Rapport sur les Risques et la Préparation à l’IA 2026
Pour la plupart des organisations, cette année marque le moment où l’IA devient une infrastructure. Les agents exécutent désormais des actions de manière autonome : modification de dossiers, création de comptes et envoi de code par le biais d’appels API qui se terminent avant toute révision humaine. Cela fait de chaque déploiement d’IA un risque de sécurité, que les organisations le considèrent ou non.
Constats Clés
Les outils d’IA sont désormais déployés dans 73 % des organisations sondées, mais la gouvernance qui renforce la sécurité et la politique en temps réel n’atteint que 7 %. Cela laisse un déficit structurel de 66 points, qui se creuse alors que l’adoption de l’IA continue d’accélérer plus vite que les contrôles.
90 % ont augmenté leurs budgets de sécurité pour l’IA cette année, mais 29 % se sentent moins en sécurité qu’il y a douze mois. Le problème dépasse l’investissement.
94 % des répondants signalent des lacunes dans la visibilité des activités liées à l’IA. 88 % ne peuvent pas distinguer les comptes d’IA personnels des instances d’entreprise. Seuls 6 % affirment voir l’ensemble de leur pipeline d’IA.
Les Risques Liés à l’IA S’Élargissent
Le risque lié à l’IA passe de l’utilisation abusive par l’humain à l’autonomie de la machine, et les contrôles s’efforcent encore de relever le premier défi. Le sondage souligne quatre priorités architecturales : visibilité continue sur toute l’activité IA, enforcement en ligne sans créer de friction, contrôles sémantiques des données qui évaluent le sens plutôt que les motifs, et extension de la confiance zéro aux identités non humaines.
68 % des organisations décrivent leur gouvernance de l’IA comme réactive ou encore en développement. Seuls 7 % ont atteint une maturité avancée avec une application des politiques en temps réel. Le décalage de 66 points entre les 73 % déployant des outils d’IA et les 7 % les gouvernant en temps réel est un déséquilibre structurel.
Visibilité et Confiance
La visibilité est un prérequis structurel dont dépendent tous les autres contrôles. 94 % prennent des décisions de sécurité liées à l’IA avec une image incomplète, et pour la plupart, c’est l’état par défaut de fonctionnement.
Les outils de DLP (Data Loss Prevention) sont impuissants face aux transformations de contenu effectuées par l’IA. DLP a été conçu pour trouver des motifs spécifiques, mais l’IA transforme le contenu tout en préservant l’intention.
Actions Recommandées
Pour améliorer la sécurité de l’IA, il est essentiel de :
- Fermer les lacunes de visibilité de l’IA.
- Traduire les politiques en garde-fous applicables.
- Déployer une protection des données sémantique.
- Imposer des contrôles avant l’exécution.
- Moderniser la détection et la containment.
- Réduire la fragmentation des contrôles.
Conclusion
La sécurité de l’IA est désormais une discipline opérationnelle. Les dimensions de maturité sont cartographiées, les séquences de dépendance sont claires, et les actions concrètes sont définies. Ce qui reste à décider, c’est de bâtir.
