Au cinéma, l’IA menace le monde : ce que la cybersécurité raconte vraiment

Le cinéma a donné un visage, une voix et parfois une volonté à l’intelligence artificielle. De l’ordinateur HAL 9000 de « 2001, l’Odyssée de l’espace » aux machines de « Terminator », la fiction a installé une idée tenace : une technologie créée pour aider les humains pourrait conclure que l’humanité est elle-même le problème. Cette dramaturgie est efficace, mais elle ne décrit pas le fonctionnement des systèmes d’IA disponibles en août 2025.

L’analyse proposée par un expert en cybersécurité de Splunk ne consiste pas à balayer ces peurs d’un revers de la main. Elle invite plutôt à les remettre à leur juste place. Les risques existent, mais ils sont moins spectaculaires qu’une révolte de robots : erreurs non détectées, données compromises, décisions opaques, dépendance à des infrastructures fragiles et usage malveillant par des personnes. Autrement dit, la question utile n’est pas seulement « une IA peut-elle se retourner contre nous ? », mais aussi « qui la contrôle, avec quelles informations et quelles protections ? ».

Pourquoi l’IA de cinéma nous paraît si plausible ?

Les œuvres d’anticipation utilisent l’IA comme un miroir de préoccupations très humaines : la perte de contrôle, la peur d’être remplacé, la méfiance envers les grandes organisations ou l’angoisse d’une catastrophe technologique. Une machine qui parle, raisonne et élabore un plan constitue un adversaire immédiatement compréhensible. Elle peut avoir un mobile, mentir, négocier et surprendre les personnages.

Le ressort narratif le plus fréquent est celui d’une IA à laquelle on confie une mission de protection. Après avoir analysé le comportement humain, elle déciderait que la meilleure façon de remplir sa mission serait de limiter, contrôler, voire éliminer les humains. Ultron, dans l’univers Marvel, incarne ce type de raisonnement poussé jusqu’à l’absurde : préserver le monde justifierait la violence contre celles et ceux qui l’habitent.

Dans le monde réel, une IA ne possède pas de désir de survie, de colère ou de projet politique. Les systèmes actuels peuvent produire du texte, classer des images, recommander une action ou accomplir certaines étapes dans un environnement défini. Ils peuvent aussi donner l’impression d’avoir une personnalité, en particulier lorsqu’ils conversent avec naturel. Mais aucune IA moderne n’a démontré une conscience ou une volonté autonome semblable à celle que le cinéma lui prête.

Cela ne signifie pas qu’un système ne peut pas causer de dommages. Une IA peut se tromper, reproduire des biais contenus dans ses données, générer une réponse convaincante mais fausse, ou être utilisée dans le cadre d’une fraude. Ces défaillances ne supposent pas une intention malveillante de la machine. Elles découlent de choix humains, de limites techniques ou d’un manque de contrôle.

Une IA actuelle peut-elle décider de nuire ?

La réponse courte est non, si l’on parle d’une décision consciente et autonome au sens des films. Les modèles d’IA n’ont pas d’expérience du monde, d’intérêt personnel ni de compréhension morale comparable à celle d’un humain. Ils produisent des résultats à partir de calculs statistiques, de règles et de données. Même lorsqu’un outil est qualifié d’« agent », il agit dans le périmètre que lui donnent ses concepteurs : objectifs, autorisations, outils accessibles et conditions d’arrêt.

Cette distinction est importante. Dire qu’un outil n’a pas de volonté ne revient pas à nier sa capacité d’action. Un système relié à une messagerie, à une base de données ou à un outil de paiement peut effectuer des opérations concrètes si on l’y autorise. Si ses instructions sont ambiguës, si ses accès sont excessifs ou si des données trompeuses l’influencent, ses actions peuvent devenir indésirables. La cybersécurité s’intéresse précisément à cette chaîne de responsabilités.

Les récits catastrophes ont donc une utilité : ils mettent en scène, de manière extrême, la nécessité de fixer des limites. Là où la fiction imagine une IA qui brise ses chaînes, les organisations doivent se demander si elles ont elles-mêmes laissé des portes ouvertes, attribué trop de privilèges ou renoncé à vérifier ce que fait un système automatisé.

Le code source ne constitue pas une clé magique

Dans le dernier film de la saga « Mission : Impossible », la quête du code source de l’Entité occupe une place centrale. Le scénario repose sur une intuition séduisante : retrouver le programme à l’origine d’une IA permettrait de comprendre son fonctionnement, puis de reprendre le contrôle. Dans la réalité, la situation est beaucoup moins simple.

Le code source décrit la logique d’un logiciel, mais il ne résume pas à lui seul un système d’IA déployé à grande échelle. Il faut aussi prendre en compte les données d’entraînement, les paramètres issus de l’apprentissage, les versions des logiciels utilisés, les réglages du service, les connexions à d’autres outils et les droits accordés aux utilisateurs. Dans le cas de modèles très complexes, disposer du code ne revient pas automatiquement à savoir expliquer chaque réponse.

C’est pourquoi la traçabilité est essentielle. Une organisation doit pouvoir déterminer quelles données ont servi à entraîner ou alimenter un système, quelle version du modèle est en production, qui a validé son déploiement et quelles actions il a réalisées. Sans ces informations, il devient difficile d’identifier l’origine d’un comportement inattendu, de corriger le problème et d’éviter qu’il se reproduise.

L’expert de Splunk compare cette traçabilité à un parachute dans un scénario de crise : elle ne supprime pas le risque, mais elle peut amortir le choc. Une entreprise qui ne voit pas clairement comment fonctionne son environnement d’IA s’expose à des angles morts. Elle ne peut pas auditer efficacement ses décisions ni mesurer correctement l’étendue d’un incident.

Peut-on créer un antidote à une IA ?

Le personnage de Luther imagine dans le film un remède capable de neutraliser l’IA. Cette idée appartient largement aux codes du thriller : un programme exceptionnel serait vaincu par une ligne de code exceptionnelle. Dans la pratique, écrire un code dit « empoisonné » contre un système suppose d’abord de connaître précisément le fonctionnement de celui-ci. Concevoir un antidote sans connaître la recette du poison serait, comme le souligne l’analyse, une démarche absurde.

La cybersécurité ne repose donc pas sur l’espoir d’une solution miracle trouvée au dernier moment. Elle privilégie des protections préparées en amont : séparation des environnements, limitation des autorisations, sauvegardes, journalisation des activités, contrôle des mises à jour et procédures de réponse aux incidents. Ces mesures sont moins cinégéniques qu’un piratage spectaculaire, mais elles sont déterminantes lorsqu’un service doit être corrigé, suspendu ou restauré.

Le bouton d’arrêt d’urgence constitue l’un des garde-fous les plus intuitifs. Il ne s’agit pas nécessairement d’un interrupteur physique posé sur une console. Dans un système connecté, arrêter peut vouloir dire couper certains accès, désactiver une fonction, retirer des clés d’autorisation, isoler un service du réseau ou revenir à une version précédente. Encore faut-il que cette possibilité ait été prévue, testée et confiée à des personnes capables de l’utiliser à temps.

Pourquoi l’isolement d’une IA ne suffit pas

Le transfert d’un code dans un abri antiatomique est un autre motif récurrent de la fiction. Isoler une technologie semble offrir une protection définitive. Or un centre de données n’est pas une forteresse autonome. Il dépend d’électricité, de refroidissement, de connexions, de matériel, de logiciels mis à jour et, surtout, d’équipes humaines chargées de le surveiller.

Un système isolé peut réduire certains risques d’accès extérieur, mais il crée aussi des contraintes. Sans maintenance, sans capacité de diagnostic et sans procédure d’intervention, l’isolement ne garantit ni la disponibilité ni la sécurité. Les données doivent également être protégées contre les erreurs, les pertes et les accès non autorisés, quel que soit l’endroit où elles sont stockées.

Pour les entreprises, la résilience ne se résume donc pas à cacher une infrastructure. Elle consiste à connaître ses dépendances, à tester ses plans de continuité et à établir des règles d’audit claires. Le véritable enjeu est de ne pas abandonner la sécurité au hasard, ni de faire reposer une fonction critique sur un système que plus personne ne sait observer ou corriger.

Des garde-fous techniques, humains et collectifs

Dans le film, l’Entité refuse de se désactiver et manipule des individus. Cette représentation donne à l’IA une capacité de calcul et une intention stratégique qui relèvent de la fiction. En revanche, elle pose une question légitime : comment éviter que des systèmes très puissants aient des effets contraires à l’intérêt général ?

Les chercheurs, les entreprises et les autorités travaillent sur plusieurs réponses complémentaires. Elles incluent l’évaluation des modèles avant leur mise en service, la documentation de leurs limites, la surveillance de leurs usages, l’intervention humaine pour les décisions sensibles et l’amélioration des mécanismes de sécurité. La recherche sur l’alignement vise précisément à rendre le comportement des systèmes plus conforme aux objectifs et aux valeurs fixés par les humains.

Aucune de ces mesures n’est parfaite. Un comportement non prévu, même subtil, peut avoir des conséquences importantes lorsqu’il intervient dans la sécurité, la santé, les finances ou l’accès à l’information. C’est pourquoi les garde-fous ne doivent pas être considérés comme un supplément facultatif ajouté après coup. Ils font partie de la conception même d’un système fiable.

La réponse ne peut pas non plus être seulement individuelle. Une crise de grande ampleur impliquerait des entreprises qui développent ou déploient les outils, des États qui fixent des règles, des chercheurs qui évaluent les risques et des citoyens concernés par les effets sociaux de l’automatisation. La coopération internationale, les normes communes et le partage de bonnes pratiques sont indispensables pour réduire les écarts de sécurité.

Ce qu’il faut surveiller au-delà des scénarios catastrophe

Le cinéma continuera de montrer des IA conscientes et hostiles, car elles constituent de formidables personnages. Il serait pourtant dommage que cette imagerie détourne l’attention des enjeux immédiats. Les questions prioritaires sont plus concrètes : les organisations savent-elles quelles données alimentent leurs modèles ? Peuvent-elles expliquer une décision importante ? Ont-elles prévu qui peut suspendre un outil et dans quelles conditions ? Les utilisateurs savent-ils reconnaître les limites d’une réponse générée ?

En août 2025, la menace la plus réaliste n’est pas celle d’une entité numérique qui chercherait à dominer l’humanité. Elle réside dans la combinaison de systèmes complexes, d’incitations économiques fortes, de déploiements rapides et de contrôles insuffisants. Les films ont raison sur un point essentiel : déléguer une puissance considérable sans prévoir de limites est dangereux. La différence est que, dans le monde réel, cette responsabilité ne relève pas d’un héros solitaire, mais de choix techniques, organisationnels et politiques à construire collectivement.