IA américaine dans vos systèmes : un DSI passe aux aveux sur les angles morts de la cybersécurité européenne

# IA américaine dans vos systèmes : un DSI passe aux aveux sur les angles morts de la cybersécurité européenne

*Nous sommes en 2026. Après les premières vagues d'adoption massive des modèles de langage dans les entreprises européennes, les incidents de conformité commencent à remonter. Un directeur des systèmes d'information d'une ETI industrielle franco-allemande, qui a souhaité conserver l'anonymat, accepte de parler franchement. Pas de langue de bois, pas de slides marketing. Juste ce que personne ne dit vraiment dans les COMEX.*

RiffLab Media : Vous avez intégré des modèles IA américains dans votre SI il y a deux ans. Aujourd'hui, vous dites que vous avez « mal mesuré le risque ». Qu'est-ce que ça signifie concrètement ?

Ça signifie qu'on a fait comme tout le monde : on a regardé les benchmarks, on a fait une démo qui en mettait plein la vue, et on a signé. On ne s'est pas posé les bonnes questions au bon moment. La question qu'on aurait dû poser en premier, ce n'est pas « est-ce que ce modèle performe bien sur nos cas d'usage ? », c'est « où vont les données que ce modèle traite, et sous quelle juridiction ? ».

On a découvert progressivement que certains flux de données — des résumés de contrats, des briefs techniques, des échanges internes reformulés par l'outil — transitaient par des infrastructures soumises au droit américain. Pas parce qu'on nous avait menti. Parce qu'on n'avait pas lu les conditions d'utilisation avec un juriste spécialisé. Et parce que les commerciaux, eux, ne vont pas spontanément vous expliquer que le Cloud Act peut s'appliquer à votre subsidiary américaine, même si vous êtes une ETI strasbourgeoise.

RiffLab Media : Le Cloud Act, justement. On en parle depuis des années. Est-ce que les entreprises européennes ont vraiment progressé sur ce sujet, ou est-ce que c'est encore un angle mort en 2026 ?

C'est encore largement un angle mort, et je vais vous dire pourquoi : parce que le Cloud Act n'est pas un risque visible. Ce n'est pas une fuite de données. Ce n'est pas une attaque ransomware. C'est un risque juridique latent, silencieux, qui ne se matérialise que si une autorité américaine décide de frapper à la porte de votre prestataire. Et comme ça n'arrive pas tous les matins, les décideurs se disent que c'est théorique.

Mais avec les modèles IA, on a ajouté une couche de complexité. Ce ne sont plus seulement vos fichiers qui sont potentiellement accessibles — c'est la *substance* de votre activité que vous avez injectée dans des prompts. Des données contractuelles, des stratégies commerciales, des analyses de risques. Des informations que vous n'auriez jamais mises dans un simple espace de stockage cloud, vous les avez passées dans un modèle américain parce que l'interface était fluide et le résultat impressionnant. Le delta entre la perception du risque et le risque réel est gigantesque.

RiffLab Media : NIS2 et DORA sont entrés en application. Les régulateurs européens donnent-ils enfin les moyens aux entreprises de résister à cette pression, ou est-ce que ces textes passent à côté du problème IA ?

Ils posent les bons principes mais ils arrivent avec un temps de retard sur les usages réels. NIS2 vous oblige à cartographier vos dépendances critiques et à démontrer que vous gérez les risques liés à votre chaîne d'approvisionnement numérique. DORA, pour le secteur financier, va encore plus loin sur la résilience opérationnelle et la concentration des risques fournisseurs.

Mais concrètement, quand un auditeur vous demande votre registre des tiers critiques, est-ce que les modèles IA que vous utilisez au quotidien y figurent ? Dans la majorité des entreprises que je connais, non. On a intégré ces outils par la porte des métiers, pas par la porte de la DSI. Le service juridique utilise un assistant IA pour rédiger ses contrats, la direction commerciale pour préparer ses pitchs — et tout ça est passé sous le radar de la gouvernance SI.

Les textes européens créent une obligation de rigueur. Mais ils ne peuvent pas penser à votre place. L'audit de vos dépendances IA, c'est votre responsabilité, pas celle du régulateur.

RiffLab Media : Vous avez lancé un audit interne de ces dépendances. Qu'avez-vous trouvé que vous ne vous attendiez pas à trouver ?

Deux choses nous ont vraiment surpris. La première, c'est l'étendue de la surface exposée. On avait cartographié trois ou quatre outils IA officiellement déployés par la DSI. L'audit terrain en a remonté bien plus — des abonnements individuels, des extensions de navigateur, des intégrations faites directement dans des outils SaaS sans passer par nous. Le shadow AI, pour le nommer clairement, c'est une réalité que beaucoup de DSI sous-estiment encore.

La deuxième surprise, c'est la granularité des données exposées. On pensait que les usages étaient superficiels — de la reformulation, de la synthèse de documents génériques. En réalité, certains collaborateurs avaient pris l'habitude de coller directement des extraits de documents sensibles pour obtenir une analyse rapide. Sans mauvaise intention. Par efficacité. Mais avec un résultat qui, du point de vue de la conformité RGPD et de la protection du secret des affaires, est difficile à défendre.

RiffLab Media : Face à ça, certains défenseurs des offres américaines diront que leurs certifications de sécurité — SOC 2, ISO 27001 — sont suffisantes. Vous répondez quoi ?

Je réponds que ces certifications répondent à une question, pas à la question. Elles vous disent que l'acteur américain gère correctement la sécurité *selon ses propres standards*. Elles ne vous disent pas que vos données sont à l'abri d'une réquisition judiciaire américaine. Elles ne vous disent pas que la localisation européenne des données est une garantie juridique et pas seulement un argument commercial. Et elles ne vous disent surtout pas que vous êtes en conformité avec le RGPD ou avec les exigences sectorielles européennes.

Une certification américaine, c'est une réponse américaine à des questions américaines. L'extraterritorialité du droit américain n'est pas couverte par un audit de sécurité, quelle que soit son étendue. Les entreprises européennes doivent apprendre à distinguer ces deux niveaux d'analyse. L'un relève de la cybersécurité technique. L'autre relève de la souveraineté juridique. Ce sont deux sujets différents, et on ne peut pas répondre à l'un avec les outils de l'autre.

RiffLab Media : Concrètement, qu'est-ce qu'un DSI européen devrait faire dans les six prochains mois s'il veut sortir de cette situation ?

D'abord, ne pas paniquer et ne pas tout jeter — ce serait aussi irresponsable que de ne rien faire. L'objectif, c'est la maîtrise, pas l'évitement.

Concrètement, j'identifierais trois priorités. Premièrement, l'inventaire réel des usages IA dans l'organisation — pas l'inventaire théorique de la DSI, mais ce que font vraiment les collaborateurs. Ça nécessite un travail de terrain, pas seulement un scan technique.

Deuxièmement, une analyse juridique sérieuse de chaque dépendance identifiée comme critique : où les données sont-elles traitées, sous quelle juridiction, qu'est-ce que les conditions contractuelles disent réellement sur la réquisition de données ? C'est un travail qui nécessite un juriste qui comprend à la fois le droit européen et l'extraterritorialité américaine — ce profil est rare, mais il existe.

Troisièmement, engager une conversation honnête avec votre direction générale et votre conseil d'administration sur ce que signifie concrètement une dépendance à un modèle IA américain pour votre exposition au risque. Pas en termes techniques, mais en termes stratégiques et juridiques. Ce n'est pas un sujet de DSI — c'est un sujet de gouvernance d'entreprise. Et en Europe, en 2026, les dirigeants qui n'ont pas encore compris ça prennent un risque qu'ils ne voient pas encore, mais que leurs auditeurs et leurs régulateurs, eux, commencent à voir très bien.

*Cet entretien a été conduit en mars 2026. L'interlocuteur a souhaité conserver l'anonymat pour des raisons de confidentialité liées à son secteur d'activité.*