Attaques IA autonomes : les ETI européennes sous feu croisé, sans bouclier souverain

# Attaques IA autonomes : les ETI européennes sous feu croisé, sans bouclier souverain

Nous sommes en 2026, et la question n'est plus de savoir si une ETI européenne sera ciblée par une cyberattaque pilotée par IA autonome. C'est déjà le cas. Ce qui reste ouvert — et c'est là que le problème devient politique autant que technique — c'est de savoir avec quels outils, sous quelle juridiction, et avec quelle capacité de réponse autonome ces entreprises vont absorber le choc.

La réponse honnête, aujourd'hui, est inconfortable : la plupart des ETI européennes dépendent d'infrastructures de détection et de réponse aux incidents dont le cœur de décision — les modèles, les règles d'inférence, les mises à jour de menaces — est hébergé et gouverné hors d'Europe. Ce n'est pas une critique de la qualité technique de ces solutions. C'est un constat de dépendance structurelle, au moment précis où la menace devient elle-même autonome.

Ce que « autonome » change vraiment pour les équipes IT

Pendant longtemps, une attaque sophistiquée impliquait un opérateur humain quelque part dans la chaîne. L'IA autonome efface cette friction. Un vecteur d'intrusion peut désormais s'adapter en temps réel à la posture défensive qu'il rencontre, modifier ses signatures, changer de protocole, identifier les points de faiblesse dans un SI sans que personne n'ait validé chaque mouvement. Ce n'est pas de la science-fiction : les outils offensifs basés sur des agents IA capables de pivoter dans un réseau sans intervention humaine sont documentés dans les rapports d'incidents de plusieurs CERTs européens depuis fin 2025.

Pour un RSSI d'ETI, cela change radicalement l'équation opérationnelle. La réponse sur incident ne peut plus être séquentielle — détecter, qualifier, escalader, décider, agir. Ce cycle, qui prenait des heures dans le meilleur des cas, est désormais exploité comme une surface d'attaque en soi. L'attaquant IA sait que vous avez besoin d'un humain pour valider la contre-mesure. Il capitalise sur ce délai.

La conséquence logique est l'automatisation défensive. Autoriser un système à prendre des décisions de coupure réseau, d'isolation de segment, voire de neutralisation d'un flux sans validation humaine préalable. Et c'est précisément là que le droit européen entre en collision avec la réalité opérationnelle.

Le vide juridique qui expose les équipes IT en premier

Le règlement européen sur l'IA — l'AI Act — classe les systèmes autonomes de cybersécurité dans les usages à risque élevé dès lors qu'ils affectent des infrastructures critiques. C'est une catégorie large, et son application aux systèmes de réponse automatisée aux incidents en entreprise reste, en 2026, un angle mort réglementaire. Les textes n'ont pas suivi le rythme de la menace.

Concrètement, un RSSI qui déploie un système de réponse autonome capable d'isoler un segment réseau sans validation humaine se retrouve dans une zone grise : est-il en conformité avec l'AI Act ? Avec NIS2, qui exige des procédures de réponse documentées mais ne définit pas le niveau d'autonomie autorisé ? Qui est responsable si la contre-mesure automatique provoque un incident de disponibilité ?

Personne ne répond clairement à ces questions aujourd'hui. Et pendant ce temps, les équipes IT, elles, gèrent. Elles déploient des outils, souvent américains parce que disponibles, certifiés rapidement, et soutenus par des bases de renseignement sur les menaces vastes. Elles n'ont pas tort de le faire dans l'urgence. Mais elles construisent, sans toujours le savoir, une dépendance opérationnelle profonde : leurs playbooks de réponse, leurs seuils de déclenchement, leurs règles de corrélation sont souvent définis et mis à jour par des équipes hors d'Europe, selon des priorités qui ne sont pas nécessairement les leurs.

Ce que la souveraineté signifie concrètement ici

Je ne parle pas de souveraineté comme d'un concept abstrait ou d'un argument politique. Je parle de ce qui se passe quand un RSSI d'ETI française ou néerlandaise doit expliquer à son DAF pourquoi ses données d'incidents, ses logs, ses indicateurs de compromission sont traités dans un cloud dont les conditions d'accès par une autorité étrangère ne sont pas contractuellement exclues.

Je parle de ce qui se passe quand une mise à jour de modèle de détection dégrade silencieusement la couverture sur un type de menace spécifique, et que l'équipe IT n'a ni visibilité ni recours sur ce changement, parce que c'est une boîte noire gérée ailleurs.

Des acteurs comme Sekoia, société française spécialisée en threat intelligence et détection, construisent une réponse à ce besoin précis : des plateformes dont les données de renseignement, les modèles et les règles de corrélation sont auditables, hébergés en Europe, et soumis au droit européen. Ce n'est pas encore la norme. Et le marché ne bascule pas de lui-même vers ces alternatives, parce que la pression réglementaire reste insuffisante et que les budgets IT des ETI ne sont pas extensibles.

Parallèlement, l'ENISA — l'agence européenne pour la cybersécurité — publie depuis 2025 des cadres de référence pour la réponse automatisée aux incidents qui commencent à donner aux équipes IT une base pour documenter et justifier leurs choix d'automatisation. C'est utile. C'est insuffisant. Ces cadres restent consultatifs, et leur adoption est inégale selon les États membres.

Ce qu'il faut que les décideurs IT comprennent maintenant

La première erreur serait d'attendre que le cadre légal soit stabilisé pour agir. Il ne le sera pas dans les délais que la menace impose. Les ETI qui sortiront en position de force de cette période sont celles qui auront posé les bonnes questions en amont : où sont mes données d'incidents ? Qui met à jour mes règles de détection et selon quelle logique ? Quel niveau d'autonomie ai-je réellement accordé à mes outils de réponse, et ai-je documenté ce choix ?

La deuxième erreur serait de penser que la souveraineté est un luxe de grand groupe. C'est précisément l'inverse. Une grande entreprise peut négocier des clauses contractuelles spécifiques, auditer ses prestataires, s'offrir une équipe juridique pour naviguer dans la zone grise réglementaire. Une ETI, non. Pour une ETI, la dépendance à un acteur extérieur non auditable n'est pas un risque théorique — c'est une exposition directe.

En 2026, les cyberattaques autonomes ne sont plus un horizon. Elles sont le quotidien des équipes SOC européennes. Ce qui manque encore, c'est la même autonomie côté défense : des outils dont les équipes IT maîtrisent réellement la logique, hébergés dans des environnements dont la gouvernance est européenne, et encadrés par un droit qui a enfin rattrapé la réalité technique.

Nous n'y sommes pas. Mais la distance entre ce constat et une décision d'achat, de déploiement, ou d'audit commence exactement ici.