> ## Content Index > Fetch the complete content index at: https://www.klaerenn.fr/llms.txt > Use this file to discover other available public pages before exploring further. # Quatre sujets, une seule horloge - URL: https://www.klaerenn.fr/quatre-sujets-une-seule-horloge/ - Published: 2026-09-14T08:00:52.000Z - Updated: 2026-09-14T08:00:52.000Z - Description: Gouvernance, vulnérabilité, crise, risque : les sujets du CISO restent les mêmes, l'IA en change la cadence. Une crise qui perd son calendrier, une appétence au risque à encoder dans les agents, une antifragilité à reformuler à vitesse machine. Tribune publiée dans GSMagazine n°64. - Author: Franck Rouxel - Tags: GSMag, Tribunes *Gouvernance, vulnérabilité, crise, risque : les sujets du CISO restent les mêmes. L'IA en accélère la mutation, et ce changement de cadence pèse davantage que chaque nouveauté prise isolément.* --- Le métier s'apprête à produire une littérature abondante sur l'IA. Shadow AI, agents autonomes, SOC augmenté, identités machines : chaque sous-domaine réclame sa doctrine, ses cadres, ses formations. Ce découpage organise le travail. Il laisse pourtant dans l'ombre le mouvement de fond, celui d'une accélération qui touche simultanément les quatre sujets anciens de la fonction et qui, chacun dans son registre, pose une même question de tempo. ## La crise perd son calendrier La gestion de crise reposait sur une hypothèse rarement formulée : l'existence d'une frontière entre temps normal et temps de crise. Une cellule s'active, une escalade s'organise, un retour à la normale conclut l'épisode. Tout l'outillage du métier, des plans de continuité aux exercices annuels, suppose que la crise est un événement rare, discret, borné dans le temps. L'IA dissout cette hypothèse. Un agent offensif autonome découvre, qualifie et exploite en quelques heures ce qui demandait des semaines de travail humain. Au printemps 2026, un modèle de frontière a exploité seul une faille vieille de dix-sept ans, et la production de vulnérabilités est passée à l'échelle industrielle au moment où la capacité institutionnelle à les nommer se replie. En face, la défense automatise ses boucles de détection et de remédiation. Quand l'attaque et la réponse s'exécutent toutes deux à la vitesse machine, l'événement discret qui déclenchait la cellule se fond dans un régime continu de perturbations, et la crise s'installe comme tempo ordinaire. Ce que le métier appelait gestion de crise devient une compétence permanente d'absorption, distribuée dans les systèmes plutôt que concentrée dans une salle. Les organisations qui conservent des dispositifs conçus pour des événements rares et longs se préparent à la guerre précédente. ## Encoder la posture dans les systèmes Le même déplacement atteint la gouvernance et le risque. L'appétence au risque était formulée pour des décisions humaines, prises à vitesse humaine, validées par des comités à date fixe. Les agents IA déployés en entreprise prennent désormais des microdécisions en continu : prioriser une alerte, isoler un poste, modifier une règle, engager une réponse. Ces choix échappent, par leur volume, à toute validation unitaire. La voie praticable consiste à encoder la posture dans les systèmes eux-mêmes, à traduire l'appétence au risque en contraintes exécutables que les agents respectent par construction. Cette traduction est le travail le moins visible et le plus décisif du moment. Elle prolonge un mouvement déjà engagé : les référentiels partagés qui servaient de langage commun au métier perdent en fiabilité ou se resserrent sur des priorités nationales, et chaque organisation se trouve renvoyée à la formulation de ses propres règles. L'IA donne à cette obligation éditoriale une dimension exécutable. Une telle règle quitte le document de politique générale relu une fois l'an pour devenir du code, versionné, testé, opposable aux agents comme aux auditeurs. L'organisation qui a laissé cette exigence implicite découvrira sa posture réelle dans le comportement de ses agents, après coup. L'antifragilité demande ici sa reformulation. Se renforcer sous la contrainte supposait un temps d'apprentissage entre deux chocs, et ce temps se comprime. Une organisation antifragile en 2026 est celle dont la boucle d'apprentissage tourne à la cadence de son environnement, celle qui convertit chaque perturbation en règle exécutable sans attendre le prochain comité. Cette boucle peut même être alimentée volontairement. Des agents offensifs internes qui éprouvent en continu les contraintes des agents défensifs installent, à cadence machine, le régime de stress mesuré dont se nourrissent les systèmes qui se renforcent. Le concept trouve là son application la plus concrète depuis qu'il circule dans le métier. Le CISO devient l'arbitre de cette cadence. Son rôle se déplace vers une garantie d'un ordre nouveau : que les décisions déléguées aux machines restent l'expression fidèle d'une posture choisie. Reste à mesurer combien d'organisations ont réellement formulé cette posture avant de la déléguer, et combien découvriront, dans le comportement de leurs agents, que le choix restait à faire. --- *Article publié dans Global Security Mag N°64 (août – octobre 2026), pages 36-37, dossier « l'IA dans tous ses états ».* ![](https://storage.ghost.io/c/2e/3d/2e3d92e5-7b15-4c7a-818b-d2b794f24466/content/images/2026/09/gsmag64_page1-1.jpg) ![](https://storage.ghost.io/c/2e/3d/2e3d92e5-7b15-4c7a-818b-d2b794f24466/content/images/2026/09/gsmag64_page2-1.jpg)