Risques de l’IA : 31 % des entreprises britanniques sans gouvernance dédiée

L’intelligence artificielle s’installe rapidement dans les organisations, des assistants conversationnels aux outils d’analyse, en passant par l’automatisation de certaines tâches. Mais intégrer ces technologies sans règles précises peut faire émerger de nouveaux angles morts. Selon une étude de la société de cybersécurité CyXcel, 31 % des entreprises britanniques interrogées n’ont établi aucune politique de gouvernance de l’IA. Un chiffre qui éclaire le décalage entre l’envie d’adopter l’IA et la capacité à en encadrer les usages.

Ce constat ne signifie pas que toutes ces entreprises ont déjà subi un incident. Il signale plutôt une exposition accrue : sans procédures, sans responsabilités clairement définies et sans contrôle des données introduites dans les outils, une organisation est moins bien placée pour prévenir un problème ou y répondre. Les conséquences possibles vont de la fuite d’informations confidentielles à une interruption d’activité, en passant par un risque de non-conformité.

Des stratégies de risque encore récentes et inégalement déployées

L’enquête de CyXcel montre que 29 % des entreprises britanniques interrogées ont récemment commencé à mettre en œuvre leur première stratégie de gestion des risques liés à l’IA. Cette donnée traduit une prise de conscience, mais aussi le caractère très récent de la structuration du sujet dans de nombreuses organisations.

La gestion des risques de l’IA ne consiste pas à bannir tout usage de la technologie. Elle vise à déterminer quels outils sont autorisés, quelles données peuvent y être traitées, qui en assume la responsabilité et dans quelles conditions un résultat produit par une machine peut être utilisé. Dans une entreprise, les usages peuvent en effet être très différents : rédiger un brouillon interne, résumer un document, analyser une base de données, sélectionner des candidatures ou assister une décision opérationnelle n’emportent pas les mêmes conséquences.

Une politique de gouvernance peut notamment préciser :

• les cas d’usage approuvés et ceux qui nécessitent une validation préalable ;
• les catégories de données interdites dans un outil d’IA, comme les secrets d’affaires ou certaines données personnelles ;
• le niveau de vérification humaine attendu avant de diffuser ou d’exploiter une réponse générée ;
• la procédure de signalement lorsqu’un outil produit un résultat erroné, divulgue une information ou semble avoir été détourné.

L’absence de tels repères ne crée pas mécaniquement une attaque, mais elle complique la prévention. Elle peut aussi favoriser le recours à des outils par des salariés hors du cadre défini par l’employeur, parfois appelé « shadow AI », c’est-à-dire l’utilisation d’un service d’IA sans validation de la direction informatique, juridique ou de la sécurité.

Pourquoi l’IA peut-elle devenir un sujet de cybersécurité ?

Dans l’étude, un tiers des entreprises reconnaissent l’IA comme une menace potentielle pour leur cybersécurité. Cette perception peut sembler paradoxale : la même technologie est souvent achetée pour gagner en productivité, améliorer le service client ou analyser plus rapidement des informations. Pourtant, tout nouvel outil connecté, alimenté en données ou utilisé par des collaborateurs peut élargir la surface d’attaque d’une organisation.

Le premier risque est celui de la donnée. Une requête adressée à un système d’IA peut contenir une information sensible : contenu d’un contrat, élément de code, fichier client, stratégie commerciale ou donnée personnelle. La question centrale est alors de savoir où va cette information, combien de temps elle est conservée, qui peut y accéder et si elle peut servir à améliorer le service utilisé.

Le second risque concerne la fiabilité du résultat. Un modèle peut se tromper, inventer une référence, mal interpréter une instruction ou reproduire un biais présent dans ses données. Dans un contexte professionnel, un résultat généré ne devrait donc pas être traité comme une preuve ou une décision définitive sans une vérification adaptée à l’enjeu.

Enfin, l’IA peut être exploitée par des acteurs malveillants. Elle facilite par exemple la production rapide de messages d’hameçonnage plus convaincants, l’imitation de voix ou la création de contenus falsifiés. La technologie n’est pas l’unique cause de ces menaces, mais elle peut en augmenter la vitesse, le volume et le réalisme.

Empoisonnement des données et deepfakes : des menaces difficiles à détecter

CyXcel relève que 18 % des organisations basées au Royaume-Uni et aux États-Unis sont mal préparées à répondre à l’empoisonnement des données d’IA. Cette attaque vise les données utilisées pour entraîner un modèle d’intelligence artificielle ou d’apprentissage automatique. Son principe est simple à énoncer, mais complexe à maîtriser : si les données de départ sont corrompues, biaisées ou manipulées, le système peut ensuite produire des résultats faussés.

Dans la pratique, la protection passe notamment par une connaissance précise de l’origine des données, des contrôles sur leur qualité et une surveillance des comportements inhabituels du modèle. Ces précautions comptent particulièrement lorsqu’un système intervient dans des processus sensibles, comme la détection de fraude, l’analyse de risques ou le traitement d’informations critiques.

L’étude indique également que 16 % des entreprises ne disposent pas de mesures adaptées face aux incidents de clonage et d’images truquées. Il s’agit d’un enjeu de sécurité très opérationnel. Une voix imitée peut servir à donner l’apparence d’une instruction urgente d’un dirigeant. Une image falsifiée peut soutenir une tentative de fraude ou de désinformation. Dans les deux cas, le bon réflexe ne repose pas seulement sur un outil technique : il faut prévoir des méthodes de vérification indépendantes, notamment pour les demandes de paiement, les changements de coordonnées bancaires ou les consignes inhabituelles.

La formation des équipes reste donc déterminante. Un salarié averti sait qu’un message convaincant, une voix familière ou un contenu visuel apparemment authentique ne constituent pas à eux seuls une preuve. Il doit pouvoir signaler un doute sans craindre de ralentir un processus important.

Entre accélération des usages et règles de contrôle

Les chiffres publiés par CyXcel ne décrivent pas une opposition entre entreprises innovantes et entreprises prudentes. Ils mettent plutôt en évidence un défi de méthode : adopter l’IA assez vite pour en tirer un bénéfice, tout en construisant les contrôles nécessaires.

Une démarche de gouvernance efficace commence généralement par un inventaire. Une organisation doit savoir quels systèmes d’IA sont utilisés, par quels services, avec quelles données et pour quelles finalités. Cette cartographie permet de hiérarchiser les priorités. Un assistant employé pour reformuler une note non sensible ne présente pas le même niveau de risque qu’un système qui traite des données personnelles, aide à prendre une décision financière ou interagit avec des clients.

Vient ensuite l’évaluation du fournisseur et de l’outil. L’entreprise peut s’interroger sur les paramètres de confidentialité, les mécanismes d’accès, les conditions de conservation des données, les mises à jour de sécurité, la possibilité de désactiver certains usages des données et les engagements contractuels. Pour les usages les plus sensibles, l’exigence de traçabilité est essentielle : il doit être possible de comprendre quel outil a été utilisé, avec quelles informations et selon quelle validation.

Le rôle revendiqué par CyXcel dans la gestion des risques numériques

CyXcel présente sa plateforme de gestion des risques numériques, ou DRM, comme une réponse à ces enjeux. L’entreprise indique que cet outil doit aider ses clients à identifier les risques numériques qui évoluent, à en évaluer l’impact et à mettre en place des politiques et procédures de gouvernance.

Megha Kumar, Chief Product Officer de CyXcel, souligne le dilemme des organisations : elles veulent adopter l’IA, tout en s’inquiétant des risques qu’elle introduit. La plateforme DRM de l’entreprise revendique une approche combinant expertise en cybersécurité, questions juridiques, aspects techniques et considérations stratégiques.

Selon CyXcel, l’outil couvre des sujets qui dépassent la seule IA : cybersécurité, chaîne d’approvisionnement, enjeux géopolitiques, réglementation, technologie et responsabilité d’entreprise. La promesse est de réunir ces éléments dans un tableau de bord pour aider les décideurs à suivre les risques et à les traiter de manière proactive.

La société propose aussi un service de résolution de litiges portant sur les enjeux juridiques de cybersécurité. Cette offre cible notamment 26 secteurs soumis à une réglementation stricte et considérés comme relevant d’infrastructures nationales critiques. Dans ces secteurs, une défaillance numérique ne peut pas seulement affecter une entreprise : elle peut perturber des services essentiels, des chaînes logistiques ou la confiance du public.

Des règles européennes qui renforcent la pression sur les organisations

Les entreprises britanniques doivent avant tout respecter le cadre applicable au Royaume-Uni. Toutefois, celles qui opèrent dans l’Union européenne, fournissent des services à des acteurs européens ou font partie de groupes internationaux peuvent aussi être concernées par des règles européennes. CyXcel cite notamment NIS2 et DORA.

La directive NIS2 élève les exigences de cybersécurité pour un ensemble élargi d’entités essentielles et importantes. Elle met l’accent sur la gestion des risques, la sécurité de la chaîne d’approvisionnement, la continuité d’activité et le signalement de certains incidents. DORA, le règlement sur la résilience opérationnelle numérique, vise spécifiquement le secteur financier et encadre la manière dont les établissements financiers gèrent les risques liés aux technologies de l’information et de la communication.

Edward Lewis, CEO de CyXcel, évoque également le Cyber Resilience Act de l’Union européenne. Ce texte renforce les obligations de cybersécurité applicables à certains produits comportant des éléments numériques. Il prévoit notamment des exigences concernant la sécurité tout au long du cycle de vie des produits, la gestion des vulnérabilités et le signalement de certains incidents ou vulnérabilités exploitées activement.

Pour une entreprise utilisatrice d’IA, l’enjeu ne se limite donc pas à cocher une case réglementaire. Elle doit pouvoir prouver qu’elle connaît ses risques, qu’elle dispose de mécanismes de contrôle proportionnés et qu’elle sait réagir lorsqu’un incident survient. La documentation, les tests, la formation et la révision régulière des règles deviennent des éléments concrets de cette capacité.

Ce qu’il faut surveiller dans les prochains mois

La principale leçon de l’étude de CyXcel est que l’IA doit être considérée à la fois comme un outil de transformation et comme un sujet de gestion des risques. Les 31 % d’entreprises britanniques interrogées sans politique de gouvernance constituent un signal : une partie significative des organisations n’a pas encore formalisé le cadre indispensable à un déploiement maîtrisé.

Dans les prochains mois, plusieurs points mériteront une attention particulière. D’abord, la capacité des entreprises à passer de règles générales à des contrôles concrets : classification des données, validation des fournisseurs, supervision humaine et procédures de réponse. Ensuite, la montée des fraudes reposant sur des voix clonées et des contenus falsifiés, qui exigera de renforcer les vérifications hors des canaux numériques habituels.

Enfin, l’évolution réglementaire fera de la cybersécurité un sujet encore plus transversal. Les directions informatiques ne pourront pas le traiter seules. Juristes, responsables de la conformité, équipes métiers, direction des ressources humaines et dirigeants devront partager une même compréhension des usages autorisés et des limites à ne pas franchir. C’est à cette condition que l’IA pourra être utilisée comme un levier de productivité sans devenir une source de vulnérabilité mal maîtrisée.