L'IA repose sur une infrastructure physique. Y a-t-il quelqu'un pour la protéger ?

Trackforce

14 juillet 2026 · 8 min de lecture

Image d'en-tête d'un article consacré à la sécurité physique des centres de données

Le débat sur la sécurité de l'IA présente un angle mort.

On ne cesse de parler des vulnérabilités des modèles, de la confidentialité des données et des cyberattaques. Mais les infrastructures physiques qui abritent l’IA — où les serveurs ronronnent, où les systèmes de refroidissement fonctionnent et où l’électricité circule — font l’objet d’une attention relativement limitée. C’est un problème, car ces infrastructures sont en passe de devenir certains des actifs les plus importants sur le plan stratégique au monde.

Les centres de données constituent la colonne vertébrale physique de l'IA. Or, à l'heure actuelle, bien trop d'entreprises les protègent comme s'il s'agissait encore de simples locaux informatiques.

Points clés à retenir

La sécurité de l'IA présente un angle mort physique.
Les vulnérabilités des modèles et la confidentialité des données retiennent l'attention, tandis que les installations hébergeant les serveurs, les systèmes de refroidissement et l'alimentation électrique font l'objet d'une attention relativement moindre.
Le développement des infrastructures prend le pas sur les mesures de protection.
Le marché américain des centres de données a dépassé les 208 milliards de dollars en 2024 et devrait avoisiner les 309 milliards d’ici 2030, avec environ 3 000 nouvelles installations construites ou prévues rien qu’aux États-Unis.
Les menaces sont physiques, et pas seulement numériques.
Les accès non autorisés, les menaces internes, les vols de matériel et de cuivre, le sabotage et la surveillance par drone sont autant de vecteurs avérés ; par ailleurs, le fait de perturber le système de refroidissement ou l'alimentation électrique peut mettre une installation hors service sans qu'aucune donnée ne soit volée.
Les temps d'arrêt sont facturés à la minute.
Les temps d'arrêt imprévus coûtent en moyenne plus de 14 000 dollars par minute, et environ 23 750 dollars pour les grandes entreprises.
Le fossé est d'ordre organisationnel, et pas seulement technique.
La sécurité physique a toujours été considérée comme relevant des services chargés des installations ; de ce fait, les responsables de la stratégie de cybersécurité et les responsables des équipes de surveillance partagent rarement une vision opérationnelle commune.

Le boom des infrastructures est bien réel, tout comme l'exposition à ce secteur

On ne saurait trop insister sur l’ampleur des investissements consacrés aux infrastructures des centres de données. Le marché américain des centres de données était évalué à plus de 208 milliards de dollars en 2024 et devrait atteindre près de 309 milliards de dollars d’ici 2030. En juillet 2025, l’administration Trump a publié un décret visant spécifiquement à accélérer l’octroi des autorisations fédérales pour la construction de centres de données, présentant ce développement comme un élément essentiel à la sécurité nationale et à l’expansion rapide de l’IA.

Cette vision n'est pas exagérée. Les centres de données font désormais partie intégrante des réseaux électriques, des réseaux de transport et des systèmes de communication — autant d'infrastructures dont la perturbation peut entraîner des répercussions en cascade sur l'ensemble de l'économie. La différence, c'est que nous avons passé des décennies à renforcer la sécurité de ces autres secteurs. La sécurité physique des centres de données est encore à la traîne.

Les menaces sont physiques, et pas seulement numériques

Si l'on demande à la plupart des gens d'imaginer un incident de sécurité dans un centre de données, ils décriront une cyberattaque : un rançongiciel, une fuite de données, une attaque DDoS. Ces risques sont bien réels. Mais les menaces physiques sont tout aussi graves, et elles sont souvent sous-estimées.

Les tentatives d’accès non autorisées, les menaces internes, le vol de matériel, le vandalisme, le sabotage et la surveillance par drone sont autant de vecteurs de menace avérés. Il en va de même pour le vol de cuivre : les cours du cuivre ont atteint des sommets historiques en 2024, faisant des centres de données une cible de plus en plus attractive. Et une intrusion physique n’a pas besoin d’aboutir au vol de données pour causer de réels dommages. La perturbation des systèmes de refroidissement, des infrastructures électriques ou du matériel réseau peut mettre l’ensemble d’un site hors service.

Le risque financier est bien réel, et non pas théorique. Le coût moyen d’une fuite de données a atteint 4,88 millions de dollars à l’échelle mondiale en 2024, soit une hausse de 10 % par rapport à l’année précédente, et ce chiffre sous-estime le coût potentiel d’un incident physique majeur. Les temps d’arrêt imprévus s’élèvent désormais en moyenne à plus de 14 000 dollars par minute pour les organisations de toutes tailles, et à environ 23 750 dollars pour les grandes entreprises.

Pourquoi la sécurité physique est souvent insuffisante

Une partie du défi est d'ordre organisationnel. La sécurité des centres de données a toujours été considérée comme relevant des services chargés des infrastructures : badges d'accès, clôtures périmétriques, vidéosurveillance. Les personnes chargées de définir la stratégie de cybersécurité ne sont généralement pas celles qui sont responsables de la sécurité physique, et ces deux mondes communiquent rarement entre eux de manière structurée.

Ce cloisonnement engendre de réelles vulnérabilités. L'accès physique à une salle de serveurs peut faciliter une cyberattaque. Un fournisseur disposant d'un accès légitime peut devenir une source de risque interne. Une menace provenant de l'extérieur risque de ne jamais être signalée à l'équipe compétente à temps pour que cela ait une incidence. Sans une vue d'ensemble opérationnelle unifiée qui relie les activités des agents de sécurité, les événements liés au contrôle d'accès, les rapports d'incident et la gestion des visiteurs, les équipes de sécurité prennent des décisions sur la base d'informations incomplètes.

La prise de conscience s'accentue : environ 62 % des exploitants de centres de données accordent désormais la priorité au renforcement de leurs protocoles de sécurité physique, notamment pour se prémunir contre les menaces internes, le sabotage et les intrusions non autorisées. Mais la prise de conscience n'est pas synonyme de préparation opérationnelle.

Les opérations de sécurité doivent être à la hauteur des enjeux

À mesure que les centres de données se dispersent géographiquement, qu’ils sont construits plus près des utilisateurs finaux pour prendre en charge l’IA à faible latence et qu’ils s’étendent sur des campus de banlieue et des terrains fédéraux, la sécurité physique devient autant un problème de coordination qu’un problème technologique.

Les programmes qui résistent à la pression ont généralement en commun certaines caractéristiques. Ils permettent de savoir clairement, à tout moment, qui se trouve sur le site et pourquoi. Les patrouilles sont consignées et vérifiables, et ne reposent pas sur des déclarations spontanées. Les incidents sont enregistrés en temps réel, et non reconstitués a posteriori. Et lorsqu'un problème survient, la réaction ne dépend pas de la capacité de quelqu'un à retrouver le bon classeur.

Une telle discipline nécessite des processus adaptés, des outils adaptés et, surtout, des données pertinentes. Les responsables de la sécurité capables de fournir des rapports prêts à être audités concernant les événements d’accès, le respect des rondes de surveillance et la gestion des incidents protègent leurs sites tout en renforçant la responsabilité qui s’avère essentielle lorsque les autorités de régulation, les assureurs ou les dirigeants commencent à poser des questions difficiles.

La marge de manœuvre pour anticiper cette situation se réduit

Le développement des infrastructures d'IA ne fait que s'accélérer. Avec environ 3 000 nouveaux centres de données en cours de construction ou en projet rien qu'aux États-Unis, la surface d'attaque s'étend plus rapidement que la plupart des programmes de sécurité ne parviennent à s'adapter pour y faire face.

L'IA est certes numérique, mais ses fondements sont physiques. Les infrastructures qui alimentent les données et l'intelligence à l'échelle mondiale constituent des cibles de grande valeur, et leur protection exige la même rigueur, la même visibilité et la même responsabilité que celles que les organisations appliquent déjà aux informations qu'elles contiennent.

La question n'est pas de savoir si les centres de données ont besoin de programmes de sécurité physique rigoureux. La réponse est évidente. La véritable question est de savoir si les organisations qui construisent et exploitent ces installations considéreront la sécurité physique comme une priorité stratégique avant qu'un incident ne les oblige à le faire.

Foire aux questions

Le débat sur la sécurité de l'IA se concentre sur les vulnérabilités des modèles, la confidentialité des données et les cyberattaques, tandis que les installations où l'IA est effectivement exploitée font l'objet d'une attention relativement moindre. Les centres de données revêtent désormais une importance stratégique comparable à celle des réseaux électriques et des réseaux de communication, mais ces derniers ont bénéficié de plusieurs décennies de renforcement de leur sécurité. La sécurité physique des centres de données est encore à la traîne, et Trackforce a pour mission de combler précisément cette lacune.

Les tentatives d’accès non autorisées, les menaces internes, le vol de matériel informatique, le vandalisme, le sabotage et la surveillance par drone constituent autant de vecteurs de menaces avérés. Le vol de cuivre est devenu plus attractif depuis que les prix ont atteint des niveaux records. Il est important de noter qu’une intrusion n’a pas nécessairement besoin d’aboutir au vol de données pour causer de graves dommages, car la perturbation des systèmes de refroidissement, des infrastructures électriques ou du matériel réseau peut mettre l’ensemble d’un site hors service.

Les temps d'arrêt imprévus coûtent en moyenne plus de 14 000 dollars par minute aux organisations de toutes tailles, et environ 23 750 dollars aux grandes entreprises. À titre de comparaison, le coût moyen d'une fuite de données s'élevait à 4,88 millions de dollars à l'échelle mondiale en 2024, soit une hausse de 10 % par rapport à l'année précédente, et ce chiffre sous-estime le coût potentiel d'un incident physique majeur.

Le problème est généralement d'ordre organisationnel plutôt que technique. La sécurité physique a toujours été considérée comme une fonction relevant des services généraux, couvrant les badges, les clôtures et la vidéosurveillance, tandis que les responsables de la cybersécurité font partie d'une équipe totalement distincte. En l'absence d'une vue d'ensemble opérationnelle unifiée reliant les activités des agents de sécurité, les événements liés au contrôle d'accès, les rapports d'incident et la gestion des visiteurs, les deux équipes prennent leurs décisions sur la base d'informations incomplètes. Trackforce rassemble toutes ces données dans un seul et même dossier.

Les programmes qui résistent à la pression présentent plusieurs points communs : une visibilité claire sur les personnes présentes sur site et la raison de leur présence à tout moment ; des activités de patrouille documentées et vérifiables, plutôt que déclarées par les agents eux-mêmes ; des incidents enregistrés en temps réel, plutôt que reconstitués a posteriori ; et une intervention qui ne dépend pas de la recherche du bon dossier. Trackforce est conçu pour fournir précisément ces éléments de preuve, afin que les responsables de la sécurité puissent présenter des registres prêts pour un audit lorsque les autorités de contrôle, les assureurs ou les dirigeants commencent à poser des questions difficiles.