
• détection d’écarts de configuration à grande échelle,
• aide à l’investigation (regroupement, chronologie).

4) Mettre la conformité “en continu”

Objectif : éviter la panique pré-audit.

• tableaux de bord par contrôle (OK / KO / inconnu),
• suivi des exceptions avec date de fin,
• alertes sur dérives,
• revue mensuelle RSSI + DSI + Risk/Compliance.

Ce qu’il faut retenir pour 2026

La « balle en argent » en cybersécurité est un mythe confortable. La vraie sécurité ressemble à une chaîne : vous renforcez des maillons, vous surveillez les ruptures, vous documentez ce qui tient. L’IA, dans ce cadre, est extrêmement utile — surtout pour traiter le volume (alertes, logs, exigences, preuves).

Mais si vous laissez l’IA déclarer votre conformité sans garde-fous, vous prenez un risque de gouvernance : le jour où le modèle se trompe, c’est votre organisation qui paie. La bonne approche est claire : IA + expertise humaine + contrôle interne.

Si vous deviez lancer une seule action avant la rentrée de janvier 2026 : faites un état des lieux “MFA + preuves” (où est le MFA absent, quelles preuves sont manquantes, quelles données sont non fiables). Ensuite seulement, industrialisez avec l’IA. La question qui devrait guider vos décisions n’est pas « quel outil acheter ? », mais « quelle vérité opérationnelle voulons-nous prouver chaque semaine ? »