Gestion des cyberrisques liés à l'IA : pourquoi votre programme GRC doit évoluer

Les dépenses en IA sont sur le point d'exploser, et la plupart des programmes ne sont pas prêts à faire face aux implications de cette évolution en matière de gestion des risques cyberliés à l'IA. Votre modèle de gouvernance risque de ne pas tenir le rythme.

Gartner prévoit que les dépenses consacrées à l'IA augmenteront de 44 % rien qu'en 2026. D'ici 2029, le montant total des dépenses consacrées à l'IA (infrastructures, produits et services confondus) atteindra 4 700 milliards de dollars. Pourtant, seules 15 % des entreprises déclarent avoir mis en place une gouvernance complète en matière d'IA.

C'est cette lacune qui constitue le véritable risque. Plus précisément, il s'agit avant tout d'un problème de gouvernance, et non d'un problème technologique. Cet article explique pourquoi, et présente les recommandations de Gartner à l'intention des RSSI et des responsables de la sécurité pour y remédier.

Le piège de la fragmentation dans la gouvernance des risques liés à l'IA

Voici l'erreur couramment commise. À mesure que l'adoption de l'IA s'accélère, de nombreuses équipes de sécurité réagissent en mettant en place de nouvelles solutions. Plus précisément, elles élaborent des politiques, des processus et des outils spécifiques, exclusivement destinés à la gestion des risques liés à l'IA.

Au premier abord, cela semble logique. Mais dans la pratique, cela se retourne contre nous.

Comme ces cadres fonctionnent en parallèle, ils fragmentent la gestion des cyber-risques avant même qu’elle ne commence. En conséquence, ils ralentissent la prise de décisions fondées sur l’analyse des risques. Pire encore, ils compliquent la tâche des dirigeants qui souhaitent comparer les risques liés à l’IA à tous les autres risques figurant dans le registre des risques.

Les recommandations de Gartner sont donc claires : ne mettez pas en place un deuxième système dédié à l'IA. Faites plutôt évoluer celui dont vous disposez déjà.

Cette situation reflète une lacune en matière de gouvernance à laquelle les conseils d’administration sont déjà confrontés ailleurs. Le rapport « Global Cybersecurity Outlook 2026 » du Forum économique mondial a mis en évidence une tendance similaire dans la supervision de la chaîne d’approvisionnement : c’est généralement la visibilité fragmentée, et non le manque d’outils, qui constitue le véritable problème.

Six façons de faire évoluer la gestion des risques cyberliés à l'IA

Gartner présente six mesures concrètes portant sur la méthodologie, les ressources humaines et la technologie. Ensemble, elles permettent de maintenir les risques liés à l'IA au sein de votre structure de gouvernance existante, plutôt que de les y ajouter en parallèle.

1. Renforcer la responsabilisation en matière de cyber-risques liés à l'IA. Les équipes de sécurité se retrouvent souvent désignées par défaut comme responsables de tous les risques liés à l'IA. Cela pose problème, car ce sont les unités opérationnelles qui déploient des outils d'IA qui doivent assumer la responsabilité des risques que ces outils engendrent.

Concrètement, cela implique de mettre à jour votre charte de cybersécurité. Cela implique également d'exiger des responsables métier qu'ils reconnaissent et acceptent formellement les risques liés à l'IA avant le déploiement, et non après.

2. Tenez un registre unifié des risques cybernétiques. Résistez à la tentation de créer un registre distinct pour les risques liés à l'IA. Évaluez plutôt les menaces liées à l'IA en utilisant la même méthodologie que celle que vous appliquez à tous les autres risques.

En quoi est-ce important ? Parce qu’un registre unique impose une hiérarchisation cohérente à tous les niveaux. Cela empêche ainsi l’IA de devenir un sujet de discussion isolé, déconnecté des décisions plus larges en matière de risques.

3. Adopter une approche axée sur les menaces. Les registres de risques traditionnels répertorient souvent des lacunes en matière de conformité et des vulnérabilités isolées. Cette approche ne s’adapte toutefois pas bien aux menaces spécifiques à l’IA, telles que l’injection de prompts ou la fuite de données des modèles.

Au contraire, fondez vos évaluations des risques sur le comportement réel des attaquants. Par exemple, élaborez des scénarios spécifiques à l'IA, mais évaluez-les selon les mêmes critères que pour tout autre risque cybernétique.

4. Intégrez la gouvernance de l'IA dans les politiques existantes. Évitez de rédiger une toute nouvelle « politique relative à l'IA » pour chaque situation. En effet, la plupart des risques liés à l'IA s'inscrivent naturellement dans les politiques que vous appliquez déjà, comme celles relatives à la gestion des identités et des accès.

Ne créez de nouvelles normes spécifiques à l'IA que lorsque les normes existantes ne s'appliquent pas. La validation de l'intégrité des modèles, par exemple, illustre bien un cas où une telle norme pourrait s'avérer nécessaire.

5. Renforcez les compétences en matière de sécurité de l'IA. Vous n'avez probablement pas besoin de nouveaux postes. Au contraire, vos professionnels GRC actuels sont déjà bien placés pour gérer les risques liés à l'IA, à condition de bénéficier d'une formation adaptée.

Investissez donc dans le perfectionnement des compétences. Commencez par vous associer au service des ressources humaines pour financer des certifications en sécurité de l'IA. Ajoutez ensuite des scénarios d'attaque générés par l'IA à vos exercices de simulation existants.

6. Utilisez la technologie pour renforcer votre programme, et non pour le fragmenter. Les nouveaux outils destinés à faciliter la gouvernance de l’IA peuvent apporter une réelle valeur ajoutée. Cependant, le simple fait d’ajouter davantage d’outils disparates ne résoudra pas automatiquement les problèmes.

Avant d'acheter un nouveau produit, il convient donc de bien comprendre ce que font déjà vos plateformes existantes. En résumé, l'objectif est la consolidation, et non la prolifération.

Pourquoi la gestion des risques cybernétiques grâce à l'IA est-elle aujourd'hui si importante ?

Quelque 302 responsables de la cybersécurité ont été interrogés dans le cadre de l'étude de Gartner intitulée « Gestion des risques liés à l'IA à l'horizon 2025 ». Les résultats sont éloquents : la plupart ont déclaré que leurs organisations devaient mettre en œuvre des changements importants, voire globaux, pour gérer les risques émergents en matière de cybersécurité liés à l'IA.

Il est évident que ce n'est pas un problème lointain pour la gestion des cyberrisques liés à l'IA. Au contraire, cela se produit dès à présent, à mesure que les outils d'IA générative, les applications d'IA sur mesure et les fonctionnalités d'IA intégrées sont mis en production.

Pour autant, la technologie à elle seule ne suffira pas à combler ce fossé. En effet, la gestion des risques cybernétiques repose sur le jugement d’experts humains. L’IA permet plutôt aux équipes de traiter davantage de signaux, plus rapidement, afin que les personnes puissent se concentrer sur les décisions les plus importantes.

Pour découvrir comment cela se traduit concrètement pour les petites entreprises en particulier, découvrez comment l'IA redéfinit les risques cybernétiques pour les entreprises en pleine croissance.

Le point sur la gestion des risques cyberliés à l'IA

L'IA n'est plus un simple projet secondaire. Elle fait désormais partie intégrante du mode de fonctionnement des entreprises.

C'est pourquoi votre programme de GRC cybernétique ne peut pas considérer l'IA comme une exception. Il doit au contraire intégrer les risques liés à l'IA dans la même structure, le même registre et le même modèle de responsabilité auxquels vous faites déjà confiance.

Ainsi, les organisations qui font évoluer leur gouvernance existante, plutôt que de la reproduire à l'identique, parviendront à se développer bien plus efficacement. Dans un environnement axé sur l'IA, ce n'est pas seulement une bonne pratique. En réalité, c'est la seule pratique qui permette de suivre le rythme.

Source : Gartner, « Les pratiques de Cyber GRC doivent évoluer pour gérer les risques liés à l'IA », 27 avril 2026 (réf. G00846514).