L'IA repose sur une infrastructure physique. Qui la protège ?

Trackforce

14 juillet 2026 · 8 min de lecture

Image d'en-tête d'un article sur la sécurité physique des centres de données

Le débat sur la sécurité de l'IA présente un angle mort.

On parle sans cesse de vulnérabilités des modèles, de confidentialité des données et de cyberattaques. Pourtant, les infrastructures physiques où l'IA est déployée – là où les serveurs tournent, les systèmes de refroidissement fonctionnent et l'électricité est fournie – font l'objet d'un examen relativement superficiel. C'est problématique, car ces infrastructures deviennent rapidement parmi les actifs les plus stratégiques au monde.

Les centres de données constituent l'épine dorsale physique de l'IA. À l'heure actuelle, beaucoup trop d'organisations les protègent comme s'il s'agissait encore de simples locaux informatiques.

Points clés à retenir

La sécurité de l'IA présente un angle mort physique.
Les vulnérabilités des modèles et la confidentialité des données retiennent l'attention, tandis que les installations qui gèrent les serveurs, le refroidissement et l'alimentation électrique font l'objet d'un examen relativement peu approfondi.
Le développement urbain est plus rapide que la protection.
Le marché américain des centres de données a dépassé les 208 milliards de dollars en 2024 et devrait atteindre près de 309 milliards de dollars d'ici 2030, avec environ 3 000 nouvelles installations construites ou prévues rien qu'aux États-Unis.
Les menaces sont physiques, et pas seulement numériques.
L’accès non autorisé, les menaces internes, le vol de matériel et de cuivre, le sabotage et la surveillance par drones sont autant de vecteurs documentés, et une interruption du refroidissement ou de l’alimentation électrique peut mettre une installation hors service sans qu’aucune donnée ne soit volée.
Les temps d'arrêt sont facturés à la minute.
Les temps d'arrêt non planifiés coûtent en moyenne plus de 14 000 $ par minute, et environ 23 750 $ pour les grandes entreprises.
Le problème est d'ordre organisationnel, et pas seulement technique.
La sécurité physique a été traitée comme une fonction administrative, de sorte que les personnes chargées de la cybersécurité et celles qui gèrent les gardes partagent rarement la même vision opérationnelle.

L'essor de l'infrastructure est bien réel, tout comme l'exposition

L'ampleur des investissements dans les infrastructures de centres de données est considérable. Le marché américain des centres de données était évalué à plus de 208 milliards de dollars en 2024 et devrait atteindre près de 309 milliards de dollars d'ici 2030. En juillet 2025, l'administration Trump a publié un décret visant spécifiquement à accélérer l'obtention des permis fédéraux pour la construction de centres de données , présentant ce développement comme essentiel à la sécurité nationale et à l'expansion rapide de l'intelligence artificielle.

Cette affirmation n'est pas exagérée. Les centres de données sont maintenant considérés comme des infrastructures au même titre que les réseaux énergétiques, les réseaux de transport et les systèmes de communication — des infrastructures dont la défaillance peut avoir des répercussions en cascade sur l'ensemble de l'économie. La différence est que nous avons consacré des décennies à renforcer la sécurité de ces autres secteurs. La sécurité physique des centres de données, quant à elle, est encore en train de rattraper son retard .

Les menaces sont physiques, et pas seulement numériques.

Demandez à la plupart des gens d'imaginer un incident de sécurité dans un centre de données et ils décriront une cyberattaque : un ransomware, une brèche de sécurité, une attaque DDoS. Ces risques sont bien réels. Mais les menaces physiques sont tout aussi graves, et elles sont systématiquement sous-estimées.

Les tentatives d'accès non autorisé, les menaces internes, le vol de matériel, le vandalisme, le sabotage et la surveillance par drones sont autant de vecteurs de menace avérés. Le vol de cuivre l'est aussi : les prix du cuivre ont atteint des sommets historiques en 2024 , rendant les centres de données de plus en plus vulnérables. D'ailleurs, une intrusion physique n'a pas besoin d'entraîner un vol de données pour causer des dommages considérables. La perturbation des systèmes de refroidissement, de l'infrastructure électrique ou du matériel réseau peut paralyser l'ensemble d'un site.

Les risques financiers sont bien réels, et non théoriques. Le coût moyen d'une violation de données a atteint 4,88 millions de dollars à l'échelle mondiale en 2024, soit une hausse de 10 % par rapport à l'année précédente. Ce chiffre sous-estime d'ailleurs le coût potentiel d'un incident physique majeur. Les interruptions de service imprévues coûtent maintenant en moyenne plus de 14 000 $ par minute pour les organisations de toutes tailles, et environ 23 750 $ pour les grandes entreprises .

Pourquoi la sécurité physique est souvent insuffisante

Une partie du défi est d'ordre organisationnel. La sécurité des centres de données a longtemps été considérée comme une fonction liée aux infrastructures : badges d'accès, clôture périphérique, vidéosurveillance. Les personnes responsables de la cybersécurité ne sont généralement pas celles responsables de la sécurité physique, et ces deux domaines communiquent rarement de manière structurée.

Ce cloisonnement crée de réelles vulnérabilités. L'accès physique à une salle serveur peut faciliter une cyberattaque. Un fournisseur ayant un accès légitime peut devenir une menace interne. Une menace périmétrique risque de ne jamais atteindre l'équipe concernée à temps pour être prise en compte. Sans une vision opérationnelle unifiée reliant l'activité des agents de sécurité , les événements de contrôle d'accès, les rapports d'incidents et la gestion des visiteurs, les équipes de sécurité prennent des décisions à partir d'informations incomplètes.

La prise de conscience augmente : environ 62 % des exploitants de centres de données donnent désormais la priorité à la mise à niveau de leurs protocoles de sécurité physique , notamment pour se prémunir contre les menaces internes, le sabotage et les intrusions. Mais la sensibilisation ne garantit pas l'efficacité opérationnelle.

Les opérations de sécurité doivent être à la hauteur des enjeux.

À mesure que les centres de données se dispersent géographiquement, se rapprochent des utilisateurs finaux pour prendre en charge l'IA à faible latence et s'étendent sur les campus de banlieue et les terres fédérales, la sécurité physique devient autant un problème de coordination qu'un problème technologique.

Les programmes qui résistent à la pression partagent généralement certaines caractéristiques. Ils garantissent une visibilité claire sur les personnes présentes sur le site et leurs raisons de présence , à tout moment. L'activité des patrouilles est documentée et vérifiable, et non auto-déclarée . Les incidents sont enregistrés en temps réel, et non reconstitués a posteriori . Et quand un problème survient, la réaction ne dépend pas de trouver le bon document.

Ce type de rigueur exige des processus adaptés, des outils appropriés et, surtout, des données pertinentes. Les responsables de la sécurité capables de produire des rapports d'audit complets sur les accès, la conformité des patrouilles et la gestion des incidents protègent leurs installations tout en instaurant la responsabilisation indispensable lorsque les organismes de réglementation, les assureurs ou la direction posent des questions pointues.

La fenêtre d'opportunité pour prendre l'avantage rétrécit.

Le déploiement de l'infrastructure d'IA s'accélère. Avec près de 3 000 nouveaux centres de données en construction ou en projet rien qu'aux États-Unis , la surface d'attaque s'étend plus rapidement que la plupart des programmes de sécurité ne peuvent s'adapter.

L'IA est certes numérique, mais son fondement est physique. Les infrastructures qui alimentent les données et les renseignements mondiaux constituent des cibles de grande valeur, et leur protection exige la même rigueur, la même visibilité et la même obligation de rendre des comptes que celles que les organisations appliquent déjà à leurs renseignements internes.

La question n'est pas de savoir si les centres de données ont besoin de programmes de sécurité physique rigoureux. La réponse est évidente. La vraie question est de savoir si les organisations qui construisent et exploitent ces installations feront de la sécurité physique une priorité stratégique avant qu'un incident ne les y oblige.

Foire aux questions

Le débat sur la sécurité de l'IA se concentre sur les vulnérabilités des modèles, la confidentialité des données et les cyberattaques, tandis que les infrastructures où l'IA est déployée font l'objet d'une attention relativement faible. Les centres de données sont maintenant aussi stratégiques que les réseaux énergétiques et de communication, mais ces derniers bénéficient de plusieurs décennies de renforcement de leur sécurité. La sécurité physique des centres de données est encore en développement, et Trackforce a été créée précisément pour combler cette lacune.

Les tentatives d'accès non autorisé, les menaces internes, le vol de matériel, le vandalisme, le sabotage et la surveillance par drones sont autant de vecteurs de menace avérés. Le vol de cuivre est devenu plus attrayant avec la montée en flèche des prix. Il est important de noter qu'une intrusion n'a pas besoin d'entraîner le vol de données pour causer des dommages importants : la perturbation des systèmes de refroidissement, de l'infrastructure électrique ou du matériel réseau peut paralyser l'ensemble d'une installation.

Les interruptions de service imprévues coûtent en moyenne plus de 14 000 $ par minute aux organisations de toutes tailles, et environ 23 750 $ pour les grandes entreprises. En comparaison, le coût moyen d'une violation de données a atteint 4,88 millions de dollars à l'échelle mondiale en 2024, soit une hausse de 10 % par rapport à l'année précédente. Ce chiffre sous-estime toutefois le coût potentiel d'un incident physique majeur.

Le problème est généralement d'ordre organisationnel plutôt que technique. La sécurité physique a longtemps été considérée comme une fonction administrative, englobant les badges, les clôtures et la vidéosurveillance, tandis que la cybersécurité relève d'une équipe distincte. Faute d'une vision opérationnelle unifiée reliant l'activité des agents de sécurité, les contrôles d'accès, les rapports d'incidents et la gestion des visiteurs, les deux équipes prennent des décisions à partir d'informations incomplètes. Trackforce centralise ces données dans un seul et même document.

Les programmes qui résistent à la pression partagent certaines caractéristiques : une visibilité claire sur les personnes présentes sur place et leurs raisons en tout temps, des patrouilles documentées et vérifiables plutôt que déclaratives, des incidents enregistrés en temps réel plutôt que reconstitués a posteriori, et une réponse qui ne dépend pas de la recherche du bon document. Trackforce est conçu pour produire précisément ces preuves, permettant ainsi aux responsables de la sécurité de fournir des dossiers prêts à être audités lorsque les organismes de réglementation, les assureurs ou les dirigeants posent des questions pointues.