Une enquête révèle que la plupart des entreprises signalent des problèmes de sécurité liés à l’IA, tandis que la gouvernance accuse du retard

Une nouvelle enquête de DigiCert suggère que de nombreuses organisations déploient l’IA d’entreprise plus rapidement qu’elles ne mettent en place les contrôles nécessaires à son encadrement.

Selon l’entreprise spécialisée dans l’identité numérique, 78 % des 1 001 responsables informatiques et de cybersécurité interrogés aux États-Unis, au Royaume-Uni et en Australie ont déclaré avoir été confrontés à un incident de sécurité lié à l’IA ou avoir identifié une vulnérabilité associée à l’IA. L’entreprise estime que ces résultats révèlent un problème plus général de gouvernance, plutôt qu’une faille dans le code généré par l’IA.

Parmi les répondants, 27,7 % ont signalé un seul incident, 21,9 % ont indiqué avoir été confrontés à plusieurs incidents et 28,4 % n’avaient pas constaté d’incident direct, mais avaient identifié des faiblesses. DigiCert a déclaré que ces problèmes étaient liés à des agents d’IA qui n’étaient pas correctement autorisés ou qui étaient mal configurés.

La gouvernance peine encore à suivre

L’enquête montre une forte sensibilisation au niveau de la direction, mais une mise en œuvre plus faible des contrôles au quotidien. DigiCert a déclaré que 90 % des organisations avaient abordé la gouvernance de l’IA au niveau de leur conseil d’administration, mais que seule la moitié disposait de budgets dédiés et de programmes de gouvernance formels.

Cet écart semble entraîner des problèmes de visibilité. Seulement 53 % des répondants ont déclaré que leur organisation pouvait retracer les décisions de l’IA jusqu’aux modèles et aux données sources qui les sous-tendent. DigiCert a indiqué que cela devenait particulièrement risqué lorsqu’un système d’IA produisait un résultat inattendu ou contesté et que les parties prenantes exigeaient une explication.

Le PDG Amit Sinha a déclaré que les agents d’IA devaient être soumis aux mêmes normes d’identité et de vérification que les employés humains. L’entreprise a fait valoir que les organisations n’autoriseraient pas leurs employés à travailler sans identité vérifiée, et qu’elles ne devraient pas davantage le permettre aux systèmes d’IA.

Un thème récurrent dans les recherches récentes

Le rapport concorde avec d’autres résultats d’enquêtes récentes, qui suggèrent que les entreprises adoptent l’IA avant d’avoir établi des mesures de protection claires. Une étude distincte de Spacelift, publiée deux semaines plus tôt, a révélé que 93 % des organisations avaient connu des incidents d’infrastructure liés à l’IA, tandis que seulement 19 % disposaient d’un plan de gouvernance.

Dans le même temps, les fournisseurs continuent de mettre l’accent sur les avantages commerciaux de l’IA. Les données de DigiCert dressent un tableau plus prudent : les entreprises tirent une valeur opérationnelle de l’IA, mais nombre d’entre elles découvrent également que la sécurité, la supervision et la responsabilisation n’ont pas suivi le même rythme.

Pour l’instant, le message de l’enquête est simple : l’IA d’entreprise se déploie rapidement, mais les contrôles liés à l’identité, à l’autorisation et à la traçabilité restent incomplets.