Sécuriser l’entreprise IA grâce à la flexibilité et aux ambassadeurs

L’intelligence artificielle s’infiltre partout, des assistants de code aux copilotes métiers, en passant par les outils d’analyse de données. Mais derrière la promesse de productivité, un autre mouvement se joue en coulisses : la redéfinition en urgence de la sécurité des entreprises face à des usages d’IA souvent déjà hors de contrôle.

L’IA partout, mais une gouvernance encore fragile

L’idée que l’IA ne serait qu’un outil périphérique a vécu. Dans la majorité des grandes organisations, l’IA est déjà au cœur des processus métiers, même lorsqu’aucune stratégie globale n’a été formalisée.

Selon les estimations de cabinets comme McKinsey ou Gartner, entre 70 % et 80 % des grandes entreprises ont lancé des expérimentations IA, et plus d’un tiers déploient déjà des solutions de génération de texte ou de code en production dans au moins une fonction (IT, marketing, support client, finance…).

Ce basculement crée trois lignes de fracture majeures pour la sécurité :

- Menaces amplifiées par l’IA

- Phishing et escroqueries générées automatiquement, très difficiles à distinguer d’un message humain

- Automatisation de la recherche de failles dans le code ou les configurations

- Deepfakes audio/vidéo crédibles pour usurper l’identité de dirigeants ou de clients

- Exposition de données sensibles

- Copilotage de code ou d’e-mails utilisant des données internes vers des LLM externes

- Risques de fuite de secrets (clés API, informations clients, données de santé…) via des prompts ou des journaux de requêtes

- Réutilisation potentielle des données d’entreprise pour entraîner des modèles sans contrôle

- Chaos applicatif

- Multiplication d’agents, connecteurs et automatisations no-code branchés à des systèmes critiques

- Difficulté à cartographier qui utilise quoi, avec quels modèles et quelles données

- Décalage croissant entre les politiques de sécurité écrites et la réalité des usages

Face à cela, déployer une politique IA purement centralisée, lourde et rigide est une tentation fréquente… mais souvent vouée à l’échec. Les collaborateurs n’attendent pas l’aval officiel pour utiliser ChatGPT, Gemini ou des assistants intégrés à leurs logiciels existants.

Pourquoi la sécurité IA classique ne suffit plus

Les programmes de cybersécurité hérités des années 2000-2010 sont conçus pour un monde où :

- Les applications sont relativement stables

- Les flux de données sont identifiés

- Les nouveaux outils passent par la DSI

- Les utilisateurs finaux ont peu de marge de manœuvre technique

L’IA génère exactement l’inverse :

- Des cas d’usage qui émergent en continu au plus près du terrain

- Des intégrations IA cachées dans des produits SaaS déjà en place

- Des outils IA accessibles en direct par carte bancaire ou simple compte personnel

- Des modèles qui apprennent, se mettent à jour, se comportent de manière probabiliste

Dans ce contexte, les approches de contrôle fondées uniquement sur l’interdiction ou la centralisation sont à contretemps. Bloquer tous les services IA publics au niveau du pare-feu poussera simplement les équipes à les utiliser sur leurs smartphones personnels ou à transférer des documents sur leur messagerie privée.

Le vrai enjeu : orchestrer, pas brider

Les RSSI les plus avancés convergent vers une idée clé : la sécurité de l’entreprise à l’ère de l’IA doit passer d’une logique de blocage à une logique d’orchestration.

Cela implique :

- D’accepter que l’IA soit utilisée massivement, parfois avant tout cadre formel

- De récupérer la visibilité sur ces usages plutôt que de prétendre les éradiquer

- D’encadrer les flux de données, les niveaux d’accès et la traçabilité

- D’ajuster en continu les politiques à mesure que les modèles et cas d’usage évoluent

Pour y parvenir, deux leviers ressortent : la flexibilité du cadre de sécurité et la mobilisation d’ambassadeurs IA dans l’entreprise.

Flexibilité : un garde-fou dynamique plutôt qu’un carcan

La flexibilité ne signifie pas relâchement, mais adaptation. Dans un environnement où de nouveaux outils IA apparaissent tous les trimestres, une politique de sécurité efficace doit être vivante.

Segmenter plutôt que bannir

Une approche granulaire, de type zones de confiance, devient centrale :

- Zone rouge : interdiction stricte

- Données de santé, financières réglementées, secrets industriels critiques

- Usage uniquement sur des modèles déployés en interne ou en private cloud

- Journalisation fine, chiffrement bout en bout, contrôles d’accès renforcés

- Zone orange : usage encadré

- Documents internes non publics mais non réglementés

- Usage possible via des proxies IA d’entreprise, avec filtrage des prompts et masquage des données sensibles

- Politiques de rétention et d’anonymisation définies

- Zone verte : usage ouvert mais tracé

- Contenu marketing, éléments publics, documentation externe

- Usage possible des services publics avec sensibilisation et stockage local des résultats

- Simple obligation de déclarer les outils utilisés

Cette segmentation permet de maintenir l’agilité métier tout en protégeant les actifs les plus critiques. L’important est que les règles soient compréhensibles, applicables et régulièrement réévaluées.

Intégrer l’IA dans les processus existants

La flexibilité consiste aussi à greffer la sécurité IA dans les mécanismes déjà en place, plutôt que de créer une couche bureaucratique supplémentaire :

- Ajout de checklists IA dans les comités d’architecture

- Intégration des risques IA dans les analyses de risques projets

- Évaluation des fournisseurs SaaS sur leurs propres usages d’IA et leurs garde-fous

- Tests réguliers des modèles internes (hallucinations, fuites potentielles, biais)

Les organisations qui réussissent évitent de traiter l’IA comme un sujet à part, et l’insèrent dans la culture globale de gestion des risques.

Ambassadeurs IA : les relais indispensables sur le terrain

La seconde pièce du puzzle tient à l’humain. Face à la vitesse d’adoption de l’IA, les équipes de sécurité seules ne peuvent pas suivre la cadence.

D’où l’émergence, dans de nombreuses grandes entreprises, d’ambassadeurs IA ou AI champions : des profils métiers volontaires, formés aux enjeux IA, qui servent de relais entre terrain, IT et sécurité.

Que font concrètement ces ambassadeurs ?

Leur rôle est multiple :

- Identifier les cas d’usage réels

- Cartographier comment les équipes utilisent déjà l’IA, parfois de manière officieuse

- Remonter les besoins, irritants et gains de productivité potentiels

- Détecter les dérives (copier-coller de données sensibles, prompts risqués)

- Adapter les règles à la réalité métier

- Co-construire, avec les juristes et la sécurité, des règles qui tiennent compte des contraintes opérationnelles

- Clarifier ce qui est autorisé, sous condition, ou prohibé dans un langage non technique

- S’assurer que les consignes sont compréhensibles et actionnables

- Diffuser les bonnes pratiques

- Former leurs collègues aux risques de fuites, aux biais des modèles, à la validation des réponses

- Partager des prompts types, des modèles de playbooks IA sécurisés par métier

- Devenir les premiers points de contact avant la DSI ou le RSSI

En pratique, ces ambassadeurs sont souvent issus du business (marketing, finance, opérations, RH), avec une appétence pour la technologie mais sans être des experts techniques.

Pourquoi ce modèle fonctionne

Les bénéfices sont multiples :

- Vitesse : les décisions d’usage se prennent beaucoup plus rapidement, au plus près du besoin

- Acceptation : les règles sont portées par des pairs, pas uniquement par la hiérarchie ou la sécurité

- Remontée d’alerte : les incidents potentiels sont repérés plus tôt, avant de se transformer en crise

- Innovation encadrée : les expérimentations sont encouragées, mais dans un cadre clair

Ce réseau d’ambassadeurs devient en quelque sorte le système nerveux de l’entreprise IA, permettant d’ajuster en permanence la posture de sécurité.

Vers une sécurité IA en mode « boucle continue »

En combinant flexibilité et ambassadeurs, les organisations les plus matures basculent vers un modèle de sécurité IA en boucle d’amélioration continue :

1. Observation

- Identifier les nouveaux outils utilisés, les flux de données, les cas d’usage émergents

- Mesurer les incidents, quasi-incidents, dérives et zones grises

2. Adaptation

- Ajuster les politiques, segments de données, droits d’accès et contrôles techniques

- Mettre à jour les formations, playbooks et guidelines métiers

3. Accompagnement

- Soutenir les équipes via les ambassadeurs, répondre aux questions, arbitrer les cas limites

- Valoriser les usages vertueux, corriger les mauvaises pratiques sans posture punitive systématique

4. Itération

- Répéter le cycle tous les quelques mois, voire en continu, en fonction de l’évolution des modèles et des réglementations (RGPD, IA Act européen, directives sectorielles…)

Ce modèle tranche avec l’idée d’une politique IA figée une fois pour toutes. Dans un environnement où les modèles sont mis à jour parfois chaque semaine, tout cadre rigide est obsolète par construction.

Une décennie de tension entre innovation et sécurité

L’entreprise dopée à l’IA restera longtemps un terrain de compromis délicats. D’un côté, la pression des métiers pour exploiter pleinement ces outils est gigantesque : gains de productivité à deux chiffres, automatisation de tâches, assistance à la décision. De l’autre, les risques systémiques sont bien réels : fuites massives de données, erreurs d’IA non détectées dans des processus critiques, dépendance accrue à quelques fournisseurs.

La combinaison d’un cadre de sécurité flexible, segmenté et évolutif, et d’un réseau d’ambassadeurs IA ancrés dans les métiers, apparaît comme l’une des pistes les plus pragmatiques pour tenir cette ligne de crête.

Les prochaines années seront probablement marquées par :

- Une montée en puissance des exigences réglementaires sur l’IA

- Des incidents emblématiques qui serviront d’électrochoc à certains secteurs

- Une professionnalisation rapide des rôles de Chief AI Officer et de responsables de gouvernance IA

- Une normalisation des architectures d’IA d’entreprise intégrant nativement les contrôles de sécurité et de conformité

La question n’est plus de savoir si l’IA va transformer l’entreprise, mais comment l’organiser pour que cette transformation reste soutenable, maîtrisée et acceptable pour toutes les parties prenantes. Dans cette équation, la sécurité n’est pas un frein, mais une condition de possibilité. Et sa réussite dépendra autant de la capacité à faire preuve de flexibilité que de la mobilisation d’ambassadeurs capables de traduire les enjeux IA dans le langage du terrain.