IA, responsabilité et appel à la vigilance en matière de cybersécurité

Alors que les organisations continuent à adopter l’intelligence artificielle (IA) pour stimuler l’innovation, transformer les opérations et rationaliser la prise de décision, elles doivent faire face à une autre réalité : l’IA est en train de redessiner rapidement le paysage des menaces en matière de cybersécurité. Même si l’IA aide les DSI à améliorer la détection et la réponse, elle conduit également à des cyberattaques plus sophistiquées. Les mêmes moteurs d’IA qui génèrent des informations précieuses peuvent également générer de fausses identités, des campagnes de phishing et des logiciels malveillants.

Le rapport State of Cybersecurity Report 2025 de Wipro décrit avec précision cette réalité. Malgré les promesses de l’IA pour renforcer la sécurité, les organisations sont toujours en retard. Cependant, ce n’est pas à cause de la technologie, mais à cause des lacunes en matière de responsabilité, des plans de gouvernance cloisonnés et de la mauvaise formation en matière de sensibilisation à la cybersécurité. De nombreuses failles de sécurité proviennent non pas uniquement d’adversaires avancés, mais d’erreurs humaines et de sous-investissement dans la cybersécurité de base.

L’expansion du paysage des menaces

L’IA a changé le paysage pour les cybercriminels. Ils peuvent désormais utiliser des modèles génératifs pour créer des messages de phishing personnalisés, automatiser la création de logiciels malveillants qui peuvent échapper à la détection et même manipuler l’audio et la vidéo pour imiter les dirigeants grâce à des deepfakes. Ces tactiques ne sont plus limitées aux acteurs étatiques ou aux groupes de hackers de premier plan, car elles sont accessibles via des outils open source et des plateformes d’IA en tant que service.

Les recherches de Wipro montrent que 44 % des organisations citent désormais la négligence interne et le manque de sensibilisation à la cybersécurité des employés comme principales vulnérabilités, même plus que le ransomware dans l’indice de risque. Cela montre que de nombreuses entreprises ne suivent pas l’évolution de la nature des attaques : les systèmes hérités, les logiciels obsolètes et les stratégies de gestion des correctifs faibles rendent facilement les réseaux vulnérables aux cybercriminels.

Le fait de négliger les pratiques de sécurité fondamentales n’est plus une erreur dépassée ou pardonnable — c’est un risque commercial critique. L’essor des attaques facilitées par l’IA ne fait que creuser l’écart entre les organisations qui prennent la cybersécurité au sérieux et celles qui ne le font pas.

Les frontières floues de la responsabilité

L’une des principales conclusions du rapport est le manque de clarté autour de la propriété de la cybersécurité. Alors que 53 % des DSI rapportent directement aux DSI, le reste est dispersé entre diverses fonctions exécutives, notamment les directeurs des opérations, les directeurs financiers et les équipes juridiques. Cela affaiblit la prise de décision et rend confuse la connaissance de qui est vraiment responsable des résultats en matière de sécurité.

Ce problème devient plus aigu lorsque l’IA entre en scène. Le rapport a constaté que 70 % des répondants européens estiment que la mise en œuvre de l’IA devrait être une responsabilité partagée, mais seulement 13 % ont une équipe désignée pour la superviser. L’adoption de l’IA se poursuit souvent sans surveillance critique des risques, sans propriété clairement définie, ce qui conduit à des pratiques incohérentes, à des vulnérabilités non gérées et à des opportunités manquées d’alignement sur les cadres réglementaires.

Les dirigeants IT doivent traiter la cybersécurité et la gouvernance de l’IA comme des priorités stratégiques au niveau du conseil d’administration. Les dirigeants seniors doivent aller au-delà d’une surveillance passive et participer à des exercices de table, à des plans de scénarios et à des examens de préparation aux cyberattaques. Dans l’environnement actuel, la collaboration, la communication et la gestion de crise sont nécessaires pour maintenir la résilience.

Le rôle de l’IA dans la refonte de la sécurité

Même si l’IA a créé de nouvelles menaces, elle offre également des capacités puissantes pour aider les organisations à protéger leurs réseaux. La détection des menaces basée sur l’IA peut analyser de grandes quantités de données en temps réel, réduire les faux positifs et identifier les irrégularités de comportement qui pourraient indiquer une faille de sécurité. Elle peut automatiser la gestion des incidents, accélérer les temps de réponse et aider les centres de sécurité.

Selon Wipro, 93 % des organisations interrogées donnent la priorité à l’IA pour la détection et la réponse aux menaces, ce qui reflète la valeur accordée par les organisations à la détection des menaces. Cette nature à double usage de l’IA exige une approche mesurée et responsable de la mise en œuvre. Les organisations ont besoin de cadres de gouvernance qui couvrent l’explicabilité des modèles, l’atténuation des biais et la conformité aux lois sur la protection des données. Sans cela, l’IA peut devenir un risque imprévisible plutôt qu’un outil de résilience.

Pourquoi la formation des employés est toujours importante

Dans un monde d’outils d’IA avancés, l’erreur humaine demeure la vulnérabilité la plus constante en matière de cybersécurité. Le phishing reste le principal vecteur d’attaque pour 65 % des organisations. Alors que les attaquants utilisent l’IA pour créer des tactiques d’ingénierie sociale plus convaincantes, le risque de failles de sécurité déclenchées par les utilisateurs augmente.

Une des principales raisons est que les organisations considèrent souvent la formation à la cybersécurité comme une activité de conformité ponctuelle. Il s’agit d’un processus continu qui doit évoluer avec le temps. Les employés doivent être formés aux menaces courantes et aux risques alimentés par l’IA, tels que l’usurpation d’identité par deepfake vocale ou les attaques d’injection de commande sur les plateformes alimentées par l’IA. Les mises à jour négligées, les systèmes non corrigés et la confiance envers les infrastructures héritées demeurent des problèmes persistants et créent des opportunités pour les failles de sécurité. La formation doit aller de pair avec des audits réguliers, une gestion des correctifs et une coordination interfonctionnelle.

Pour véritablement se défendre contre les menaces modernes, les organisations doivent investir dans l’intelligence humaine et l’intelligence artificielle et s’assurer que leurs équipes sont aussi agiles et adaptables que leurs technologies.

Construire une culture de responsabilité

La fondation d’une stratégie de cybersécurité n’est pas la technologie ; c’est la clarté. Les organisations doivent définir qui est responsable de quoi, établir des structures de gouvernance et encourager une culture de sécurité qui s’étend à tous les domaines.

La clé est de doter le DSI ou le rôle de leadership IT équivalent d’autorité et de visibilité. Il est sage de former des conseils de risque cybernétique interfonctionnels, comprenant des représentants de l’IT, de la conformité, du droit et des unités commerciales. Certaines entreprises établissent des comités de niveau de conseil d’administration spécifiquement axés sur la surveillance de la cybersécurité.

Les cadres de gouvernance pour les déploiements d’IA doivent inclure des contrôles sur les données de formation, le déploiement de modèles, les droits d’accès et la surveillance en temps réel. Ces cadres doivent évoluer aux côtés de réglementations telles que l’Acte IA de l’UE et des normes industrielles émergentes pour une utilisation éthique de l’IA.

La formation des employés sur l’IA doit également être intégrée dans ce changement culturel. La sécurité de l’IA n’est pas uniquement un problème d’IT — c’est une responsabilité partagée entre les départements, les régions et les rôles. L’ensemble de l’entreprise gagne lorsque tous les membres de l’organisation comprennent leur rôle dans la protection des données et des systèmes.

De la sensibilisation à l’action

L’IA redessine le paysage de la cybersécurité. Les attaquants sont plus rapides, plus évolutifs et de plus en plus automatisés. Les défenseurs ont des outils puissants à leur disposition, mais les outils seuls ne les sauveront pas.

Les organisations doivent établir de meilleures processus de gouvernance, et non seulement des algorithmes plus puissants. Cela inclut la clarification de la responsabilité pour les systèmes d’IA et, éventuellement, l’intégration de l’IA dans le mélange de la cybersécurité.

Le rapport envoie un message clair : la technologie progresse rapidement, mais les personnes, les processus et les priorités sont en retard. Combler cet écart est un impératif stratégique, surtout maintenant que l’IA est dans le tableau. Il n’y a aucun doute que l’IA continuera de transformer la façon dont nous vivons et travaillons. Mais que cette transformation renforce ou compromette votre organisation dépend de la manière dont vous prenez la responsabilité au sérieux, à partir de aujourd’hui.