OT sous IA : quand l'industrie européenne confie ses automates à des boîtes noires américaines

# OT sous IA : quand l'industrie européenne confie ses automates à des boîtes noires américaines

*En 2026, l'IA s'est invitée dans les réseaux OT — ces environnements industriels longtemps préservés des modes technologiques. Détection d'anomalies, maintenance prédictive, supervision autonome : les promesses sont réelles. Mais pour les industriels européens, la question de la dépendance aux acteurs américains n'a jamais été aussi concrète. Un DSI d'un groupe industriel européen de taille intermédiaire, en poste depuis plus de dix ans sur des environnements de production critiques, livre son analyse.*

RiffLab Media — En 2026, l'IA appliquée aux OT est présentée comme une révolution inévitable. C'est aussi ce que disent les éditeurs américains. Comment vous positionnez-vous face à ce discours ?

Avec une méfiance méthodique. Ce n'est pas l'IA appliquée aux OT qui me pose problème — les cas d'usage sont réels, la détection comportementale sur les automates apporte une vraie valeur. Ce qui me préoccupe, c'est la structure de marché qui se dessine derrière. Quand je regarde qui pousse ces solutions aujourd'hui, je vois essentiellement des acteurs américains dont le modèle repose sur la collecte de données de fonctionnement de mes équipements. Ces données — signatures de comportement, schémas de production, états des capteurs — sont potentiellement aussi sensibles que des données métier classiques. Sauf qu'on n'en parle presque pas, parce que le monde OT a longtemps été isolé de ces débats.

Le discours ambiant est celui de l'inévitabilité. C'est un classique : on vous dit que c'est déjà là, que tout le monde le fait, que vous prenez du retard. C'est précisément le moment où il faut ralentir et poser les bonnes questions.

Quelles sont concrètement les dépendances que vous identifiez quand un industriel européen adopte une solution IA pour surveiller ses OT ?

Il y en a plusieurs couches, et elles ne sont pas toutes visibles immédiatement. La première, c'est la dépendance aux modèles. Beaucoup de solutions de détection d'anomalies sur OT reposent sur des modèles entraînés de manière centralisée, parfois mutualisés entre clients. Vous ne savez pas exactement ce qui entre dans l'apprentissage, ni ce qui en sort vers les serveurs de l'éditeur. La transparence est quasi nulle.

La deuxième couche, c'est l'infrastructure de traitement. Même quand on vous promet du « edge computing », les mises à jour de modèles, les tableaux de bord, les alertes consolidées passent souvent par des clouds américains. Vous êtes théoriquement protégé par le RGPD, mais sur des données OT qui ne sont pas des données personnelles au sens strict, la protection juridique est beaucoup moins claire.

La troisième, c'est la dépendance opérationnelle à long terme. Une fois que vous avez intégré une couche IA dans votre supervision industrielle, le retour arrière est extrêmement coûteux. Vos équipes se forment à ces interfaces, vos processus d'alerte se calent dessus. C'est exactement ce que les acteurs dominants recherchent : pas le lock-in contractuel, mais le lock-in opérationnel.

Existe-t-il des alternatives européennes crédibles sur ce segment, ou l'Europe est-elle structurellement en retard ?

C'est la question qui fâche, et je vais essayer d'y répondre honnêtement. Il y a des acteurs européens sérieux sur la cybersécurité OT — des sociétés comme Sentryo, qui a depuis été absorbée, ce qui illustre d'ailleurs le problème structurel de rachat des pépites européennes. Il y a aussi des initiatives plus récentes, notamment issues du tissu industriel allemand et français, portées parfois par des ETI qui mutualisent leurs besoins.

Mais soyons lucides : sur la brique IA spécifiquement — les modèles de détection comportementale entraînés sur des volumes massifs de données OT hétérogènes — l'Europe part avec un déficit de données d'entraînement. Les acteurs américains ont une longueur d'avance parce qu'ils ont pu agréger des données de clients industriels américains pendant plusieurs années, dans un cadre réglementaire beaucoup plus permissif que le nôtre.

Ce n'est pas une fatalité, mais ça demande une réponse collective : des consortiums industriels européens qui acceptent de mutualiser des jeux de données anonymisés pour entraîner des modèles souverains. On en parle depuis quelques années dans les cercles institutionnels. La mise en œuvre reste lente.

NIS2 et la réglementation européenne sur la cybersécurité des infrastructures critiques changent-elles la donne pour vos décisions d'achat ?

Elles devraient, mais l'effet est plus ambigu qu'on ne le dit. NIS2 a élargi le périmètre des entités concernées et durci les exigences de reporting et de gestion des risques liés à la chaîne d'approvisionnement. Sur le papier, ça devrait inciter les industriels à regarder de plus près d'où viennent leurs solutions et quelles données elles exportent.

Dans les faits, j'observe deux réactions opposées. Certaines organisations utilisent NIS2 comme levier interne pour réouvrir des consultations et exiger des garanties contractuelles plus solides sur la localisation des données et les droits d'audit — c'est positif. D'autres, au contraire, se tournent vers les grands acteurs américains en pensant que leur taille et leurs certifications sont une garantie de conformité. C'est une erreur d'analyse : être certifié ISO 27001 ou SOC 2 ne dit rien sur la souveraineté des données que vous confiez à un tiers.

La réglementation crée un contexte favorable, mais elle ne fait pas le travail à votre place. Il faut des équipes capables d'analyser les flux de données réels, pas seulement les certifications affichées.

Quelle approche recommandez-vous concrètement à un DSI d'ETI industrielle qui veut intégrer de l'IA sur ses OT sans se retrouver captif ?

Je distingue trois principes qui guident mes décisions, sans prétendre avoir une réponse universelle.

Premier principe : la donnée OT ne quitte pas le périmètre sans décision explicite et documentée. Ça semble évident, mais dans les déploiements rapides, c'est la première chose qui saute. Tout modèle d'IA qui tourne sur votre supervision industrielle doit faire l'objet d'une cartographie précise : quelles données entre, quelles données sortent, vers où, sous quelle forme. Si l'éditeur ne peut pas répondre à ces questions avec précision, c'est une réponse en soi.

Deuxième principe : privilégier le traitement local réel, pas le « edge washing ». Certains éditeurs parlent d'edge computing mais maintiennent des dépendances cloud pour des fonctions critiques — mises à jour de modèles, gestion des licences, tableaux de bord. Il faut tester le comportement réel en cas de coupure réseau vers l'extérieur. Un système souverain doit fonctionner de manière dégradée mais opérationnelle sans connexion sortante.

Troisième principe : ne pas externaliser la compréhension. L'IA sur OT ne doit pas devenir une boîte noire dont vos équipes ne comprennent plus les alertes. Si votre équipe de maintenance industrielle ne peut pas expliquer pourquoi le système a déclenché une alerte sur une ligne de production, vous avez un problème de gouvernance, pas seulement un problème technique.

Quel regard portez-vous sur la capacité de l'Europe à construire une filière cohérente sur ce sujet dans les prochaines années ?

Je suis ni optimiste ni pessimiste — j'essaie d'être réaliste. L'Europe a des atouts sérieux : une base industrielle diversifiée, une culture de l'ingénierie embarquée solide notamment en Allemagne, en France, aux Pays-Bas, et une réglementation qui, si elle est bien utilisée, peut créer des avantages compétitifs plutôt que de simples contraintes.

Mais il y a un problème structurel que je vois de mon poste : les décideurs industriels européens ont encore trop souvent le réflexe de valider leurs choix technologiques en regardant ce que font les Américains. Ce n'est pas de la naïveté, c'est une habitude profonde renforcée par des décennies où l'innovation de référence venait effectivement de là-bas. Ce réflexe est en train de changer, lentement, sous la pression des crises géopolitiques et des hausses tarifaires que certains acteurs américains ont imposées unilatéralement ces dernières années.

Sur le segment OT spécifiquement, je pense qu'il y a une fenêtre. Le marché est encore moins consolidé que sur les outils IT classiques. Les industriels européens ont une légitimité naturelle à co-construire des solutions adaptées à leurs environnements. Mais cette fenêtre ne restera pas ouverte indéfiniment. Dans trois à cinq ans, si les acteurs américains ont réussi à imposer leurs standards de données OT comme référence, le rattrapage deviendra structurellement très difficile.

C'est maintenant que les décisions comptent.

*Entretien réalisé avec un DSI d'un groupe industriel européen de taille intermédiaire, dont l'identité est préservée à sa demande.*