Les organismes de santé évaluent avec prudence les outils de cybersécurité alimentés par l’IA
Il ne fait aucun doute que l’IA est un outil puissant, et son impact sur la cybersécurité, en particulier dans les soins de santé, est déjà significatif. Le problème, c’est la précision. Les dirigeants du secteur de la santé ne disent pas non à l’IA. Ils disent : « Prouvez-le ». Et ils ont raison. Lorsqu’il s’agit de données de patients, de risques réglementaires et de vies réelles, les solutions non testées ne sont pas une option.
Au cours des dernières années, cybermenaces ciblant les soins de santé ont augmenté en volume et en complexité. Historiquement, le secteur a été lent à investir dans l’infrastructure de cybersécurité, ce qui en fait une cible de choix. Lors d’un événement virtuel organisé par Healthcare Dive en novembre 2025, cette idée est apparue clairement. Heather Costa, directrice de la résilience technologique à la clinique Mayo, a déclaré que les soins de santé « n’ont pas été à la pointe » de l’innovation en matière de cybersécurité. Il y a donc un vide à combler, et les fournisseurs d’IA font la queue pour le combler.
Mais c’est là que les choses deviennent intéressantes. De nombreux outils déjà sur le terrain prétendent utiliser l’IA. Le terme est surutilisé. On le retrouve dans les présentations marketing, les communiqués de presse et les appels d’offres. Cela ne signifie pas qu’ils exploitent tous l’IA réelle et autonome pour obtenir de meilleurs résultats. Filtrer l’IA cosmétique des solutions de fond fait désormais partie du contrôle des risques opérationnels. Sanjeev Sah, vice-président des services technologiques d’entreprise et RSSI chez Novant Health, a fait remarquer que les incidents peuvent passer de milliers à des millions en quelques instants. Un tel volume ne peut tout simplement pas être analysé manuellement. L’IA est nécessaire, mais elle doit fournir un véritable triage, et rapidement.
Les cadres qui cherchent à investir ne se contentent pas de consulter des listes de caractéristiques. Ils se posent les bonnes questions : Ce fournisseur comprend-il notre environnement ? Peut-il s’adapter ? Offre-t-il des capacités de corrélation et de réponse aux données en temps réel ? Il ne s’agit pas seulement d’acheter un logiciel plus intelligent. Il s’agit d’assurer la pérennité de vos opérations de cybersécurité.
Comprenez le paysage et sachez qu’être prudent n’est pas synonyme de lenteur. Il s’agit de miser sur des outils qui fonctionnent, et pas seulement sur ceux qui en parlent. S’ils ne réduisent pas votre surface d’attaque ou n’améliorent pas le traitement des événements de sécurité, ils ne sont que du bruit. Et dans le secteur de la santé, il n’y a pas de place pour le bruit.
Les organisations doivent évaluer rigoureusement la légitimité et la viabilité des fournisseurs d’IA.
L’espace de l’IA explose de revendications, de startups et d’entrées soudaines sur le marché. Ce n’est pas un problème, l’innovation se nourrit de la concurrence. Mais lorsque vous sécurisez des systèmes de santé, la diligence raisonnable n’est pas un avantage. C’est la base.
À l’heure actuelle, il y a trop de fournisseurs qui proposent des outils de cybersécurité alimentés par l’IA, dont beaucoup n’ont pas de feuille de route claire ou de stabilité à long terme. William Scandrett, responsable de la sécurité de l’information chez Allina, a mis le doigt sur ce problème. Il a souligné que certaines entreprises d’IA sont créées rapidement et manquent de viabilité économique, tandis que d’autres ne sont guère plus que des coquilles de marketing. Son équipe évalue méticuleusement la santé financière d’un fournisseur, en vérifiant les documents 10-K et 10-Q et en s’assurant que l’entreprise existe depuis suffisamment longtemps pour qu’on lui fasse confiance. Cela peut sembler élémentaire, mais il est choquant de constater le nombre d’offres qui ne passent pas le premier filtre.
La durabilité n’est pas seulement une question de croissance des revenus. C’est aussi une question d’historique opérationnel. Le fournisseur a-t-il géré des incidents réels ? A-t-il maintenu les meilleures pratiques de sécurité à grande échelle ? Ces questions sont importantes. Sanjeev Sah, de Novant Health, a insisté sur ce point. Son équipe étudie l’historique des réponses aux incidents, les systèmes de surveillance et les mécanismes de contrôle d’une entreprise avant toute intégration. Si un fournisseur ne répond pas à leurs exigences, ils ne vont tout simplement pas de l’avant.
Il y a également du bruit sur le marché autour de ce qui constitue l’IA proprement dite. Certaines entreprises reconditionnent d’anciens outils avec de nouvelles étiquettes pour surfer sur la vague de l’IA. Ce type de changement de marque ralentit les progrès. Il peut également induire en erreur les équipes internes qui cherchent à améliorer la sécurité en adoptant une « IA » qui, dans la pratique, n’apporte pas grand-chose de plus que des scripts d’automatisation ou des déclencheurs basés sur des règles.
Les dirigeants doivent établir des normes claires qui vont au-delà des mots à la mode. Si la technologie ne satisfait pas à la diligence raisonnable des équipes juridiques, de conformité et de sécurité, elle constitue un handicap. Les services d’approvisionnement et de sécurité doivent être synchronisés, poser des questions approfondies et attendre des réponses complètes.
L’achat du mauvais partenaire n’est pas seulement source d’inefficacité. Il augmente l’exposition au risque. La règle est simple : une technologie solide soutenue par une organisation solide. Pas de raccourcis.
L’IA offre des avantages considérables pour la cybersécurité des soins de santé
L’impact de l’IA sur la cybersécurité n’est plus théorique. Elle permet d’accélérer les opérations, de mettre en évidence les menaces réelles et de réduire le temps de réponse. Mais ces avantages ne se matérialisent que si l’organisation y est prête. Le leadership, la gouvernance et la collaboration interne doivent évoluer au même rythme que les outils.
Les systèmes de santé fonctionnent avec d’énormes quantités de données sensibles et des marges opérationnelles étroites. Rien que pour cela, le déploiement d’une solution de cybersécurité alimentée par l’IA présente des enjeux considérables. Heather Costa, directrice de la résilience technologique à la clinique Mayo, a été très claire à ce sujet lors de l’événement Healthcare Dive. Elle a souligné que l’IA, bien que prometteuse, est encore une technologie émergente. Pour qu’elle crée de la valeur, il faut les bonnes personnes, des processus alignés et un leadership qui comprenne à la fois la cybersécurité et les priorités opérationnelles. Sans cet alignement, même les meilleurs outils produisent des résultats limités ou, pire, introduisent de nouveaux risques.
L’aspect opérationnel est tout aussi important que la technologie. Les dirigeants doivent réunir les responsables de la cybersécurité, de la conformité, de l’informatique et des opérations cliniques avant de prendre une décision de déploiement. Il ne s’agit pas d’une question de chevauchement, mais de visibilité. Si les systèmes d’IA isolent des données ou génèrent des décisions sans clarté, vous perdez rapidement la confiance. Et la confiance est ce qui maintient l’ensemble du système ensemble.
L’éthique doit également être au centre des préoccupations. Les décisions de l’IA ont un impact sur les données des patients, les alertes en temps réel et les réponses à l’échelle du système. Vous ne voulez pas de modèles qui se comportent de manière imprévisible ou qui ne peuvent pas expliquer comment ils sont parvenus à une décision. Il s’agit là d’un échec de la gouvernance, qui peut être évité. C’est en mettant en place des processus d’examen éthique dès le départ, et non pas après que les choses se soient cassées, que vous éviterez les complications futures.
Les dirigeants doivent voir au-delà de la fonctionnalité immédiate. Une organisation en réseau, où les services juridiques, la sécurité et les opérations travaillent ensemble, a les meilleures chances de déployer l’IA avec succès. La coordination interfonctionnelle n’est pas de la bureaucratie. C’est une discipline. L’IA dans la sécurité des soins de santé peut s’étendre, mais elle le fait mieux lorsqu’elle fait partie d’un système qui est construit pour la responsabilité, et pas seulement pour la vitesse.
Faits marquants
- Évaluez les outils d’IA avec précision : Les responsables du secteur de la santé doivent examiner de près les outils de cybersécurité basés sur l’IA pour s’assurer qu’ils sont réellement fonctionnels et pas seulement pour leur image de marque. Le bon outil doit démontrer sa capacité à réduire le volume d’incidents, à hiérarchiser les menaces et à s’intégrer dans les opérations existantes.
- Vérifiez la viabilité des fournisseurs dès le début : Les dirigeants doivent évaluer la stabilité financière, la maturité opérationnelle et les capacités réelles en matière d’IA avant d’établir un partenariat. Donnez la priorité aux fournisseurs qui ont fait leurs preuves, qui ont de solides pratiques de surveillance et qui ont un historique clair en matière de réponse aux incidents.
- Alignez la gouvernance avant le déploiement de l’IA : Une intégration réussie de l’IA nécessite un leadership interfonctionnel, une surveillance éthique et des processus coordonnés. La mise en place d’une gouvernance précoce permet de réduire les risques et de s’assurer que la technologie apporte une valeur ajoutée à grande échelle.
