Quels coûts liés à la sécurité, à la conformité et à la surveillance doivent être pris en compte dans le calcul des coûts liés à l'IA ?

Les coûts liés à la sécurité, à la conformité et à la surveillance doivent être pris en compte dans tout calcul des coûts de l’IA, car ils représentent une part importante, et souvent sous-estimée, des dépenses totales liées à l’infrastructure d’IA. Il ne s’agit pas d’options facultatives, mais d’exigences opérationnelles qui évoluent en fonction du volume de données, des contraintes réglementaires et de la complexité de votre environnement d’IA. Pour les responsables informatiques d’entreprise qui élaborent un modèle réaliste de coût total de possession de l’IA, comprendre exactement quels coûts relèvent de ces catégories, et comment les classer et les répartir, fait toute la différence entre un budget qui tient la route et un budget qui vous réserve des surprises en cours d’année. Les sections ci-dessous répondent aux questions les plus courantes que nous posent les organisations confrontées à ce défi.

Quels sont les coûts liés à la sécurité qui sont généralement négligés lors du déploiement de l'IA ?

Les coûts liés à la sécurité qui sont le plus souvent négligés dans les déploiements d’IA sont ceux liés à la protection des données, au contrôle d’accès aux modèles et à la gestion des menaces adversariales. Contrairement à la sécurité des applications traditionnelles, les systèmes d’IA présentent des surfaces d’attaque spécifiques, notamment l’injection de prompts, l’inversion de modèles et l’empoisonnement des données, qui nécessitent des outils et une expertise dédiés, allant au-delà d’une pile de cybersécurité standard.

Les entreprises prévoient souvent dans leur budget des dépenses liées à la sécurité périmétrique, mais négligent les coûts de sécurité spécifiques à l'IA suivants :

• Chiffrement et tokenisation des données à grande échelle : Les modèles d'IA traitent d'importants volumes de données sensibles. Le chiffrement de ces données, tant en transit qu'au repos, notamment dans les environnements de cloud hybride, entraîne des coûts supplémentaires non négligeables en matière d'infrastructure et de licences.
• Gestion des identités et des accès (IAM) pour les points de terminaison des modèles : Pour contrôler qui peut interroger un modèle et dans quelles conditions, il faut mettre en place des politiques d'accès basées sur les rôles, un journal d'audit et, souvent, des outils IAM dédiés allant au-delà de ceux déjà en place.
• Analyse des vulnérabilités des pipelines d'IA : Le pipeline de formation et d'inférence lui-même, qui comprend les scripts d'ingestion de données, les couches de prétraitement et l'infrastructure de mise en service des modèles, nécessite des analyses de sécurité régulières que les outils standard de sécurité des applications ne sont pas conçus pour couvrir.
• Red Teaming et tests adversariaux : Le test des modèles face à des entrées adversaires est une exigence de plus en plus courante, en particulier pour les IA destinées au grand public. Ce travail nécessite des compétences spécialisées et un effort récurrent à mesure que les modèles sont mis à jour.
• Évaluation des risques liés aux modèles tiers : Lorsque vous utilisez des modèles de base proposés par des fournisseurs externes, l'évaluation de leur niveau de sécurité, de leurs pratiques en matière de traitement des données et de l'intégrité de leur chaîne d'approvisionnement entraîne des coûts supplémentaires qu'il est facile de négliger lors de l'élaboration du budget initial consacré à l'IA.

Ces coûts liés à la sécurité dans les déploiements d'IA s'accumulent à mesure que l'on passe à l'échelle. Un modèle isolé dans un environnement de test peut générer des coûts indirects minimes, mais un déploiement à l'échelle de l'entreprise, couvrant l'ensemble des divisions, multiplie considérablement chacun de ces postes de dépenses.

Quelles sont les exigences de conformité qui engendrent les coûts les plus élevés liés à l'IA ?

Les exigences de conformité qui engendrent les coûts les plus élevés liés à l'IA sont les obligations en matière de résidence des données, la loi européenne sur l'IA et les réglementations sectorielles telles que le RGPD, la loi HIPAA et les cadres réglementaires applicables aux services financiers comme la directive MiFID II. Chacune d'entre elles impose des exigences en matière de documentation, de traçabilité et de gouvernance qui se traduisent directement par des dépenses opérationnelles récurrentes.

En 2026, la loi européenne sur l’IA constituera le principal facteur de coûts supplémentaires pour les entreprises européennes. Les systèmes d’IA à haut risque, notamment ceux utilisés dans le recrutement, l’évaluation de la solvabilité, les soins de santé et les infrastructures critiques, doivent satisfaire à des exigences en matière d’évaluation de la conformité, de transparence et de contrôle humain. La mise en place et la mise à jour de la documentation, des pistes d’audit et des processus de contrôle humain nécessaires pour répondre à ces exigences ne constituent pas un coût ponctuel lié au projet. Il s’agit d’une dépense opérationnelle récurrente.

Parmi les autres domaines de mise en conformité particulièrement coûteux, on peut citer :

• Le RGPD et les droits des personnes concernées : Les systèmes d'IA qui traitent des données à caractère personnel doivent prendre en charge la suppression des données, les demandes d'accès et les exigences en matière d'explicabilité. L'intégration a posteriori de ces fonctionnalités dans un modèle déjà déployé est coûteuse ; les intégrer dès le départ revient moins cher, mais représente tout de même un investissement non négligeable.
• Exigences d'audit propres à chaque secteur : Dans les secteurs des services financiers et de la santé, les autorités de régulation exigent que tout système d'IA influençant des décisions réglementées fasse l'objet d'une explicabilité des modèles, de tests de biais et d'une gestion documentée des changements.
• Localisation des données : Pour maintenir les données d'entraînement et l'inférence des modèles à l'intérieur de limites géographiques spécifiques, il est souvent nécessaire de recourir à des régions cloud dédiées ou à une infrastructure sur site, deux solutions qui entraînent un surcoût par rapport aux déploiements standard.

Les coûts liés à la conformité en matière d'IA ne sont pas fixes. À mesure que la réglementation évolue et que les auditeurs formulent des attentes plus précises, les organisations doivent s'attendre à une augmentation annuelle de ces coûts plutôt que de considérer la mise en œuvre initiale comme l'investissement total.

En quoi la surveillance des modèles d'IA diffère-t-elle des coûts liés à la surveillance informatique traditionnelle ?

La surveillance des modèles d'IA diffère de la surveillance informatique traditionnelle, car elle doit non seulement suivre les performances du système (telles que la disponibilité, la latence et les taux d'erreur), mais aussi le comportement du modèle au fil du temps. Cela inclut la détection de la dérive des données, de la dérive conceptuelle, de l'amplification des biais et de la dégradation des résultats, phénomènes qui peuvent tous se produire même lorsque l'infrastructure sous-jacente fonctionne parfaitement.

Les outils traditionnels de surveillance informatique sont axés sur l'état de l'infrastructure et des applications. Ils permettent de répondre à des questions telles que : « Le serveur est-il opérationnel ? », « L'API répond-elle ? », « La requête sur la base de données est-elle lente ? ». En revanche, ces outils ne permettent pas de répondre à des questions telles que : « Le modèle continue-t-il à fournir des prévisions précises ? », « La distribution des données d'entrée a-t-elle suffisamment évolué pour affecter la qualité des résultats ? », « Le modèle produit-il des résultats susceptibles d'engendrer un risque réglementaire ou de réputation ? ».

Parmi les coûts supplémentaires liés à la surveillance des modèles d'IA, on peut citer :

• Plateformes dédiées à la surveillance MLOps : Des outils tels qu’Evidently AI, Arize ou Fiddler sont spécialement conçus pour l’observabilité des modèles. Leurs coûts de licence ne relèvent absolument pas du budget traditionnel dédié à la surveillance informatique.
• Collecte et étiquetage des données de référence : Pour évaluer la précision d'un modèle au fil du temps, il faut disposer de données étiquetées afin de les comparer aux résultats fournis par le modèle. La collecte, le stockage et l'étiquetage de ces données représentent un coût opérationnel récurrent.
• Processus de révision humaine : Pour les systèmes d'IA à enjeux élevés, la surveillance automatisée doit être associée à des processus de vérification humaine, ce qui entraîne des coûts de personnel sans équivalent dans les opérations informatiques traditionnelles.
• Parcours de reconversion : Lorsque le système de surveillance détecte une dégradation, le réentraînement du modèle nécessite des ressources de calcul, de stockage et du temps de travail des ingénieurs. Il s'agit là d'un coût lié à la surveillance auquel les environnements informatiques traditionnels ne sont pas confrontés.

Lors de l'élaboration d'un calcul des coûts liés à l'IA, le suivi des coûts générés par les déploiements d'IA doit être modélisé sous forme de pourcentage des dépenses informatiques totales, et non comme un poste fixe, car ces coûts évoluent en fonction de l'utilisation et de la complexité des modèles.

Les coûts liés à la sécurité et à la conformité doivent-ils être considérés comme des dépenses d'investissement (CapEx) ou des dépenses d'exploitation (OpEx) dans un budget consacré à l'IA ?

Dans la plupart des budgets d'IA des entreprises, les coûts liés à la sécurité et à la conformité doivent être considérés comme des dépenses d'exploitation (OpEx) plutôt que comme des dépenses d'investissement (CapEx). Il s'agit en effet d'obligations récurrentes et permanentes, et non d'investissements ponctuels dans un actif amortissable. Font exception les infrastructures de sécurité spécialement conçues à cet effet, telles que les modules matériels de sécurité dédiés ou les infrastructures de conformité sur site, qui peuvent être considérées comme des immobilisations selon les principes comptables de votre organisation.

Le caractère opérationnel des coûts liés à la sécurité et à la conformité en matière d'IA reflète la manière dont ces obligations se concrétisent dans la pratique. La conformité ne s'acquiert pas en une seule fois. Elle doit être maintenue en permanence par le biais d'audits, de mises à jour de la documentation, de révisions des politiques, de formations du personnel et d'abonnements à des outils. De même, les analyses de sécurité, la gestion des accès et les tests adversariaux sont des activités récurrentes, et non des mises en œuvre ponctuelles.

Du point de vue de la gestion financière des technologies de l'information, il est important de classer correctement ces coûts pour plusieurs raisons :

• Les coûts d'exploitation (OpEx) sont directement comptabilisés dans le compte de résultat et ont une incidence sur le budget de la période en cours, ce qui permet aux équipes financières de les visualiser en temps réel.
• Les coûts d'investissement (CapEx) sont répartis sur la durée de vie utile d'un actif, ce qui peut masquer le coût réel et récurrent lié à l'exploitation d'un système d'IA conforme.
• De nombreux outils de sécurité et de conformité basés sur le cloud fonctionnent selon un modèle d'abonnement, que les normes comptables considèrent déjà par défaut comme des charges d'exploitation (OpEx).

Si votre organisation utilise Pratiques FinOps Pour gérer les dépenses liées au cloud, l'intégration des coûts liés à la sécurité et à la conformité basés sur l'IA dans votre cadre d'imputation des coûts du cloud garantit que ces dépenses sont visibles, correctement imputées et associées aux unités opérationnelles à l'origine de l'engagement correspondant.

Quels outils permet de suivre les dépenses liées à la sécurité et à la conformité en matière d'IA ?

Les entreprises suivent leurs dépenses en matière de sécurité et de conformité liées à l'IA en combinant des outils de gestion des coûts natifs du cloud, des plateformes MLOps dédiées et des cadres de gestion financière informatique. Aucun outil ne permet à lui seul d'avoir une vue d'ensemble, c'est pourquoi la visibilité des coûts dans ce domaine nécessite généralement l'intégration de plusieurs sources de données.

Les catégories d'outillage les plus couramment utilisées sont les suivantes :

• Consoles de gestion des coûts des fournisseurs de services cloud : AWS Cost Explorer, Azure Cost Management et Google Cloud Billing fournissent des ventilations des coûts basées sur des balises qui permettent d'isoler les dépenses liées aux services de sécurité, tels que la gestion des clés, la journalisation et les services d'identité, lorsque les charges de travail d'IA sont correctement balisées.
• Plateformes FinOps : Des outils tels qu’Apptio Cloudability fournissent des données de coûts normalisées pour l’ensemble des fournisseurs de cloud, ce qui vous permet d’imputer les coûts liés à la sécurité et à la conformité en matière d’IA à des équipes, des produits ou des unités opérationnelles spécifiques avec une plus grande précision que ne le permettent les consoles cloud natives.
• Plateformes GRC (gouvernance, risques et conformité) : Des outils tels que ServiceNow GRC ou OneTrust permettent de suivre les activités de conformité, les conclusions d'audit et les coûts liés aux mesures correctives, offrant ainsi aux équipes financières une visibilité sur les coûts de main-d'œuvre et d'outillage associés aux obligations réglementaires.
• Plateformes d'observabilité MLOps : Arize, Fiddler et d'autres outils similaires permettent de suivre les coûts liés à la surveillance des modèles et peuvent être intégrés à des cadres plus larges de reporting des coûts afin de rendre compte de l'ensemble des coûts de surveillance générés par les systèmes d'IA.
• Plateformes SIEM et d'analyse de la sécurité : Les outils de gestion des informations et des événements de sécurité engendrent des coûts liés à la collecte, au stockage et aux licences des données. Ces coûts doivent être imputés aux charges de travail liées à l'IA lorsque les systèmes d'IA contribuent de manière significative au volume des journaux.

Pour garantir un suivi efficace, il est nécessaire de procéder à un marquage cohérent des charges de travail d'IA au niveau de l'infrastructure, afin que les coûts liés à la sécurité, à la conformité et à la surveillance puissent être filtrés et imputés avec précision sur l'ensemble de ces plateformes.

Comment répartissez-vous les coûts liés à la surveillance de l'IA entre les différentes unités opérationnelles ?

Vous répartissez les coûts de surveillance de l'IA entre les différentes unités opérationnelles en les attribuant en fonction de l'utilisation des modèles, du volume de données traitées ou du nombre de requêtes d'inférence générées par chaque unité. Le choix de la méthode de répartition appropriée dépend de la manière dont votre organisation définit les responsabilités relatives aux systèmes d'IA et du niveau de détail avec lequel vos outils de surveillance peuvent rendre compte de l'utilisation par équipe ou par produit.

Il existe trois méthodes d'affectation qui ont fait leurs preuves dans la pratique :

1. Répartition en fonction de la consommation : Répartissez les coûts de surveillance proportionnellement au volume de prédictions, d'appels API ou de données traitées par les systèmes d'IA de chaque unité opérationnelle. Il s'agit de la méthode la plus précise, qui incite le plus fortement les équipes à optimiser l'utilisation de leurs modèles.
2. Citation directe : Lorsqu'une unité opérationnelle est entièrement responsable d'un modèle spécifique, imputez tous les coûts liés à la surveillance, à la sécurité et à la conformité directement au centre de coûts de cette unité. Cette approche fonctionne bien pour les initiatives d'IA de grande envergure et clairement délimitées.
3. Répartition des services partagés : Pour les plateformes d'IA centralisées ou les infrastructures de modèles de base partagés, considérez les coûts de surveillance comme un service partagé et répartissez-les selon une formule de répartition équitable fondée sur les effectifs, le chiffre d'affaires ou des facteurs de coût convenus.

Quelle que soit la méthode choisie, la logique de répartition doit être documentée, approuvée par les responsables financiers et les dirigeants des unités opérationnelles, et réexaminée au moins une fois par an à mesure que les modes d'utilisation de l'IA évoluent. Lier la répartition des coûts liés à la surveillance de l'IA à votre cadre plus large cadre FinOps dans le cloud garantit la cohérence avec la manière dont les autres coûts liés au cloud sont imputés et évite la création de structures de gouvernance parallèles qui alourdissent la charge administrative.

Pour les organisations qui gèrent une infrastructure d'IA couvrant plusieurs divisions, l'intégration de la répartition des coûts liés à l'IA dans un cadre de gestion technologique de l'entreprise (TBM) offre aux dirigeants une vue d'ensemble du coût total de possession de l'IA, y compris la sécurité, la conformité et la surveillance, en lien avec les services métier et les résultats que ces investissements permettent d'atteindre.

Comment nous vous aidons à gérer les coûts liés à l'infrastructure d'IA

Chez It’s Value, nous aidons les grandes entreprises à mettre en place la transparence financière et les structures de gouvernance nécessaires pour gérer les coûts liés aux infrastructures d’IA, notamment en matière de sécurité, de conformité et de suivi des dépenses, dans le cadre d’une stratégie cohérente de gestion financière des systèmes d’information. Plutôt que de considérer ces coûts comme des éléments secondaires, nous vous aidons à les intégrer dès le départ dans votre calcul des coûts liés à l’IA.

Plus précisément, nous vous accompagnons dans les domaines suivants :

• Conception de la répartition des coûts liés à l'IA : Définir des stratégies de marquage, des règles de répartition des coûts et des structures de reporting qui permettent aux responsables financiers et informatiques d'avoir une visibilité précise sur le coût réel de la sécurité et de la conformité en matière d'IA pour chaque unité opérationnelle.
• Évaluation du niveau de maturité FinOps : Évaluer vos pratiques actuelles en matière de gestion des coûts liés au cloud et à l'IA afin d'identifier les cas où les coûts générés par la surveillance des systèmes d'IA ne sont pas suivis ou sont mal classés.
• Recommandations relatives à la classification des dépenses d'investissement (CapEx) et des dépenses d'exploitation (OpEx) : Collaborer avec votre équipe financière afin de garantir que les investissements liés à la sécurité et à la conformité en matière d'IA soient classés de manière correcte et cohérente dans l'ensemble de votre cadre budgétaire.
• Intégration entre TBM et FinOps : Intégrer les données relatives aux coûts de l'IA à votre cadre global de gestion des activités technologiques afin que la direction puisse appréhender les dépenses liées à l'IA dans le contexte des résultats opérationnels, et non pas uniquement comme des postes budgétaires liés à l'infrastructure.

Si vous mettez en place ou affinez votre système de calcul des coûts liés à l'IA et que vous souhaitez vous assurer que les coûts liés à la sécurité, à la conformité et à la surveillance sont correctement pris en compte et gérés, contactez-nous pour discuter de la manière de s'y prendre.