Notre article initial sur ce sujet souligne un point essentiel : la sécurité et la conformité réglementaire ne sont pas des préoccupations secondaires. Elles ont une incidence directe sur les performances, la disponibilité et l’évolutivité des applications, ainsi que sur l’efficacité opérationnelle. Le non-respect des exigences réglementaires peut entraîner des risques juridiques, alourdir la charge opérationnelle et, dans certains cas, interrompre complètement la fourniture des services. Les recommandations initiales mettent également l’accent sur des mesures d’atténuation courantes, telles que le chiffrement, les dispositifs conformes aux normes FIPS et les contrôles de conformité automatisés.
Ces principes fondamentaux restent valables.
Ce qui change avec l’IA, c’est le niveau auquel la conformité doit être assurée et la fréquence à laquelle elle doit être appliquée.
Les applications traditionnelles suivent principalement des parcours prédéfinis. Elles traitent les requêtes, accèdent à des systèmes connus et renvoient les résultats attendus. Les applications d’IA ajoutent une couche de décision probabiliste. Elles interprètent les invites, synthétisent les réponses, récupèrent du contexte externe et font de plus en plus appel à des outils ou déclenchent des actions. La conformité ne consiste donc plus seulement à sécuriser les référentiels de données et les voies de transmission. Elle implique également de régir le comportement à l’exécution, l’accès aux modèles, les résultats générés et la circulation du contexte au sein du système.
L’ancien problème demeure donc. Son périmètre s’élargit, et les contrôles doivent se rapprocher du point d’inférence.
Conséquences d’un manque de sécurité et de conformité réglementaire
Impact sur les performances
Dans le cadre de la fourniture d’applications conventionnelles, la conformité tend à affecter les performances en raison de surcoûts bien connus. Le chiffrement augmente le coût de traitement. L’inspection accroît la latence. Les règles de souveraineté des données peuvent imposer que le trafic reste dans certaines juridictions, ce qui peut compliquer le routage et réduire l’efficacité. L’IA maintient ces mêmes contraintes, mais en ajoute une nouvelle : les décisions de conformité doivent désormais être prises en cours de traitement de la requête.
Un système d’IA peut devoir déterminer si un modèle donné est autorisé à traiter une requête spécifique, si les données utilisées pour la recherche d’informations peuvent légalement franchir une frontière régionale, si les éléments contextuels sensibles doivent être expurgés avant l’inférence et si le contenu généré doit être filtré avant d’être renvoyé. Rien de tout cela n’est sans coût. Chacune de ces vérifications augmente le temps de traitement, la complexité, ou les deux.
La différence est subtile, mais importante. Par le passé, la conformité influençait souvent l’architecture. Dans les systèmes d’IA, elle détermine de plus en plus l’exécution en temps réel. Il ne s’agit plus seulement de protéger l’accès à l’application, mais aussi d’évaluer ce qu’elle fait pendant qu’elle réfléchit.
Impact sur la disponibilité
La disponibilité a toujours fait partie intégrante de la mise à disposition des applications. Des pratiques de sécurité robustes et une infrastructure conforme aux normes FIPS améliorent la disponibilité et réduisent le risque d’interruptions liées à la conformité ou de perturbations de service. Ce même principe s’applique à l’IA, mais les modes de défaillance se multiplient.
Dans une application traditionnelle, une non-conformité peut entraîner le blocage de transactions, l’isolement forcé d’une région ou la suspension temporaire du service jusqu’à ce qu’une lacune en matière de contrôle soit corrigée. Dans un système d’IA, la disponibilité peut être compromise même lorsque la plateforme elle-même reste opérationnelle. Un modèle peut être accessible, l’API peut fonctionner correctement et l’infrastructure peut tourner sans problème, mais le service peut malgré tout devenir de fait indisponible si une politique empêche de répondre à une requête.
Cela peut se produire pour plusieurs raisons. Il se peut qu’aucun modèle conforme ne soit disponible dans la région requise. Un ensemble de documents récupérés peut contenir des données réglementées qui ne peuvent pas être divulguées à un utilisateur donné ou dans une juridiction donnée. Un résultat peut échouer aux contrôles de conformité et devoir être bloqué. Un agent peut être empêché de mener à bien un workflow parce que l’une des actions prévues enfreint les règles de gouvernance.
Ainsi, la disponibilité de l’IA ne se résume plus au temps de fonctionnement. Elle dépend également de ce que les politiques autorisent à exécuter. Le système peut être techniquement en ligne tout en étant, sur le plan opérationnel, incapable de répondre, d’agir ou d’accomplir la tâche. Il s’agit d’un type de panne très différent, que les approches traditionnelles de la disponibilité ne prennent pas pleinement en compte.
Impact sur l’efficacité opérationnelle
Les pratiques automatisées de mise en conformité réduisent les interventions manuelles et permettent aux équipes informatiques de se concentrer sur des tâches à plus forte valeur ajoutée plutôt que sur des ajustements réglementaires constants. Cette logique reste valable. Le problème, c’est que les systèmes d’IA créent beaucoup plus de situations qui nécessitent une gouvernance.
Les programmes de conformité traditionnels reposent sur l’hypothèse d’un environnement relativement stable. Vous définissez des règles de traitement des données, des contrôles d’accès, des points d’inspection et des procédures d’audit. Vous vérifiez ensuite que les systèmes s’y conforment. Ce travail n’est pas simple, mais son périmètre est bien délimité.
L’IA remet en cause ces limites. Les résultats sont dynamiques. Les séquences d’actions peuvent varier d’une exécution à l’autre. Les agents peuvent enchaîner les requêtes, faire appel à des outils et accumuler du contexte au fil du temps. Les équipes ne peuvent donc plus se fier uniquement à une validation statique. Elles ont besoin d’une supervision en temps réel, d’une évaluation continue des politiques et d’une meilleure visibilité sur les comportements.
Cela accroît la charge opérationnelle, à moins que les couches de déploiement et de sécurité ne soient conçues pour l’absorber. Dans le cas contraire, l’organisation se retrouve prise dans une boucle permanente consistant à ajuster les politiques, à analyser des résultats inhabituels et à tenter d’expliquer pourquoi un système ayant suivi les instructions a tout de même produit un résultat contraire aux objectifs métier ou réglementaires. Ce n’est pas un problème d’audit. C’est un problème de plan de contrôle.
Bonnes pratiques pour atténuer les risques liés à la sécurité et à la conformité
Chiffrement et appareils conformes aux normes FIPS
Cette partie reste inchangée. Le chiffrement demeure essentiel pour protéger les données sensibles en transit et au repos, et notre document ADC08 d’origine désigne expressément le chiffrement et les dispositifs conformes aux normes FIPS comme des pratiques fondamentales pour sécuriser les données réglementées et assurer une prestation résiliente.
Ce qui change, c’est la prise en compte du fait que l’IA introduit des risques dans la couche située entre l’entrée et la sortie.
En d’autres termes, même si les données sont chiffrées lors de leur transmission et que leur stockage est conforme aux exigences, il faut toujours pouvoir faire confiance au modèle quant au contexte qu’il reçoit et encadrer ce qu’il produit. L’injection de prompts, l’exposition de données contextuelles sensibles et la gestion inadéquate des résultats sont autant de problèmes susceptibles de survenir même lorsque la cryptographie sous-jacente est irréprochable. Des fondations solides restent essentielles, car sans elles, tout le reste s’effondre. Mais elles ne couvrent désormais plus l’intégralité de la surface d’attaque ni l’ensemble des enjeux de conformité.
Les contrôles traditionnels restent donc nécessaires. Ils ne suffisent simplement plus à eux seuls.
Contrôles de conformité automatisés
Nos recommandations initiales préconisent des contrôles de conformité automatisés et une surveillance en temps réel afin de réduire les audits manuels, d’appliquer les politiques de manière cohérente et d’identifier rapidement les violations potentielles. Ces recommandations deviennent encore plus importantes avec l’IA, mais elles doivent également évoluer.
Pour les applications classiques, la conformité automatisée consiste souvent à vérifier les configurations, à valider la localisation des données, à surveiller les schémas d’accès et à émettre des alertes en cas de dérive. Pour les systèmes d’IA, elle doit également inclure l’examen des prompts, la validation du choix des modèles, la surveillance des sources de récupération, la vérification des résultats et, dans certains cas, l’évaluation des séquences d’actions au fil du temps.
C’est là le véritable tournant. L’automatisation de la conformité passe d’une vérification statique à une application des règles en temps réel.
L’objectif ne consiste plus seulement à confirmer que l’environnement a été correctement configuré. Il s’agit de veiller à ce que le système continue de fonctionner dans des limites acceptables pendant son exploitation. Cela nécessite davantage de contexte, une meilleure visibilité et une logique de règles plus poussée, intégrée aux chaînes de déploiement. Cela signifie également que les fonctions de mise à disposition des applications et de sécurité commencent à converger, car ce qui relevait auparavant de la « conformité » fait désormais souvent partie intégrante du traitement des requêtes.
Conclusion
Le manque de sécurité et de conformité réglementaire continue de menacer les performances, la disponibilité, l’évolutivité et l’efficacité opérationnelle. Les contrôles habituels, le chiffrement, les infrastructures conformes aux normes FIPS et les outils automatisés de gestion de la conformité restent essentiels pour atténuer ce risque. Ce que l’IA change, c’est là où se situe le problème.
Dans les systèmes traditionnels, la conformité concernait principalement l’application dans son ensemble. Dans les systèmes d’IA, elle doit s’étendre au processus décisionnel lui-même. Elle doit prendre en compte les données auxquelles le modèle accède, les résultats qu’il génère, les actions qu’il tente d’effectuer et vérifier que ces comportements restent dans les limites réglementaires et organisationnelles.
Ce qui ne change pas, c’est la nécessité d’une sécurité rigoureuse et d’une architecture de déploiement solide.
Ce qui change, c’est que la disponibilité, le chiffrement et les contrôles statiques des politiques ne suffisent plus à eux seuls.
L’IA accroît les enjeux, car le système ne se contente pas de traiter des requêtes. Il participe aux décisions. Dès lors, la conformité devient une préoccupation à prendre en compte lors de l’exécution.
En savoir plus sur les 10 principaux défis liés à la mise à disposition des applications auxquels sont confrontées les organisations du monde entier.
À propos de l’auteur
Lori MacVittie est ingénieure émérite et évangéliste en chef au sein du bureau du directeur technique de F5. Elle possède une expertise approfondie dans la fourniture d’applications, les stratégies d’automatisation et les infrastructures. Elle est réputée pour sa capacité à rendre la complexité intelligible, qu’elle définisse des garde-fous pour les agents d’IA, analyse des architectures multicloud fragiles ou explore les limites des systèmes évolutifs. Elle cumule plus de trente ans d’expérience dans le secteur, couvrant le développement d’applications, l’architecture informatique ainsi que l’exploitation des réseaux et des systèmes. Avant de rejoindre F5, elle a été rédactrice spécialisée dans les technologies et a reçu plusieurs distinctions. MacVittie est titulaire d’un master en informatique et est une autrice prolifique dont les publications couvrent la sécurité, le cloud et l’architecture d’entreprise. Elle est également une passionnée de jeux de société et de jeux vidéo, et assume pleinement ses avis bien tranchés sur le fromage.
Autres articles de Lori Mac VittieArticles de blog associés
Qu’est-ce que le Top 10 de la distribution d’applications ?
F5 entend aider les organisations à relever les défis liés à la mise à disposition et à la sécurisation des applications, des API et de l’IA générative grâce à la liste des 10 principales priorités en matière de mise à disposition des applications.
Top 10 de la livraison d’applications d’IA : politiques de livraison incompatibles
Les divergences de politiques deviennent des sources de pannes pour l’IA : des mécanismes de basculement, des délais d’expiration, des limites et des contrôles de sécurité incohérents entraînent des défaillances silencieuses, des résultats partiels et des résultats différents selon le point de terminaison.
Top 10 de la livraison d’applications d’IA : incapacité à gérer la latence
Avec l’IA, la latence devient un enjeu de confiance, et plus seulement de performance : les réponses lentes d’un « assistant » donnent une impression d’hésitation ou d’échec, tandis que les requêtes et réponses riches en tokens alourdissent la charge, même sur des systèmes en parfait état de fonctionnement.
Top 10 de la mise à disposition d’applications d’IA : orientation du trafic non optimisée
L’IA remet en cause les principes traditionnels de répartition du trafic : les backends ne sont pas interchangeables, les coûts varient et les agents multiplient les requêtes de manière imprévisible. Le routage doit donc tenir compte du modèle, de l’état des GPU et de la localisation des données.
Top 10 de la livraison d’applications d’IA : contrôles du trafic insuffisants
Les limites de débit et les mécanismes de régulation traditionnels ne tiennent pas compte de l’étendue réelle des répercussions. Les charges de travail d’IA se répartissent entre les modèles, les bases de données vectorielles et les services, provoquant des pics de latence, des défaillances en cascade et des nouvelles tentatives.
Top 10 de la mise à disposition d’applications d’IA : observabilité incomplète
L’IA ne passera pas à l’échelle toute seule. Sans un plan de contrôle unifié qui décloisonne les outils et les responsabilités, l’inférence devient la couche la plus fragile et la plus exigeante en matière de coordination.