Ce qui empêche les CDO de dormir : le déficit de visibilité

Points clés

• Les données constituent le plan de contrôle ultime pour la sécurité de l'IA : les organisations doivent ancrer leur cadre de gouvernance de l'IA dans la découverte continue des données, des autorisations adaptées et une protection en temps réel, plutôt que dans l'application manuelle de politiques.
• La question centrale pour les CDO a évolué : au lieu de demander « Avons-nous un cadre de gouvernance ? », les dirigeants doivent désormais prouver : « Pouvons-nous démontrer que notre écosystème de données et d'IA se comporte conformément à nos politiques ? »

Lorsque je m'entretiens avec des CDO, ils perdent rarement le sommeil à cause de présentations stratégiques abstraites. Leur insomnie provient plutôt d'anxiétés concrètes et tactiques. Ils s'inquiètent de la présence de données sensibles là où elles ne devraient jamais se trouver, ou de l'adoption d'outils d'IA bien plus rapide que leur approbation officielle. En fin de compte, ils savent que des identités surprivilégiées, qu'il s'agisse d'humains ou de machines, détiennent des clés essentielles dont ils n'ont plus besoin et qu'ils ne devraient plus posséder.

À mesure que la pression de l'IA s'intensifie, les lacunes en matière de gouvernance se transforment en gouffres. Ces angles morts dans la visibilité et les flux de données exposent l'entreprise à des risques que les modèles traditionnels n'étaient tout simplement pas conçus pour gérer, rendant la stratégie presque impossible à exécuter sur un terrain en constante mutation. La plupart des organisations ont dépassé leurs modèles de gouvernance traditionnels depuis des années, mais l'IA accentue désormais agressivement les fissures de ces fondations.

Le problème structurel de la gouvernance

Au sein des grandes organisations, le fossé de gouvernance se manifeste par une fragmentation généralisée. Comme les données sont partout, dispersées sur de multiples plateformes SaaS, environnements cloud et systèmes sur site hérités, il n'existe aucune vue d'ensemble pour cartographier tout le paysage.

Ce problème de visibilité est aggravé par une gestion en silos, où la gouvernance est souvent morcelée entre les équipes InfoSec, Conformité, Cyber, IT et données. Bien que chacun possède une partie du puzzle, personne n'a la vision globale. Lorsque ces équipes s'appuient sur des contrôles manuels comme des feuilles de calcul et des files d'attente de tickets, elles ne peuvent pas suivre le rythme de la croissance exponentielle des données ou de la vitesse fulgurante de l'adoption de l'IA. Cela crée une réalité où même les organisations matures peinent à répondre à des questions fondamentales : Où se trouvent nos données confidentielles ? Qui y a accès ? Et quel est le risque réel si un modèle ou un utilisateur interagit avec elles aujourd'hui ?

Gouvernance de l'IA : trois surfaces, un seul problème

Pour résoudre ce problème, les CDO doivent reconnaître que le risque lié à l'IA se combat sur trois fronts distincts, chacun nécessitant ses propres tactiques :

• Outils publics : Il s'agit du domaine de l'«IA fantôme», qui comprend les LLM publics et les outils tiers. Comme la visibilité y est souvent limitée aux points de terminaison réseau, les principaux risques incluent la fuite de données et l'entraînement involontaire de modèles publics sur de la propriété intellectuelle privée.
• IA intégrée : Cette surface se compose de copilotes et d'agents d'IA intégrés directement dans les plateformes déjà utilisées par l'entreprise, telles que M365 ou Salesforce. Comme ces outils nécessitent un accès au contenu interne, comme les e-mails et les fichiers, le risque réside dans les flux de travail non autorisés et les agents effectuant des actions incontrôlées au sein d'environnements de confiance.
• Agents développés en interne : Cela inclut les modèles et applications personnalisés s'exécutant sur des plateformes IaaS ou de données internes. Comme ces systèmes disposent d'un accès direct et approfondi aux jeux de données internes, les risques concernent les lacunes de gouvernance dans l'accès aux données et l'écart par rapport aux politiques de sécurité établies.

Pourquoi les approches traditionnelles ne suffisent plus

La gouvernance héritée du passé reposait sur des hypothèses qui ne sont plus valables, notamment la stabilité des systèmes, la lenteur des cycles de changement et l'acceptabilité des revues manuelles comme charge opérationnelle.

À l'ère de l'IA, ces hypothèses sont devenues des faiblesses. Les charges de travail liées à l'IA peuvent traiter des pétaoctets de données en quelques minutes, tandis que les identités non humaines, telles que les comptes de service et les agents, ont considérablement élargi la surface d'accès, dépassant la capacité de suivi humain. Lorsqu'une simple équipe munie d'une carte bancaire peut déployer de puissants outils d'IA en quelques heures, une gouvernance basée uniquement sur des politiques, sans observabilité, ne constitue qu'une protection illusoire.

Combler le fossé : la sécurité de l'IA commence par les données

Nous devons considérer les données comme le plan de contrôle ultime pour la sécurité de l'IA. Alors que la sécurité traditionnelle suppose des emplacements de données connus et des accès traçables, l'IA a transformé l'utilisation des données en une activité continue et incontrôlée. Comme la qualité d'une IA dépend de celle des données auxquelles elle accède, une sécurité complète exige de protéger ces données partout où elles sont reproduites, transformées ou déplacées. 

Les organisations peuvent combler le déficit de visibilité en ancrant leur sécurité dans leur « ADN de données » grâce à un cadre fondamental en trois étapes :

1. Découvrir : éliminer l'IA fantôme grâce à une connaissance complète des données.
   Les équipes doivent établir un inventaire continu de tous les outils d'IA, autorisés ou non, afin de comprendre l'empreinte réelle de l'entreprise. En obtenant une visibilité sur ces outils et sur les jeux de données spécifiques auxquels ils accèdent, les équipes de sécurité peuvent identifier les modèles d'utilisation risqués ou les agents fantômes avant qu'ils ne conduisent à une exposition majeure.
2. Gouverner : gérer les actions pilotées par l'IA en sécurisant les autorisations.
   Une gouvernance efficace nécessite d'ajuster les autorisations d'accès aux données, tant pour les humains que pour les identités non humaines, avant même que les agents d'IA n'interagissent avec des jeux de données sensibles. Cette approche proactive réduit le rayon d'impact potentiel des découvertes pilotées par l'IA, garantissant que les informations restreintes ne sont pas exposées par inadvertance à des utilisateurs non autorisés ou à des flux de travail autonomes lors du processus de récupération.
3. Protéger : prévenir l'exposition des données sensibles en temps réel.
   Le dernier pilier consiste à appliquer des garde-fous en temps réel pour bloquer les requêtes et les réponses non conformes au moment où elles se produisent. Cette couche de sécurité empêche le transfert de données à haut risque, telles que les informations personnellement identifiables (PII) ou la propriété intellectuelle, vers des modèles d'IA, créant ainsi un filet de sécurité qui protège l'organisation, que l'outil d'IA spécifique soit autorisé ou non.

La nouvelle question opérationnelle

La question centrale pour le CDO a changé. Il ne s'agit plus de demander : « Avons-nous un cadre de gouvernance ? » mais plutôt : « Pouvons-nous prouver que notre écosystème de données et d'IA se comporte conformément à nos politiques ? » Répondre par l'affirmative exige une pile de gouvernance qui unifie la découverte des données, la sensibilisation à la confidentialité, la gestion des accès et la protection à l'exécution en une seule source de vérité observable. 

FAQ sur la gouvernance de l'IA pour les CDO

Q.) Qu'est-ce que la gouvernance de l'IA et pourquoi les CDO en ont-ils besoin ?

A.) La gouvernance de l'IA est un cadre qui offre visibilité et contrôle sur la manière dont les systèmes d'IA accèdent aux données, les traitent et les transfèrent au sein d'une organisation. Les CDO ont besoin de la gouvernance de l'IA car l'adoption de cette technologie s'accélère plus vite que ne peuvent le gérer les modèles de gouvernance traditionnels, créant des angles morts qui exposent les entreprises à des risques de fuite de données, de non-conformité et d'accès non autorisés.

Q.) En quoi un cadre de gouvernance de l'IA diffère-t-il de la gouvernance des données traditionnelle ?

A.) Un cadre de gouvernance de l'IA fonctionne en temps réel plutôt que par des revues périodiques, prend en compte les identités non humaines telles que les agents IA et les comptes de service, et se concentre sur le mouvement continu des données plutôt que sur leur stockage statique. La gouvernance traditionnelle suppose des systèmes stables et une supervision manuelle, tandis que la gouvernance de l'IA doit gérer des systèmes dynamiques et autonomes capables de traiter des pétaoctets de données en quelques minutes.

Q.) Quels sont les principes fondamentaux de gouvernance de l'IA que tout CDO devrait mettre en œuvre ?

A.) Les principes essentiels de gouvernance de l'IA incluent : Découvrir (maintenir un inventaire continu de tous les outils d'IA et des accès aux données), Gouverner (ajuster les autorisations pour les humains et les identités non humaines avant toute interaction avec l'IA) et Protéger (appliquer des garde-fous en temps réel pour empêcher l'exposition de données sensibles). Ces principes garantissent que les organisations peuvent prouver que leur écosystème d'IA se comporte conformément aux politiques établies.

Q.) Comment les CDO peuvent-ils aborder les trois surfaces de risque liées à l'IA ?

A.) Les CDO doivent s'attaquer aux outils publics (IA fantôme et LLM tiers) par la visibilité réseau et la prévention des fuites de données, à l'IA intégrée (co-pilotes dans M365, Salesforce) par la gouvernance des flux de travail et le contrôle des accès, et aux agents développés en interne (modèles personnalisés sur des plateformes internes) par une gouvernance approfondie de l'accès aux données et le suivi de la dérive des politiques.

Q.) Qu'est-ce qui distingue la gouvernance des données d'IA des approches de sécurité traditionnelles ?

A.) La gouvernance des données d'IA traite la donnée comme le plan de contrôle ultime plutôt que de se concentrer sur la sécurité périmétrique. Elle nécessite de comprendre l'ADN des données dans tous les environnements, une surveillance continue des mouvements de données et une application des politiques en temps réel. Contrairement aux approches traditionnelles qui supposent des emplacements de données connus, la gouvernance des données d'IA doit gérer des modèles d'utilisation des données dynamiques et incontrôlés créés par les systèmes d'IA.