Pourquoi les entreprises restent prudentes face à l’IA — Et comment la déployer de manière sécurisée

L’IA a pris le monde d’assaut. Alors que certaines organisations ont été des précurseurs, de nombreuses entreprises ont adopté une approche plus prudente — inquiètes pour la confidentialité, la conformité et les problèmes opérationnels qui persistent à ce jour.

J’ai travaillé sur des centaines de déploiements impliquant des outils de sécurité alimentés par l’IA et j’ai vu un schéma familier se dérouler. Les champions apportent un enthousiasme précoce. Les pilotes montrent des promesses. Puis viennent les débats internes, les examens juridiques et, éventuellement, une pause alors que les organisations sombrent dans une paralysie analytique. Malgré le potentiel immense de l’IA pour transformer les opérations de sécurité, de nombreuses entreprises hésitent encore à l’adopter pleinement.

En matière de cybersécurité, la prudence est souvent l’instinct correct. Mais retarder les mises en œuvre de l’IA ne stoppera pas les menaces alimentées par l’IA qui sont maintenant en augmentation en termes d’échelle et de fréquence. Le véritable défi est de savoir comment adopter l’IA de manière sécurisée, délibérée et sans compromettre la confiance.

Voici ce que j’ai appris de la ligne de front — et ce que je recommande aux dirigeants de la sécurité qui sont prêts à avancer avec confiance.

1. Le problème de confiance des données

Le premier et plus grand obstacle est la gestion des données. De nombreuses entreprises ont peur que des données sensibles puissent fuir, être mal utilisées ou — pire encore — être utilisées pour former un modèle qui profite à un concurrent. Les violations de données de haute visibilité et les assurances vagues des fournisseurs ne font qu’attiser ces peurs.

Il ne s’agit pas de paranoïa. Lorsque vous avez affaire à des informations personnelles des clients, à des propriétés intellectuelles ou à des données réglementées, confier ces données à un tiers peut sembler une perte de contrôle. Et jusqu’à ce que les fournisseurs fassent mieux pour clarifier leurs politiques en matière de ségrégation des données, de rétention, d’implication de tiers et de formation de modèles, l’adoption restera prudente.

C’est là que la gouvernance devient cruciale. Les DSI doivent évaluer les fournisseurs en utilisant des cadres émergents tels que le NIST AI Risk Management Framework ou ISO/IEC 42001, qui offrent des conseils pratiques sur la confiance, la transparence et la responsabilité dans les systèmes d’IA.

2. Vous ne pouvez améliorer ce que vous ne mesurez pas

Un autre obstacle courant est le manque de mesures de base. De nombreuses entreprises ne peuvent pas quantifier leur performance actuelle, ce qui rend difficile la preuve du retour sur investissement des outils d’IA. Comment pouvez-vous affirmer un gain d’efficacité de 40 % si personne n’a suivi le temps nécessaire pour effectuer la tâche avant l’automatisation ?

Que ce soit le temps moyen de détection (MTTD), les taux de faux positifs ou les heures d’analyste SOC économisées, les organisations doivent commencer par mesurer les flux de travail actuels. Sans ces données, le cas de l’IA reste anecdotique — et les sponsors exécutifs ne valideront pas les initiatives à grande échelle sans chiffres réels et défendables.

Commencez à suivre les KPI clés, notamment :

• Temps moyen de détection/réponse (MTTD/MTTR)
• Réduction des faux positifs, des faux négatifs et du volume de tickets
• Heures d’analyste économisées par incident
• Améliorations de la couverture (par exemple, vulnérabilités scannées et corrigées)
• Incidents résolus sans escalation

Ces références deviendront la colonne vertébrale de votre stratégie de justification de l’IA.

3. Lorsque les outils fonctionnent trop bien

Ironiquement, l’une des raisons pour lesquelles l’adoption de l’IA stagne est que certains outils fonctionnent trop bien — exposant plus de risques que l’organisation n’est prête à gérer.

Les plates-formes de renseignement sur les menaces avancées, les outils de surveillance du dark web et les solutions de visibilité alimentées par l’IA LLM révèlent souvent des informations d’identification volées, des domaines similaires ou des vulnérabilités précédemment non détectées. Au lieu de créer de la clarté, cette visibilité écrasante peut générer un nouveau problème : Où commencer ?

J’ai vu des équipes désactiver les analyses avancées parce que le volume des résultats créait un inconfort politique ou budgétaire. Une meilleure visibilité exige une meilleure priorisation — et une volonté de confronter les problèmes de face.

4. Verrouillés dans des contrats de legacy

Même lorsque de meilleurs outils sont disponibles, de nombreuses entreprises sont verrouillées dans des accords pluriannuels avec des fournisseurs de legacy. Certains de ces contrats comportent des pénalités financières si importantes que changer de fournisseur en cours de contrat est impossible.

La sécurité des e-mails est un cas classique. Les solutions modernes offrent maintenant une détection de menaces alimentée par l’IA, un modelage de comportement et une résilience intégrée pour les environnements hybrides. Mais si votre fournisseur actuel n’a pas su suivre et que vous êtes bloqué dans un contrat de cinq ans, vous êtes essentiellement figé en place jusqu’à la fin du contrat.

Il ne s’agit pas seulement de technologie. Il s’agit de timing, de passation de marchés et de planification stratégique.

5. L’essor de l’IA fantôme

L’adoption de l’IA ne se produit pas seulement de haut en bas — elle se produit partout, souvent sans que la sécurité en ait connaissance. Notre recherche montre que plus de 85 % des employés utilisent déjà des outils d’IA tels que ChatGPT, Copilot et Bard. (sans oublier DeepSeek et TikTok !)

Sans surveillance appropriée, les employés peuvent saisir des données sensibles dans des outils publics, s’appuyer sur des sorties hallucinées ou enfreindre involontairement les politiques de l’entreprise. C’est un cauchemar de conformité et de protection des données, et faire semblant que ce n’est pas un problème ne résout rien.

Les dirigeants de la sécurité doivent prendre une position proactive en :

• Établissant des politiques d’utilisation acceptables
• Bloquant les applications d’IA non approuvées lorsque nécessaire et en redirigeant ces utilisateurs vers des outils autorisés
• Mettant en œuvre des plates-formes d’IA sécurisées pour une utilisation interne
• Formant les employés à une utilisation responsable de l’IA

Note de champ : Les politiques d’utilisation de l’IA ne changeront pas l’utilisation. Vous ne pouvez pas faire respecter ce que vous ne connaissez pas, donc la première étape consiste à quantifier l’utilisation, puis à basculer l’interrupteur de l’application.

6. L’externalisation comporte ses propres risques

Peu d’entreprises ont les infrastructures pour construire et héberger de grands modèles en interne. Cela signifie que l’externalisation est souvent le seul chemin viable — mais elle comporte des risques de tiers et de chaîne d’approvisionnement que les DSI connaissent trop bien.

Les incidents tels que SolarWinds, Kaseya et la récente faille de sécurité de Snowflake mettent en évidence comment faire confiance à des partenaires externes sans visibilité peut conduire à des expositions majeures. Lorsque vous externalisez les infrastructures d’IA, vous héritez de la posture de sécurité du fournisseur — bonne ou mauvaise.

Il ne suffit pas de faire confiance à une marque. Exigez de la clarté sur :

• Cycle de vie du modèle et fréquence de mise à jour
• Protocoles de réponse aux incidents
• Contrôles de sécurité et historique de conformité du fournisseur
• Isolation des données et contrôles de locataire

7. La surface d’attaque de l’IA est en expansion

Alors que les organisations adoptent l’IA, elles doivent également se préparer à des vecteurs d’attaque spécifiques à l’IA. Les attaquants expérimentent déjà :

• L’empoisonnement de modèles (en modifiant subtilement les données de formation)
• L’injection de prompt (en manipulant le comportement de l’IA LLM)
• Les entrées adverses (en contournant la détection)
• L’exploitation des hallucinations (en trompant les utilisateurs pour leur faire faire confiance à de fausses sorties)

Ces menaces ne sont pas théoriques. Elles sont réelles et en augmentation. Alors que les défenseurs adoptent l’IA, ils doivent également adapter leurs stratégies de test de pénétration, de surveillance et de réponse pour tenir compte de cette nouvelle surface d’attaque.

8. Les personnes et les processus peuvent être le véritable goulet d’étranglement

L’un des défis les plus négligés est la préparation organisationnelle. Les outils d’IA nécessitent souvent des changements dans les flux de travail, les compétences et les mentalités.

Les analystes doivent comprendre quand faire confiance à l’IA, quand la remettre en question et comment l’escalader efficacement. Les dirigeants doivent intégrer l’IA dans les processus de prise de décision sans automatiser aveuglément les risques.

La formation, les carnets de bord et la gestion du changement doivent évoluer aux côtés de la technologie. L’adoption de l’IA n’est pas seulement une initiative technologique. C’est une initiative de transformation humaine.

Que pouvons-nous faire ?

Malgré les défis, je crois fermement que les avantages de l’IA dans la sécurité l’emportent sur les risques — si cela est fait correctement. Voici comment je conseille aux organisations de progresser :

• Commencez petit et testez rigoureusement
• Choisissez un cas d’utilisation ciblé avec un impact mesurable. Exécutez des pilotes contrôlés. Validez les performances. Construisez la confiance avec des données, pas de l’hype.
• Faites participer les services juridiques, les risques et la sécurité dès le début
• N’attendez pas la phase de contrat. Faites participer les services juridiques et de conformité pour vérifier les conditions de traitement des données, les risques réglementaires et les implications de la chaîne d’approvisionnement dès le départ.

Mesurer tout

Suivez les KPI avant et après la mise en œuvre. Créez des tableaux de bord qui s’expriment à la fois en termes de sécurité et d’entreprise. Les métriques font ou défont le financement de l’IA.

Choisissez des partenaires avec des preuves concrètes de projets réussis

Regardez au-delà des démonstrations. Exigez des références. Demandez des informations sur le support après-vente, la complexité de déploiement et les résultats dans des environnements comme le vôtre.

Qu’est-ce qui vient ensuite ? Cas d’utilisation émergents à surveiller

Nous sommes encore au début du voyage de l’IA dans la sécurité. Les DSI visionnaires explorent déjà :

• Les copilotes d’IA pour la gestion des pare-feu, la conformité et l’automatisation de la GRC
• L’utilisation de flux de menaces améliorés par l’IA qui accélèrent la réponse aux menaces zero-day et l’exactitude
• La simulation d’attaque et la génération de rapports de simulation
• Les infrastructures multi-fournisseurs auto-réparatrices
• Les contrôles d’identité basés sur les risques alimentés par l’IA comportementale

Ces cas d’utilisation passent des laboratoires d’innovation à la production. Les organisations qui construisent des compétences maintenant seront beaucoup mieux préparées à capitaliser.

Pensée finale : retarder n’est pas se défendre

L’IA est là et les adversaires alimentés par l’IA également. Plus vous attendez, plus vous perdez de terrain. Mais cela ne signifie pas que vous devriez vous lancer aveuglément.

Avec une planification soigneuse, une gouvernance transparente et les bons partenaires, votre organisation peut adopter l’IA de manière sécurisée — en améliorant les capacités sans sacrifier le contrôle.

Le futur de la sécurité est augmenté. La seule question est de savoir si vous allez mener ou rester en arrière.