Un changement structurel dans la responsabilité réglementaire fait désormais peser directement sur les opérateurs ou les déployeurs d’outils basés sur l’IA et de logiciels les obligations de notification des incidents et la responsabilité associée, plutôt que sur les fournisseurs de technologies ou les développeurs de modèles. Ce mécanisme est explicitement établi par les exigences du Cyber Resilience Act (CRA), du Digital Services Act (DSA) de l’UE et du futur Règlement sur les machines. Des incidents tels que la compromission de l’agent de programmation Cursor AI dans une entreprise chimique belge soulignent que les délais de mise en conformité et la surveillance réglementaire visent l’entité qui déploie la technologie.
CrowdStrike et Okta ont tous deux indiqué, dans leurs résultats trimestriels, que l’augmentation des dépenses des entreprises en matière de sécurité était alimentée par la multiplication des attaques générées par l’IA. Gartner prévoit que les dépenses consacrées à la sécurité de l’IA atteindront 4,8 milliards de dollars d’ici 2027, soit une hausse de 68,7 % par rapport à cette année, le contrôle des usages constituant le segment connaissant la plus forte dynamique. Une lettre ouverte signée par plus de 100 fournisseurs — dont OpenAI, Anthropic, AWS et Microsoft — met en garde contre l’urgence des besoins défensifs, mais ne transfère pas pour autant la responsabilité aux fournisseurs de logiciels.
Les récentes compromissions et vulnérabilités illustrent la manière dont la responsabilité reste attribuée au fournisseur de services ou à l’organisation qui met en œuvre la solution. Lors de la compromission de Cursor, les obligations de notification incombaient à AnySphere (le fournisseur du produit) et à l’organisation victime, et non aux fournisseurs des modèles en amont. De même, après la vulnérabilité de Passportal de N-able, les MSP étaient responsables de la remédiation auprès de leurs clients. Dans chaque cas, la « ligne de responsabilité » aboutit à la partie qui déploie l’outil.
Pour les MSP et les fournisseurs de services informatiques, ces tendances nécessitent une mise à jour des contrats, des opérations et des communications avec les clients. Les structures de services doivent accorder la priorité aux délais de réponse réglementaires, à la documentation et à des obligations de signalement clairement définies. Les fournisseurs qui servent des clients dans l’UE ou qui sont liés à des chaînes d’approvisionnement mondiales s’exposent à des risques commerciaux s’ils ne prennent pas en compte de manière proactive ces exigences réglementaires avant les échéances obligatoires.