IA et cybersécurité : les entreprises françaises acceptent plus de risques qu’elles ne savent les contrôler

L’intelligence artificielle n’est plus un simple assistant : elle prend des décisions, exécute des actions et intervient dans des processus autrefois soumis à validation humaine. Mais cette autonomie s’accompagne d’un angle mort croissant. Selon l’étude Licensed to Act: How AI Autonomy Is Outrunning the Limits Placed on It d’Illumio, spécialiste du confinement des brèches, les organisations françaises adoptent l’IA plus vite qu’elles ne sécurisent son périmètre d’action.

Une prise de risque supérieure à la moyenne mondiale

En France, 66% des organisations interrogées déclarent accepter davantage de risques cyber qu’il y a douze mois afin de tirer profit de l’IA, contre 56% au niveau mondial. Une dynamique qui traduit la pression concurrentielle autour de l’IA générative, de l’automatisation et de l’analyse des données.

Cette ouverture s’accompagne d’une assurance notable : 86% des répondants français se disent à l’aise avec le niveau de risque qu’ils assument, dont 33% « très à l’aise ». Pourtant, cette confiance contraste avec la capacité des entreprises à observer et encadrer ce que font concrètement leurs systèmes d’IA.

Des agents d’IA de moins en moins supervisés

Le basculement est déjà engagé : 58% des organisations françaises confient désormais à l’IA des décisions qui nécessitaient une validation humaine il y a un an. Mais seules 37% peuvent visualiser et auditer chaque action réalisée par un agent d’IA, soit 12 points de moins que la moyenne mondiale (49%).

Autrement dit, près des deux tiers des entreprises françaises ne disposent pas d’une piste d’audit complète pour les opérations menées par leurs agents. Un déficit de traçabilité d’autant plus sensible que 79% estiment pourtant comprendre pleinement les risques associés à ces technologies.

L’IA s’invite dans les fonctions critiques

L’IA n’est plus cantonnée aux usages expérimentaux. En France, 65% des organisations l’utilisent déjà en cybersécurité, 60% pour l’analyse de données et la business intelligence, et 57% dans la gestion et les services informatiques.

Des domaines où une erreur, un accès excessif ou une recommandation mal calibrée peuvent avoir des conséquences directes sur la sécurité du système d’information. Les incidents recensés le confirment : 72% des organisations françaises ont rencontré au moins un problème de sécurité ou un signal d’alerte lié à l’IA au cours des douze derniers mois.

Parmi les situations les plus préoccupantes, 31% indiquent que l’IA a formulé une recommandation susceptible de créer un risque de sécurité si elle avait été suivie. 26% rapportent une action non autorisée produite ou déclenchée par l’IA, 21% un accès à des données qui n’auraient pas dû être accessibles, et 17% une connexion d’un agent ou d’un outil d’IA à des systèmes sans validation de sécurité.

Un risque interne difficile à circonscrire

Contrairement à un attaquant externe, qui doit d’abord trouver un point d’entrée, un agent d’IA peut déjà disposer d’identifiants, de permissions et d’une connectivité vers des systèmes et données critiques. Il devient ainsi un acteur interne dont le comportement doit être encadré avec la même rigueur qu’une identité humaine ou une application sensible.

Les organisations semblent en avoir conscience : 81% estiment que les agents d’IA exigent des contrôles fondamentalement différents de ceux applicables aux logiciels traditionnels. Et 65% jugent que limiter ce à quoi l’IA peut accéder est désormais plus important que tenter de prévoir chaque menace.

Pourtant, la segmentation reste insuffisamment priorisée. Seules 16% des entreprises françaises considèrent que la « Frontier AI » a rendu la segmentation réseau ou la microsegmentation plus importante, contre 27% à l’échelle mondiale.

Donner à l’IA des limites, pas une liberté totale

L’étude met aussi en évidence une tolérance croissante à l’autonomie opérationnelle : 31% des organisations françaises se disent prêtes à laisser l’IA mener des investigations de sécurité sans vérification humaine, 27% à déployer des modifications de code et 24% à accorder ou révoquer des droits d’accès.

Pour Damien Gbiorczyk, expert en cyber résilience chez Illumio, l’enjeu n’est pas de freiner l’innovation, mais de l’encadrer : « Les organisations françaises affichent un fort intérêt pour la valeur que peut créer l’IA, mais accepter davantage de risques ne doit pas signifier lui laisser une liberté d’action illimitée. »

Il insiste sur la nécessité de visibilité et de contrôles concrets : « À mesure que l’IA assume davantage de responsabilités, les entreprises ont besoin d’une meilleure visibilité sur ses actions et de limites claires et applicables concernant les ressources auxquelles elle peut accéder et les systèmes auxquels elle peut se connecter. »

Zero Trust : contenir plutôt que tout prédire

La réponse proposée par l’étude repose sur une logique Zero Trust : réduire le rayon d’action de l’IA plutôt que chercher à anticiper chacun de ses comportements. Concrètement, cela suppose de segmenter les accès, appliquer le principe du moindre privilège, tracer chaque action et isoler les environnements sensibles.

La cyber-résilience dépendra moins de la capacité à prédire l’imprévisible que de celle à contenir toute activité inattendue. Pour les DSI et RSSI français, l’IA doit désormais être traitée comme une identité à part entière : puissante, utile, mais strictement encadrée.

Source : Etude Illumio auprès de 1 100 décideurs IT et sécurité répartis sur 10 marchés, dont 100 répondants en France. L’étude mondiale comprend également les États-Unis, le Royaume-Uni, la France, l’Allemagne/Suisse/Autriche (DACH), le Moyen-Orient (Émirats arabes unis et Arabie saoudite), le Japon, l’Australie, Singapour, le Brésil et le Mexique.

Ressources complémentaires sur iTPro.fr

L’IA défensive a aussi besoin de contrôles d’accès

IA : la sécurité se prépare aux accès agentiques