Vice-président chargé de la stratégie et des opérations au sein de la division Sécurité de Microsoft, Patrick Beeharry estime que Maurice ne pourra tirer pleinement parti de l’intelligence artificielle qu’en misant sur des priorités ciblées, des compétences locales et une gouvernance solide. Après plus de 20 ans passés dans l’industrie technologique internationale, notamment chez Microsoft et Google, ce Mauricien plaide pour une stratégie tournée vers l’exécution, la cybersécurité et les marchés africains et indiens.

L’intelligence artificielle bouleverse autant la technologie que le paysage des menaces numériques. Quel est précisément votre rôle chez Microsoft Security et quels sont, selon vous, les principaux défis de sécurité qui émergent avec l’adoption rapide de l’IA ?

Patrick Beeharry : Je travaille avec l’équipe dirigeante de Microsoft Security sur nos grandes priorités d’investissement, l’allocation des ressources, la mise sur le marché de nouvelles capacités et l’évaluation de leur impact réel pour les clients. La sécurité est un secteur vaste, en évolution rapide. Mon rôle consiste notamment à veiller à ce que ce que nous développons, la manière dont nous le commercialisons et les bénéfices qu’en retirent nos clients restent étroitement liés.

L’IA transforme les deux versants de la cybersécurité. Elle offre aux défenseurs de nouveaux moyens de détecter les menaces, d’enquêter sur les incidents et de réagir à la vitesse des machines. Mais elle donne aussi aux attaquants davantage de rapidité, de portée et de sophistication.

Le prochain défi dépasse toutefois la simple utilisation de l’IA par les cybercriminels. Nous entrons dans une ère où des agents d’intelligence artificielle agiront au nom de personnes et d’organisations. Ils pourront disposer d’une identité, de permissions, d’une mémoire et d’un accès à des systèmes ou à des données sensibles. Cela crée une nouvelle forme de risque interne : la menace ne proviendra plus nécessairement d’un être humain.

Les organisations devront savoir quels agents opèrent dans leur environnement, de quels pouvoirs ils disposent, à quelles données ils accèdent et s’ils respectent les règles établies. Nous avons construit des systèmes d’identité, d’accès et de gouvernance pour les personnes. Nous devrons mettre en place des mécanismes comparables pour les agents d’IA.

J’ai récemment participé à la 81e session de l’Assemblée générale des Nations unies, à New York. Dans nos échanges avec des responsables gouvernementaux de haut niveau, trois questions revenaient constamment : comment nous défendre contre l’IA, comment sécuriser son déploiement et comment nous y préparer ? Ce sont les bonnes questions. Il ne devrait pas y avoir à choisir entre la sécurité et l’innovation portée par l’IA.

Vous avez passé plus de 20 ans à accompagner des organisations dans l’adoption du cloud, de l’IA et des technologies de productivité à grande échelle. Pourquoi certains pays et certaines entreprises réussissent-ils leur transformation numérique quand d’autres se contentent d’annoncer des stratégies ambitieuses ?

La stratégie écrite est rarement le problème. C’est l’exécution qui fait la différence.

Je l’ai constaté dans des projets de toutes tailles, depuis de petites initiatives organisationnelles jusqu’à des programmes de plusieurs milliards de dollars auxquels j’ai participé. Rédiger une stratégie et établir un plan est généralement la partie la plus facile.

Ce qui compte, c’est d’identifier les leviers capables de produire des résultats : les décisions de financement, la gouvernance, les compétences, les partenariats et les indicateurs de performance. Il faut ensuite mettre en place un processus concret pour chacun, avec des responsables clairement désignés et un suivi régulier.

Une discipline simple résume cette approche : vérifier ce que l’on attend. Sans mécanisme d’exécution, une stratégie reste un document.

Les programmes qui réussissent partent également d’un nombre limité d’objectifs clairs, chacun confié à un responsable identifié. La finalité doit être d’améliorer les services publics, d’accroître la productivité et de créer de meilleurs emplois. La technologie n’est qu’un moyen.

Une transformation échoue souvent lorsqu’elle mobilise de nombreuses institutions sans qu’aucune n’en assume réellement la responsabilité. Il faut investir autant dans les personnes et les processus que dans les technologies. On ne peut pas superposer une plateforme numérique avancée à un modèle de fonctionnement obsolète et espérer transformer une organisation.

Enfin, il faut mesurer l’adoption et l’impact, plutôt que le nombre d’annonces. Les citoyens utilisent-ils réellement le service ? Le pays exporte-t-il désormais des produits ou des services qu’il ne pouvait pas proposer auparavant ? L’ambition est importante, car elle crée une dynamique. Mais seules ces réponses permettent de savoir si la transformation fonctionne.

Maurice ambitionne de se positionner sur l’intelligence artificielle, les infrastructures numériques, les compétences, les centres de données et l’économie numérique. Avec des ressources limitées, où une petite économie doit-elle concentrer ses efforts pour devenir un véritable pôle régional de l’IA ?

Maurice ne devrait pas chercher à rivaliser avec les États-Unis, la Chine ou l’Inde dans la puissance de calcul ou le développement des modèles d’IA les plus avancés. Une telle ambition exigerait des capitaux, de l’énergie, des données et des compétences spécialisées considérables.

Une petite économie gagne en se concentrant sur ses avantages distinctifs. Maurice devrait chercher à devenir le meilleur endroit pour développer et déployer une IA de confiance dans quelques secteurs où le pays possède déjà une crédibilité, des données, une expertise ou une portée régionale.

Les services financiers constituent un choix évident, notamment pour la conformité, la gestion des risques, la prévention de la fraude et les transactions transfrontalières.

Je regarderais également de près l’économie océanique. Maurice dispose d’une zone économique exclusive d’environ 2,3 millions de kilomètres carrés, soit plus de mille fois sa superficie terrestre. L’IA appliquée à la détection de la pêche illégale, à la planification de l’espace maritime et à la logistique portuaire pourrait transformer cet espace en véritable avantage fondé sur les données.

Les services publics numériques représentent une autre opportunité. Avec environ 1,3 million d’habitants, Maurice peut déployer des services intégrant l’IA à l’échelle nationale, en éprouver le fonctionnement de bout en bout, puis exporter son modèle. Cela suppose toutefois une infrastructure nationale d’identité numérique fiable.

Le tourisme, la santé, l’éducation, l’agriculture et la résilience climatique offrent également des possibilités. Mais il est impossible de tout soutenir simultanément.

Je concentrerais les ressources nationales sur quatre priorités : des infrastructures de données sécurisées, interopérables et bien gouvernées ; des compétences en IA appliquée, associant technologie et expertise sectorielle ; un environnement réglementaire fiable permettant de tester et de déployer l’IA ; et des capacités de commercialisation régionale.

L’objectif est de concevoir à Maurice des solutions exportables vers l’Afrique, l’Inde et d’autres petits États, tout en attirant des activités liées à l’IA sur l’île.

Je préférerais que Maurice soit reconnu comme le lieu où se conçoit et se gouverne une IA de confiance pour la région plutôt que comme celui qui possède le plus grand nombre de centres de données.

L’IA promet des gains de productivité, mais élargit aussi la surface d’attaque des cybercriminels. Comment faire en sorte que la transformation numérique de Maurice soit sécurisée dès sa conception, plutôt que de tenter de corriger les failles après coup ?

La sécurité doit être intégrée dès le départ à l’architecture nationale de l’IA. Si elle n’est ajoutée qu’après le déploiement, elle sera constamment en retard.

Maurice devrait établir un socle national d’exigences de sécurité applicables à l’IA dans l’administration et les secteurs critiques. Pour chaque système important, quatre questions devraient pouvoir recevoir une réponse claire : qui en est responsable ? À quelles données accède-t-il ? Qui est autorisé à l’utiliser ? Et ses activités font-elles l’objet d’une surveillance ?

L’identité sera déterminante. Les agents d’IA ne devraient pas fonctionner au moyen d’accès anonymes ou partagés. Chacun doit disposer d’une identité vérifiable, de permissions limitées et de frontières clairement définies. Les actions ayant des conséquences importantes doivent rester soumises à une supervision humaine.

L’incident survenu l’an dernier chez Replit, une plateforme de développement logiciel, illustre ce risque. Un agent de programmation y aurait effacé une base de données de production en service, alors qu’une période de gel des modifications était en cours et qu’il avait reçu plusieurs instructions lui interdisant d’y toucher.

Ce qui m’a frappé, c’est que les instructions existaient, mais qu’aucun mécanisme n’avait effectivement empêché l’agent d’intervenir sur le système de production. Pour moi, c’est aussi un problème d’identité et de contrôle des accès : chaque agent ne devrait disposer que des permissions strictement nécessaires, et toute action destructive devrait être soumise à une validation humaine préalable.

Le pays doit également renforcer la protection des infrastructures critiques, notamment dans l’administration, la banque, les télécommunications et l’énergie. Ces systèmes étant de plus en plus interconnectés, une vulnérabilité dans l’un peut créer des risques pour les autres.

Maurice peut tirer parti de sa taille en adoptant un cadre commun de sécurité et de gouvernance pour l’ensemble de l’administration, plutôt que de laisser chaque ministère développer des contrôles incompatibles avec ceux des autres. Enfin, il faut pouvoir détecter les incidents, y répondre et rétablir les systèmes. La prévention est essentielle, mais aucun pays ne peut présumer qu’il parviendra à bloquer toutes les attaques. La confiance déterminera la rapidité avec laquelle les citoyens et les entreprises adopteront l’IA.

Vous avez commencé votre carrière chez Microsoft dans la vente de solutions au Moyen-Orient et en Afrique, notamment à Maurice. Quels sont les avantages et les limites d’un petit marché lorsqu’il s’agit d’attirer des investissements technologiques ?

Mon propre parcours technologique a commencé grâce à un programme du National Computer Board qui finançait l’acquisition d’ordinateurs personnels. Il m’a permis d’acheter mon premier ordinateur, un Intel 286, pour ceux qui se souviennent de cette époque. C’est un bon exemple de programme simple qu’un petit marché peut mettre en œuvre rapidement et qui peut avoir un impact considérable.

Les premières tentatives pour accélérer l’adoption d’Internet ont été plus difficiles. À l’époque, se connecter, notamment par une ligne RNIS à des services comme CompuServe, coûtait trop cher pour la plupart des Mauriciens. En tant que petite nation insulaire dotée d’infrastructures limitées, nous avons rencontré de réelles difficultés au début de l’ère Internet.

Maurice possède néanmoins plusieurs atouts. Les décisions peuvent être prises plus rapidement et les relations entre l’État, les entreprises et les universités sont plus étroites. Les initiatives nationales peuvent être testées à une échelle significative sans la complexité d’un très grand pays. La stabilité politique, un secteur financier établi et des compétences multilingues constituent également des avantages reconnus par les investisseurs internationaux.

Mais la taille réduite du marché intérieur impose des limites réelles. La clientèle locale ne peut, à elle seule, justifier tous les investissements technologiques. Le vivier de compétences est limité, les coûts d’infrastructure peuvent être élevés et les professionnels qualifiés sont souvent attirés par des marchés plus importants.

Maurice doit donc envisager les investissements technologiques dès le départ sous l’angle de l’exportation. Présenter le pays comme un marché de 1,3 million d’habitants n’est pas un argument convaincant. Il faut le présenter comme une base de confiance permettant de desservir des marchés voisins beaucoup plus vastes.

Mieux vaut développer deux ou trois compétences distinctives à l’échelle internationale que promouvoir une longue liste de priorités sans disposer de la masse critique nécessaire pour s’imposer dans aucun de ces domaines.

Si le gouvernement, les universités, les entreprises locales et les groupes technologiques internationaux s’alignent sur quelques priorités, Maurice peut avancer plus vite que des pays beaucoup plus grands. Dans une petite économie, la coordination devient une forme de puissance.

Maurice se présente souvent comme un pont entre l’Afrique et l’Asie. Avec la montée en puissance de l’Inde dans l’IA et les besoins croissants du continent africain en infrastructures et en compétences numériques, cette ambition est-elle réaliste ? Que pourrait offrir Maurice que d’autres ne proposent pas déjà ?

Oui, mais être un pont doit signifier davantage qu’une position géographique ou que des relations diplomatiques. Maurice doit offrir une capacité concrète qui rende cette connexion économiquement utile.

Le pays pourrait devenir une plateforme de confiance pour adapter et déployer les innovations indiennes en matière d’IA aux besoins des économies africaines. Cela implique de tenir compte des différences réglementaires, linguistiques, sectorielles et de maturité numérique. Maurice pourrait également contribuer au développement de solutions conçues pour les petites économies, dont les infrastructures, les données et les capacités institutionnelles diffèrent de celles des grands marchés.

Mais le simple rôle d’intermédiaire comporte un risque : les intermédiaires peuvent être contournés. Maurice doit développer sa propre propriété intellectuelle, des compétences spécialisées et des capacités opérationnelles difficiles à reproduire.

L’identité numérique de confiance constitue, à mes yeux, une piste prometteuse. J’imagine concrètement un registre transfrontalier de confiance administré depuis Maurice. Les systèmes d’identité indiens et africains pourraient y enregistrer leurs émetteurs de justificatifs numériques. Une banque à Nairobi pourrait alors vérifier en quelques secondes un document numérique officiel indien, par exemple issu de DigiLocker, tandis que Maurice certifierait cette vérification et en garantirait la validité juridique.

Le même service pourrait délivrer des justificatifs vérifiés aux entreprises et à leurs agents d’IA. Un partenaire commercial saurait ainsi précisément quelle entreprise un agent représente et quelles actions celui-ci est autorisé à effectuer.

Un deuxième créneau concerne la conformité transfrontalière. Maurice joue déjà un rôle dans les flux d’investissement entre l’Inde et l’Afrique. L’étape suivante consisterait à certifier des modèles d’IA et des flux de données au regard des exigences des deux marchés. On pourrait, par exemple, prendre en compte simultanément la législation indienne sur la protection des données et la loi sud-africaine POPIA, afin de produire une certification vérifiable reconnue par les autorités compétentes des deux côtés.

Ces deux activités se compléteraient : une fois l’identité d’une entreprise ou d’un agent établie, il faut encore vérifier qu’il respecte les règles applicables dans les différents pays.

Je résumerais cette ambition ainsi : la technologie et l’échelle de l’Inde, les débouchés et l’innovation de l’Afrique, et la capacité mauricienne à assurer une adaptation, une gouvernance et un déploiement fiables.

Les politiques publiques consacrées à l’IA mettent souvent l’accent sur les GPU, les centres de données, le cloud et les algorithmes, au détriment des personnes et des institutions. Quelles compétences humaines et quelles transformations institutionnelles détermineront les retombées économiques réelles de l’IA à Maurice ?

Développer des modèles n’est que la première étape. Le véritable défi consiste à repenser le travail, les organisations et les services à partir de ce que l’IA rend possible.

Maurice aura besoin de compétences techniques avancées : spécialistes des données, ingénieurs et experts en cybersécurité. Mais il lui faudra aussi des professionnels capables de relier l’IA aux réalités de leur métier, comme des médecins maîtrisant les données ou des fonctionnaires capables de repenser un service public.

Je distingue trois niveaux de compétences. Un groupe relativement restreint concevra les systèmes d’IA. Un groupe plus important sera chargé de les déployer et de les gouverner. Enfin, la catégorie la plus large, potentiellement l’ensemble de la population active, devra apprendre à les utiliser avec confiance et responsabilité.

Les institutions devront elles aussi évoluer. Les marchés publics devront gagner en rapidité et être davantage orientés vers les résultats. Les régulateurs devront acquérir une compréhension technique suffisante pour protéger les citoyens sans bloquer involontairement l’innovation.

Maurice devrait également créer de véritables passerelles permettant à sa diaspora de contribuer au développement du pays. Tout le monde n’a pas besoin de rentrer définitivement. Les Mauriciens établis à l’étranger peuvent enseigner, encadrer de jeunes talents, investir, conseiller des start-up et relier les institutions locales aux réseaux internationaux.

Après près de vingt ans passés hors de Maurice, je serais heureux de mettre mon expérience au service de mon pays. Cela pourrait prendre la forme d’un accompagnement de la prochaine génération de dirigeants mauriciens de la technologie, de conseils pour traduire la stratégie nationale de l’IA en actions concrètes ou de la mise en relation d’entreprises et d’institutions locales avec les réseaux que j’ai développés aux États-Unis et dans l’industrie technologique.

Si vous deviez conseiller aujourd’hui le gouvernement et les entreprises mauriciennes, quelles seraient les trois décisions prioritaires à prendre au cours des 24 prochains mois ? Et quelles erreurs faudrait-il absolument éviter ?

Je recommanderais trois décisions.

Premièrement, définir un nombre limité de missions nationales consacrées à l’IA. Il faudrait sélectionner trois à cinq domaines dans lesquels elle peut produire des bénéfices économiques ou sociaux mesurables, puis aligner les politiques publiques, les financements, les compétences et les partenariats internationaux sur ces objectifs. Si je devais choisir, je retiendrais les services financiers, les services publics numériques et l’économie océanique. Chaque mission devrait avoir un responsable clairement identifié, un plan d’exécution et des indicateurs publics permettant de mesurer les progrès.

Deuxièmement, construire un socle national fiable en matière de données et de sécurité. Il faut définir des normes communes pour la gouvernance des données, l’identité numérique, la cybersécurité et l’utilisation responsable de l’IA dans l’administration et les secteurs critiques. Les systèmes d’IA importants et les agents autonomes devraient faire l’objet d’un inventaire et d’une évaluation des risques. La sécurité doit être intégrée dès la conception et dans les marchés publics, et non ajoutée après un incident.

Troisièmement, consacrer une part majeure des investissements aux compétences et à l’adoption. Il faut mettre en place des programmes pratiques destinés aux étudiants, aux fonctionnaires, aux dirigeants, aux professionnels et aux petites entreprises, tout en permettant aux entreprises et aux administrations de tester l’IA sur des problèmes réels. Former des personnes sans leur donner de possibilités concrètes d’application ne crée pas de valeur.

Quant aux erreurs à éviter, la première consiste à confondre infrastructures et stratégie économique. Les centres de données et les capacités de calcul peuvent être importants, mais ils ne créent pas automatiquement une industrie de l’IA.

La Cybercité en est un exemple intéressant. À mon sens, elle a atteint son objectif initial : elle a offert à Maurice un troisième pilier économique aux côtés du tourisme et des services financiers, tout en créant des dizaines de milliers d’emplois. Mais, si l’on regarde les chiffres, la contribution des technologies de l’information et de la communication au PIB oscille autour de 6 % depuis une quinzaine d’années.

J’estime que cela tient notamment au fait que nous avons construit des tours et des infrastructures sans développer suffisamment les compétences ni les entreprises capables de créer leur propre propriété intellectuelle. Pour l’IA, je souhaiterais voir les investissements aller d’abord aux personnes et aux produits, et ensuite seulement à l’immobilier. C’est dans l’exécution que la stratégie se jouera réellement.

La deuxième erreur serait de vouloir tout faire. Maurice ne peut pas prétendre être à la pointe dans toutes les dimensions de l’IA. La troisième serait de mesurer la réussite au nombre d’annonces et de protocoles d’accord signés. Enfin, le pays doit faire de la confiance un avantage concurrentiel. Dans la prochaine phase de l’économie numérique, elle figurera parmi les ressources les plus rares et les plus précieuses.

Je reste optimiste. Maurice a réinventé son économie à plusieurs reprises, en passant de l’agriculture à l’industrie manufacturière, puis au tourisme, aux services financiers et à une économie de services plus diversifiée. L’IA pourrait ouvrir un nouveau chapitre. Mais le pays ne doit pas la traiter comme un simple projet informatique : il doit y voir la prochaine étape de sa transformation économique.

BIO

Patrick Beeharry est vice-président chargé de la stratégie et des opérations au sein de la division Sécurité de Microsoft. Originaire de Maurice, où il a grandi à Vacoas et effectué sa scolarité au Collège du Saint-Esprit, il a débuté sa carrière dans le secteur technologique chez FRCI EServices. Il y a dirigé une équipe de conception de sites web et participé au lancement du premier supermarché en ligne du pays.

Fort de plus de 20 ans d’expérience à des postes de direction à l’international, Patrick Beeharry a construit un parcours marqué par le développement de stratégies technologiques pour les grandes entreprises. Il a passé près de 24 ans chez Microsoft, entre Dubaï et le siège du groupe à Redmond, dans l’État de Washington, où il a occupé plusieurs fonctions clés, notamment celles de directeur général et de directeur principal, avec des responsabilités en matière de stratégie commerciale et de mise sur le marché, d’architecture d’entreprise et d’opérations commerciales.

Après avoir exercé les fonctions de directeur général de Google à Seattle, il a réintégré Microsoft pour piloter les opérations stratégiques à l’échelle mondiale dans le domaine de la sécurité informatique.