Une divulgation de risque décrit une menace, son lien avec les activités d’une entreprise et les conséquences auxquelles celle-ci est exposée. Elle se distingue du compte rendu d’un incident, qui décrit un événement survenu.
L’ajout de l’intelligence artificielle générative à un texte de cybersécurité précise une famille de technologies. Pour mesurer l’information nouvelle, il faut examiner ce que cette précision permet de comprendre sur l’entreprise concernée.
De la menace à l’exposition
La menace est la source de dommage envisagée. L’exposition désigne les activités, les ressources ou les personnes concernées. La conséquence décrit le dommage envisagé pour l’entreprise. La réponse correspond aux mesures destinées à traiter le risque. Le risque résiduel désigne ce qui subsiste après ces mesures.
Prenons deux formulations construites. La première indique que les nouvelles technologies augmentent les menaces informatiques. La deuxième ajoute que des messages produits par IA pourraient tromper les équipes qui autorisent des paiements. La deuxième formulation précise un mécanisme et une activité exposée. Elle ne quantifie ni la fréquence des tentatives, ni les pertes, ni l’efficacité des contrôles.
Une troisième formulation pourrait expliquer qu’une double autorisation s’applique aux changements de coordonnées bancaires. Elle ajouterait une réponse identifiable. La description du contrôle ne démontrerait toujours pas son fonctionnement : cette conclusion exige une observation ou une vérification de son application.
Mesurer le changement de texte
Une comparaison documentaire conserve l’ensemble du sujet, même lorsque les paragraphes changent de page ou de section. Un terme ajouté en cybersécurité peut déjà figurer dans la protection des renseignements personnels. Son arrivée dans une section ne date donc pas, à elle seule, sa première apparition dans le document.
L’analyse distingue un nouveau nom de menace, une nouvelle activité exposée, une conséquence précisée et une réponse documentée. Ces ajouts produisent des informations différentes. Les compter ensemble comme autant de « risques supplémentaires » efface leur fonction.
La suppression d’une phrase exige la même lecture. Un renseignement retiré d’un paragraphe peut être repris ailleurs ou remplacé par un renvoi. Le déplacement modifie l’accès à l’information; la disparition modifie son contenu accessible.
La portée d’une comparaison entre entreprises
Une comparaison entre émetteurs mesure la qualité de leur divulgation pour un périmètre défini. Elle ne classe pas leur cybersécurité. Une entreprise qui décrit davantage ses conséquences possibles fournit plus d’information sur ces conséquences; elle ne démontre pas, par ce seul texte, qu’elle les subira davantage.
La confidentialité limite aussi la description publique des dispositifs de sécurité. L’absence de détail ne prouve pas l’absence de contrôle. Elle délimite ce que le lecteur peut évaluer.
Le gain documentaire se trouve dans les relations ajoutées entre menace, exposition, conséquence et réponse. Le nombre de mentions de l’IA mesure un changement de vocabulaire. Il faut une analyse distincte pour établir un changement de l’information utile sur l’entreprise.