Ce n’est pas parce que de très nombreuses entreprises déploient et investissent dans l’IA générative (GenAI) qu’elles comprennent réellement ce qu’est cette technologie — ni, surtout, en quoi elle pourrait menacer leur chiffre d’affaires et la réputation de leur marque. Alors que l'adoption de l'IA s'accélère, portée par la promesse d'une efficacité accrue et de réductions de coûts, les conseils d'administration et les dirigeants ont besoin des conseils d'experts concernant les risques potentiels pour l'entreprise.
Découvrez une nouvelle figure parmi les professionnels de l'informatique : le responsable de la sécurité des systèmes d'information (RSSI) spécialisé dans l' , , en tant que conseiller en risques liés à l'IA.
Les chiffres montrent clairement que ce type d'orientation est nécessaire. Une récente étude de la Wharton School intitulée « » ( ) a révélé que 82 % des dirigeants d'entreprise utilisent l'IA chaque semaine, et que près de la moitié y ont recours quotidiennement. De plus, selon cette étude, trois dirigeants sur quatre constatent déjà un retour sur investissement positif dans le domaine de l'IA, et la plupart prévoient d'augmenter leurs dépenses dans ce domaine dans un avenir proche. Mais ils ne se rendent peut-être pas compte à quel point le champ des menaces ne cesse de s'étendre.
Près de 80 % des ransomwares de type « » ( ) sont désormais alimentés par l'IA, selon une nouvelle étude menée par le MIT Sloan et Safe Security () (), ce qui laisse entrevoir une augmentation significative de la vitesse, du volume et de l'ampleur des attaques. Vient ensuite la menace interne : plus de la moitié des employés utilisent des « » ( d’IA parallèles), c’est-à-dire des outils d’IA non autorisés qui exposent les entreprises à des risques — c’est ce qui ressort d’une enquête approfondie intitulée « » ( ), menée en 2024 auprès de 6 000 salariés aux États-Unis, au Royaume-Uni et en Allemagne par le conglomérat allemand Software AG. (Il y a fort à parier que ces chiffres sont encore plus élevés aujourd'hui.) Et 13 % des entreprises ont signalé l'année dernière des incidents liés à des modèles ou à des applications d'IA, selon un rapport d' IBM.
Le RSSI peut être celui qui informera plus régulièrement et de manière plus exhaustive les décideurs de ces risques qui augmentent de manière exponentielle pour l'entreprise, ainsi que des nouveaux dispositifs de contrôle ou des dépenses qui pourraient s'avérer nécessaires pour les minimiser.
Repenser le rôle du RSSI au regard des risques liés à l'IA
Considérez les conseillers en risques liés à l'IA comme des personnes dont les responsabilités, outre l'élaboration et la mise en œuvre de stratégies de cybersécurité, consistent à guider les dirigeants vers une utilisation sûre, sécurisée, conforme et éthique de l'IA afin de faire progresser les objectifs de l'entreprise et de renforcer la confiance des clients.
«Même si l’IA figure désormais parmi les trois principaux points à l’ordre du jour de presque toutes les réunions de conseil d’administration auxquelles j’assiste, la plupart des conseils d’administration ne la comprennent toujours pas. »David Gee, conseiller en gestion des risques auprès du conseil d'administration, ancien responsable de la sécurité des systèmes d'information (RSSI) chez HSBC et auteur
D'une certaine manière, ce poste existe déjà. Les problèmes de cybersécurité, tels que les ransomwares, les fuites de données et les piratages de la chaîne d'approvisionnement , qui coûtent des dizaines de milliards de dollars aux entreprises américaines, font de la sécurité une préoccupation majeure pour les entreprises. De nombreux responsables de la sécurité des systèmes d'information (RSSI) font désormais des présentations aux membres du conseil d'administration plusieurs fois par an.
Mais cela ne signifie pas pour autant que les RSSI parviennent à expliquer clairement ce que les membres du conseil d'administration et les cadres dirigeants ont réellement besoin de savoir sur l'IA, ni que ces derniers comprennent ce qu'on leur dit.
« Même si l’IA figure désormais parmi les trois principaux points à l’ordre du jour de presque toutes les réunions de conseil d’administration auxquelles j’assiste, la plupart des conseils d’administration ne la comprennent toujours pas », a déclaré David Gee, conseiller en gestion des risques auprès des conseils d’administration basé à Sydney, ancien RSSI chez HSBC et auteur du nouvel ouvrage <em>« Une journée dans la vie d’un RSSI ».</em> « Ils recrutent des administrateurs issus des milieux de la comptabilité et du droit, et non des personnes ayant une expérience dans les domaines de la cybersécurité, des données ou de l’IA. »
De nombreux RSSI pourraient également affirmer aux membres du conseil d'administration et aux dirigeants que les outils et contrôles de cybersécurité traditionnels suffisent à faire face aux risques liés à l'IA, alors qu'en réalité, ils s'avèrent insuffisants, a déclaré Jim Routh, responsable de la confiance chez Saviynt et ancien RSSI, qui conseille les conseils d'administration en matière de cybersécurité.
« Aujourd’hui, environ 40 % des RSSI affirment : “Les mesures de contrôle que nous avons mises en place sont suffisantes pour faire face à cette évolution technologique” », a déclaré M. Routh. « Je pense que c'est irresponsable. »
Gee constate le même problème.
« La plupart des organisations continuent de fonctionner selon des stratégies élaborées avant même que l’IA générative n’existe », a-t-il déclaré. « Les surfaces d’attaque ont doublé — passant des systèmes traditionnels à de nouveaux points d’entrée liés à l’IA, tels que les interfaces de programmation d’applications (API), les pipelines de génération augmentée par la recherche (RAG) et les modèles de contrôle d’accès — et la plupart des RSSI ne les ont pas encore cartographiées. » Les API, les pipelines RAG et les contrôles d'accès aux modèles constituent le lien qui relie les modèles d'IA aux données, aux applications et aux utilisateurs, et sont de plus en plus considérés comme des vecteurs d'attaque prometteurs.
Les risques liés à l'IA et la manière de faire face aux menaces pertinentes
M. Routh a déclaré que le paysage des menaces liées à l'IA s'étendait sur trois fronts, dont chacun doit être pris en charge en mobilisant l'ensemble des compétences d'un RSSI. Il s'agit notamment de :
- Modèles de base —: les employés risquent de divulguer des données sensibles dans le cadre de leurs interactions quotidiennes.
- Applications SaaS —— dans lesquelles des modèles linguistiques sont intégrés avec un minimum de supervision.
- Développement logiciel —: un site où des personnes ayant des niveaux d'expérience variés utilisent l'IA pour générer du code susceptible de présenter des failles de sécurité.
La pratique consistant à utiliser des modèles d’IA pour créer des applications complètes à partir de consignes rédigées en anglais courant, une approche connue sous le nom de «vibe coding », est celle qui inquiète le plus M. Routh, compte tenu de l’importance cruciale que revêtent les applications pour le fonctionnement d’une organisation et ses partenaires de la chaîne d’approvisionnement.
Et cela ne se limite pas aux applications de programmation. La menace croissante que représentent les projets d'IA clandestins en général inquiète des experts tels que Wyatt Mayham, consultant principal en IA chez Northwest AI Consulting. Les collaborateurs de toutes les divisions mettent en place des projets pilotes d’IA non autorisés ou achètent des outils tiers sans qu’ils aient fait l’objet d’une évaluation de sécurité, créant ainsi des angles morts que les RSSI ne peuvent se permettre d’ignorer, a-t-il déclaré.
« Chaque semaine, nous découvrons de nouvelles applications d’IA en production qui n’ont jamais été validées par le service informatique », a déclaré M. Mayham. « Le problème ne réside pas uniquement dans les outils d’IA eux-mêmes. » « Ce sont les dirigeants qui ignorent même l'existence de ces outils jusqu'à ce qu'un problème survienne. »
Ce manque de visibilité est bien plus qu'une simple lacune technique, a-t-il déclaré. Cela constitue une lacune en matière de gouvernance, qui expose les entreprises à des amendes réglementaires, à des perturbations de leurs activités et à des gros titres susceptibles de nuire à leur image de marque. C'est pourquoi les experts ont déclaré que les RSSI devaient passer du rôle de défenseurs agissant en coulisses à celui de conseillers en matière de risques siégeant à la table des décideurs.
Parler la bonne langue
De nombreux responsables de la sécurité des systèmes d'information (RSSI) en sont encore à apprendre à aborder les risques liés à l'IA en termes commerciaux.
«Le problème ne réside pas uniquement dans les outils d’IA eux-mêmes. » Ce sont les dirigeants qui ignorent même l’existence de ces outils jusqu’à ce qu’un problème survienne. »Wyatt Mayham, consultant principal en IA, Northwest AI Consulting
Timothy Youngblood, ancien responsable de la sécurité des systèmes d’information (RSSI) chez McDonald’s et T-Mobile, et désormais RSSI en résidence chez Astrix Security, a déclaré que trop de responsables de la sécurité peinent à passer de simples discours sur la technologie à la démonstration de la manière dont une sécurité solide soutient la croissance de l’entreprise.
« De nombreux responsables de la sécurité des systèmes d’information (RSSI) sont tellement tournés vers la technologie qu’ils en oublient parfois que leur rôle consiste à contribuer à la croissance du chiffre d’affaires de l’entreprise », a-t-il déclaré. « Notre mission consiste à contribuer à maintenir ce chiffre d'affaires et à aborder la question des risques dans un langage compréhensible par toutes les personnes présentes. »
C'est au conseil d'administration qu'il revient de donner le ton. Les cadres n'ont pas besoin d'exposés détaillés sur l'empoisonnement des modèles, l'injection de prompts « » ou l'application de correctifs. Ils souhaitent comprendre comment les mesures de sécurité permettent de protéger le chiffre d'affaires, les clients et la réputation.
Cette perspective plus large revêt une importance encore plus grande à mesure que les questions de gouvernance se font de plus en plus pressantes.
Les conseils d’administration demandent de plus en plus souvent aux responsables de la sécurité des systèmes d’information (CISO) de faire la distinction entre la sécurité de l’IA « » (c’est-à-dire la protection des systèmes contre les attaques) et la sûreté de l’IA (qui consiste à s’assurer que l’IA se comporte comme prévu), a déclaré Kara Sprague, PDG de HackerOne, une société spécialisée dans les programmes de prime aux bogues et la divulgation des vulnérabilités. Elle a averti que le fait de se concentrer sur l'une ou l'autre de ces catégories risquait d'empêcher les entreprises d'avoir une vision d'ensemble. Les responsables de la sécurité des systèmes d'information (RSSI) doivent prendre en main l'ensemble du débat, a-t-elle déclaré.
« Nos recherches montrent qu’environ 84 % des RSSI sont considérés comme les responsables en matière de risques liés à l’IA dans le domaine de la sécurité et de la sûreté », a déclaré M. Sprague. « Il y a donc une attente vis-à-vis du RSSI, qu’il souhaite ou non assumer ce rôle, ou qu’il en ait ou non les capacités. »
Un défi pour les dirigeants : faire face à la dure réalité des risques liés à l'IA
Pour répondre à cette attente, il faudra peut-être ajuster les budgets. Les systèmes de défense existants ne peuvent pas être simplement adaptés à l'IA. Au contraire, des experts tels que M. Routh ont déclaré que les moyens financiers devaient être consacrés à la gouvernance des données, à la surveillance des modèles et aux mesures de protection en temps réel.
«Ne faites pas la rabat-joie… » En tant que conseiller en risques liés à l'IA, vous souhaitez être celui ou celle qui apporte des solutions permettant à l'organisation de dire « oui » en toute sécurité. »Kara Sprague, PDG de HackerOne
Comme l’ont tous deux souligné Routh et Youngblood, l’un des défis réside dans le fait que cela exige autant de compétences relationnelles — notamment en matière de narration, de présentation et d’analyse — que d’expertise technique. Les conseillers en gestion des risques doivent savoir convaincre en mettant en avant les opportunités parallèlement aux risques, ont-ils déclaré.
Gee, dont l'ouvrage décrit l'évolution du rôle des responsables de la sécurité à l'ère de l'IA, articule ce parcours autour de trois impératifs : s'approprier le sujet, se former et impliquer les parties prenantes.
« L'IA n'est pas une mode passagère ; c'est un véritable tsunami », a-t-il déclaré. « Soit vous vous positionnez pour en tirer parti, soit vous vous faites balayer par la vague. »
5 se lance dans le conseil en matière de risques liés à l'IA
Comment les RSSI peuvent-ils donc y parvenir ? Voici quelques conseils d'experts pour devenir conseiller en risques liés à l'IA :
- Sachez ce dont vous disposez —Les responsables de la sécurité des systèmes d’information (RSSI) doivent recenser comment et où l’IA est utilisée au sein de l’entreprise, y compris les projets d’« IA fantôme » non autorisés. « On ne peut vraiment pas régir ce dont on ignore l’existence », a déclaré Mayham. Cela implique d'identifier les systèmes d'IA, de suivre les flux de données et de mettre en évidence les angles morts avant qu'ils ne deviennent des risques, a-t-il déclaré.
- Définir l’utilisation responsable —Une fois la visibilité assurée, les RSSI devraient mener une réflexion collective afin de s’accorder sur ce que signifie l’« utilisation responsable » de l’IA. « Cela variera en fonction du secteur d'activité et des exigences réglementaires, mais une utilisation responsable devrait servir de ligne directrice à toutes les autres initiatives », a déclaré M. Routh.
- Intégrer la gouvernance au cœur de l’entreprise —Par la suite, MM. Routh et Youngblood ont indiqué que les RSSI devraient être en mesure d’expliquer clairement comment ils intègrent la gouvernance — politiques en matière d’IA, supervision, responsabilité et conformité réglementaire — dans les opérations quotidiennes, afin que la cybersécurité et la sécurité deviennent des responsabilités essentielles de l’entreprise, et non des considérations secondaires.
- Hiérarchisez vos efforts —Il est également important d'éviter de vouloir tout faire à la fois. M. Sprague a déclaré que les RSSI devraient être en mesure d'analyser le paysage des menaces, d'identifier les domaines dans lesquels l'IA représente le plus grand risque pour les priorités de l'entreprise et d'expliquer comment ils comptent combler certaines lacunes spécifiques dans la couverture des risques. « C’est une question d’optimisation », a-t-elle déclaré, « car nous savons tous que les budgets consacrés à la cybersécurité n’augmentent pas au même rythme que la surface d’attaque. »
- Sensibiliser, sensibiliser, sensibiliser —Enfin, les RSSI doivent tenir les conseils d’administration et les collaborateurs informés et alignés sur l’évolution du paysage des menaces, les mesures d’atténuation mises en œuvre par l’entreprise et la manière dont celles-ci s’inscrivent dans les priorités stratégiques, ont déclaré Youngblood et Sprague. Ces échanges doivent être précis et permettre aux membres du conseil d'administration et aux dirigeants de bien comprendre, de manière claire et exhaustive, ce qui se passe et pourquoi. « Si les RSSI ne prennent pas l'initiative en matière de formation et se contentent au contraire de leur dire sans cesse que tout va bien, ils leur rendent un mauvais service », a ajouté M. Routh.
Avant tout, chaque discussion au sein du conseil d’administration ou à l’échelon de la direction devrait mettre en avant la manière dont le plan du RSSI favorise l’innovation, plutôt que de restreindre les activités ou de dire « non », a déclaré M. Sprague.
« Ne soyez pas cette rabat-joie qui passe son temps à dire : “Non, on ne peut pas faire ça” », a-t-elle averti. « En tant que conseiller en risques liés à l'IA, vous souhaitez être celui ou celle qui apporte des solutions permettant à l'organisation de dire « oui » en toute sécurité. »
