Une convergence institutionnelle inédite : 2026, année charnière
L’année 2026 marque une inflexion majeure. Pour la première fois, les principales autorités internationales alertent simultanément sur le rôle central de l’IA dans l’évolution du risque cyber. Le World Economic Forum identifie l’IA comme le risque cyber à la croissance la plus rapide, devant les ransomwares.
En France, la Direction Générale de la Sécurité Intérieure a récemment mis en garde les entreprises contre les risques d’ingérence économique liés aux usages professionnels de l’intelligence artificielle. Aux États-Unis comme en Europe, les agences de cybersécurité structurent désormais leurs feuilles de route autour de la sécurisation des systèmes d’IA. Cette simultanéité est inédite. Elle traduit une prise de conscience partagée : la période 2026-2027 constitue une fenêtre d’exposition critique pour les organisations engagées dans des programmes massifs de transformation digitale.
La démocratisation du hacking et l’illusion de compétence
La première rupture tient à l’accessibilité. Les modèles génératifs sont devenus extrêmement performants en production de code. Pour un développeur expert, le gain est marginal. Pour un non-spécialiste, il est spectaculaire.Cette démocratisation produit un effet « Gutenberg numérique » : l’accès à la capacité de produire des outils offensifs ne nécessite plus une expertise approfondie. Des techniques de contournement des garde-fous éthiques permettent d’obtenir des scripts ou des instructions exploitables, y compris via des modèles généralistes. Les modèles open source débridés amplifient encore cette capacité.
Le National Cyber Security Centre estime que l’IA va transformer en profondeur le paysage des menaces d’ici 2027, en accélérant à la fois les capacités offensives et défensives. Mais la menace la plus structurante réside ailleurs : dans la qualité intrinsèque du code généré. L’IA optimise la syntaxe, rarement l’architecture sécurisée. Sans maîtrise des principes fondamentaux – gestion des dépendances, segmentation des droits, contrôle des entrées, durcissement des environnements – les applications produites à grande vitesse deviennent des surfaces d’attaque idéales.
Le cœur du problème tient au prompt engineering. La productivité bénéficie prioritairement aux non-experts. Paradoxalement, le nombre de profils réellement capables d’auditer en profondeur les systèmes tend à diminuer.
Une mise en abyme technologique : l’IA attaque l’IA
Nous entrons dans une phase où l’IA est utilisée simultanément pour attaquer et pour défendre. Les cybercriminels automatisent la découverte de vulnérabilités ; les équipes de sécurité déploient des IA pour détecter ces anomalies.Ce cycle crée un effet de mise en abyme : génération automatisée de code, apparition de vulnérabilités, détection par IA concurrente, génération de correctifs eux-mêmes imparfaits, nouvelles vulnérabilités induites. Un tunnel quasi infini de codes et de contre-codes. L’effort humain ressemble de plus en plus à celui d’un Sisyphe numérique : réparer sans stabiliser durablement.
Réintroduire la maîtrise humaine dans un univers automatisé
Face à cette dynamique, la réponse ne peut être uniquement technologique. Elle doit être méthodologique et organisationnelle. Intégrer la cybersécurité dès la conception des projets IA devient impératif. Il est également essentiel de maintenir un noyau d’expertise profonde. Les organisations doivent investir dans des profils capables de comprendre les architectures sous-jacentes et d’auditer les systèmes en profondeur, et non uniquement d’orchestrer des outils automatisés.La question n’est plus de savoir si l’IA va transformer la cybersécurité. Elle l’a déjà fait. L’enjeu stratégique est désormais de savoir si les organisations conserveront une capacité humaine de compréhension et de pilotage suffisante pour ne pas devenir dépendantes d’un système qui s’auto-alimente.
Jean-Pierre Dandrieux, Senior Partner, EFESO Management Consultants
