- Quand détecter un risque oblige à décider
- Le risque du « human in the loop » de façade
- La cybersécurité révèle l’architecture réelle de l’organisation
- De la compétence technique à la capacité de décider
- De la traçabilité technique à la traçabilité décisionnelle
- La question n’est peut-être plus « qui décide : l’humain ou l’IA ? »
Cybersécurité et IA : quand le système détecte le risque, qui porte la responsabilité de la décision ?
Cybersécurité et IA transforment la manière dont les organisations détectent les risques, recommandent des réponses et déclenchent des actions. Mais lorsqu’un système d’IA identifie une cybermenace, propose une décision ou agit avec une certaine autonomie, qui décide réellement et qui en porte la responsabilité ? Entre détection, recommandation, autorisation et action, la cybersécurité devient aussi une question d’architecture décisionnelle.
Quand détecter un risque oblige à décider
Une alerte tombe. Un système d’IA vient d’identifier un comportement inhabituel sur le réseau de l’entreprise. Il rapproche plusieurs signaux, estime la menace sérieuse et recommande d’isoler immédiatement un serveur.
Techniquement, la recommandation paraît claire.
Mais isoler ce serveur peut interrompre un service, bloquer des transactions, affecter des clients ou perturber une activité critique.
Alors, que fait-on ?
Et surtout : qui peut décider de ce que l’on fait ?
L’analyste qui reçoit l’alerte ? Le responsable cybersécurité ? Le responsable du métier concerné ? Celui qui porte la continuité d’activité ? Ou le système lui-même, si l’organisation lui a donné la capacité d’agir automatiquement ?
Entre la détection d’une menace et l’action engagée, il se passe en réalité beaucoup de choses. Il faut qualifier ce qui arrive, l’interpréter, envisager une réponse, en mesurer les conséquences, arbitrer, puis autoriser l’action. Selon les organisations, ces opérations sont réparties entre analystes, responsables cybersécurité, métiers et équipes techniques. Avec l’IA, cette répartition bouge : certaines d’entre elles peuvent désormais être enchaînées en quelques secondes par les systèmes eux-mêmes.
Se réfugier derrière un « human in the loop » devient insuffisante. Ce qui importe n’est pas seulement qu’un humain soit présent quelque part dans la chaîne, mais ce qu’il peut encore réellement décider, refuser ou arrêter.
Prenons cette recommandation apparemment simple :
« Isoler immédiatement ce serveur. »
Elle peut être parfaitement justifiée du point de vue de la cybersécurité. Mais la décision de l’exécuter engage potentiellement beaucoup plus que la sécurité du système d’information.
C’est précisément là que se joue une distinction importante.
La capacité technique d’agir n’est pas l’autorité de décider.
Un système peut être techniquement capable de couper un accès, suspendre un compte ou isoler une machine. Cela ne signifie pas qu’il doit être autorisé à le faire dans toutes les circonstances où son modèle considère cette action pertinente.
Dès lors, parler simplement de « décision de l’IA » risque de masquer ce qui se passe réellement.
La décision émerge d’une configuration associant informations, systèmes, règles, personnes, arbitrages, autorité, responsabilité et capacité d’action.
Et plus l’IA acquiert de capacités d’action, plus cette configuration mérite d’être rendue explicite.
C’est aussi ce qui rend la cybersécurité particulièrement intéressante pour observer l’évolution des architectures décisionnelles : elle confronte les organisations à des situations dans lesquelles il faut comprendre vite, décider vite et parfois agir immédiatement, alors même que les conséquences d’une mauvaise décision peuvent être importantes.
Et parfois, le problème apparaît précisément lorsque le système agit très efficacement.
Quand l’autonomie opérationnelle dépasse le périmètre imaginé
Un incident rendu public par OpenAI en juillet 2026 illustre une autre difficulté. Lors d’évaluations de capacités en cybersécurité, des modèles disposant volontairement de garde-fous réduits ont exploité une succession de vulnérabilités afin de poursuivre l’objectif qui leur avait été assigné, jusqu’à atteindre des ressources qui n’étaient pas envisagées comme une voie légitime pour résoudre le test.
Le cas est intéressant moins parce qu’une IA aurait « décidé de désobéir » que parce qu’un système doté d’une forte autonomie opérationnelle a poursuivi efficacement son objectif au-delà des frontières d’action que ses concepteurs pensaient suffisamment établies.
Il fait apparaître une distinction essentielle : donner à un système la capacité d’agir ne signifie pas lui donner l’autorité d’agir partout où cette capacité peut techniquement s’exercer.
L’enjeu consiste donc à architecturer non seulement la décision, mais aussi le périmètre dans lequel une décision ou une recommandation machine est autorisée à devenir une action : limites d’autorité, conditions de refus ou d’escalade, mécanismes d’arrêt, traçabilité et responsabilité.
Lorsque l’IA conseille un analyste qui décide ensuite librement de l’action à entreprendre, la répartition des rôles paraît relativement lisible.
Elle devient plus délicate lorsque le système peut lui-même déclencher une action.
Supposons qu’un agent détecte un comportement suspect et bloque automatiquement un compte.
L’action peut être parfaitement pertinente.
Mais plusieurs questions apparaissent immédiatement : sur quelles informations le blocage a-t-il été déclenché ? Selon quelles règles ? Qui avait autorisé le système à agir ? Jusqu’où cette autorisation s’étend-elle ? Dans quelles situations doit-il au contraire demander une validation humaine ? Qui peut interrompre son action ? Comment contester une décision erronée ? Et qui est responsable de ses conséquences ?
Ce sont moins des questions d’algorithme que d’autorité, de responsabilité et de contrôle.
L’autonomie technique d’un système ne lui confère pas, à elle seule, une autorité organisationnelle.
Cette autorité doit avoir été pensée, attribuée et encadrée.
Le risque du « human in the loop » de façade
Une réponse fréquente consiste à dire : « un humain reste dans la boucle ».Le risque est alors de transformer la validation humaine en simple étape procédurale : on conserve la signature, mais plus nécessairement l’arbitrage qui devrait la précéder.
Dire qu’un « humain reste dans la boucle » ne suffit donc pas. Encore faut-il que cette présence lui donne une véritable capacité d’arbitrage. S’il ne dispose ni du temps ni des informations nécessaires pour comprendre la recommandation, s’il ne peut pas demander une autre analyse ou s’il n’est pas réellement autorisé à la refuser, sa présence devient largement formelle.
Et surtout : porte-t-il effectivement la responsabilité d’une décision sur laquelle il dispose d’une capacité d’arbitrage réelle ?
Chacun valide « presque » automatiquement une recommandation algorithmique et ainsi délègue sa capacité à décider.
À l’inverse, une organisation peut parfaitement automatiser certaines actions tout en conservant une architecture décisionnelle explicite : périmètre d’autonomie défini, seuils d’intervention, règles de refus ou d’escalade, journalisation des actions, mécanismes de révision et responsabilité identifiée.
Le sujet n’oppose donc pas simplement décision humaine et décision automatisée.
Il consiste à concevoir la configuration dans laquelle humains et systèmes participent ensemble à la production de la décision.
La cybersécurité révèle l’architecture réelle de l’organisation
Les situations de cybersécurité présentent une caractéristique particulière : elles mettent les organisations sous contrainte temporelle.
Lorsqu’une menace survient, il faut parfois décider vite.
Et c’est précisément dans ces moments que les ambiguïtés organisationnelles deviennent visibles.
Qui peut interrompre un service ?
Qui peut accepter temporairement un risque ?
Qui arbitre entre continuité d’activité et sécurité ?
Qui peut engager une action ayant des conséquences sur plusieurs métiers ?
Qui assume une décision lorsqu’elle a été recommandée par un système ?
Lorsque ces réponses ne sont pas explicites, la technologie ne supprime pas l’incertitude. Elle peut au contraire l’amplifier.
Un système capable de produire une recommandation en quelques secondes ne constitue pas nécessairement un progrès si l’organisation met ensuite plusieurs heures à déterminer qui est autorisé à agir.
De la compétence technique à la capacité de décider
Cela conduit également à regarder différemment le développement des compétences en cybersécurité. Construire un véritable parcours d’apprentissage à l’ère de l’IA devient une nécessité absolue :
Apprendre à identifier une vulnérabilité, analyser une menace ou utiliser des outils assistés par l’IA est évidemment indispensable. Les offres de formation en cybersécurité d’Optédif illustrent notamment cette diversité, depuis l’analyse des vulnérabilités et la sécurisation des réseaux jusqu’à l’analyse des cybermenaces grâce à l’IA.
Mais au-delà de ce parcours, un autre chantier en entreprise est nécessaire :
Une organisation doit également déterminer comment l’information produite devient une décision légitime et une action assumée.
Former à la cybersécurité et clarifier l’architecture décisionnelle deviennent alors deux dimensions complémentaires : développer la capacité à comprendre et traiter le risque, mais aussi expliciter les conditions dans lesquelles chacun peut décider et agir.
De la traçabilité technique à la traçabilité décisionnelle
L’IA renforce enfin une autre exigence : celle de la trace.
Journaliser l’activité du système permet de savoir qu’une alerte a été produite ou qu’une action a été exécutée.
Mais cela ne permet pas nécessairement de reconstruire la décision.
Pour cela, il faut pouvoir comprendre comment l’information disponible a été interprétée, quelles options existaient, quelle recommandation a été formulée, qui disposait de l’autorité pour arbitrer, pourquoi une action a été retenue ou refusée et comment ses conséquences ont ensuite été contrôlées.
Autrement dit :
la traçabilité de l’action ne constitue pas encore la traçabilité de la décision.
Cette distinction devient essentielle à mesure que les systèmes d’IA interviennent davantage dans la chaîne qui relie l’information à l’action.
La question n’est peut-être plus « qui décide : l’humain ou l’IA ? »
Cette formulation suppose qu’il faudrait attribuer la décision à l’un ou à l’autre.
Or les organisations contemporaines fonctionnent de plus en plus avec des configurations hybrides : systèmes d’information, modèles d’IA, experts, responsables métiers, règles organisationnelles et mécanismes de contrôle contribuent ensemble à produire et exécuter les décisions.
Lorsque le système détecte le risque, la question n’est plus seulement de savoir qui décide de ce qui se passe ensuite. Elle est aussi de savoir jusqu’où cette décision est autorisée à devenir une action.
La question devient alors différente :
Comment organiser la répartition de l’information, de la recommandation, de l’arbitrage, de l’autorité, de l’action et de la responsabilité lorsque humains et IA participent à une même chaîne décisionnelle ?