Guide du responsable SOC pour l'enquête SANS sur l'IA de 2026

Pourquoi l'IA reste-t-elle difficile à évaluer, à contrôler et à gouverner ? Guide du responsable SOC pour l'enquête SANS sur l'IA 2026

J'ai récemment eu l'occasion de participer à une table ronde et de discuter de certaines des conclusions de L'enquête SANS sur l'IA de cette année, Plus précisément, en ce qui concerne leur application au centre des opérations de sécurité (SOC). C'est une question qui revient sans cesse : pourquoi l'IA reste-t-elle difficile à évaluer, à contrôler et à gouverner en toute confiance ? Je souhaite aborder les différentes manières dont nous progressons vers cette confiance et expliquer comment votre SOC est précisément le lieu où ces lacunes sont comblées en premier.

Obtenez le rapport SANS sur l'IA

Le SOC est toujours vital.

La sécurité se déploie actuellement dans de nombreuses directions. Gestion des identités, des vulnérabilités, des correctifs, gouvernance de l'IA et conformité : les RSSI ont fort à faire ! Mais au fond, le SOC reste l'élément fondamental. Chaque journal, chaque alerte initiale, qu'elle soit traitée en interne ou par un MSSP, est toujours prise en charge par cette même équipe. C'est pourquoi, lorsque j'analyse l'adoption de l'IA, je l'envisage d'abord sous cet angle.

Le fossé entre l'adoption et la maturité

L'une des tendances les plus claires de l'enquête SANS AI 2026 est la baisse entre les niveaux où les organisations déclarent l'adoption L'IA et les endroits où ils déclarent atteindre production mature Son utilisation est comparable à une réduction de 50%. Et je crois savoir pourquoi. Trop d'entreprises déploient l'IA d'abord, puis se tournent vers le fournisseur ou l'équipe interne en demandant : “ D'accord, et maintenant, quel est notre cas d'utilisation ? ” C'est une erreur. Nous devrions partir du résultat que nous souhaitons atteindre et réfléchir à la manière dont l'IA nous aide à y parvenir, au lieu de déployer l'IA parce que le conseil d'administration l'a ordonné et de trouver le cas d'utilisation après coup.

Les domaines où l'adoption de l'IA me semble facile et immédiate sont l'analyse des journaux, l'explication des menaces et la rédaction de rapports. La synthèse est un point fort de l'IA : elle permet de rassembler diverses données en un document exploitable rapidement par un humain, avec un certain contrôle sur la présentation. Ce sont les applications les plus faciles à mettre en œuvre. Le plus difficile, c'est tout ce qui suit.

Déterminisme vs. Non-déterminisme : où se situe le vrai travail ?

Une grande partie des hésitations que j'entends concernant l'IA dans les SOC est liée à un problème d'attentes. On exige une IA parfaitement fiable (100%) avant de lui faire confiance, tout en ignorant que nos propres analystes ne sont pas non plus déterministes. Soumettez le même ticket à cinq analystes et vous obtiendrez probablement cinq approches différentes, chacune influencée par son expérience et son expertise. Comme je l'ai souligné lors de la table ronde :

“ Chacun a sa propre version du croque-monsieur. Différents fromages, différentes méthodes de grillage, etc. Nous sommes aussi imprévisibles que vous. ”

Le renseignement sur les menaces en est un bon exemple. Chaque analyste interprète le score VirusTotal selon sa propre méthode : un score de 2 sur 72 est-il alarmant ou simplement un bruit de fond ? Qu'en est-il d'un score de 57 sur 72 ? Les analystes classent les informations différemment, et ce jugement disparaît à la fin de leur service. L'IA peut en revanche définir des critères cohérents pour ce tri, en fournissant à l'agent enquêteur une pondération et des exigences prédéfinies. Ce n'est pas une méthode totalement déterministe, mais elle s'en rapproche considérablement, et c'est cette cohérence qui permet une réponse automatisée.

Là où l'automatisation inspire réellement confiance

Quand on entend “ réponse automatisée ”, on pense souvent à une IA qui se dit : “ Je ne veux pas qu'elle ferme le compte de mon PDG ou réinitialise les sessions d'un VIP. ” Et cette réaction est justifiée : l'automatisation ne devrait pas commencer par là. Les équipes qui réussissent vraiment, c'est avec les faux positifs, les alertes mineures, celles qui sont clairement dues à un mauvais réglage ou une erreur de configuration. Si l'IA peut confirmer avec un haut degré de certitude qu'une alerte est bénigne, laissons-la la gérer et épargner cette tâche aux analystes. Ces derniers peuvent ainsi se concentrer sur les investigations importantes : le clic frauduleux qui a fonctionné, les premiers signes d'une attaque de ransomware, au lieu de perdre du temps à trier des informations inutiles. C'est le principe du tandem : un jugement non déterministe associé à des garde-fous déterministes, chacun excellent dans son domaine.

La confiance exige du contexte, pas seulement de la vitesse.

Je ne compte plus les fois où j'ai vu un fournisseur intégrer une IA et, deux minutes plus tard, prétendre qu'elle résout tous les problèmes. J'apprécie la rapidité, certes, mais la rapidité ne fait pas la confiance. La confiance repose sur le contexte. Un modèle d'IA qui identifie le langage des cartes-cadeaux comme un indicateur d'hameçonnage peut être parfaitement adapté à une entreprise pharmaceutique, mais totalement inadapté à une grande enseigne de distribution, où les cartes-cadeaux font partie intégrante de son activité quotidienne. Sans votre base de connaissances, vos procédures opérationnelles et vos critères d'escalade intégrés au processus décisionnel de l'IA, vous obtiendrez des faux positifs et des faux négatifs qui éroderont rapidement la confiance.

C’est cette approche progressive que je préconise. L’IA doit démontrer son fonctionnement, fournir des explications à chaque étape et indiquer précisément à l’examinateur humain ce qu’il doit vérifier, plutôt que de l’obliger à tout recommencer à zéro. 

Les données de SANS le confirment directement : 631 % des répondants signalent des lacunes importantes dans la capacité de l’IA à détecter les menaces ou à y répondre. Autrement dit, seulement 371 % des répondants déclarent faire confiance à l’IA. Cet écart est étroitement lié au faible taux d’adoption des actions automatisées : dans l’enquête de 2026, le taux d’adoption de la réponse automatisée aux incidents n’était que de 391 %. Les professionnels nous indiquent précisément jusqu’où ils ont décidé d’accorder leur confiance, et ce seuil reste très bas. Les éléments qui permettent de bâtir cette confiance sont les mêmes qui permettent d’auditer et de gouverner l’outil… car ils sont vérifiables.

Où cela nous mène-t-il ?

L'étude SANS sur l'IA de 2026 confirme ce que beaucoup d'entre nous pressentaient déjà : l'adoption est plus rapide que la maturité, la confiance demeure le principal obstacle et la gouvernance est bien plus souvent reconnue comme importante qu'elle n'est formalisée. Cela ne signifie pas pour autant que l'IA ne fonctionne pas. Cela signifie simplement que le SOC reste le terrain d'expérimentation où l'automatisation déterministe et l'IA non déterministe doivent apprendre à collaborer, le contexte et l'explicabilité jouant un rôle essentiel dans l'établissement de la confiance.

Cet article de blog ne présentait que mon interprétation du rapport concernant les SOC et l'IA. Pour accéder aux données complètes relatives à ces tendances, je vous invite à consulter le rapport.

Téléchargez le rapport d'enquête SANS sur l'IA 2026