Il y a une vingtaine d’années, les dirigeants d’entreprise ont commencé à se poser de nombreuses questions au sujet d’une migration technologique majeure qui se profilait :
- Devons-nous transférer nos données vers le cloud ?
- Jusqu’où devons-nous nous engager dans le cloud ?
- Les employés pourraient-ils utiliser le cloud sans l’accord de l’équipe informatique ?
- De la migration vers le cloud à la migration vers l’IA
- L’essor de l’IA fantôme et les lacunes en matière de visibilité des données
- L’adoption de l’IA générative s’envole — et les risques aussi
- Pourquoi les RSSI sont confrontés à une équation de risque de plus en plus complexe
- Bonnes pratiques pour sécuriser l’IA générative d’entreprise
- Tirez les leçons de l’ère du cloud
De la migration vers le cloud à la migration vers l’IA
Aujourd’hui, une autre migration d’envergure est en cours, axée cette fois sur l’intelligence artificielle générative (IA générative) et d’autres outils et plateformes d’IA.
Les services informatiques et de sécurité ont déjà mené le difficile combat pour migrer les données vers le cloud en toute sécurité.
Désormais, ils doivent recommencer pour l’IA, avec des questions similaires qui se posent avec acuité :
- Devons-nous transférer nos données en tenant compte de considérations relatives au contrôle et au déploiement des données d’une IA souveraine ?
- Quelle place devons-nous accorder à l’IA ?
- À quelle fréquence nos employés utilisent-ils l’IA sans autorisation ?
De plus, cette transformation pourrait s’avérer bien plus délicate.
L’essor de l’IA fantôme et les lacunes en matière de visibilité des données
Les entreprises cherchent à aller au-delà des applications d’IA populaires en créant leurs propres applications en interne, et elles donnent la priorité au développement et au déploiement rapides de ces applications.
Mais en accélérant ce développement — ce qui modifie en profondeur l’emplacement de leurs données —, elles n’accordent pas suffisamment d’attention à la visibilité des données.
Parallèlement, les employés utilisateurs — les mêmes qui sont désormais parfaitement à l’aise avec le cloud et capables de l’exploiter — considèrent les applications d’IA comme de simples outils cloud supplémentaires.
L’accès immédiat, la facilité de formulation des requêtes et l’attrait général de l’expérimentation avec l’IA augmentent la probabilité qu’ils transfèrent souvent, de manière involontaire mais dangereuse, des données sensibles vers des applications et des agents d’IA (par exemple, l’IA fantôme).
L’adoption de l’IA générative s’envole — et les risques aussi
Dans une étude publiée récemment, nous avons constaté que l’adoption de l’IA générative s’envole — et accroît les risques :
- Le nombre total de personnes utilisant des applications SaaS d’IA générative, quelles qu’elles soient, augmente de manière exponentielle, triplant en un an dans l’organisation moyenne.
- La quantité de données envoyées vers les applications SaaS d’IA générative a été multipliée par six, passant de 3 000 à 18 000 requêtes par mois.
- IA fantôme demeure un défi important, 47 % des utilisateurs d’IA générative employant des applications d’IA personnelles et non gérées.
- Dans l’organisation moyenne, le nombre d’utilisateurs enfreignant les politiques relatives aux données comme celui des incidents liés à ces politiques a doublé au cours de l’année écoulée : en moyenne, 3 % des utilisateurs d’IA générative commettent en moyenne 223 violations de la politique relative aux données liées à l’IA générative par mois.
Pourquoi les RSSI sont confrontés à une équation de risque de plus en plus complexe
Résultat : l’entreprise moderne se heurte à une faiblesse récurrente, tandis que les RSSI et leurs équipes tentent de protéger les actifs numériques en période de transformation.
En tant que technologie, l’IA évolue rapidement — trop rapidement pour que les protocoles de cyberdéfense suivent le rythme. Les organisations sont ainsi exposées à la diffusion (autorisée ou non) et à la compromission potentielle de données sensibles par l’intermédiaire d’outils d’IA.
Bonnes pratiques pour sécuriser l’IA générative d’entreprise
Pour gérer efficacement cette équation de risque croissante, les RSSI et leurs équipes devraient envisager les bonnes pratiques suivantes.
Évaluez votre environnement d’IA générative
Identifiez les applications SaaS d’IA générative, les plateformes et les outils hébergés localement présents dans toute votre organisation, ainsi que leurs utilisateurs.
Déterminez comment votre organisation les déploie dans les différents services et flux de travail.
Renforcez les contrôles des applications d’IA
Pour réduire ou éliminer l’IA fantôme, appliquez des politiques qui interdisent toute application d’IA générative autre que celles approuvées par l’entreprise.
Bloquez les applications non approuvées tout en mettant en place des politiques empêchant le partage non autorisé de données sensibles avec ces outils.
Établissez des lignes directrices
Formez les employés à utiliser correctement les solutions approuvées et sensibilisez-les aux pratiques sûres en matière d’IA générative. Suivez les référentiels et les normes du secteur.
Appliquez les référentiels pertinents
Comparez régulièrement vos contrôles aux pratiques du reste de votre secteur. Appuyez-vous sur des référentiels comme OWASP Top 10 for LLMs et NIST RMF for AI.
Tenez-vous au fait des nouvelles avancées en matière d’éthique de l’IA, des évolutions réglementaires et des tendances en matière d’attaques — et adaptez vos politiques et pratiques de sécurité en conséquence.
Tirez les leçons de l’ère du cloud
Nous ne devons jamais oublier les leçons tirées de la migration mondiale vers le cloud : les dirigeants d’entreprise nourrissaient certaines réserves à l’égard du cloud et de la sécurité.
Mais grâce à leur vigilance collective, ces dirigeants considèrent désormais le cloud comme une entité relativement fortifiée — à l’image d’un site d’entreprise distant étroitement surveillé et bien protégé.
À l’heure actuelle, l’IA ressemble davantage à un nouveau prestataire dont les compétences n’ont pas été suffisamment vérifiées et auquel on accorde immédiatement un accès sans contrôle à un large éventail de données.
En mettant en œuvre un plan structuré de gouvernance de l’IA générative — comprenant l’évaluation de l’environnement, des contrôles applicatifs et des référentiels alignés sur le secteur —, les équipes de sécurité peuvent transformer l’IA, qui n’était qu’un prestataire insuffisamment évalué, en un contributeur productif et bien surveillé au succès de l’organisation.
Pour atteindre ce niveau de contrôle et de visibilité, les organisations devraient s’appuyer sur des solutions zero trust qui contribuent à vérifier en permanence les accès, à limiter la confiance implicite et à protéger les données sensibles à chaque point d’interaction.