Les dirigeants d’aujourd’hui partagent un même ressenti, celui d’une exposition permanente aux risques de crises. L’augmentation objective du nombre d’incidents cyber et la nouvelle nature des attaques avec l’IA renforcent ce sentiment et façonnent les conditions de la prise de décision.
La médiatisation immédiate de chaque incident, les obligations réglementaires de notification (RGPD, NIS2) qui rendent visibles ce qui se gérait autrefois en interne, l’interdépendance croissante des systèmes où une défaillance locale déclenche des effets en cascade, tout concourt à cette impression d’instabilité permanente.
Cette perception n’est pas qu’un biais. Elle reflète une transformation profonde du contexte décisionnel. Les programmes exécutifs qui ont formé la plupart des dirigeants — de la London Business School à l’INSEAD — reposent sur un postulat : celui de données fiables, de scénarios comparables, et de temps pour arbitrer.
Certes, la bulle internet au tournant des années 2000 avait déjà contraint à décider plus vite, à s’adapter à des cycles plus courts. Mais l’accélération technologique actuelle, combinée à l’instabilité géopolitique croissante et à la sophistication d’une cybercriminalité sournoise et puissante, change la nature et le tempo de la décision.
Aujourd’hui, l’incertitude n’est plus un moment à traverser avant de décider. Elle est devenue la condition permanente dans laquelle il faut agir. Il faut prendre des décisions sans connaître tous les tenants et aboutissants de la situation, sans une pleine compréhension de tous les enjeux en cause.
Dans cet article :
- Une formation des dirigeants à adapter à la réalité actuelle
- La spécificité des crises cyber-IA
- L’erreur stratégique
- La réhabilitation du jugement humain
- Du dirigeant-arbitre au dirigeant-orientateur
- Les implications concrètes pour les dirigeants
- Les 5 points à retenir
Une formation à adapter à la réalité actuelle
Les programmes de leadership traditionnels excellent à enseigner l’analyse stratégique, la gestion du changement, la négociation. Ils préparent à piloter des transformations organisationnelles, à arbitrer entre options documentées, à allouer des ressources sur la base de business cases structurés. Même le concept VUCA — volatilité, incertitude, complexité, ambiguïté — largement adopté depuis deux décennies, reste un cadre théorique qui nomme le problème sans toujours équiper pour y faire face.
Certaines institutions ont commencé à corriger le tir. Le programme Leadership Decision Making de la Harvard Kennedy School intègre explicitement la gestion de l’incertitude et des biais cognitifs.
Les approches de complex adaptive leadership reconnaissent qu’il faut d’autres cadres mentaux que ceux hérités des organisations hiérarchiques stables. Mais ces évolutions restent minoritaires. La majorité des dirigeants arrive aux commandes avec une boîte à outils conçue pour un environnement où l’information finit par se stabiliser, où les faits finissent par émerger, où attendre un peu permet de mieux décider.
Dans l’univers cyber-IA, ce réflexe devient dangereux.
La spécificité des crises cyber-IA : l’incertitude devient structurelle et chronique
Ce qui caractérise les crises cyber-IA n’est pas tant leur gravité — d’autres crises peuvent être tout aussi graves — que leur nature fondamentalement instable.
L’IA s’attaque à notre perception de la réalité et augmente la bataille concurrentielle. Les attaques cyber visent à déstabiliser nos économies, nos organes et processus de décision. Les tensions politiques s’intensifient dans plusieurs régions du monde, avec lesquelles nous échangeons.
Conséquence : l’incertitude n’est pas un brouillard temporaire qui se dissipe avec le temps. Elle est constitutive. Décider « après vérification complète » devient une impossibilité pratique.
Concrètement, trois dimensions basculent :
L’attribution devient incertaine.
Qui attaque ? Un groupe criminel ? Un acteur étatique déguisé en hackeurs opportunistes ? Un imitateur qui exploite une faille révélée ailleurs ? Les techniques d’obfuscation progressent plus vite que les capacités d’investigation. Europol et le FBI (IC3 Report) documentent cette réalité : l’explosion du vishing et des fraudes au faux dirigeant montre que même l’origine d’un ordre peut être mise en doute.
La chronologie devient floue.
L’attaque est-elle terminée ou seulement suspendue ? Les backdoors ont-elles été toutes identifiées ? L’adversaire est-il encore présent dans les systèmes, en observation, avant une nouvelle phase ? Dans certains cas, des mois séparent l’intrusion de sa détection. Le temps réel devient une fiction.
Les preuves deviennent instables.
Voix, vidéos, emails peuvent être synthétiques. Un appel du PDG peut être un deepfake. Un document signé peut être généré par IA. Cette fragilisation de la preuve ne relève plus de la science-fiction : elle est documentée comme risque systémique majeur par le Forum économique mondial dans son Global Risks Report.
L’incertitude n’est donc plus un déficit temporaire d’information. Elle est la texture même de la crise.
L’erreur stratégique : attendre une stabilisation avant de décider
Face à cette instabilité, le réflexe managérial classique consiste à suspendre la décision jusqu’à ce que les faits se clarifient. On attend le rapport d’expertise, puis on convoque une cellule de crise, s’il y en a une. On consolide les éléments avant de communiquer.
Cette prudence, qui fut longtemps une vertu, devient une erreur. Car, au moins trois mécanismes s’enclenchent :
La paralysie décisionnelle s’installe.
Les comités se multiplient, les analyses se succèdent, mais aucune orientation claire n’émerge. L’organisation attend un signal de la direction. La direction attend des certitudes des experts. Les experts attendent des données stabilisées. Personne ne bouge.
Le silence organisationnel se répand.
Faute de consigne, chacun interprète à sa manière. Les collaborateurs comblent le vide avec leurs propres hypothèses, souvent les plus anxiogènes. La rumeur interne devient plus structurante que la communication officielle absente.
Les décisions tardives finissent par tomber, mais dans des conditions dégradées
l’impact s’est aggravé, la confiance interne et externe s’est érodée, les options ont diminué. Le coût de l’inaction dépasse celui de l’action imparfaite.
Le paradoxe est brutal : ce n’est pas l’incertitude qui provoque la crise, c’est l’incapacité à agir dans l’incertitude.
Herbert Simon l’avait formalisé dès les années 1950 : la rationalité humaine est toujours limitée. Nous ne décidons jamais avec une information complète. Mais en crise cyber-IA, cette limite devient encore plus visible et brutale. Attendre des faits stabilisés n’est plus une prudence, c’est une démission.
Du dirigeant-arbitre au dirigeant-orienteur
La mutation doit être d’abord posturale. Passer de la figure classique du dirigeant-arbitre, qui tranche entre options documentées, à une figure émergente, le dirigeant-orienteur qui pose un cap malgré l’incertitude.
Le dirigeant-arbitre fonctionne par séquence.
il reçoit des analyses, compare des scénarios, délègue l’incertitude aux experts, communique une fois sûr. Ce modèle suppose que l’information finit par converger, que les faits finissent par parler, que la décision peut attendre sa maturité.
Le dirigeant-orienteur agit vite en naviguant à vue.
il pose un cap clair, malgré l’incomplétude de l’information. Il accepte que les données restent partielles, communique des intentions plutôt que des certitudes, ajuste en mouvement sans perdre la cohérence.
Cette distinction redistribue la responsabilité : l’orienteur ne peut pas se réfugier derrière « nous attendons d’en savoir plus ». Il assume de décider avec ce qu’il a, tout en sachant que ce qu’il a est insuffisant.
Précision essentielle : décider sans certitude ne signifie pas décider au hasard.
Les dirigeants décident déjà sans certitude dans des domaines jugés légitimes, comme les fusions-acquisitions aux impacts imprévisibles, les investissements stratégiques à quinze ans, les choix géopolitiques d’implantation dans des zones instables. Personne ne leur demande d’attendre la certitude.
La crise cyber-IA rend l’incertitude visible, immédiate, et brutale.
La réhabilitation du jugement humain
Pendant des lustres, l’idéal managérial a consisté à réduire la part du jugement humain au profit de processus, d’algorithmes, de modèles quantitatifs.
Les décisions reposent souvent sur des faits, des chiffres, du rationnel. Réduire le risque au maximum, comme si la mécanique était garante de la protection, l’humain étant perçu comme le maillon faible, source de biais, d’émotions parasites, d’erreurs évitables.
La littérature sur les biais cognitifs — notamment travaux de Daniel Kahneman — a renforcé cette défiance, avec un message implicite et clair : moins on laisse de place au jugement humain, mieux on décide. Or, quand les faits deviennent instables, cette logique s’inverse.
Ce que les outils ne peuvent pas faire devient précisément ce dont on a besoin.
Hiérarchiser des signaux contradictoires.
Deux experts disent l’inverse. Trois indicateurs techniques pointent dans des directions opposées. Aucun algorithme ne décide lequel privilégier quand tous sont partiellement vrais et partiellement faux.
Arbitrer entre risques hétérogènes.
Faut-il privilégier la sécurité technique, la continuité opérationnelle, la préservation de la réputation, la protection des données personnelles ? Ces risques ne se mesurent pas sur la même échelle. Leur pondération relève du jugement, pas du calcul.
Décider sans attendre plus d’information.
Savoir qu’on en sait assez pour agir, même si ce n’est pas suffisant pour être certain, est une compétence humaine. Aucun système ne fixe automatiquement le moment où l’attente devient plus coûteuse que l’action.
Contextualiser les éléments.
Face à une crise, comprendre ce qui se joue nécessite de situer l’événement dans plusieurs registres que la technologie ne peut pas saisir : économique, sociale, historique.
Cette capacité permet de proportionner la réponse, d’éviter la sur-réaction comme la sous-estimation, de maintenir la cohérence stratégique au-delà de l’incident. Aucune IA, aussi sophistiquée soit-elle, ne peut reconstruire cette épaisseur contextuelle qui résulte d’une expérience vécue, transmise, partagée.
Percevoir l’intangible par l’instinct, l’expérience, le sixième sens.
Un responsable sécurité qui « sent » qu’un incident apparemment mineur cache quelque chose de plus grave. Un directeur financier qui détecte une incohérence dans un virement pourtant parfaitement documenté. Un manager qui perçoit un changement de ton dans les échanges de son équipe.
Ces signaux faibles, impossibles à quantifier, sont tout aussi importants que les statistiques et les faits tangibles, qu’ils complètent. Dans un environnement où les preuves peuvent être synthétiques et les données manipulées, cette capacité redevient un atout stratégique.
Créer de la cohésion entre les équipes et les individus dans la prise de décisions
Dans les crises cyber-IA, la détection précoce repose sur une vigilance distribuée : les anomalies techniques, les incohérences administratives, les comportements inhabituels se manifestent d’abord à la périphérie de l’organisation, là où s’opèrent les transactions, les échanges, les flux quotidiens.
Si seule la direction est légitime à juger et à décider, un double risque apparaît : d’une part, les signaux faibles ne remonteront pas, faute de légitimité perçue pour les exprimer ; d’autre part, s’ils remontent, ils seront progressivement filtrés, reformulés, normalisés par les strates intermédiaires pour correspondre aux attentes supposées du sommet. Cette déperdition transforme une alerte précoce en diagnostic tardif.
Réhabiliter le jugement humain implique donc de :
- Former au jugement en situation d’incertitude, pas seulement aux processus et aux outils
- Légitimer la prise de décision à tous les niveaux, en donnant aux collaborateurs la latitude d’agir sur des signaux faibles sans attendre une validation hiérarchique complète
- Créer les conditions de la remontée sans filtre, où exprimer un doute, une intuition, un malaise ne soit pas perçu comme un manque de professionnalisme
Les sciences des organisations montrent que le jugement n’est pas un défaut à corriger mais une compétence à cultiver. Il s’entraîne, se calibre, se partage. Il repose sur l’expérience accumulée, sur la confrontation de perspectives, sur la capacité à tenir ensemble des éléments incompatibles.
L’humain n’est pas le maillon faible. Il est l’organe de décision ultime.
Ce que cela implique concrètement pour les dirigeants
Cette mutation exige de développer des compétences spécifiques, rarement enseignées dans les programmes classiques.
La tolérance à l’ambiguïté.
Accepter de ne pas savoir, sans pour autant renoncer à décider. Tenir la tension entre prudence et action. Refuser la paralysie sans basculer dans l’improvisation.
L’écoute active des signaux faibles.
Prêter attention à ce qui ne rentre pas dans les cadres habituels. Valoriser les remontées terrain, même floues, même contradictoires. Créer les conditions pour que l’incertitude remonte sans être édulcorée.
La capacité à décider « en mouvement ».
Poser une direction, observer les effets, ajuster sans perdre la cohérence. Assumer que la décision n’est plus un point mais un processus.
La clarté éthique et intentionnelle.
Quand les faits sont instables, ce qui tient l’organisation n’est plus la certitude technique mais la cohérence des intentions. Pourquoi on agit devient aussi important que comment on agit.
Ces compétences ne sont pas innées, mais se cultivent par l’exposition à des situations réelles, par la confrontation à des choix sans bonne réponse, par la réflexion après l’action.
Elles exigent aussi de l’humilité : reconnaître qu’on ne sait pas tout ne disqualifie pas, cela crédibilise.
Enfin, il faut garder en tête ce que la technologie, aussi avancée soit-elle, ne remplacera jamais :
- la responsabilité d’une décision prise dans le doute
- la crédibilité acquise par la cohérence dans le temps
- la confiance construite par la transparence sur ce qu’on ignore.
Les crises cyber-IA sont le nouveau régime normal. Attendre que l’incertitude se dissipe pour agir, c’est condamner l’organisation à subir. Diriger en zone grise exige une mutation profonde : accepter que l’information reste partielle, que les faits restent instables, et décider quand même — non pas malgré l’incertitude, mais avec elle.
