La détection d’anomalies consiste à repérer automatiquement, dans les données, des schémas inhabituels qui s’écartent nettement du comportement attendu. Contrairement aux seuils fixes traditionnels, les modèles d’IA apprennent le comportement normal des données et détectent les écarts en contexte, ce qui réduit fortement les faux positifs qui saturent les systèmes d’alerte classiques.
Principaux cas d’usage
Industrie et fabrication. Détecter des comportements anormaux sur les capteurs des machines avant qu’ils ne débouchent sur une panne. Un moteur qui commence à vibrer de façon atypique à 2 h du matin selon un schéma précis peut ne franchir aucun seuil fixe, tout en étant détecté comme une anomalie statistique.
Opérations financières. Des transactions qui sortent du schéma habituel d’un client ou d’un fournisseur. La différence avec un système de règles classique : le modèle apprend le comportement propre à chaque entité, et non un seuil global.
Chaîne d’approvisionnement. Livraisons aux délais anormaux, consommations d’entrepôt qui s’écartent de la saisonnalité historique, fournisseurs aux schémas de facturation irréguliers.
Infrastructure informatique. Latences, erreurs et schémas d’utilisation des ressources qui signalent un problème avant que le service ne se dégrade ou ne tombe.
Qualité produit. Sur les lignes de production équipées de capteurs de température, de pression ou de poids, la détection d’anomalies multivariée repère des combinaisons de valeurs normales prises une à une, mais qui, ensemble, signalent un défaut.
Les principaux algorithmes et quand les utiliser
| Technique | Idéale pour | Interprétabilité |
|---|---|---|
| Isolation Forest | Anomalies en haute dimension | Moyenne |
| LSTM Autoencoder | Séries temporelles, signaux de capteurs | Faible |
| One-Class SVM | Quand on ne dispose que de données normales pour l’entraînement | Moyenne |
| Méthodes statistiques (Z-score, IQR) | Séries univariées, comme référence | Élevée |
| Prophet + résidus | Séries à saisonnalité complexe | Élevée |
| DBSCAN | Détection de groupes anormaux dans l’espace | Moyenne |
Le choix dépend du type de données, de la rapidité de détection requise et de la nécessité, ou non, que le système puisse être audité par un régulateur ou un auditeur interne.
Intégration en production
Un système de détection d’anomalies en production comporte trois composants :
- Ingestion des données en temps réel ou en batch : Kafka pour le streaming, pipelines ETL pour les traitements nocturnes.
- Modèle de scoring : une API qui reçoit un événement ou un enregistrement et renvoie un score d’anomalie et, en option, une explication (les variables qui y ont contribué).
- Couche d’action : alerte dans Slack, ticket dans Jira, blocage dans l’ERP ou déclenchement d’un agent IA qui analyse l’anomalie.
Quand la détection d’anomalies ne résout pas le problème
La détection d’anomalies perd son utilité lorsque la notion de « normal » change fréquemment sans que le modèle soit réentraîné. Dans les entreprises à forte variabilité saisonnière ou en pleine transformation de leurs processus, le modèle peut devenir obsolète en quelques semaines. Il faut alors concevoir un pipeline de réentraînement continu ou recourir à des modèles adaptatifs.
Ce n’est pas non plus la solution lorsque le vrai problème est l’absence de données historiques de qualité. Détecter des anomalies suppose d’avoir défini au préalable ce qui est normal, ce qui exige des données étiquetées ou un historique suffisant.
Questions fréquentes
De combien de données historiques faut-il disposer ? Cela dépend de l’algorithme. Isolation Forest peut fonctionner avec 1 000 à 5 000 enregistrements. Un LSTM Autoencoder pour les séries temporelles demande plusieurs mois d’historique avec une bonne couverture. En règle générale, plus l’historique contient de comportements normaux variés, mieux c’est.
Peut-on détecter des anomalies sans données étiquetées ? Oui. La plupart des algorithmes de détection d’anomalies sont non supervisés : ils apprennent le comportement normal sans avoir besoin d’étiquettes « anomalie ». C’est un avantage, car les anomalies réelles sont généralement rares et difficiles à étiqueter.
Comment éviter l’excès d’alertes ? Avec un seuil de score calibré sur des données réelles et, souvent, un second niveau de validation qui regroupe les anomalies liées avant de déclencher l’alerte. La conception du système d’alerte compte autant que le modèle lui-même.