8 actus IT chaudes de la semaine

Ce qui me retient cette semaine, ce n'est aucun des trois incidents d'infrastructure pris isolément — c'est qu'aucun des trois n'aurait déclenché de cellule de crise dans la plupart des organisations que j'ai auditées. Une seule zone de disponibilité AWS dégrade deux heures et demie ; un câble international lâche et tient sur sa seule voie de secours pendant plusieurs semaines ; un bulletin NetScaler revient pour la troisième fois en trois semaines sur le bureau d'équipes qui pensaient le sujet clos. Aucun de ces trois événements ne mérite une cellule de crise — et c'est précisément pour cette raison qu'aucun des plans de continuité que j'ai audités cette année ne les couvre vraiment. On écrit un scénario pour la panne qui coupe tout un site ou pour le rançongiciel qui chiffre le SI entier ; on n'écrit jamais la procédure pour la dégradation de deux heures sur une seule zone, pour le lien international qui tourne en mode dégradé pendant un mois, ou pour le bulletin de sécurité qu'il faut rouvrir une troisième fois parce que la direction avait classé le sujet « réglé » après le premier correctif. Sur mes missions, c'est systématiquement cette deuxième catégorie — trop petite pour mobiliser une cellule de crise, trop récurrente pour qu'on la traite chaque fois comme une exception — qui consomme le plus d'heures d'astreinte sur une année, parce que personne n'a jamais écrit la procédure qui lui correspond. Le réflexe à corriger n'est pas de mieux se préparer au pire scénario : c'est d'écrire, une bonne fois, la procédure du scénario ennuyeux qui revient tous les deux mois — et de la tester, lui aussi.

Sur l'IA, le fait de la semaine n'est dans aucune annonce de modèle : il est dans la manière dont un seul éditeur, Anthropic, a occupé trois rôles différents en l'espace de sept jours. Il devient fournisseur d'accès à la cyberdéfense pour des opérateurs d'infrastructures critiques et pour les mainteneurs de projets open-source, via l'Anthropic Cyber Mission. Il devient l'arbitre qui décide, via les trois paliers de son programme de vérification cyber, qui a le droit d'utiliser ses capacités offensives les plus poussées. Et avec Claude Frontier Academy, il devient le centre de formation qui certifie directement les ingénieurs d'Accenture, Deloitte, McKinsey, Bain ou Capgemini — des cabinets dont le métier, historiquement, consiste justement à vendre un jugement indépendant de l'éditeur dont ils déploient les outils. J'ai déjà vu ce mouvement une fois dans ma carrière, au moment où IBM puis SAP ont transformé leurs certifications produit en écosystème de formation quasi obligatoire pour tout intégrateur voulant vendre une mission autour de leurs plateformes ; vingt ans plus tard, ça a surtout produit un marché du conseil ERP où l'indépendance affichée du cabinet se mesurait à la rapidité avec laquelle il obtenait, lui aussi, la certification de l'éditeur. L'enquête CIO de Thoughtworks, publiée la même semaine, documente déjà le symptôme sans le nommer : 35 % des dirigeants IT se disent responsables des perturbations que l'IA cause dans leurs équipes tout en admettant ne pas maîtriser la décision elle-même. C'est exactement ce qu'on observe quand la formation, l'habilitation de sécurité et le modèle convergent chez le même fournisseur : la responsabilité reste contractuellement chez le client, le jugement, lui, se déplace chez l'éditeur. Avant de signer un partenariat de formation avec un éditeur d'IA, la question à poser à son cabinet de conseil n'est plus seulement « qui forme vos équipes ? » mais « qui, dans cette mission, porte encore un jugement qui ne vient pas du même fournisseur que l'outil ? »