Previous Story
IA sous le radar : 1 entreprise sur 2 vole à l’aveugle
L’intelligence artificielle s’impose dans les entreprises françaises, mais son usage caché inquiète les responsables de la sécurité informatique.
Alors que l’adoption de l’IA s’accélère en France, les responsables de la sécurité des systèmes d’information (RSSI) sont confrontés à une situation paradoxale : ils comprennent les risques, élaborent des politiques, anticipent les usages… mais restent largement aveugles face à l’IA non autorisée utilisée en coulisses par leurs propres collaborateurs. Cette « IA de l’ombre », parfois bénéfique mais souvent hors de contrôle, révèle un fossé inquiétant entre gouvernance officielle et réalité du terrain. Le dernier rapport de Cisco [J’ai eu le plaisir d’y participer, merci aux personnes interviewées pour leurs précieux témoignages.] lève le voile sur cette tension croissante.
Une pression politique et économique accrue
Le contexte français est clair : l’État pousse vigoureusement à l’adoption de l’IA. Des milliards d’euros sont injectés pour financer des projets innovants, les réglementations sont assouplies et des mesures d’accompagnement fleurissent à tous les étages de l’administration. Dans cette dynamique, l’IA est perçue comme un vecteur incontournable de compétitivité. Pour beaucoup d’entreprises, notamment celles issues du Global 2000 de Forbes interrogées par Cisco, ne pas embarquer dans le train de l’intelligence artificielle revient à prendre le risque de se faire distancer.
Pourtant, cette injonction à « faire de l’IA » se heurte à la réalité : seulement 7 % des entreprises françaises se déclarent « matures » en matière de sécurité IA. Pire encore, selon l’indice de préparation à l’IA de Cisco, 69 % des entreprises hexagonales se situent dans les catégories « suiveurs » ou « retardataires ». Un chiffre supérieur à la moyenne mondiale, qui alerte sur le retard accumulé par la France dans la sécurisation de cette transition technologique.
« Nous sommes poussés par la direction à intégrer l’IA, même si nous ne sommes pas prêts », confie un RSSI d’un organisme de santé français interviewé pour le rapport, par ZATAZ.
Des risques connus… mais peu maîtrisés
Les RSSI ne manquent ni de lucidité ni de vigilance. Ils identifient clairement les risques liés à l’IA : fuites de données, biais algorithmiques, hallucinations génératives, attaques adverses ou encore incertitudes juridiques. Les responsables interrogés par Cisco montrent une conscience aiguë de ces menaces. La majorité d’entre eux ont mis en place des chartes d’usage, des comités d’éthique, voire des processus de validation continue.
Pourtant, la plupart admettent que ces politiques restent en chantier. Dans beaucoup de cas, elles sont insuffisamment diffusées, peu appliquées ou confrontées à des résistances internes. La gouvernance de l’IA progresse lentement, souvent au rythme des arbitrages entre les directions informatiques, juridiques, métier et sécurité. Et dans cette course à la conformité, un adversaire invisible vient perturber la donne : l’IA fantôme.
L’IA de l’ombre, défi n°1 des RSSI
Le concept d’ »IA fantôme » fait référence à l’utilisation non autorisée d’outils d’intelligence artificielle par les employés. Ce phénomène s’inscrit dans la continuité de l’informatique parallèle, où les collaborateurs contournent les règles de sécurité pour accéder à des solutions perçues comme plus efficaces ou innovantes.
Avec l’essor fulgurant de plateformes comme ChatGPT, Gemini ou Copilot, les salariés adoptent ces assistants pour produire du texte, générer du code, automatiser des tâches… souvent sans en avertir leurs supérieurs. Les RSSI interrogés estiment que cette pratique est généralisée, bien que difficilement quantifiable. Selon une estimation relayée par Cisco, les RSSI sous-estiment l’usage réel de l’IA par leurs équipes d’environ 50 %.
« Nous savons que les gens utilisent ces outils, mais nous ne savons ni quand ni comment », déplore un RSSI d’une entreprise industrielle française.
Des mesures insuffisantes et inefficaces
Pour répondre à cette menace, les entreprises déploient des stratégies variées, souvent rudimentaires. Certaines interdisent purement et simplement l’accès aux outils d’IA via les pare-feux. D’autres investissent dans des solutions de détection, scrutant les réseaux à la recherche de « signatures IA ». Mais ces méthodes restent souvent contournables.
Le rapport de Cisco souligne un sentiment partagé par beaucoup de RSSI : la résignation. La conviction que, malgré les interdictions, l’IA de l’ombre continuera de prospérer. Un responsable confie ainsi avoir mis en place une politique de blocage, tout en reconnaissant que « les employés technophiles trouveront toujours une faille ».
« Sans meilleure visibilité sur l’usage de l’IA, les RSSI ne savent pas où se trouvent les risques, ni comment les atténuer », souligne le rapport Cisco.
Un climat de défiance vis-à-vis des fournisseurs
Le rapport met également en lumière la méfiance grandissante envers les fournisseurs d’IA. Si les grands noms comme Microsoft (avec Copilot) inspirent une relative confiance, nombre de prestataires plus modestes sont perçus comme opaques, voire irresponsables. Plusieurs RSSI évoquent des cas où des modules IA étaient intégrés sans documentation claire, ou sans garantie sur le traitement des données.
Certains vont jusqu’à refuser toute solution dont ils ne peuvent auditer le code source. D’autres exigent des certifications précises, des audits de sécurité ou une localisation stricte des données en Europe. Le sceau « AI Ready » affiché sur certains sites est moqué : « Cela ne vaut rien sans preuve concrète », tacle un RSSI français du secteur de la fabrication.
Face à ces incertitudes, les entreprises françaises adoptent l’IA de manière progressive, prudente, et souvent partielle. Deux modes principaux émergent : d’un côté, l’adoption directe, avec l’achat de licences pour des outils comme ChatGPT ou le développement de modèles internes ; de l’autre, l’adoption indirecte, via des logiciels métiers intégrant des briques d’IA.
Le développement logiciel reste le principal terrain d’expérimentation. Les développeurs sont souvent les premiers à tester l’IA, notamment pour générer du code ou automatiser des tests. Dans ce domaine, les RSSI semblent plus à l’aise, ayant mis en place des garde-fous clairs et des protocoles de vérification.
Mais cette approche structurée reste minoritaire. Dans la majorité des cas, l’IA est encore utilisée de manière informelle, fragmentée, voire clandestine. Les départements juridiques, les RH ou les services clients n’ont pas toujours de cadre clair pour encadrer ces usages.
Un paysage réglementaire en mutation
Sur le plan juridique, les entreprises doivent jongler avec des réglementations en pleine évolution. Le RGPD encadre déjà l’usage des données personnelles, tandis que la loi européenne sur l’IA (AI Act) classe les systèmes selon quatre niveaux de risques. Cette loi impose des obligations de transparence, de gouvernance et de supervision humaine. Pour les entreprises, cela implique de revoir leurs processus internes, de former leurs équipes et de collaborer étroitement avec les services juridiques.
Mais l’AI Act n’est qu’un début. De nouvelles questions émergent sur la propriété intellectuelle, la responsabilité en cas d’erreur, ou encore les biais algorithmiques. Les RSSI doivent désormais penser l’IA comme un enjeu à la fois technologique, juridique, éthique et stratégique.
« L’IA est perçue comme une opportunité, mais aussi comme un problème à gérer » — un RSSI français, secteur du commerce.
Gouverner l’IA, mais jusqu’où ?
Le rapport de Cisco insiste sur la nécessité d’une gouvernance partagée. Dans les entreprises interrogées, la responsabilité de l’IA est souvent distribuée entre le RSSI, le DSI, le directeur de l’innovation, le responsable de la conformité et les services juridiques. Mais cette approche collégiale peut aussi diluer les responsabilités, voire freiner les décisions.
Certaines entreprises avancent avec pragmatisme, en adaptant leurs politiques existantes. D’autres créent des comités d’éthique dédiés. Mais toutes convergent vers une même constatation : gouverner l’IA est indispensable, mais extrêmement complexe dans un environnement aussi mouvant.
Cisco note que 53 % des entreprises françaises estiment avoir un an maximum pour mettre en œuvre leur stratégie IA avant de perdre leur avantage concurrentiel. Dans ce laps de temps, elles doivent non seulement expérimenter, mais aussi sécuriser, réguler, éduquer.
L’éducation est d’ailleurs l’un des piliers évoqués à plusieurs reprises. Former les collaborateurs à comprendre les limites de l’IA, notamment les hallucinations générées par les modèles, est jugé crucial. Le danger n’est pas tant l’outil en lui-même que la manière dont il est utilisé, interprété ou détourné.
Le rapport de Cisco sur les risques liés à l’IA dresse un constat nuancé mais lucide : les entreprises françaises avancent, avec prudence et réalisme, dans un paysage encore incertain. La volonté de tirer parti de l’IA est bien présente, mais elle se heurte à des défis concrets, à commencer par l’absence de visibilité sur son usage réel.
