Surmonter la fatigue liée à l’IA
L’IA est désormais omniprésente au sein des entreprises. De nombreux responsables de la sécurité informatique se sentent coincés entre le désir d’avancer et l’incertitude sur la manière de commencer. La peur de mal gérer l’utilisation de l’IA pour la sécurité et de sécuriser l’IA au sein de l’organisation freine souvent leur processus avant qu’il ne commence. Cela dit, contrairement à d’autres grandes vagues technologiques telles que le cloud, le mobile et DevOps, nous avons en réalité une chance de mettre en place des garde-fous autour de l’IA avant qu’elle ne soit complètement ancrée dans chaque coin de l’entreprise. C’est une opportunité rare à ne pas gaspiller.
De la fatigue liée à l’IA à une clarté nécessaire
Une grande partie de la confusion provient du mot « IA » lui-même. Nous utilisons la même étiquette pour parler d’un chatbot rédigeant un texte marketing et d’agents autonomes générant et mettant en œuvre des plans de réponse aux incidents. Techniquement, ils sont tous deux de l’IA, mais les risques ne sont pas du tout les mêmes. La manière la plus simple de démystifier l’IA est de la diviser en catégories en fonction de l’indépendance du système et des dommages potentiels en cas de problème.
À une extrémité, nous avons l’IA générative, qui ne fonctionne pas de manière autonome. Elle répond à des invites, crée du contenu et aide à la recherche ou à l’écriture. La plupart des risques ici proviennent de personnes l’utilisant de manière inappropriée — partage de données sensibles, copie de code propriétaire, fuite de propriété intellectuelle, etc. La bonne nouvelle est que ces problèmes sont gérables. Des politiques d’utilisation acceptables claires, une formation sur ce qu’il ne faut pas introduire dans les outils d’IA générative et la mise en œuvre de contrôles techniques applicables permettront de traiter une grande partie des considérations de sécurité liées à l’IA générative.
Le risque augmente lorsque les entreprises laissent l’IA générative influencer des décisions. Si les données sous-jacentes sont erronées, contaminées ou incomplètes, alors les recommandations basées sur ces données le seront également. C’est là que les responsables de la sécurité doivent prêter attention à l’intégrité des données, et pas seulement à la protection des données.
Ensuite, il y a l’autre extrémité du spectre : l’IA agentique. C’est là que les enjeux sont plus élevés. Les systèmes agentiques ne se contentent pas de répondre à des questions — ils prennent des mesures. Ils peuvent parfois faire des choix et déclencher des flux de travail ou interagir avec des systèmes internes avec très peu d’implication humaine. Plus le système est indépendant, plus l’impact potentiel est important. Et contrairement à l’IA générative, vous ne pouvez pas compter sur des « meilleures invites » pour résoudre le problème.
Les opportunités pour les responsables de la sécurité
Si vous êtes dans la sécurité depuis assez longtemps, vous avez probablement vécu au moins une vague technologique où l’entreprise a avancé et la sécurité a dû rattraper son retard. L’adoption du cloud est un exemple récent. Une fois que ce train est parti, il n’y a pas de retour en arrière et il n’y a certainement pas de ralentissement.
Mais l’IA est différente. La plupart des entreprises, même les plus avant-gardistes, cherchent encore à définir ce qu’elles attendent de l’IA et comment la déployer au mieux. En dehors du secteur technologique, de nombreux dirigeants expérimentent sans réelle stratégie. Cela crée une fenêtre pour les responsables de la sécurité afin de définir des attentes précoces.
C’est le moment de définir les « règles inébranlables », de déterminer quelles équipes examineront les demandes d’IA et de structurer la prise de décision. Les leaders de la sécurité d’aujourd’hui ont plus d’influence qu’auparavant et la gouvernance de l’IA est rapidement devenue l’une des responsabilités les plus stratégiques de leur rôle.
L’intégrité des données : fondation du risque lié à l’IA
Lorsque les gens parlent du triangle CIA, « intégrité » reçoit généralement le moins d’attention. Dans la plupart des organisations, les applications gèrent l’intégrité en coulisses. Mais l’IA change notre façon d’y penser.
Si les données alimentant vos systèmes d’IA sont compromises, incomplètes, incorrectes ou manipulées, alors les décisions basées sur ces données peuvent affecter les processus financiers, les chaînes d’approvisionnement, les interactions avec les clients, voire la sécurité physique. Le rôle du responsable de la sécurité inclut désormais de s’assurer que les systèmes d’IA reposent sur des données fiables, et pas seulement protégées. Ces deux notions ne sont plus identiques.
Une approche structurée de la gouvernance de l’IA
Pour donner un sens à tous les différents cas d’utilisation de l’IA, il est recommandé d’adopter une approche structurée. Cela reflète la manière dont de nombreuses entreprises gèrent déjà le risque des tiers : plus le risque est élevé, plus le contrôle et l’examen sont stricts.
Étape 1 : Catégoriser l’utilisation de l’IA
Un programme de gouvernance de l’IA pratique commence par la catégorisation de chaque cas d’utilisation selon deux métriques essentielles : le niveau d’autonomie du système et son impact potentiel sur l’entreprise. L’autonomie s’étend d’une IA générative réactive à une prise de décision assistée, jusqu’à des systèmes agentiques avec intervention humaine et, finalement, à des agents IA entièrement indépendants.
Chaque cas d’utilisation de l’IA doit être évalué pour son impact sur l’entreprise, ce qui peut être classé simplement comme faible, moyen ou élevé. Les systèmes à faible impact et faible autonomie peuvent nécessiter une supervision légère, tandis que les cas à haute autonomie et fort impact nécessitent une gouvernance formelle, un examen architectural rigoureux, un suivi continu — et dans certains cas, une supervision humaine explicite ou l’ajout d’un interrupteur d’arrêt. Cette approche structurée permet aux responsables de la sécurité de déterminer rapidement quand des contrôles plus stricts sont nécessaires et quand des concepts tels que les principes de zéro confiance doivent être appliqués à l’intérieur des systèmes d’IA eux-mêmes.
Étape 2 : Définir des contrôles fondamentaux pour toutes les IA
Une fois que le classement des risques est en place, les responsables de la sécurité doivent s’assurer que les contrôles fondamentaux sont appliqués de manière cohérente à tous les déploiements d’IA. Quelle que soit la sophistication de la technologie, chaque organisation a besoin de politiques d’utilisation acceptables claires et applicables, d’une formation à la sensibilisation à la sécurité qui aborde les risques spécifiques à l’IA, et de contrôles techniques empêchant les fuites de données et les comportements indésirables. Un suivi de base pour détecter une activité anormale de l’IA garantit que même les cas d’utilisation d’IA générative à faible risque fonctionnent dans des limites sûres et prévisibles.
Étape 3 : Déterminer où l’examen de l’IA aura lieu
Avec ces fondations établies, les organisations doivent déterminer où la gouvernance de l’IA se déroulera réellement. Le bon forum dépend de la maturité organisationnelle et des structures existantes. Certaines entreprises peuvent intégrer les examens d’IA dans un conseil d’examen architectural établi ou un comité de sécurité ou de confidentialité ; d’autres peuvent avoir besoin d’un organe de gouvernance de l’IA dédié et interfonctionnel. Quelle que soit la structure choisie, une surveillance efficace de l’IA nécessite la contribution de la sécurité, de la confidentialité, des données, du juridique, du produit et des opérations. La gouvernance ne peut pas être la responsabilité d’un seul département — l’impact de l’IA touche l’ensemble de l’entreprise, de même que sa supervision.
Étape 4 : Établir des règles inébranlables et des contrôles critiques
Enfin, avant qu’un cas d’utilisation de l’IA ne soit approuvé, l’organisation doit articuler ses règles non négociables et ses contrôles critiques. Ce sont les limites que les systèmes d’IA ne doivent jamais franchir, telles que la suppression autonome de données ou l’exposition d’informations sensibles. Certains systèmes peuvent nécessiter une supervision humaine explicite, et toute IA agentique capable de contourner des mécanismes d’intervention humaine doit inclure un interrupteur d’arrêt fiable.
Les principes de moindre privilège et de zéro confiance doivent également s’appliquer dans les systèmes d’IA, empêchant ceux-ci d’hériter d’une autorité ou d’une visibilité plus importantes que prévu. Ces règles doivent être dynamiques, évoluant avec les capacités de l’IA et les besoins de l’entreprise.
Conclusion
L’IA n’est plus optionnelle, mais une bonne gouvernance ne peut pas non plus l’être. Les responsables de la sécurité n’ont pas à devenir des experts en apprentissage automatique ni à ralentir l’entreprise. Ce dont ils ont besoin, c’est d’une manière claire et réalisable d’évaluer les risques liés à l’IA et de maintenir la sécurité à mesure que l’adoption croît. Décomposer l’IA en catégories compréhensibles, associer cela à un modèle de risque simple et impliquer les bonnes personnes dès le départ contribuera grandement à réduire l’accablement.
L’IA va redéfinir chaque coin de l’entreprise. La question est : qui va façonner l’IA ? Pour la première fois depuis longtemps, les responsables de la sécurité ont la possibilité de définir les règles, et non de se précipiter pour les appliquer.
