Thales alerte sur les risques de l’IA et du quantique pour les données

L’intelligence artificielle n’est plus seulement un outil d’expérimentation dans les entreprises. Elle rejoint progressivement les processus opérationnels, l’analyse de données, la production de contenus et l’aide à la décision. Cette bascule ouvre des perspectives concrètes, mais elle oblige aussi les organisations à traiter une question moins visible : comment protéger les données, les modèles et les décisions produites par ces nouveaux systèmes ?

Le rapport 2025 de Thales sur les menaces pesant sur les données place l’IA générative et l’informatique quantique parmi les priorités de sécurité. Le constat est double. D’un côté, les entreprises adoptent l’IA à une vitesse qui dépasse parfois leur capacité à en maîtriser les effets. De l’autre, elles doivent déjà préparer l’évolution du chiffrement face aux capacités futures des ordinateurs quantiques.

L’IA générative devient une préoccupation majeure de sécurité

Pour près de 70 % des organisations interrogées par Thales, la rapidité de développement de l’intelligence artificielle est devenue le principal sujet de préoccupation en matière de sécurité. Ce résultat ne traduit pas un rejet de l’IA. Il illustre plutôt l’écart entre la vitesse à laquelle les outils sont intégrés et le temps nécessaire pour établir des règles solides de protection des données, de contrôle des accès et de surveillance des usages.

L’inquiétude ne porte pas uniquement sur la technique. Elle concerne aussi la qualité des résultats et la confiance que l’on peut accorder à des systèmes susceptibles d’influencer des décisions importantes. 64 % des répondants se disent préoccupés par l’intégrité des systèmes d’IA, tandis que 57 % soulignent un manque de confiance dans leur fiabilité.

L’intégrité désigne ici la nécessité de s’assurer que les données, les modèles et les réponses d’un système n’ont pas été altérés ou manipulés. La fiabilité renvoie, elle, à la capacité de l’outil à fournir un résultat cohérent, pertinent et suffisamment explicable pour l’usage envisagé. Un assistant peut produire une réponse plausible sans qu’elle soit exacte. Dans un contexte professionnel, cette différence est essentielle.

Le chiffre d’environ un tiers d’organisations en déploiement actif montre que l’IA générative dépasse déjà le stade de la démonstration dans une part significative des entreprises. Cette transition vers des usages opérationnels change la nature du risque : il ne s’agit plus seulement de tester un service, mais de le raccorder à des données, à des logiciels internes et parfois à des décisions métier.

Pourquoi la qualité des données est au centre du problème

L’IA générative est fortement dépendante des informations qu’on lui fournit. Ces données peuvent servir à entraîner un modèle, à enrichir son contexte, à interroger une base documentaire ou à générer une réponse. Lorsqu’elles sont erronées, incomplètes, obsolètes ou insuffisamment protégées, les résultats produits peuvent l’être également.

La montée de l’IA dite agentique renforce cette exigence. Un agent d’IA ne se limite pas nécessairement à répondre à une question : il peut enchaîner des étapes, rechercher des informations, utiliser des outils ou déclencher des actions dans un environnement autorisé. Plus un système est connecté, plus les règles de permission, la traçabilité et la séparation des données sensibles deviennent importantes.

Le rapport pointe le risque d’intégrations menées trop vite. Certaines organisations qui adoptent rapidement l’IA générative introduisent des systèmes sans avoir procédé à des ajustements préalables ou à un verrouillage adapté des environnements existants. Or, une IA connectée à des ressources internes doit être considérée comme un nouvel utilisateur potentiellement très puissant : ses droits doivent être limités à ce qui est utile, et ses actions doivent pouvoir être vérifiées.

La prudence est d’autant plus nécessaire que l’IA peut créer des chemins d’accès inédits à l’information. Une question formulée par un salarié peut, par exemple, faire remonter des données que ce salarié n’aurait pas dû consulter directement si les règles d’accès et de filtrage sont mal configurées. La cybersécurité de l’IA devient donc aussi un sujet de gouvernance des données.

Les entreprises investissent dans des défenses dédiées

Face à ces risques, 73 % des organisations interrogées indiquent investir dans des outils de sécurité spécifiquement consacrés à l’IA. Ces dépenses peuvent prendre la forme de budgets nouveaux ou de ressources redéployées depuis d’autres priorités de sécurité.

Les stratégies ne reposent pas sur un interlocuteur unique. Plus des deux tiers des entreprises se tournent vers leurs fournisseurs de services cloud pour obtenir des solutions. Trois entreprises sur cinq s’appuient aussi sur des fournisseurs de sécurité établis. Cette combinaison traduit une réalité pratique : les données, les applications et les modèles sont souvent répartis entre plusieurs environnements, ce qui impose de coordonner les protections.

Dans ce contexte, la sécurité ne peut pas se réduire à l’achat d’un outil. Elle suppose notamment de savoir quelles données sont utilisées par les systèmes d’IA, de déterminer qui peut les consulter, de contrôler les connexions entre applications et de suivre les comportements anormaux. Les organisations doivent également pouvoir distinguer un usage encadré d’un usage improvisé d’outils externes par les salariés.

Eric Hanselman, analyste en chef chez S&P Global Market Intelligence, souligne que certaines entreprises adoptent l’IA générative à une vitesse supérieure à leur capacité à en comprendre toutes les conséquences. L’enjeu consiste donc à ne pas opposer innovation et sécurité : un déploiement mal préparé peut ralentir durablement l’adoption s’il provoque une fuite de données ou une perte de confiance.

Des violations moins fréquentes, mais des menaces persistantes

Le rapport fait apparaître une légère baisse de la proportion d’entreprises déclarant avoir subi une violation de données : 56 % en 2021, contre 45 % en 2025. Cette diminution de onze points ne signifie pas que le risque a disparu. Elle rappelle au contraire que près d’une organisation sur deux interrogées signale encore un incident de cette nature.

Le phishing et les logiciels malveillants restent des menaces importantes. Le phishing consiste à tromper une personne afin de lui faire communiquer des identifiants, des informations confidentielles ou d’ouvrir une pièce jointe dangereuse. L’IA générative peut compliquer la détection de telles tentatives en facilitant la production de messages plus convaincants et mieux adaptés à leur cible.

Les acteurs externes sont perçus comme la principale source de menace, avec une attention particulière pour les hacktivistes et les acteurs étatiques. Les erreurs humaines demeurent préoccupantes, mais elles occupent la troisième place parmi les sources de risque citées.

Cette hiérarchie montre que la protection des données ne dépend pas d’un seul maillon. Elle implique à la fois les technologies de défense, les procédures internes, la formation des équipes et la capacité à détecter rapidement une intrusion. L’IA peut renforcer ces dispositifs, par exemple en aidant à repérer des comportements inhabituels, mais elle crée en parallèle de nouvelles surfaces d’attaque à surveiller.

Le quantique menace surtout le chiffrement à long terme

L’autre alerte majeure du rapport concerne l’informatique quantique. Les ordinateurs quantiques n’ont pas les mêmes principes de calcul que les machines classiques. À terme, des machines suffisamment puissantes pourraient remettre en cause certains algorithmes de cryptographie à clé publique largement employés pour protéger les échanges, l’authentification et les données stockées.

Pour 63 % des répondants, le principal danger est la compromission future des algorithmes de chiffrement. 61 % évoquent les vulnérabilités liées à la distribution des clés. Enfin, 58 % s’inquiètent du scénario appelé « récolter maintenant, décrypter plus tard ».

Cette dernière expression décrit une menace très concrète pour les données qui doivent rester secrètes pendant de nombreuses années. Un attaquant peut intercepter et conserver aujourd’hui des informations chiffrées, sans parvenir à les lire immédiatement. Il espère ensuite disposer, dans le futur, d’une puissance de calcul ou d’une méthode capable de casser le chiffrement utilisé au moment de la collecte.

La cryptographie post-quantique vise précisément à proposer des algorithmes conçus pour résister à la fois aux attaques réalisées avec des ordinateurs classiques et aux capacités attendues des ordinateurs quantiques. Il ne s’agit pas seulement de remplacer une technologie dans l’urgence. Les entreprises doivent recenser les mécanismes cryptographiques utilisés dans leurs applications, leurs équipements, leurs échanges avec des partenaires et leurs archives.

La transition post-quantique est déjà engagée

Selon Thales, la moitié des organisations réévaluent actuellement leur stratégie de chiffrement. 60 % développent ou évaluent des solutions de cryptographie post-quantique. Cette phase de préparation est importante, car le chiffrement est présent dans de très nombreux services : messageries, connexions sécurisées, logiciels métiers, infrastructures cloud, réseaux et sauvegardes.

La migration peut être complexe pour plusieurs raisons. Elle exige de connaître précisément les algorithmes employés, de vérifier la compatibilité des logiciels et équipements, puis de coordonner les changements avec les fournisseurs et partenaires. Le rapport relève par ailleurs qu’une confiance limitée envers les fournisseurs de télécommunications et les services cloud freine certains progrès dans cette transition.

Todd Moore, responsable mondial des produits de sécurité des données chez Thales, alerte sur la nécessité d’une préparation suffisante. Son message est clair : attendre qu’une menace quantique soit pleinement matérialisée risquerait de laisser des données critiques exposées. Pour les organisations, le bon point de départ consiste à identifier les informations devant rester confidentielles sur le long terme et les systèmes qui les chiffrent.

Ce qu’il faut surveiller dans les prochains déploiements

Le rapport de Thales dessine une même exigence pour l’IA et le quantique : la sécurité doit être intégrée avant que les nouveaux usages ne deviennent difficiles à modifier. Dans le cas de l’IA, cela implique d’encadrer l’accès aux données, de vérifier l’intégrité des informations et de conserver une supervision humaine adaptée aux décisions sensibles. Dans le cas du quantique, cela suppose d’engager sans tarder l’inventaire des mécanismes de chiffrement et la préparation de leur évolution.

La baisse observée des violations déclarées entre 2021 et 2025 est un signal encourageant, mais la persistance du phishing, des logiciels malveillants et des acteurs externes rappelle qu’aucune organisation ne peut considérer le sujet comme réglé. L’arrivée de l’IA générative accélère les usages, tandis que la perspective quantique étend l’horizon des risques.

Pour les dirigeants comme pour les équipes techniques, la priorité n’est donc pas de prédire chaque attaque. Elle est de bâtir des systèmes capables de résister, de détecter un problème et de s’adapter. À mesure que l’IA prend place dans les opérations et que la cryptographie se prépare à l’ère post-quantique, cette capacité d’anticipation devient un élément central de la confiance numérique.