Sécurité et conformité des logiciels et de l’IA, dès la conception

Les incidents de sécurité commencent rarement par un attaquant de génie. Ils commencent par une dépendance oubliée, une clé d’API poussée dans le dépôt il y a deux ans, un compte administrateur jamais fermé, ou un chatbot prêt à lire tout ce qu’on lui présente. La sécurité et la conformité des logiciels et de l’IA consistent d’abord à fermer ces portes avant que quelqu’un ne les essaie, puis à être prêt le jour où l’une d’elles cède malgré tout. Nous le faisons en tant qu’ingénieurs qui développent et exploitent le logiciel : les corrections arrivent dans le code et l’infrastructure, pas dans une présentation.

La sécurité tient à l’architecture, pas à la checklist

Une checklist dit quoi vérifier. L’architecture décide des dégâts qu’une seule erreur peut causer. Nous commençons par cartographier les flux de données et les droits d’accès, puis nous réduisons le rayon d’impact : rôles IAM au moindre privilège, secrets dans un coffre géré plutôt que dans des fichiers d’environnement, environnements séparés, chiffrement au repos et en transit, infrastructure décrite en Terraform pour que chaque changement soit relu. Côté application, nous suivons l’OWASP Top 10 et l’ASVS pour le web, l’OWASP MASVS pour le mobile : authentification, contrôle des autorisations sur chaque point d’accès, traitement des entrées, gestion des sessions, et les dépendances open source dont vous héritez.

L’IA ouvre une surface d’attaque nouvelle

Un modèle de langage branché sur vos données et vos outils est un composant d’un genre nouveau. L’OWASP Top 10 pour les applications LLM nomme les risques sans détour : injection de prompt, fuite d’informations sensibles, autonomie excessive, sorties non contrôlées, chaîne d’approvisionnement. Notre position est simple. Tout ce que lit un modèle est une entrée non fiable. Un agent ne reçoit que les outils strictement nécessaires, via des interfaces explicites comme des serveurs MCP aux permissions restreintes. Aucune sortie de modèle n’atteint une requête SQL, un shell ou un e-mail sans validation. Les actions coûteuses ou irréversibles passent par une validation humaine. Prompts, appels d’outils et réponses sont journalisés. Et vous choisissez où vont les données : un modèle Mistral hébergé en Europe, un contrat fournisseur qui exclut l’entraînement sur vos données, ou un modèle open-weight sur votre propre infrastructure.

La conformité, sous-produit d’une ingénierie propre

Le RGPD, l’AI Act et NIS2 demandent des choses différentes, mais partagent une exigence : prouver que vous savez ce que vous exploitez et que vous le maîtrisez. Quand l’ingénierie est propre, l’essentiel des preuves existe déjà. Pour le RGPD, nous documentons les traitements, les durées de conservation, les sous-traitants et les demandes des personnes là où elles se jouent réellement, dans le code. Pour l’AI Act, entré en vigueur en 2024 avec des obligations échelonnées sur plusieurs années, nous dressons l’inventaire de vos systèmes d’IA, classons chacun selon son niveau de risque et consignons les mesures de transparence et de supervision humaine. Pour NIS2, qui étend les obligations européennes de cybersécurité à bien plus de secteurs et d’entreprises de taille moyenne, nous vous aidons à déterminer si vous êtes concerné et ce que cela impliquerait. Nous ne donnons pas de conseil juridique et ne vendons pas de certification : nous préparons le socle technique que votre avocat ou votre auditeur demandera.

Garder la plateforme sûre et à jour

La sécurité se dégrade en silence. Les frameworks publient des correctifs, les certificats expirent, une bibliothèque est abandonnée, un ancien prestataire a gardé ses accès. Notre maintenance couvre cette part ingrate et indispensable : mises à jour des dépendances et du framework à rythme fixe, correctifs de sécurité appliqués vite, sauvegardes vérifiées en les restaurant, supervision de la disponibilité et des erreurs avec des alertes qui parviennent à une personne, revue trimestrielle des accès. Chaque mois, un rapport court dit ce qui a changé, ce que nous avons trouvé et ce que nous recommandons. Le jour d’un incident, la procédure est écrite, les journaux existent, et la première heure sert à contenir le problème plutôt qu’à chercher des mots de passe.