Ce que révèle cette semaine l’intelligence artificielle Claude Mythos ne relève pas d’une simple prouesse technique. C’est un changement de régime. Jusqu’ici, une idée implicite structurait notre approche des risques numériques : les cyberattaques les plus sophistiquées exigeaient du temps, des compétences élevées et des moyens conséquents. Cette réalité appartient désormais au passé.

Lorsqu’une intelligence artificielle parvient à identifier et exploiter de manière autonome des failles zero-day dans des systèmes majeurs, y compris des vulnérabilités anciennes restées invisibles pendant des décennies, ce n’est pas seulement la puissance de l’outil qui interpelle. C’est la chute brutale du coût, du délai et du niveau d’expertise nécessaires pour attaquer.

Le phénomène est global. Pour les hôpitaux, il devient existentiel.

Dans le monde d’hier, il était admis que le risque zéro n’existait pas. Dans celui qui s’annonce, une autre évidence s’impose : l’exposition inutile n’est plus acceptable.

Le risque cyber n’est plus un risque technique parmi d’autres. Pour un hôpital, il devient un risque stratégique majeur. Les conséquences sont connues : arrêt d’activité, désorganisation, perte d’accès aux données, atteinte à la continuité des soins, érosion de la confiance.

Cette évolution oblige à rouvrir plusieurs débats.

Faut-il maintenir une ouverture large à Internet au sein des infrastructures hospitalières ? Faut-il continuer à accumuler des centaines de logiciels, d’interfaces et de dépendances techniques ? Et faut-il encore considérer comme une évidence qu’un pays gagnerait en centralisant l’ensemble des dossiers patients dans un outil unique ?

En matière de cybersécurité, la concentration n’est pas toujours synonyme de robustesse. Elle peut devenir une fragilité systémique. Centraliser les données, c’est aussi accroître leur attractivité et simplifier la tâche des attaquants.

Il ne s’agit pas de freiner la transformation numérique du secteur de la santé. Mais de la repenser.

Une santé numérique résiliente repose sur d’autres principes : la segmentation des systèmes, la sobriété applicative, la capacité à fonctionner en mode dégradé, et surtout la possibilité de continuer à soigner lorsque le numérique fait défaut.

La cybersécurité hospitalière ne relève plus uniquement de la technique. Elle touche à la gouvernance, à la sécurité des soins et, au-delà, à une forme de souveraineté sanitaire.

> Pour en savoir plus sur l'IA Claude Mythos