L'IA repose sur une infrastructure physique. Qui la protège ?

L'IA repose sur une infrastructure physique. Qui la protège ?

Le débat sur la sécurité de l'IA présente un angle mort.

On parle sans cesse de vulnérabilités des modèles, de confidentialité des données et de cyberattaques. Pourtant, les infrastructures physiques où l'IA est déployée – là où les serveurs tournent, les systèmes de refroidissement fonctionnent et l'électricité est fournie – font l'objet d'un examen relativement superficiel. C'est problématique, car ces infrastructures deviennent rapidement parmi les actifs les plus stratégiques au monde.

Les centres de données constituent l'épine dorsale physique de l'IA. À l'heure actuelle, beaucoup trop d'organisations les protègent comme s'il s'agissait encore de simples locaux informatiques.

L'essor de l'infrastructure est bien réel, tout comme l'exposition

L'ampleur des investissements dans les infrastructures de centres de données est considérable. Le marché américain des centres de données était évalué à plus de 208 milliards de dollars en 2024 et devrait atteindre près de 309 milliards de dollars d'ici 2030. En juillet 2025, l'administration Trump a publié un décret visant spécifiquement à accélérer l'obtention des permis fédéraux pour la construction de centres de données , présentant ce développement comme essentiel à la sécurité nationale et à l'expansion rapide de l'intelligence artificielle.

Cette comparaison n'est pas exagérée. Les centres de données sont maintenant au même titre que les réseaux énergétiques, les réseaux de transport et les systèmes de communication — des infrastructures dont la défaillance peut avoir des répercussions en cascade sur l'ensemble de l'économie. La différence est que nous avons consacré des décennies à renforcer la sécurité de ces autres secteurs. La sécurité physique des centres de données, quant à elle, est encore en train de rattraper son retard.

Les menaces sont physiques, et pas seulement numériques.

Demandez à la plupart des gens d'imaginer un incident de sécurité dans un centre de données et ils décriront une cyberattaque : un ransomware, une brèche de sécurité, une attaque DDoS. Ces risques sont bien réels. Mais les menaces physiques sont tout aussi graves, et elles sont systématiquement sous-estimées.

Les tentatives d'accès non autorisé, les menaces internes, le vol de matériel, le vandalisme, le sabotage et la surveillance par drones sont autant de vecteurs de menace avérés. Le vol de cuivre l'est aussi : les prix du cuivre ont atteint des sommets historiques en 2024 , rendant les centres de données de plus en plus vulnérables. D'ailleurs, une intrusion physique n'a pas besoin d'entraîner un vol de données pour causer des dommages considérables. La perturbation des systèmes de refroidissement, de l'infrastructure électrique ou du matériel réseau peut paralyser l'ensemble d'un site.

Les risques financiers sont bien réels, et non théoriques. Le coût moyen d'une violation de données a atteint 4,88 millions de dollars à l'échelle mondiale en 2024, soit une hausse de 10 % par rapport à l'année précédente. Ce chiffre sous-estime d'ailleurs le coût potentiel d'un incident physique majeur. Les interruptions de service imprévues coûtent maintenant en moyenne plus de 14 000 $ par minute pour les organisations de toutes tailles, et environ 23 750 $ pour les grandes entreprises .

Pourquoi la sécurité physique est souvent insuffisante

Une partie du défi est d'ordre organisationnel. La sécurité des centres de données a longtemps été considérée comme une fonction liée aux infrastructures : badges d'accès, clôture périphérique, vidéosurveillance. Les personnes responsables de la cybersécurité ne sont généralement pas celles responsables de la sécurité physique, et ces deux domaines communiquent rarement de manière structurée.

Ce cloisonnement crée de réelles vulnérabilités. L'accès physique à une salle serveur peut faciliter une cyberattaque. Un fournisseur ayant un accès légitime peut devenir une menace interne. Une menace périmétrique risque de ne jamais atteindre l'équipe concernée à temps pour être exploitée. Sans une vision opérationnelle unifiée reliant l'activité des agents de sécurité, les événements de contrôle d'accès, les rapports d'incidents et la gestion des visiteurs, les équipes de sécurité prennent des décisions à partir d'informations incomplètes.

La prise de conscience augmente : environ 62 % des exploitants de centres de données donnent désormais la priorité à la mise à niveau de leurs protocoles de sécurité physique , notamment pour se prémunir contre les menaces internes, le sabotage et les intrusions. Mais la sensibilisation ne garantit pas l'efficacité opérationnelle.

Les opérations de sécurité doivent être à la hauteur des enjeux.

À mesure que les centres de données se dispersent géographiquement, se rapprochent des utilisateurs finaux pour prendre en charge l'IA à faible latence et s'étendent sur les campus de banlieue et les terres fédérales, la sécurité physique devient autant un problème de coordination qu'un problème technologique.

Les programmes qui résistent à la pression partagent généralement certaines caractéristiques. Ils garantissent une visibilité claire sur les personnes présentes sur le site et leurs raisons, à tout moment. L'activité des patrouilles est documentée et vérifiable, et non auto-déclarée. Les incidents sont enregistrés en temps réel, et non reconstitués a posteriori. Et quand un problème survient, la réaction ne dépend pas de trouver le bon document.

Ce type de rigueur exige des processus adaptés, des outils appropriés et, surtout, des données pertinentes. Les responsables de la sécurité capables de produire des rapports d'audit complets sur les accès, la conformité des patrouilles et la gestion des incidents protègent leurs installations tout en instaurant la responsabilisation indispensable lorsque les organismes de réglementation, les assureurs ou la direction posent des questions pointues.

La fenêtre d'opportunité pour prendre l'avantage rétrécit.

Le déploiement de l'infrastructure d'IA s'accélère. Avec près de 3 000 nouveaux centres de données en construction ou en projet rien qu'aux États-Unis , la surface d'attaque s'étend plus rapidement que la plupart des programmes de sécurité ne peuvent s'adapter.

L'IA est certes numérique, mais son fondement est physique. Les infrastructures qui alimentent les données et les renseignements mondiaux constituent des cibles de grande valeur, et leur protection exige la même rigueur, la même visibilité et la même obligation de rendre des comptes que celles que les organisations appliquent déjà à leurs renseignements internes.

La question n'est pas de savoir si les centres de données ont besoin de programmes de sécurité physique rigoureux. La réponse est évidente. La vraie question est de savoir si les organisations qui construisent et exploitent ces installations feront de la sécurité physique une priorité stratégique avant qu'un incident ne les y oblige.