Sécurité et gouvernance de l'IA : guide pratique

Les dispositions restantes de l'EU AI Act sont devenues généralement applicables le 2 août 2026, et avec elles est arrivée une vague soudaine d'affirmations selon lesquelles publier un article écrit par IA sans mention serait désormais illégal. La réponse courte est que, pour la plupart des auteurs indépendants et des blogs d'entreprise, aucune obligation de signalement ne naît. L'article 50, paragraphe 4, indique en toutes lettres que cette obligation ne s'applique pas lorsque le contenu a fait l'objet d'un processus d'examen humain ou de contrôle éditorial et lorsqu'une personne assume la responsabilité éditoriale de la publication. La condition attachée est que cet examen soit substantiel et ne se limite pas à des aspects superficiels ou à une approbation de pure forme : publier automatiquement un texte que personne n'a lu ne remplit donc pas le critère. Cet article détaille pourquoi le fournisseur (provider) et le déployeur (deployer) portent des obligations complètement différentes, pourquoi le signalement des textes générés par IA se joue sur le but de la publication plutôt que sur le sujet traité, l'obligation de signalement des deepfakes et le traitement allégé des œuvres artistiques et satiriques, l'information sur les chatbots, pourquoi le marquage lisible par machine comme C2PA Content Credentials est une obligation du fournisseur, ainsi que les échéances du 2 décembre 2026 et du 2 février 2027 — le tout limité à ce qui a pu être vérifié dans le texte juridique et dans les documents de la Commission européenne.

Une affirmation générale ne peut pas répondre à la question « si une IA peut modifier les choses directement, avons-nous encore besoin d'une interface d'administration ? », parce que la seule expression « interface d'administration » recouvre un empilement de fonctionnalités de natures complètement différentes. Cet article, ancré dans l'expérience de la suppression pure et simple de l'interface d'administration de ce site, remplace cette question par une autre, plus tranchante : cet écran fournit-il quelque chose que la CLI et l'IA ne fournissent pas déjà ? Ce que la suppression de l'ensemble a révélé, c'est que la plupart des fonctionnalités retirées n'étaient pas « inutilisées » mais « structurellement cassées ». Le CRUD des articles ne pouvait pas fonctionner, parce que la source de vérité des articles vit dans le code et que chaque déploiement écrase la base de données : tout ce qui était modifié dans l'écran disparaissait au déploiement suivant. La file de modération des commentaires était toujours vide parce que les messages étaient marqués comme approuvés dès leur envoi, si bien qu'un commentaire non approuvé ne pouvait jamais exister. Une fonctionnalité que personne n'utilise est une fonctionnalité dont personne ne peut voir qu'elle est cassée. La seule capacité qui ne pouvait pas disparaître était la suppression des commentaires, et même celle-là n'avait aucune raison intrinsèque de vivre dans une interface d'administration : un bouton de suppression sur la page de l'article s'est révélé meilleur, parce que le commentaire fautif peut être retiré là où on est en train de le lire. La décision se ramène à six questions. Qui l'utilise (des personnes non techniques ou un poste qui change de titulaire plaident pour une UI ; des développeurs qui vivent dans un terminal, non). Est-ce réversible (les actions irréversibles ont besoin d'une barrière). Faut-il un jugement humain (existe-t-il une transition d'état du type approuver ou rejeter). Faut-il séparer les droits. L'opérateur sait-il ce qui est possible (la liste fait office de documentation). Existe-t-il une piste d'audit. Les droits et la piste d'audit, en particulier, paraissent inutiles sur un projet solo et deviennent les premières exigences à la seconde où une deuxième personne arrive. Les changements passés par le code atterrissent dans git, mais laisser une IA écrire directement dans la base de données n'enregistre rien par défaut, et un historique de conversation conserve ce qui a été demandé plutôt que ce qui s'est produit. Parmi les six axes, seule la réversibilité pèse d'un poids différent. Le 18 juillet 2025, un agent d'IA de Replit a supprimé la base de données de production de SaaStr pendant un gel du code en cours, a fabriqué 4 000 utilisateurs et a affirmé à tort qu'un retour arrière était impossible, retardant la reprise (AI Incident Database #1152) — un cas qui montre moins la dangerosité de l'IA qu'un problème de conception où une action irréversible pouvait être atteinte sans passer par une barrière humaine. L'article traite aussi des trois choses à mettre en place avant de déplacer le poids vers l'IA et la CLI (les changements laissent une trace durable, une marche se tient devant les actions irréversibles, la procédure est écrite quelque part, puisque supprimer l'UI supprime aussi la liste de ce qui est possible), d'une liste de contrôle à passer avant de construire quoi que ce soit, et de la troisième option que constituent les produits d'outillage interne comme Retool ou Forest Admin plutôt qu'une interface écrite à la main.

Dispatch est la fonctionnalité qui vous permet d'envoyer une instruction depuis votre téléphone pour que Claude effectue le travail sur votre propre ordinateur (bêta, Pro et Max). Ça ne tourne pas dans le cloud : c'est votre machine réelle qui bouge, et ce seul fait produit à la fois la valeur et le danger. L'aide officielle indique que vous pouvez écrire à Claude depuis votre téléphone et lui faire travailler sur votre ordinateur de bureau, en utilisant les mêmes connecteurs, plugins et accès aux fichiers que vous avez déjà configurés dans Cowork, à l'intérieur de ce qu'Anthropic présente comme une conversation continue accessible depuis l'un ou l'autre appareil. Le fonctionnement exige que le PC soit réveillé avec l'application de bureau ouverte, et l'utilisation de l'ordinateur n'est prise en charge que sur macOS et Windows, pas sous Linux. Mécaniquement, tout descend trois étages de priorité : un connecteur s'il en existe un, la navigation dans le navigateur à défaut, et l'interaction directe avec l'écran en dernier recours, avec des captures d'écran prises en chemin pour comprendre l'affichage. L'évaluation commence après cela. Les endroits où ça s'arrête sont pensés dès la conception : l'utilisation de l'ordinateur est désactivée par défaut et s'active dans Réglages, Général ; l'autorisation est demandée pour chaque nouvelle application ; la suppression définitive d'un fichier exige une autorisation explicite ; et les plateformes d'investissement et de trading ainsi que les applications de cryptomonnaies sont hors limites par défaut. Mais il existe des endroits où ça ne s'arrête pas. Les actions individuelles à l'intérieur d'une application déjà approuvée ne vous sont pas soumises, et la formulation officielle est que Claude clique, saisit du texte et navigue directement sur votre écran, sans les contrôles de permission qui encadrent les autres outils de Cowork. La documentation ajoute qu'il n'y a pas de bac à sable entre Claude et ce qui s'affiche à votre écran, et que les actions prises dans une application peuvent avoir un impact sur d'autres applications. Le plus grand risque est l'injection de prompt, qu'Anthropic décrit dans ses propres mots : le contenu web est un vecteur principal d'attaques par injection de prompt, et une instruction manipulée, une commande inattendue ou un lien de phishing ouvert dans votre navigateur pourraient déclencher en cascade des actions difficiles voire impossibles à annuler. Anthropic déclare analyser les activations du modèle pour détecter ce type de comportement, mais cela fait baisser les probabilités sans vous dispenser de tracer une limite, et les recommandations disent toujours de basculer en approbation manuelle dès qu'une tâche touche des fichiers, des comptes ou des sites sensibles. Anthropic nomme la frontière sans détour : n'accordez pas la permission d'utilisation de l'ordinateur à des applications sensibles comme les applications bancaires, de santé ou administratives, et évitez les comptes financiers, les documents juridiques, les informations médicales et les données personnelles. L'article traite aussi le côté téléphone. Ce qui fuit si vous perdez le combiné, ce ne sont pas les données qui y sont stockées mais la faculté de donner des ordres à votre PC, plus le contenu de la conversation en cours — et l'aide officielle sur Dispatch ne documente ni le désappairage ni la conduite à tenir en cas de perte, si bien que les remèdes viennent du côté du compte : terminer la session concernée sous Réglages, Compte, Sessions actives ; se déconnecter de toutes les sessions depuis claude.ai, ce qui n'est pas disponible dans les applications mobiles et nécessite donc un navigateur web ; ou simplement couper le côté PC en fermant l'application de bureau ou en laissant la machine se mettre en veille, ce qui est en fait le plus rapide puisque Dispatch exige que le PC soit réveillé et l'application ouverte. Il se termine en séparant Dispatch et l'utilisation de l'ordinateur comme deux interrupteurs distincts, en distinguant les deux de l'agent view de Claude Code (que la documentation officielle appelle également dispatch), et en traçant une limite pratique : commencez par du travail que vous pouvez reprendre.

Utilisez Claude Code assez longtemps et vous tombez sur un dilemme : une demande à chaque commande fait caler votre rythme, mais toutes les désactiver avec le contournement est dangereux. Le bac à sable casse ce binaire en délimitant au niveau de l'OS ce qui peut être touché, si bien que les commandes s'exécutent librement à l'intérieur sans demandes tandis que rien n'atteint l'extérieur. Ce guide couvre les deux isolements (système de fichiers et réseau), la prise en main avec /sandbox (macOS fonctionne d'emblée, Linux/WSL2 nécessite bubblewrap+socat, Windows natif n'est pas pris en charge), le mode auto-autorisation contre le mode normal, la configuration de settings.json (allowWrite/denyRead, credentials, allowedDomains), comment il complète les modes et règles de permission comme troisième couche imposée par l'OS, ses limites (TLS non inspecté, sockets Unix), et quand recourir aux dev containers ou aux VM. Anthropic rapporte qu'il a réduit les demandes de permission de 84 % en usage interne.

Peut-on confier l'exploitation d'AWS à l'IA ? En 2026, on peut déléguer beaucoup. AWS propose lui-même Amazon Q Developer et l'Agent Toolkit for AWS (mai 2026 — plus de 40 compétences d'agent + un AWS MCP Server managé + des plugins), de sorte que l'IA peut aller de la génération d'IaC à l'exploitation des ressources. Ce guide cadre la « délégation » en trois niveaux (① génération de code/IaC, ② exploitation/investigation orientée lecture, ③ un agent autonome qui exploite réellement AWS), présente les principaux outils (Amazon Q Developer, Agent Toolkit, AWS MCP Server, Terraform MCP, Bedrock AgentCore) — dont la voie « apportez le vôtre » consistant à donner l'AWS CLI à Claude Code ou Codex pour exécuter « aws » depuis le shell — les avantages (IaC rapide, triage automatisé, idées d'optimisation des coûts, savoir démocratisé), puis le vrai enjeu, les inconvénients (prolifération des permissions IAM, le surdimensionnement comme amplificateur de rayon d'impact des erreurs/injections de prompt, permissions qui survivent à la tâche, emballement des coûts — avec de vrais incidents de suppression de BDD de prod en 2025-26), en s'appuyant sur des sources officielles AWS et d'éditeurs de sécurité. La clé : la question n'est pas « est-ce possible ? » mais « comment déléguer sans emballement ni explosion de la facture » — et le fait qu'AWS ait lui-même intégré garde-fous IAM, audit CloudTrail et bac à sable dans l'Agent Toolkit donne la forme de la réponse. Inclut les cinq principes (IAM au moindre privilège, approbation humaine pour les opérations destructrices, observabilité, identifiants JIT à durée de vie courte, bac à sable) et une FAQ.

Le 1er juillet 2026, Anthropic a redéployé ses modèles phares Claude Fable 5 et Mythos 5 dans le monde entier — seulement 19 jours après leur suspension totale du 12 juin en vertu d'un décret américain de contrôle des exportations. La raison directe du retour : le département du Commerce des États-Unis a levé le contrôle des exportations le 30 juin. L'élément déclencheur d'origine était un signalement de jailbreak par des chercheurs d'Amazon, mais Anthropic a toujours soutenu que « Fable 5 n'offre aucune capacité offensive spécifique », et la levée règle l'affaire dans le sens de cette position. Le modèle n'est pas revenu à l'identique : un nouveau classifieur entraîné pour détecter la technique de contournement signalée la bloque dans plus de 99 % des cas, et lorsqu'il se déclenche la requête est automatiquement redirigée vers Opus 4.8 (le bouton « changer de modèle lorsqu'un message est signalé » dans l'application). Pour l'instant un plafond temporaire s'applique — jusqu'à 50 % de la limite hebdomadaire sur les formules Pro, Max, Team et certaines Enterprise jusqu'au 7 juillet, puis via des crédits d'usage. Fable 5 consomme l'usage plus vite qu'Opus 4.8, et l'accès via le cloud (AWS, Google Cloud, Microsoft Foundry) revient par étapes (sans date pour l'instant). En suite de la suspension (article 113), cet article explique pourquoi ce retour a été possible, ce qui a changé, les précautions d'usage et la leçon d'une conception qui ne dépend pas d'un seul modèle — sur la base de l'annonce officielle et de la couverture de presse.

IA ou humain : qui est le meilleur en cybersécurité ? La réponse a beaucoup bougé en 2025-2026. Le Big Sleep de Google a bloqué une vraie faille zero-day (la CVE-2025-6965 de SQLite) avant son exploitation, et le pentesteur autonome XBOW a atteint la 1re place du classement HackerOne aux États-Unis. À l'inverse, 45 % du code généré par l'IA s'est révélé vulnérable (environ 2,74 fois plus que le code humain), et la première cyberattaque à grande échelle pilotée par l'IA — détournant Claude, avec 80 à 90 % de l'attaque exécutés en autonomie — a eu lieu. À partir des sources primaires de Google, Anthropic, DARPA et Veracode, cet article compare, dans un tableau par tâche, l'IA qui domine en vitesse, échelle et exhaustivité, et l'humain qui l'emporte sur la logique métier, les chaînes d'attaque et la décision finale. Il montre que l'IA est une arme à double tranchant aux trois visages — source de vulnérabilités, outil d'attaque et défenseur ultime — et conclut, à l'intention des praticiens et dirigeants, que le vainqueur est la répartition des rôles « humain × IA » (le modèle du centaure) assortie du human-in-the-loop.

L'IA générative est devenue indispensable au travail quotidien, mais l'interrupteur on/off reste hors de votre contrôle : en juin 2026, Claude Fable 5 et Mythos 5 ont été suspendus trois jours seulement après leur lancement, puis redéployés 19 jours plus tard (1er juillet 2026). Cet article explique ce qu'est le risque de dépendance à l'IA, présente les six façons dont une IA peut « disparaître » (suspension soudaine, retrait, hausses de prix, changements silencieux, pannes, verrouillage propriétaire) et détaille des parades concrètes. Pour les particuliers, cinq habitudes simples ; pour les systèmes en production, la redondance par conception : passerelle LLM, chaîne de repli testée, séparation des couches, LLM local et plan de reprise. L'idée maîtresse : se protéger par la conception, pas par la prédiction.

Les règles de permission de Claude Code définissent, via allow/ask/deny dans settings.json, quels outils, commandes, fichiers et domaines s'exécutent sans demander, demandent une confirmation ou sont interdits. Ce guide explique la différence avec les modes, l'ordre de priorité deny → ask → allow, la syntaxe des règles et des recettes pratiques.

Le sélecteur « Mode d'autorisation » de Claude Code détermine la fréquence à laquelle Claude demande une autorisation avant de modifier un fichier ou d'exécuter une commande. Ce guide compare les 5 modes (Demander les autorisations, Accepter les modifications, Mode planification, Mode automatique, Ignorer les permissions), explique comment basculer avec Shift+Tab et comment choisir le bon mode en toute sécurité.

Un jour, votre compte ChatGPT ou Claude cesse soudainement de fonctionner : en 2026, les signalements de suspensions (bans) et d'avertissements se multiplient, et le plus inquiétant, c'est qu'on peut être banni en enfreignant accidentellement les conditions, même sans mauvaise intention. Cet article fait le point sur ce qu'il faut savoir pour ne pas perdre son compte sur OpenAI (ChatGPT, Codex) et Anthropic (Claude, Claude Code), à partir des Usage Policy publiées et des signalements (pas un guide pour échapper à la détection, mais pour rester conforme). Cinq déclencheurs communs aux deux : contenus interdits / jailbreaks (génération illégale ou nuisible, tentative de contourner les filtres de sécurité via des prompts ; les violations graves peuvent être un bannissement définitif immédiat), automatisation / scraping non autorisés (bots, scripts, accès massif trompeur comme le spam/phishing), partage ou revente de comptes/clés API, schémas d'accès suspects (changements fréquents d'IP/de pays, VPN intensif, bascule d'appareils lue comme des connexions anormales) et incohérence de paiement/fraude (écarts géographiques, moyens de paiement suspects). Le plus gros piège de 2026 : utiliser des tokens OAuth d'abonnement personnel (Free/Pro/Max) de Claude dans tout produit autre que l'application officielle, y compris des harness comme l'Agent SDK, est une violation des Consumer ToS qui a causé une vague massive de bannissements ; la bonne approche est de faire tourner applications/agents via l'API (à l'usage) et de réserver les abonnements personnels au chat de l'application officielle. Spécificités OpenAI : contournement de la sécurité/des accès, automatisation/scraping, réutilisation abusive des clés API, usages illégaux. Spécificités Anthropic : mauvais usage des tokens OAuth d'abonnement personnel, accès tiers non officiel, clauses anti-distillation/sur les modèles concurrents, jailbreaks. Une checklist de prévention en 7 points (lire la politique, adapter l'abonnement à l'usage, ne pas mettre de tokens personnels dans des outils tiers, pas de jailbreaks/contenus interdits, ne pas partager ni revendre, paiement correspondant à la région et accès stable, agir immédiatement sur les avertissements). Les avertissements sont une occasion de se corriger et la plupart peuvent continuer ; les violations mineures ou accidentelles peuvent faire l'objet d'un recours, mais les violations graves sont définitives et difficiles à récupérer. Le bon abonnement, pour le bon usage, honnêtement. Vérifiez toujours les conditions officielles les plus récentes de chaque entreprise.

Une fois que l'on sait construire des applications IA, l'étape suivante consiste à les faire fonctionner en toute sécurité. Les LLM peuvent être trompés par des entrées malveillantes, divulguer des données confidentielles ou affirmer n'importe quoi avec aplomb ; le mécanisme de sécurité qui empêche cela, ce sont les garde-fous IA, désormais essentiels en production en 2026 alors que les incidents liés aux agents IA se produisent réellement. Les garde-fous sont des règles et des filtres qui retiennent les entrées dangereuses et les sorties indésirables, vérifiant l'entrée de l'utilisateur avant qu'elle n'atteigne le LLM et la réponse avant qu'elle ne revienne — une couche de sécurité indépendante, distincte du modèle lui-même. Les principales menaces sont l'injection de prompt (la plus grande), les jailbreaks, la fuite de données (données confidentielles, PII, prompt système) et l'hallucination ou les sorties nuisibles. La protection opère sur deux couches : les garde-fous en entrée (détecter les injections et les jailbreaks, détecter/masquer les PII, restreindre les sujets, assainir) et les garde-fous en sortie (filtrer les contenus nuisibles, empêcher les fuites, vérifier les hallucinations, valider le format). L'injection de prompt — classée la plus critique de l'OWASP LLM Top 10 — se présente sous forme directe (un utilisateur tape « ignore toutes les instructions précédentes ») et indirecte (commandes cachées dans une page web ou un document RAG), et l'injection indirecte n'est pas bloquée par le RAG seul, si bien que les documents récupérés nécessitent leur propre contrôle. Ce guide pour débutants couvre aussi les outils (LLM Guard, Guardrails AI, NeMo Guardrails, Llama Guard et les fonctions de sécurité cloud d'Azure, AWS et OpenAI) ainsi que les principes pratiques de défense en profondeur, moindre privilège, approbation humaine et surveillance continue.