Pourquoi les conseils d'administration associent systématiquement IA et données

Une question revient de plus en plus souvent dans les conseils d'administration : « Quelle est notre stratégie en matière d'IA et comment protégeons-nous les données qui l'alimentent ? »
‍
Il n'y a pas si longtemps, il s'agissait de deux sujets distincts. Aujourd'hui, ils ne font plus qu'un. Voici pourquoi ce changement s'opère et ce qu'il implique pour les responsables de la sécurité.

Un nouveau point à l'ordre du jour des conseils d'administration

‍
Pendant des années, la sécurité des données était une préoccupation exclusive du CISO. Le conseil d'administration validait les budgets et passait à autre chose. L'IA a changé la donne.

Les dirigeants, voyant leurs pairs avancer rapidement sur les initiatives liées à l'IA — déploiement de copilotes, flux de travail autonomes, intégrations de grands modèles de langage — réalisent une chose déconcertante : personne ne comprend réellement ce à quoi ces systèmes peuvent accéder.

Lors d'un récent sommet de dirigeants, un CISO a ouvert une session sur ce sujet avec une déclaration simple qui a marqué les esprits : « J'ai commis l'une des plus grosses erreurs de ma carrière en ne résolvant pas la question de la visibilité des données avant de déployer l'IA. Nous bâtissions sur des fondations que nous ne maîtrisions pas. »

Ce sentiment n'est plus isolé. Il fait désormais consensus.

L'IA ne demande pas la permission. Elle récupère, tout simplement.‍

Voici la vérité dérangeante qui explique l'urgence au niveau des conseils d'administration :

« Un pipeline RAG ne se demande pas : "Tout le monde devrait-il vraiment avoir accès à cet ensemble de données ?" Il récupère simplement ce à quoi il a accès. C'est pourquoi la visibilité et une cartographie efficace des accès deviennent incontournables à l'ère de l'IA. »

Les systèmes d'IA — qu'il s'agisse de copilotes, d'agents ou de pipelines de récupération — fonctionnent sur la base des accès, et non de l'intention. Ils ne font pas la distinction entre les données qui peuvent être consultées et celles qui doit être accessible. Cette distinction relève entièrement de la couche de gouvernance. Et dans la plupart des entreprises, cette couche de gouvernance a des années de retard.

Une étude de recherche conjointe portant sur 2,4 millions de travailleurs et 3,6 milliards d'autorisations a révélé que 96 % des autorisations d'entreprise accordées aux employés ne sont jamais réellement utilisées — et 91 % des données sensibles accessibles aux travailleurs restent inexploitées. Pour les utilisateurs humains, les autorisations inutilisées restent dormantes. Pour un agent IA, ces 96 % dormants deviennent instantanément une surface d'attaque active.

L'IA fantôme est le nouveau Shadow IT‍
‍

Les équipes de sécurité ont passé une décennie à traquer le Shadow IT, c'est-à-dire les employés utilisant des applications SaaS non autorisées. L'IA fantôme est plus rapide, plus difficile à détecter et comporte davantage de risques.

Considérez ce scénario soulevé lors de la revue de sécurité trimestrielle d'une grande organisation : un outil d'IA non autorisé était activement utilisé dans toute l'entreprise, à l'insu total des équipes internes de gestion des risques et de messagerie. Personne ne l'avait signalé. Personne ne l'avait approuvé. Il n'a été découvert que parce qu'une plateforme de sécurité a fini par le détecter lors d'un scan.

Parallèlement, dans le même environnement : un seul utilisateur disposait d'un outil de type copilote ayant accès à plus de 400 millions d'enregistrements sensibles.

Ce ne sont pas des cas isolés. C'est la norme dans les entreprises qui n'ont pas mis en place de visibilité sur ce à quoi leurs outils d'IA peuvent accéder.

Dans une organisation de santé soumise à des exigences de conformité strictes, la posture de gouvernance de l'IA a été décrite en interne comme « naissante » — malgré la présence d'un comité de gouvernance. Le problème principal ne venait pas des processus, mais de l'observabilité : les équipes de sécurité étaient incapables de répondre à des questions élémentaires sur les outils d'IA accédant à quelles données, ou sur l'efficacité réelle des garde-fous.

Le rôle du RSSI est en pleine mutation‍

‍

L'un des changements les plus importants à l'heure actuelle concerne la manière dont les responsables de la sécurité les plus chevronnés redéfinissent leur fonction.

Plutôt que de présenter la sécurité des données comme un frein à l'adoption de l'IA, les RSSI visionnaires démontrent que la visibilité des données est ce qui rend l'adoption de l'IA possible.

Le raisonnement est le suivant : si vous êtes capable de classifier vos données, de comprendre qui et quoi peut y accéder, et de cartographier les risques d'exposition avant même qu'un agent ne les manipule, vous pouvez dire oui aux initiatives d'IA que d'autres sont contraints de bloquer. La sécurité devient alors un moteur, et non un obstacle.

Les analystes du secteur commencent à formaliser cette approche. L'un d'eux a récemment décrit la sécurité des données comme étant de plus en plus chargée de « fournir la logique de politique » que les autres piliers de la sécurité appliquent ; ce n'est donc plus une couche parmi d'autres, mais la fondation sur laquelle tout le reste repose.

Les RSSI qui convainquent leur conseil d'administration sont ceux qui arrivent avec une réponse concrète à la question : « Avant de déployer ce système d'IA, voici exactement à quelles données il peut accéder, qui d'autre peut y accéder, et ce que nous avons fait pour combler les failles. »‍

IA agentique : une nouvelle catégorie de risques‍

‍

Si les copilotes augmentent les enjeux, l'IA agentique les démultiplie.

Un copilote répond à des questions. Un agent, lui, agit : il interroge des bases de données, appelle des API, envoie des communications, modifie des enregistrements. Il opère en continu, à la vitesse de la machine, sans les hésitations ni le discernement qu'un humain apporterait aux mêmes tâches.

Les équipes de sécurité des organisations qui déploient activement des architectures agentiques se posent des questions qui n'étaient pas à l'ordre du jour il y a dix-huit mois :

• « Pouvons-nous distinguer un agent des données auxquelles il a accès ? »
• Si un utilisateur a un accès légitime à des données personnelles pour une tâche donnée et utilise un agent de messagerie pour une autre, comment empêcher le recoupement de ces deux accès ?
• Que se passe-t-il lorsqu'un laboratoire d'IA tourne sur l'ordinateur portable d'un développeur sans que nous ayons la moindre visibilité sur ses connexions ?
  ‍‍

Il ne s'agit pas de problèmes théoriques. Ce sont des préoccupations bien réelles pour les programmes de sécurité des grandes entreprises dans les secteurs de la finance, de la santé, de l'immobilier et de la technologie.

Lors d'une session de travail avec une grande organisation, un exercice de découverte a révélé une identité connectée à une IA externe ayant accès à des millions d'enregistrements sensibles, notamment des numéros de sécurité sociale, des données de cartes bancaires, des informations de passeport et des coordonnées bancaires. Il n'y avait aucun responsable identifié. Aucune trace d'approbation. Aucune documentation de gouvernance. La réaction de l'équipe de sécurité : "J'ai immédiatement transmis cela à ma direction."

Ce moment — la découverte inattendue d'une exposition réelle et matérielle — est ce qui crée l'urgence au niveau du conseil d'administration. Ce n'est plus abstrait.

La question que posent désormais les conseils d'administration‍

‍

Le changement que nous observons est le suivant : les conseils d'administration ne demandent plus "Sommes-nous en sécurité ?" Ils demandent "Pouvons-nous déployer l'IA de manière responsable, et comment pouvons-nous en être sûrs ?"

Ce sont fondamentalement des questions de données. Et elles exigent des réponses radicalement différentes de celles que peuvent fournir les audits de sécurité traditionnels.

Les organisations qui progressent le plus rapidement sur l'IA — et qui le font avec confiance — sont celles qui ont d'abord établi une visibilité sur leurs données. Elles savent quelles données elles détiennent, où elles se trouvent, qui et quoi peut y accéder, et quelle est l'exposition avant même qu'un système d'IA ne soit activé.

Ce n'est pas un luxe. À l'ère de l'IA agentique, c'est le prérequis à tout le reste.

L'IA ne crée pas le chaos des données. Elle révèle le chaos qui existait déjà.

Le conseil d'administration évoque l'IA et les données dans la même phrase car il s'agit du même problème. Les organisations qui le comprendront rapidement seront celles qui pourront dire oui.

‍Par où commencer ?
‍

Identifier un problème est une chose. Savoir où vous en êtes en est une autre. Voici comment les organisations commencent à obtenir des réponses concrètes.

Allez plus loin avec l'évaluation de la préparation à la sécurité de l'IA. Pour les organisations ayant besoin d'une évaluation plus complète menée par des experts, cet audit examine la posture de sécurité de votre IA à travers huit domaines critiques : gouvernance de l'IA, sécurité des données, infrastructure, risques liés aux modèles, chaîne d'approvisionnement, sécurité des applications, opérations et conformité. Cette évaluation fournit une base de maturité détaillée, une analyse des écarts étayée par des preuves et une feuille de route claire et priorisée pour déployer l'IA de manière sûre et responsable.  Commencez dès aujourd'hui.

‍