Audit des systèmes d’intelligence artificielle
- Durée
- Durée :3 jours
- Niveau
- Niveau :Intermédiaire
- Certification
- Certification :Non
2340€ HT
Prochaine session :
Sécurité des systèmes d'intelligence artificielle
Comprendre les impacts de l’intelligence artificielle sur la cybersécurité et la gouvernance des systèmes d’informationDescription de la formation IA securite operationnelle
Qu’est-ce que l’intelligence artificielle appliquée à la sécurité opérationnelle ?
L’intelligence artificielle bouleverse la cybersécurité. Elle renforce la détection des menaces, mais introduit aussi de nouvelles vulnérabilités et dépendances technologiques. Comprendre ces interactions est devenu un enjeu clé pour la gouvernance des systèmes d’information.
Pourquoi suivre une formation « Intelligence artificielle et sécurité opérationnelle » ?
Cette formation fournit une vision stratégique et opérationnelle des liens entre IA et sécurité : comment l’IA améliore la supervision, l’analyse des menaces et la réponse à incident, mais aussi comment l’usage croissant d’outils d’IA générative expose les organisations à de nouveaux risques. Les participants acquièrent les repères nécessaires pour intégrer l’IA dans la politique de cybersécurité et de gestion des risques du SI.
Programme de la formation
Objectif opérationnel :
Savoir évaluer les opportunités et les risques de l’intelligence artificielle dans la cybersécurité et la gouvernance des systèmes d’information.
Objectif pédagogiques :
À l'issue de cette formation Intelligence artificielle et sécurité opérationnelle, vous aurez acquis les connaissances nécessaires pour :
- Maîtriser le vocabulaire, les concepts clés et les systèmes d’IA, notamment les modèles de langage (LLM), afin d’en comprendre les problématiques
- Identifier, analyser et qualifier les problématiques liées aux usages de l’IA, incluant les risques cybersécurité, juridiques, éthiques et organisationnels
- Encadrer et gouverner les usages de l’IA au sein de leur organisation, en tenant compte des rôles, des responsabilités et des obligations réglementaires applicables
- Mettre en œuvre des mesures opérationnelles de réduction des risques liés aux systèmes d’IA, fondées sur une analyse de risques structurée et documentée
- Intégrer la cybersécurité, la conformité et l’éthique dès la conception et tout au long du cycle de vie des projets d’IA, afin de déployer des systèmes d’IA maîtrisés, conformes et responsables
Jour 1 – Matin
Brève histoire de l'IA : des systèmes experts aux LLM
L'écosystème actuel : acteurs, usages, tendances, perspectives
Usage de l'IA par les attaquants (très succinctement)Fonctionnement des systèmes d'IACycle de vie d'un système d'IA
Les données au cœur de l'IA : jeux d'entraînement, biais, qualité (enjeux éthiques et juridiques)
Les grands types d'apprentissage
Focus sur les modèles de langage (LLM) : tokenisation, embeddings, attention
Modes de déploiement : on-premise, cloud, API, edge
Du modèle de fondation à la spécialisation : modèles pré-entraînés, fine-tuning, RAG
Chaîne d'approvisionnement de l'IA : AI software bill of materials, acteurs de la donnée, capacité de calcul
Interconnexion avec un système d'IA : serveur MCPJour 1 – Après-midi
IA interne vs IA exposée aux clients
Shadow AI : risques et détection
Inventaire des systèmes d'IA : lien explicite avec les obligations d'inventaire (AI Act, gouvernance IA)
Intégrité
Disponibilité
ConfianceVocabulaire et concepts clésSûreté de fonctionnement (biais, performance) vs sécurité (cyber)
Définition des concepts d'explicabilité, d'opacité, de déterminisme
Jailbreak, prompt injection etc.T.P. : Jailbreak
AI safety institute
Stratégie nationale de l'IA (3 phases)
Gouvernance nationale du RIA (= AI Act)Règlement européen sur l'Intelligence Artificielle (AI Act)Genèse, objectifs et calendrier d'application
Classification des systèmes d'IA par niveau de risque
Obligations par catégorie : systèmes interdits, haut risque, risque limité, risque minimal -
logique par les risques
Exigences pour les systèmes à haut risque : données, documentation, supervision humaine
Obligations spécifiques aux modèles d'IA à usage général (GPAI)
Gouvernance européenne
Sanctions et mise en conformité
Positionnement du SIA dans l'écosystème juridique
Notion clé : la règle applicable dépend du rôle (fournisseur / déployeur), du niveau de risque, du contexte sectorielArticulation avec les autres réglementationsAI Act et RGPD : protection des données personnelles dans l'IA
AI Act et NIS2 : systèmes d'IA critiques
AI Act et règlements sectoriels (focus DORA - résilience opérationnelle/numérique)
Articulation de l'IA avec CSA, CRA (schéma de certification, surveillance de produit,
présomption de conformité)
Articulation des notifications d'incident
Comparaison internationale
Évolution Omnibus ?Normes et référentiels internationauxISO/IEC 42001 : Système de management de l'IA
ISO/IEC 23894 : Gestion des risques de l'IA
ISO/IEC 38507 : Gouvernance de l'IA
ISO/IEC 25059 : Qualité des systèmes d'IA
ISO/IEC 27090 : Mesures de sécurité pour l'IA
Articulation avec ISO 27001Référentiels et guides sectorielsANSSI
ENISA : bonnes pratiques de sécurité de l'IA
NIST AI Risk Management Framework (AI RMF)
MAJ 02/02/2026
ISACA : AI Audit Framework
CSA AI Safety Initiative et Cloud Controls Matrix for AIResponsabilités et qualification des acteursFournisseur vs déployeur
Impacts juridiques selon le niveau de risque du SIA
Responsabilités administrative, contractuelle et pénale (vue d'ensemble)
Chaîne d'approvisionnement IA : dépendances critiques, responsabilité en cas de défaillance
Interconnexions → propagation des risquesOutil pratiqueT.P. Checklist juridique : questions clés à se poser face à un SIAJour 2 - Matin
Focus sur les attaques par injection de prompt
OWASP Top 10 for LLM : Utiliser ce référentiel pour sécuriser les applications basées sur des
modèles de langage
MITRE ATLASVulnérabilités courantes des systèmes d'IAJour 2 – Après-midi
Normes du CEN/CENELECAdaptation des méthodes classiques aux spécificités de l'IAPrise en compte du cycle de vie des systèmes d'IA
Intégration des risques liés aux données, aux modèles et à la chaîne d'approvisionnement
Articulation entre risques techniques, juridiques et éthiquesArticulation avec le cadre réglementaireIntégration des exigences du AI Act dans la démarche d'analyse de risques
Cohérence avec la gestion des risques IA au sens de l'ISO/IEC 23894
Alignement avec les obligations de documentation, de supervision humaine et de gestion des incidentsRisques spécifiques aux systèmes d'IA : lecture technique, juridique et éthiqueRisques liés aux modèles de langage (LLM) : Opacité des modèles : limites d'explicabilité / obligation de supervision humaine (AI Act) / enjeux de responsabilité en cas de décision contestée
Hallucinations : production d'informations erronées ou trompeuses / risques décisionnels,
juridiques et réputationnels / nécessité de mécanismes de validation et de reprise de contrôle humain
Risques liés aux modes de déploiement : Cloud / API / On-premise
Autres risquesJour 3 - Matin
Rôles et responsabilités : RSSI, DPO, Chief AI Officer, AI Ethics Officer
Comitologie : comité IA, instances de gouvernance
Alignement avec la stratégie d'entreprise et la stratégie SSIPolitique de Sécurité des Systèmes d'Information et IAIntégration de l'IA dans la PSSI existante
Politique de sécurité spécifique à l'IA (PSSI-IA)
Articulation avec les autres politiques (données, cloud, etc.)
Principes directeurs et exigences minimalesCorpus documentaireCharte d'utilisation de l'IA
Charte éthique de l'IA (Rôle stratégique et décisionnel)
Procédures opérationnelles : validation, déploiement, retrait
Guide des bonnes pratiques utilisateurs
Registre des systèmes d'IA
Questionnaire cadrage projet (en amont de l'AR)T.P. : Cas pratique avec rédaction d'une politique ou charte (sécu) IACadre de gouvernance IA de confiancePrincipes d'une IA responsable
Supervision humaine des décisions
Documentation et transparence
Mécanismes de contrôle et de surveillance continue
Éthique comme outil d'arbitrage et de gestion des risques
Arbitrer entre : performance / explicabilité ou automatisation / supervision
Cas réels d'arbitrageIndicateurs et pilotageDéfinition des KPI spécifiques à l'IA
Tableaux de bord sécurité IA
Reporting à la direction et aux instances de gouvernanceJour 3 – Après-midi
Privacy by design et by default
Points de contrôle sécurité dans le cycle projet
Rôle du RSSI dans les projets IAÉvaluation des projets IAAnalyse de risques projet
Évaluation d'impact (AIPD / FRIA)
Critères de validation sécurité
Comité de validation des projets IA : les critères concrets - pourquoi dire non ?
Publics cibles : collaborateur, dirigeants, métiers, IT, développeurs
Messages clés par population
Risques liés aux usages non maîtrisés (Shadow AI)
Exemple : le protocole « Think First, Verify Always »
Dilemmes éthiques concretsModalités de sensibilisationFormats : e-learning, ateliers, serious games, communications
Cas pratiques et mises en situation
Campagnes de sensibilisation aux risques IA (prompt injection, fuites de données)
Évaluation de l'efficacité des actionsFormation et compétencesMontée en compétences des équipes sécurité sur l'IA
Formation des développeurs à la sécurité de l'IA
Autres besoins de formations
Clauses contractuelles essentielles
Transfert et partage de responsabilité
Gestion de la relation fournisseur
Points d'attention
Comparaison avec : incident NIS2 / violation de données RGPD / incident DORA
Articulation des obligations de notification : autorités compétentes / délais / périmètres
Spécificité du besoin de redondance des systèmes d'IAJour 4
Fondamentaux de l'Intelligence Artificielle
Introduction à l'Intelligence ArtificielleDéfinitions et périmètre : IA, Machine Learning, Deep Learning, IA générative, agentiqueBrève histoire de l'IA : des systèmes experts aux LLM
L'écosystème actuel : acteurs, usages, tendances, perspectives
Usage de l'IA par les attaquants (très succinctement)Fonctionnement des systèmes d'IACycle de vie d'un système d'IA
Les données au cœur de l'IA : jeux d'entraînement, biais, qualité (enjeux éthiques et juridiques)
Les grands types d'apprentissage
Focus sur les modèles de langage (LLM) : tokenisation, embeddings, attention
Modes de déploiement : on-premise, cloud, API, edge
Du modèle de fondation à la spécialisation : modèles pré-entraînés, fine-tuning, RAG
Chaîne d'approvisionnement de l'IA : AI software bill of materials, acteurs de la donnée, capacité de calcul
Interconnexion avec un système d'IA : serveur MCPJour 1 – Après-midi
Cartographie des usages de l'IA en entreprise
Cas d'usage par domaine métier / secteur d'activitéIA interne vs IA exposée aux clients
Shadow AI : risques et détection
Inventaire des systèmes d'IA : lien explicite avec les obligations d'inventaire (AI Act, gouvernance IA)
Objectifs et enjeux de sécurité de l'IA
Les critères de sécurité classiques appliqués à l'IAConfidentialitéIntégrité
Disponibilité
ConfianceVocabulaire et concepts clésSûreté de fonctionnement (biais, performance) vs sécurité (cyber)
Définition des concepts d'explicabilité, d'opacité, de déterminisme
Jailbreak, prompt injection etc.T.P. : Jailbreak
Conformité et cadre réglementaire de l'IA
Structure de gouvernance étatique de l'IAArticulation et périmètre de responsabilités des entités de régulationAI safety institute
Stratégie nationale de l'IA (3 phases)
Gouvernance nationale du RIA (= AI Act)Règlement européen sur l'Intelligence Artificielle (AI Act)Genèse, objectifs et calendrier d'application
Classification des systèmes d'IA par niveau de risque
Obligations par catégorie : systèmes interdits, haut risque, risque limité, risque minimal -
logique par les risques
Exigences pour les systèmes à haut risque : données, documentation, supervision humaine
Obligations spécifiques aux modèles d'IA à usage général (GPAI)
Gouvernance européenne
Sanctions et mise en conformité
Positionnement du SIA dans l'écosystème juridique
Notion clé : la règle applicable dépend du rôle (fournisseur / déployeur), du niveau de risque, du contexte sectorielArticulation avec les autres réglementationsAI Act et RGPD : protection des données personnelles dans l'IA
AI Act et NIS2 : systèmes d'IA critiques
AI Act et règlements sectoriels (focus DORA - résilience opérationnelle/numérique)
Articulation de l'IA avec CSA, CRA (schéma de certification, surveillance de produit,
présomption de conformité)
Articulation des notifications d'incident
Comparaison internationale
Évolution Omnibus ?Normes et référentiels internationauxISO/IEC 42001 : Système de management de l'IA
ISO/IEC 23894 : Gestion des risques de l'IA
ISO/IEC 38507 : Gouvernance de l'IA
ISO/IEC 25059 : Qualité des systèmes d'IA
ISO/IEC 27090 : Mesures de sécurité pour l'IA
Articulation avec ISO 27001Référentiels et guides sectorielsANSSI
ENISA : bonnes pratiques de sécurité de l'IA
NIST AI Risk Management Framework (AI RMF)
MAJ 02/02/2026
ISACA : AI Audit Framework
CSA AI Safety Initiative et Cloud Controls Matrix for AIResponsabilités et qualification des acteursFournisseur vs déployeur
Impacts juridiques selon le niveau de risque du SIA
Responsabilités administrative, contractuelle et pénale (vue d'ensemble)
Chaîne d'approvisionnement IA : dépendances critiques, responsabilité en cas de défaillance
Interconnexions → propagation des risquesOutil pratiqueT.P. Checklist juridique : questions clés à se poser face à un SIAJour 2 - Matin
Gestion des risques de l'Intelligence Artificielle
Exercice pratique d'évaluation des risques IA / étude de casÉtat de la menace portant sur les systèmes d'IAReprendre publication ANSSI (février 2026)Typologie d'attaquesEmpoisonnement / Extraction / ÉvasionFocus sur les attaques par injection de prompt
OWASP Top 10 for LLM : Utiliser ce référentiel pour sécuriser les applications basées sur des
modèles de langage
MITRE ATLASVulnérabilités courantes des systèmes d'IAJour 2 – Après-midi
Gestion des risques de l'Intelligence Artificielle (suite)
Scénarios de risques génériques les plus majeursMéthodologie d'analyse de risques applicableISO 27005 / EBIOS RMNormes du CEN/CENELECAdaptation des méthodes classiques aux spécificités de l'IAPrise en compte du cycle de vie des systèmes d'IA
Intégration des risques liés aux données, aux modèles et à la chaîne d'approvisionnement
Articulation entre risques techniques, juridiques et éthiquesArticulation avec le cadre réglementaireIntégration des exigences du AI Act dans la démarche d'analyse de risques
Cohérence avec la gestion des risques IA au sens de l'ISO/IEC 23894
Alignement avec les obligations de documentation, de supervision humaine et de gestion des incidentsRisques spécifiques aux systèmes d'IA : lecture technique, juridique et éthiqueRisques liés aux modèles de langage (LLM) : Opacité des modèles : limites d'explicabilité / obligation de supervision humaine (AI Act) / enjeux de responsabilité en cas de décision contestée
Hallucinations : production d'informations erronées ou trompeuses / risques décisionnels,
juridiques et réputationnels / nécessité de mécanismes de validation et de reprise de contrôle humain
Risques liés aux modes de déploiement : Cloud / API / On-premise
Autres risquesJour 3 - Matin
Gouvernance de la sécurité de l'IA
Stratégie et organisationPositionnement de la sécurité de l'IA dans l'organisationRôles et responsabilités : RSSI, DPO, Chief AI Officer, AI Ethics Officer
Comitologie : comité IA, instances de gouvernance
Alignement avec la stratégie d'entreprise et la stratégie SSIPolitique de Sécurité des Systèmes d'Information et IAIntégration de l'IA dans la PSSI existante
Politique de sécurité spécifique à l'IA (PSSI-IA)
Articulation avec les autres politiques (données, cloud, etc.)
Principes directeurs et exigences minimalesCorpus documentaireCharte d'utilisation de l'IA
Charte éthique de l'IA (Rôle stratégique et décisionnel)
Procédures opérationnelles : validation, déploiement, retrait
Guide des bonnes pratiques utilisateurs
Registre des systèmes d'IA
Questionnaire cadrage projet (en amont de l'AR)T.P. : Cas pratique avec rédaction d'une politique ou charte (sécu) IACadre de gouvernance IA de confiancePrincipes d'une IA responsable
Supervision humaine des décisions
Documentation et transparence
Mécanismes de contrôle et de surveillance continue
Éthique comme outil d'arbitrage et de gestion des risques
Arbitrer entre : performance / explicabilité ou automatisation / supervision
Cas réels d'arbitrageIndicateurs et pilotageDéfinition des KPI spécifiques à l'IA
Tableaux de bord sécurité IA
Reporting à la direction et aux instances de gouvernanceJour 3 – Après-midi
Sécurité de l'IA et gestion de projet
Intégration de la sécurité dans les projets IASecurity by design pour l'IAPrivacy by design et by default
Points de contrôle sécurité dans le cycle projet
Rôle du RSSI dans les projets IAÉvaluation des projets IAAnalyse de risques projet
Évaluation d'impact (AIPD / FRIA)
Critères de validation sécurité
Comité de validation des projets IA : les critères concrets - pourquoi dire non ?
Sécurité de l'IA et ressources humaines
Programme de sensibilisation à l'IAObjectifs et enjeux de la sensibilisationPublics cibles : collaborateur, dirigeants, métiers, IT, développeurs
Messages clés par population
Risques liés aux usages non maîtrisés (Shadow AI)
Exemple : le protocole « Think First, Verify Always »
Dilemmes éthiques concretsModalités de sensibilisationFormats : e-learning, ateliers, serious games, communications
Cas pratiques et mises en situation
Campagnes de sensibilisation aux risques IA (prompt injection, fuites de données)
Évaluation de l'efficacité des actionsFormation et compétencesMontée en compétences des équipes sécurité sur l'IA
Formation des développeurs à la sécurité de l'IA
Autres besoins de formations
Sécurité de l'IA et relations contractuelles
Cartographie des prestataires IAClauses contractuelles essentielles
Transfert et partage de responsabilité
Gestion de la relation fournisseur
Points d'attention
Résilience des systèmes d'IA
Définition de l'« incident grave » au sens de l'AI ActComparaison avec : incident NIS2 / violation de données RGPD / incident DORA
Articulation des obligations de notification : autorités compétentes / délais / périmètres
Spécificité du besoin de redondance des systèmes d'IAJour 4
Cas pratique (global)
Rappel des concepts fondamentaux / Questions / Retex à chaud
Public cible :
Ce cours s'adresse aux RSSI et leurs adjoints, correspondants locaux de cybersécurité, chefs de projet, ingénieurs IA et plus globalement aux consultants cybersécurité.
Prérequis :
Pour suivre cette formation, il est nécessaire de disposer d’une expérience au sein d’une direction des systèmes d’information (DSI), en tant qu’informaticien, ingénieur, consultant ou fonction assimilée, ou justifier d’une bonne culture générale des systèmes d’information. Il est également nécessaire d'avoir des notions de base en sécurité des systèmes d’information (comprendre les principes de confidentialité, intégrité, disponibilité, gestion des risques).
J'évalue mes connaissances pour vérifier que je dispose des prérequis nécessaires pour profiter pleinement de cette formation en faisant le test de prérequis.
Date de mise à jour du programme : 13/02/2026
Dates et lieux
Période souhaitée
Lieux
Type d'affichage