Cybersécurité et IA : pourquoi les États américains placent la sécurité en tête pour 2025

La course à l’intelligence artificielle ne fait pas disparaître les priorités plus classiques des administrations, bien au contraire. Pour les directeurs des systèmes d’information, ou CIO, des États américains, la première urgence à l’approche de 2025 reste la défense des réseaux, des applications et des données publiques. L’IA est vue comme un levier important d’automatisation et d’analyse, mais elle s’insère dans un paysage où les défaillances de sécurité peuvent interrompre des services essentiels ou exposer des informations sensibles.

L’enquête annuelle de la National Association of State Chief Information Officers, la NASCIO, place ainsi la cybersécurité devant l’intelligence artificielle dans les priorités des CIO des États. Cette position n’est pas nouvelle : c’est la douzième année consécutive que le sujet domine leur agenda. Le constat traduit une réalité très concrète : les administrations doivent à la fois moderniser leurs outils, garantir l’accès des citoyens aux démarches en ligne et réduire leur exposition à des menaces qui évoluent sans cesse.

La cybersécurité reste le premier dossier des CIO

Un CIO d’État ne gère pas seulement le parc informatique d’une administration. Il doit assurer la continuité de services utilisés chaque jour par des millions de personnes : démarches administratives, fiscalité, aides sociales, permis, systèmes de santé, données des agents publics ou encore plateformes éducatives. Une attaque par rançongiciel, une fuite de données ou une usurpation d’identité peut donc avoir des conséquences opérationnelles immédiates.

Selon la NASCIO, la cybersécurité conserve pour 2025 sa place de priorité majeure, devant l’IA. Doug Robinson, directeur exécutif de l’organisation, a souligné l’intensification des préoccupations liées à la sécurité numérique. Cette permanence ne signifie pas que les administrations seraient immobiles. Elle montre plutôt que la surface à protéger s’élargit à mesure que les services deviennent numériques, que les données circulent entre organismes et que les systèmes historiques coexistent avec de nouvelles plateformes.

Le terme « cybersécurité » recouvre ici plusieurs missions : prévenir les intrusions, détecter les activités inhabituelles, contenir un incident, restaurer les services, protéger les données et vérifier qui accède à quoi. Ce n’est donc pas un outil unique que l’on pourrait acheter une fois pour toutes, mais une organisation durable combinant technologies, procédures et formation.

Pourquoi l’IA ne relègue pas la sécurité au second plan

L’intelligence artificielle s’impose néanmoins comme l’un des principaux axes technologiques envisagés par les CIO en 2025. Le rapport met en avant les technologies d’automatisation robotisée des processus, souvent désignées par le sigle RPA, et l’apprentissage automatique. Ces outils peuvent prendre en charge des tâches répétitives, classer des demandes, extraire des informations de documents ou aider des équipes à analyser des volumes de données plus importants.

En cybersécurité, l’IA peut notamment contribuer à repérer des comportements anormaux. Un système peut, par exemple, signaler une connexion inhabituelle, une multiplication de tentatives d’accès ou un transfert de fichiers qui ne correspond pas aux habitudes observées. Son intérêt est d’aider les équipes à faire remonter les signaux prioritaires dans des environnements où les alertes sont nombreuses.

Mais cette promesse a une limite importante : un outil d’IA ne protège pas automatiquement une organisation. Les résultats qu’il produit dépendent des données disponibles, des règles définies, de la qualité de son paramétrage et de la capacité humaine à interpréter les alertes. L’IA peut aussi devenir une nouvelle composante à sécuriser, notamment si elle accède à des données confidentielles ou si des utilisateurs lui transmettent des informations qu’ils ne devraient pas partager.

La hiérarchie des priorités reflète donc une différence de nature. La cybersécurité constitue une exigence permanente de fonctionnement. L’IA est une famille de technologies susceptible d’améliorer certains processus, y compris la sécurité, à condition d’être déployée avec des garde-fous adaptés.

Gestion des risques, identités et logiciels anciens : les chantiers invisibles mais décisifs

Derrière le mot cybersécurité, plusieurs priorités très concrètes ressortent. La gestion des risques figure parmi les sujets les plus importants cités pour 2025. Elle consiste à ne pas traiter toutes les failles ou tous les projets de la même manière, mais à déterminer où une défaillance aurait les conséquences les plus graves. Une application donnant accès à des données personnelles, par exemple, ne présente pas le même niveau d’enjeu qu’un outil interne peu sensible.

L’identité numérique, également mise en avant dans les priorités, est un autre pilier. Vérifier l’identité d’un citoyen, d’un agent ou d’un prestataire est essentiel, mais ne suffit pas. Il faut aussi définir les autorisations associées : qui peut consulter un dossier, modifier une information, télécharger un fichier ou administrer un système ? Une bonne gestion des identités et des accès repose notamment sur le principe du moindre privilège, c’est-à-dire l’attribution des seuls droits nécessaires à une tâche donnée.

La modernisation des applications héritées constitue un troisième défi. Les administrations utilisent souvent des logiciels conçus depuis longtemps, parfois indispensables à un service public mais difficiles à faire évoluer. Ces systèmes peuvent être coûteux à maintenir, incompatibles avec des mécanismes de sécurité récents ou dépendants de compétences rares. Les remplacer brutalement est risqué, mais les conserver sans évolution l’est aussi.

La gestion des données et l’analytique complètent ce tableau. Pour bénéficier des données sans compromettre leur confidentialité, les administrations doivent savoir quelles informations elles détiennent, où elles sont stockées, qui y accède et combien de temps elles doivent être conservées. L’enjeu prend encore plus d’ampleur avec l’IA : une technologie qui analyse ou résume des données n’efface pas les obligations de protection qui pèsent sur ces données.

Des services numériques plus accessibles, mais aussi mieux protégés

Les CIO doivent également composer avec des évolutions réglementaires. Aux États-Unis, le Department of Justice a finalisé en avril 2024 une règle sur l’accessibilité des services numériques des administrations des États et des collectivités locales au titre de l’Americans with Disabilities Act. Elle fixe notamment un cadre technique de référence pour rendre les contenus web et les applications mobiles accessibles aux personnes en situation de handicap.

Cette obligation ne relève pas directement de la cybersécurité, mais elle influe sur les choix techniques. Revoir un portail, une application mobile ou un formulaire en ligne pour le rendre accessible impose souvent de modifier des composants anciens, des parcours d’authentification ou des interfaces. Or ces évolutions doivent préserver la protection des données et la résistance aux attaques.

Il ne s’agit pas d’opposer accessibilité et sécurité. Un service public numérique utile doit être à la fois accessible, fiable et protecteur. Par exemple, une procédure de connexion trop complexe peut exclure certains usagers, tandis qu’une procédure trop faible peut faciliter l’usurpation de compte. Le travail des administrations consiste à concilier ces objectifs dès la conception, plutôt que de corriger les problèmes une fois le service lancé.

Pourquoi les plateformes de sécurité unifiées attirent les décideurs

Face à la multiplication des outils et des alertes, les responsables technologiques évoquent l’intérêt de plateformes de sécurité unifiées. L’idée est de réduire le morcellement entre les produits qui surveillent les réseaux, gèrent les identités, protègent les postes de travail et analysent les incidents.

Une plateforme intégrée peut faciliter la corrélation d’événements qui, pris isolément, semblent anodins. Une connexion inhabituelle, un changement de mot de passe et une extraction de données peuvent former, ensemble, le signal d’une compromission. Centraliser les informations peut aussi accélérer les investigations et améliorer la coordination entre équipes.

Pour autant, l’intégration technique n’est pas une garantie absolue. Une organisation doit toujours savoir quels systèmes elle possède, appliquer les mises à jour, définir des responsabilités, tester ses plans de réponse et former les agents. Les outils unifiés peuvent simplifier le pilotage, mais ils ne dispensent ni de gouvernance ni de préparation.

Comment articuler IA et cybersécurité dans une administration

L’enjeu pour 2025 n’est donc pas de choisir entre l’IA et la cybersécurité, mais d’éviter que la première fragilise la seconde. Avant de déployer un système d’IA, une administration peut se poser quelques questions simples : quelles données seront utilisées, qui pourra y accéder, où les résultats seront-ils conservés, comment les erreurs seront-elles détectées et quelle personne restera responsable de la décision finale ?

Cette approche est particulièrement importante pour les outils d’automatisation. Automatiser une tâche permet de gagner du temps, mais une erreur de paramétrage peut aussi être reproduite à grande échelle. Les contrôles d’accès, les journaux d’activité, la validation humaine des cas sensibles et la possibilité de revenir en arrière font partie des protections nécessaires.

Les capacités d’IA peuvent aussi être mobilisées au bénéfice direct de la défense. Elles peuvent aider à trier les alertes, analyser des journaux techniques ou identifier des anomalies. Leur déploiement doit cependant s’accompagner d’une évaluation des biais, des faux positifs et des faux négatifs. Une alerte injustifiée consomme du temps, tandis qu’une alerte manquée peut laisser passer un incident réel.

Ce qu’il faut surveiller en 2025

Le classement de la NASCIO dessine une administration numérique soumise à une double pression. D’un côté, les citoyens attendent des services plus simples, plus rapides et plus accessibles. De l’autre, la menace cyber, la sensibilité des données et la dépendance aux systèmes informatiques imposent une prudence constante.

Les projets les plus déterminants seront probablement ceux qui relieront les sujets plutôt que ceux qui les traiteront séparément : moderniser une application en renforçant l’authentification, déployer une IA en encadrant les données qu’elle utilise, améliorer l’accessibilité sans affaiblir les contrôles, ou encore mutualiser la détection des incidents entre organismes.

La cybersécurité conserve la première place parce qu’elle conditionne la confiance dans l’ensemble de ces transformations. Pour les CIO des États américains, l’IA apparaît comme une opportunité majeure pour 2025. Mais l’enquête de la NASCIO rappelle qu’une innovation n’a de valeur durable dans le service public que si elle s’appuie sur des infrastructures résilientes, des accès maîtrisés et des données protégées.