L’IA agentique, la sécurité de la chaîne d’approvisionnement numérique et l’entrée en vigueur de l’AI Act européen redessinent les priorités des DSI. Nous observons un basculement où les tendances informatiques ne se superposent plus aux systèmes existants, mais exigent une refonte des architectures et des compétences internes.
Attaques sur la chaîne d’approvisionnement numérique : le maillon faible des systèmes d’information
La majorité des articles sur les tendances IT abordent la cybersécurité sous l’angle défensif classique : pare-feu, EDR, SOC. Le risque lié aux dépendances numériques tierces reste sous-documenté, alors qu’il constitue aujourd’hui une surface d’exposition critique.
L’ENISA souligne que les attaques contre la chaîne d’approvisionnement peuvent provoquer des incidents à grande échelle, bien au-delà du périmètre de l’organisation ciblée. Un prestataire SaaS compromis, un composant open source vérolé ou un fournisseur cloud mal segmenté suffit à propager une compromission latérale.
Nous recommandons d’intégrer l’évaluation de la posture de sécurité des fournisseurs dans chaque cycle de revue des risques. Cela implique des audits contractuels, des clauses de notification d’incident et une cartographie régulièrement mise à jour des dépendances logicielles. Pour suivre ces évolutions et celles qui touchent l’informatique sur journalduwebmaster.com, la veille sectorielle reste le réflexe le plus rentable.
L’approche ne se limite pas au périmètre technique. Les équipes achats et juridiques doivent être impliquées dès la phase de sélection d’un prestataire, avec des critères de sécurité pondérés au même niveau que le coût ou le SLA.
AI Act européen : obligations concrètes pour les DSI en phase d’application
L’AI Act est entré dans sa phase d’application générale. Les obligations relatives aux systèmes d’intelligence artificielle à haut risque concernent directement les entreprises qui déploient des outils de scoring, de recrutement automatisé ou de surveillance.
L’enjeu n’est pas seulement juridique : il structure les choix d’architecture. Un modèle d’IA déployé sans documentation de conformité, sans évaluation des biais ou sans mécanisme de supervision humaine expose l’entreprise à des sanctions, mais aussi à un risque réputationnel.
Points de vigilance techniques
- La traçabilité des données d’entraînement doit être assurée dès la conception du pipeline, pas ajoutée après coup. Cela suppose un versioning des datasets et une gouvernance des données alignée sur la norme ISO 27701.
- Les systèmes de décision automatisée doivent intégrer un mécanisme de contestation accessible, ce qui impacte directement le design des API et des interfaces utilisateur.
- La supervision humaine ne se résume pas à un bouton « override » : elle nécessite des tableaux de bord de monitoring en temps réel avec des seuils d’alerte configurables.
Nous observons que les équipes data et les équipes conformité travaillent encore trop souvent en silo. Aligner gouvernance des données et conformité réglementaire dès la phase projet réduit significativement les coûts de mise en conformité ultérieure.
IA offensive : quand les outils d’intelligence artificielle servent les attaquants
L’IA n’est plus uniquement un outil défensif. L’ENISA constate une utilisation croissante de l’intelligence artificielle par les groupes malveillants pour automatiser et amplifier leurs opérations.
Les cas documentés incluent la production de contenus synthétiques à grande échelle (deepfakes audio et vidéo pour l’ingénierie sociale), la traduction automatisée de campagnes de phishing pour cibler simultanément plusieurs zones géographiques, et l’optimisation des vecteurs d’attaque par apprentissage automatique.
Ce basculement impose de repenser les défenses. Les filtres anti-phishing classiques, entraînés sur des patterns linguistiques connus, perdent en efficacité face à des emails générés par des modèles de langage. Les systèmes de détection doivent désormais intégrer une analyse comportementale plutôt que purement lexicale.
Les attaques visant les systèmes d’IA eux-mêmes (empoisonnement de modèles, extraction de données d’entraînement, injection de prompts) constituent une nouvelle catégorie de menaces. Sécuriser un modèle en production suppose de protéger non seulement l’inférence, mais aussi le pipeline d’entraînement et les données sources.
Compétences informatiques et souveraineté numérique : deux urgences liées
L’ENISA insiste sur l’importance de renforcer les compétences en cybersécurité au sein des organisations. Le constat dépasse le simple recrutement : il s’agit de former les collaborateurs existants à des menaces qui évoluent plus vite que les cursus académiques.
Arbitrages concrets pour les équipes IT
- Privilégier les solutions cloud qualifiées SecNumCloud ou équivalentes pour les données sensibles, plutôt que de se fier uniquement aux certifications génériques des hyperscalers.
- Investir dans la formation continue des équipes aux techniques de prompt injection et de sécurité des modèles d’IA, un domaine encore absent de la plupart des plans de formation.
- Évaluer la portabilité des workloads avant tout engagement pluriannuel avec un fournisseur, en testant la réversibilité effective (pas seulement contractuelle) des données et des configurations.
La réversibilité des systèmes informatiques n’est plus un sujet théorique. Les organisations qui ne testent pas régulièrement leur capacité à migrer d’un prestataire à un autre s’exposent à un verrouillage dont le coût de sortie augmente avec le temps.
Le monde de l’informatique en 2026 se structure autour d’une tension entre accélération technologique et encadrement réglementaire. Les DSI qui tirent leur épingle du jeu sont ceux qui traitent la conformité comme un paramètre d’architecture, pas comme une contrainte ajoutée en fin de projet.
