Surveillance de l’IA sur le lieu de travail
Alors que les organisations utilisent l’intelligence artificielle pour surveiller le lieu de travail, elles doivent également se surveiller elles-mêmes et, par conséquent, redéfinir leurs attentes en matière de risque, de gouvernance et de sécurité. L’IA doit être gérée dans deux directions : de l’intérieur vers l’extérieur, en s’assurant que les organisations utilisent l’IA de manière à préserver la confiance, et de l’extérieur vers l’intérieur, en sécurisant les systèmes d’IA contre les menaces externes.
Définir l’IA dans un contexte d’entreprise
L’IA est souvent utilisée comme un terme générique pour désigner tout ce qui est automatisé ou guidé par la technologie. Cela obscurcit les différences significatives en termes de risque, de contrôle et de traitement réglementaire. Pour une gouvernance efficace, les organisations doivent distinguer entre l’automatisation traditionnelle, les modèles prédictifs, les systèmes génératifs et les architectures agentiques plus avancées.
Cette précision aidera les organisations à réaliser des évaluations de risque précises, à concevoir des contrôles appropriés et à fournir des divulgations externes crédibles. D’un point de vue technologique, la plupart des entreprises utilisent l’IA générative et les chatbots comme assistants pour la génération de contenu, les résumés et l’analyse. Ces outils peuvent grandement améliorer la vitesse et l’échelle, mais ils peuvent également élargir les opportunités d’accès non autorisé et d’attaques.
À titre d’exemple, en 2025, des chercheurs en sécurité ont découvert une vulnérabilité affectant un assistant IA, où des instructions pouvaient être intégrées dans des courriels, invisibles pour les humains mais lisibles par l’assistant IA.
IA agentique
L’IA agentique a été décrite comme une « nouvelle catégorie de systèmes IA qui sont semi- ou entièrement autonomes et capables de percevoir, raisonner et agir par eux-mêmes ». L’IA agentique pousse ces risques un peu plus loin en orchestrant des séquences d’actions à travers les outils et systèmes d’une organisation, ce qui peut accélérer et augmenter l’impact de mauvaises configurations, de problèmes de privilège et d’abus.
Il est important de noter que la terminologie légale et technique n’est pas toujours cohérente. De nombreuses lois distinguent entre les systèmes d’IA au sens large et la « prise de décision automatisée » lorsque les décisions affectent matériellement les droits ou les opportunités des individus. Cependant, même dans le domaine juridique, les définitions de l’IA diffèrent.
Utilisation de l’IA tout en préservant la confiance
Examiner l’IA de l’intérieur vers l’extérieur signifie examiner les façons dont l’IA est déployée au sein de l’organisation et comment cette utilisation affecte les relations avec les employés, la confiance des clients et les attentes des tiers. De nombreux cadres réglementaires et politiques adoptent des approches basées sur le risque qui se concentrent et calibrent les contrôles autour du contexte, du potentiel de préjudice et de l’autonomie du système de l’organisation.
Les préoccupations clés en matière de légalité et de conformité interne comprennent :
- Lors de l’utilisation de l’IA pour surveiller les performances, il ne faut pas franchir la ligne de la surveillance intrusive des employés.
- Faire ce qui est nécessaire pour prévenir les fuites d’informations confidentielles, y compris les données personnelles, la propriété intellectuelle et les informations commerciales sensibles.
- Préserver la confiance des consommateurs et des parties prenantes en signalant clairement quand des chatbots ou des outils de décision automatisée sont utilisés.
- Gérer les risques de la chaîne d’approvisionnement en traitant les fournisseurs d’IA et les services IA intégrés comme des tiers critiques soumis à des évaluations de risque structurées.
Sécuriser l’IA comme surface d’attaque
Considérer l’IA comme un actif et une surface d’attaque nécessite des stratégies de sécurité dédiées. Une partie significative des activités liées à l’IA se déroule au-delà de la visibilité traditionnelle, surtout lorsque les modèles, agents et couches d’orchestration sont hébergés dans des services cloud ou des plateformes externes. Même les outils avancés de point de terminaison et d’identité peuvent avoir des difficultés à capturer complètement les flux de prompts et les actions des agents.
Les responsables de la sécurité doivent clarifier les objectifs de surveillance, y compris :
- Détecter l’utilisation de l’IA par des acteurs malveillants au sein des environnements d’entreprise.
- Identifier et contenir les abus ou les compromissions des systèmes d’IA et agentiques.
- Gérer le risque interne où des systèmes d’IA, s’ils sont mal configurés, peuvent permettre l’accès ou l’agrégation de données au-delà du rôle d’un individu.
Conclusion
Les organisations doivent commencer dès maintenant à établir des stratégies de gouvernance et de surveillance qui traitent simultanément la confiance de l’intérieur et la sécurité de l’extérieur. Cela implique de cartographier l’utilisation de l’IA, d’aligner les définitions techniques et légales, de clarifier les rôles et les responsabilités, et de gérer les risques associés à l’IA de manière proactive.
