AI Act et cybers\u00e9curit\u00e9 : ce que \u00e7a change pour les outils de d\u00e9tection

L'AI Act européen est entré en application progressivement depuis février 2025. Pour les éditeurs de solutions de cybersécurité utilisant l'IA (détection d'intrusions, analyse comportementale, threat intelligence automatisée) les implications sont concrètes et immédiates.

La classification des risques appliquée à la cybersécurité

L'AI Act classe les systèmes d'IA en quatre niveaux de risque. Pour les outils de cybersécurité, la classification dépend du contexte d'utilisation :

Risque minimal

Les outils d'analyse de logs, de détection de malware par signature, ou de scan de vulnérabilités classiques ne sont généralement pas concernés par des obligations spécifiques de l'AI Act, car leur composante IA est marginale.

Risque limité

Les chatbots de sécurité, les outils de génération de rapports automatisés, et les systèmes de classification d'alertes par LLM sont soumis à des obligations de transparence : l'utilisateur doit savoir qu'il interagit avec une IA.

Risque élevé

C'est ici que les choses se compliquent. Les systèmes d'IA utilisés pour la sécurité des infrastructures critiques peuvent être classés à haut risque, ce qui implique :

• Un système de gestion de la qualité documenté

• Des données d'entraînement tracées et de qualité

• Une documentation technique complète

• Une supervision humaine systématique

• Des tests de robustesse et de précision

• La journalisation des décisions de l'IA

Ce qui change concrètement pour les SOC

Pour les équipes sécurité qui utilisent des outils de détection basés sur l'IA, l'AI Act impose :

• Explicabilité des alertes : un analyste SOC doit pouvoir comprendre pourquoi l'IA a levé une alerte. Les modèles boîte noire pure ne suffisent plus

• Traçabilité des décisions : chaque décision automatisée (blocage d'IP, isolation de machine, suppression de fichier) doit être journalisée avec le raisonnement associé

• Supervision humaine : les actions critiques doivent conserver un human-in-the-loop

• Biais et faux positifs : les fournisseurs doivent documenter les taux de faux positifs et les biais potentiels de leurs modèles

ThreatClaw : conformité AI Act native

Chez ThreatClaw, nous avons anticipé ces exigences dès la conception de notre plateforme de sécurité :

• Transparence algorithmique : chaque alerte inclut le raisonnement du modèle, les indicateurs utilisés et le score de confiance

• Journalisation complète : toutes les décisions IA sont tracées avec horodatage, contexte et justification

• Human-in-the-loop configurable : les seuils d'action automatique sont paramétrables, avec validation humaine obligatoire au-delà d'un niveau de criticité

• Documentation technique complète disponible pour les audits de conformité

Les pièges à éviter

• Ignorer la classification : ne pas évaluer le niveau de risque de vos outils IA est la première erreur. Faites l'inventaire

• Confondre conformité RGPD et AI Act : l'AI Act ajoute des exigences spécifiques à l'IA qui vont au-delà de la protection des données

• Oublier les fournisseurs : si vous utilisez un modèle IA tiers dans votre chaîne de détection, vous êtes "déployeur" au sens de l'AI Act et avez des obligations propres

Découvrez comment nos experts peuvent vous aider à aligner vos outils de détection avec l'AI Act. Consultez nos offres.

FAQ

Les outils SIEM sont-ils concernés par l'AI Act ?

Un SIEM classique basé sur des règles n'est généralement pas concerné. En revanche, un SIEM intégrant des modules de détection par ML ou LLM tombe dans le scope de l'AI Act.

Qui est responsable : l'éditeur ou l'utilisateur ?

Les deux. L'éditeur ("fournisseur") doit assurer la conformité du système. L'entreprise utilisatrice ("déployeur") doit l'utiliser conformément aux instructions et maintenir la supervision humaine.

L'AI Act s'applique-t-il aux modèles open source ?

Les modèles open source à usage général bénéficient d'exemptions, sauf s'ils présentent un risque systémique (modèles entraînés avec plus de 10^25 FLOPS). Un modèle open source intégré dans un produit commercial est soumis aux obligations du produit.

Quel est le calendrier de l'AI Act ?

Les interdictions des pratiques à risque inacceptable s'appliquent depuis février 2025. Les obligations pour les systèmes à haut risque s'appliquent pleinement à partir d'août 2026.