Pourtant, derrière cette adoption accélérée se cache un paradoxe : les directions informatiques se disent largement confiantes dans la sécurité de ces systèmes, mais peinent à prouver qu’elles maîtrisent réellement leurs données, leurs dépendances et leurs fournisseurs.
Une confiance qui dépasse la visibilité
En France, 84% des DSI estiment que leurs agents d’IA fonctionnent de manière sécurisée et conforme, grâce à des garde-fous et à des mécanismes de surveillance. Mais cette assurance repose sur des fondations fragiles : seuls 31% savent précisément où leurs données sont stockées et traitées.
L’écart est encore plus net sur la chaîne d’approvisionnement logicielle. À peine 26% des entreprises disposent d’une vue complète de leurs dépendances directes et indirectes, alors même que 71% affirment corriger les vulnérabilités critiques dans les 24 heures suivant la publication d’un correctif. Autrement dit, les équipes savent réagir vite, mais pas toujours sur quoi elles réagissent.
« En matière de sécurité de l’IA, les entreprises françaises affichent une confiance forte, mais rarement vérifiable », résume Rémy Mandon, country manager France de Red Hat. « La confiance ne suffit plus : une visibilité totale sur les flux de données, les dépendances et la chaîne d’approvisionnement logicielle est indispensable. »
Le renouvellement d’un parc IT peut rapidement faire grimper les dépenses. Inventaire incomplet, postes surdimensionnés, manque de standardisation, perte de valeur du matériel et achats réactifs : découvrez les cinq…
Des flux de données encore trop opaques
L’IA multiplie les échanges entre plateformes internes, services cloud et modèles externes. Or, 47% des entreprises françaises reconnaissent des lacunes dans la visibilité de ces flux. Plus préoccupant encore : 21% ont intégré des fonctionnalités d’IA sans comprendre pleinement les trajets empruntés par les données, tandis que 1% n’en ont qu’une vision très limitée.
Ce déficit de traçabilité devient critique dans un contexte réglementaire européen exigeant. Entre le RGPD et l’AI Act, les organisations françaises doivent pouvoir démontrer, de manière auditable, comment les données circulent et sont traitées tout au long de leur cycle de vie. Un système conforme au moment de son déploiement peut ainsi devenir exposé quelques semaines plus tard, sous l’effet d’une mise à jour, d’un nouveau fournisseur ou d’une évolution des menaces.
Le point aveugle des dépendances indirectes
La vulnérabilité ne vient pas seulement des modèles d’IA, mais aussi des briques logicielles qui les entourent. Les projets open source s’appuient fréquemment sur des bibliothèques, frameworks et composants issus d’autres projets. Ces dépendances indirectes, difficiles à cartographier, peuvent ouvrir des brèches majeures lorsqu’elles ne sont pas évaluées rigoureusement.
Si 41% des entreprises de la région ont une bonne vision des composants et de leurs versions, beaucoup peinent à identifier leur origine et leurs dépendances secondaires. Un tiers des répondants français reconnaissent ne pas disposer d’une vue d’ensemble complète, souvent parce que le suivi est fragmenté entre applications ou unités opérationnelles. Aucune entreprise ne déclare toutefois ignorer totalement sa chaîne d’approvisionnement open source, un signe que le sujet est au moins identifié.
Passez à la cybersécurité proactive, transformez la collecte et l’analyse des logs en un bouclier dynamique contre les cybermenaces. Découvrez comment mettre en place une approche SIEM modulaire, évolutive et…
Évaluer les fournisseurs en continu
Dernier angle mort : le suivi des fournisseurs d’IA. Seules 32% des entreprises françaises évaluent en continu les risques liés à ces partenaires après leur intégration, avec des critères mesurables intégrés à leurs opérations quotidiennes. Un tiers se contente d’une évaluation initiale, avant le déploiement.
Pourtant, les modèles, les données, les obligations réglementaires et les menaces évoluent presque quotidiennement. Les entreprises semblent l’avoir compris : seules 1% se fient exclusivement aux audits externes, certifications ou garanties contractuelles, et 1% seulement s’appuient sur la réputation d’un fournisseur ou n’ont aucune méthode structurée.
« Cette confiance en leurs propres capacités n’est pas toujours justifiée » alerte Chris McBrayne, senior vice-president and general manager EMEA de Red Hat. « Des architectures ouvertes, associées à une gestion centralisée, peuvent néanmoins aider les entreprises à garder le contrôle tout en conservant leur flexibilité. »
Vers une gouvernance prouvable
Le message de l’étude est clair : l’adoption massive de l’IA ne doit pas masquer l’absence de preuves. Pour transformer la conformité en véritable levier de sécurité, les DSI français devront cartographier leurs flux de données, inventorier l’ensemble de leurs dépendances et soumettre leurs fournisseurs à une évaluation permanente.
Dans un écosystème où l’IA devient un composant critique, la transparence n’est plus une option : c’est la condition du contrôle.
