Sommet cybersécurité de Safaricom : l’IA ne créera de confiance qu’avec des contrôles mesurables

Un opérateur place la sécurité au niveau de la stratégie

Safaricom a organisé son Cybersecurity Summit 2026 le 14 octobre à Nairobi sous le thème « Harnessing AI, Strengthening Security ». Le programme réunissait dirigeants, responsables publics, experts techniques et fournisseurs autour de la résilience, du cloud, de l’intelligence artificielle et de la protection de l’économie numérique.

Le message de l’organisateur était clair : la cybersécurité ne doit plus être considérée uniquement comme une fonction défensive, mais comme une condition de l’innovation, de la confiance et de la croissance. Pour un opérateur dont les services soutiennent les communications, les paiements et de nombreuses entreprises, cette évolution est logique. Une nouvelle fonctionnalité assistée par IA peut accroître la qualité du service, mais aussi élargir la surface d’attaque et accélérer les erreurs.

Le site officiel annonçait un programme composé à 70 % d’ateliers, démonstrations et sessions techniques, contre 30 % de contenus stratégiques. Il mentionnait des représentants du ministère kényan des TIC, de Safaricom, de Microsoft, de Cloudflare et de plusieurs fournisseurs de sécurité. Les sources publiques ne fournissent toutefois pas un compte rendu exhaustif des décisions ou engagements pris. L’analyse qui suit évalue donc la logique du thème et les contrôles nécessaires pour la rendre opérationnelle.

L’IA ajoute une chaîne d’approvisionnement invisible

Un service d’IA moderne dépend rarement d’un seul composant. Il peut combiner une interface locale, une API de modèle, un fournisseur cloud, une base vectorielle, des sources documentaires et des outils capables d’exécuter des actions. Chacun ajoute des données, des autorisations et des conditions contractuelles. Sans inventaire, l’organisation ne sait plus précisément où circulent les informations de ses clients.

Pour un opérateur télécom ou un service de paiement, les données peuvent révéler des relations, des habitudes, des localisations ou des vulnérabilités économiques. Envoyer un extrait de conversation ou un dossier d’assistance vers un modèle externe n’est donc pas une simple décision de productivité. Il faut connaître la finalité, la base juridique, les durées de conservation, les pays de traitement et les usages secondaires éventuels du fournisseur.

La première mesure n’est pas un outil sophistiqué : c’est un registre des systèmes d’IA et de leurs flux. Chaque usage devrait avoir un propriétaire métier, un responsable technique, une classification des données et un scénario de retrait. Les projets pilotes qui ne peuvent pas répondre à ces quatre questions ne devraient pas atteindre la production.

Sécuriser les décisions, pas seulement le modèle

Les débats sur la sécurité de l’IA se concentrent souvent sur le vol du modèle ou l’empoisonnement des données. Dans les services réels, le risque le plus immédiat vient parfois de la confiance excessive accordée à une sortie plausible. Un assistant peut mal résumer une règle, révéler une information provenant d’un autre dossier ou exécuter une instruction cachée dans un document.

Les contrôles doivent être proportionnés à l’effet de la décision. Un outil qui reformule un texte public ne nécessite pas les mêmes garanties qu’un système pouvant suspendre un compte, approuver une transaction ou modifier une configuration réseau. Plus l’effet est important, plus il faut limiter les outils accessibles, journaliser les étapes et exiger une validation humaine.

Les tests doivent également refléter le contexte africain : mélange de langues, appareils partagés, connexions intermittentes, fraude par ingénierie sociale et recours fréquent aux canaux mobiles. Un modèle performant sur un banc d’essai international peut mal interpréter une demande en swahili, un code-switching ou un scénario de mobile money. La sécurité inclut donc la qualité et l’équité du service, pas seulement la résistance à une attaque technique.

Les fournisseurs ne remplacent pas la gouvernance

La présence de grands fournisseurs au sommet permet de montrer des solutions et d’accélérer les transferts de connaissances. Elle crée aussi un risque de dépendance si l’architecture, les journaux ou les règles de détection deviennent indissociables d’une plateforme. Les acheteurs devraient exiger la portabilité des événements, des interfaces documentées, des conditions de sortie et une séparation claire entre données du client et télémétrie réutilisée par le fournisseur.

Une démonstration réussie ne prouve pas qu’un produit fonctionnera avec les volumes, les contraintes et les équipes de l’organisation. Avant un achat, un opérateur devrait tester un scénario réaliste : compromission d’un compte privilégié, abus d’une API, exfiltration lente ou interruption d’un service régional. Il devrait mesurer le temps de détection, la qualité des preuves, les actions manuelles nécessaires et la capacité à poursuivre en mode dégradé.

Le véritable transfert de compétence se mesure lorsque l’équipe interne peut modifier une règle, comprendre une alerte et conduire une investigation sans ouvrir systématiquement un ticket auprès du fournisseur.

Un tableau de bord de confiance pour les dirigeants

Présenter la sécurité comme un moteur de croissance impose de la mesurer avec des indicateurs compris par la direction. Le nombre d’alertes ou de licences ne suffit pas. Les dirigeants ont besoin de savoir quels services critiques sont couverts, combien de temps une équipe met à isoler un incident, quelle part des actifs est inconnue et combien de fournisseurs peuvent accéder aux données sensibles.

Pour les opérateurs et entreprises numériques africaines, cinq actions ressortent du thème du sommet :

• tenir un registre des usages d’IA, de leurs données et de leurs propriétaires ;
• séparer expérimentation et production avec des autorisations différentes ;
• tester les modèles contre les injections, les fuites et les erreurs propres aux usages locaux ;
• négocier la portabilité, la réversibilité et l’accès aux journaux ;
• relier les métriques de sécurité à la continuité des services et à l’impact client.

Le sommet de Safaricom a eu raison de rapprocher innovation et cybersécurité. Mais la confiance ne résultera pas automatiquement de l’adoption de l’IA ou de nouveaux produits. Elle sera produite par des responsabilités explicites, des contrôles testés et la capacité de démontrer, incident après incident, que les services essentiels restent maîtrisés.

— ◆ —