Logo Sharpen CISO

Gestion des cyberrisques liés à l'IA : pourquoi votre programme GRC doit évoluer

Les dépenses en IA sont sur le point d'exploser, et la plupart des programmes ne sont pas prêts à faire face aux implications de cette évolution en matière de gestion des risques cyberliés à l'IA. Votre modèle de gouvernance risque de ne pas tenir le rythme.

Gartner prévoit que les dépenses consacrées à l'IA augmenteront de 44 % rien qu'en 2026. D'ici 2029, le montant total des dépenses consacrées à l'IA (infrastructures, produits et services confondus) atteindra 4 700 milliards de dollars. Pourtant, seules 15 % des entreprises déclarent avoir mis en place une gouvernance complète en matière d'IA.

C'est cette lacune qui constitue le véritable risque. Plus précisément, il s'agit avant tout d'un problème de gouvernance, et non d'un problème technologique. Cet article explique pourquoi, et présente les recommandations de Gartner à l'intention des RSSI et des responsables de la sécurité pour y remédier.

Le piège de la fragmentation dans la gouvernance des risques liés à l'IA

Voici l'erreur couramment commise. À mesure que l'adoption de l'IA s'accélère, de nombreuses équipes de sécurité réagissent en mettant en place de nouvelles solutions. Plus précisément, elles élaborent des politiques, des processus et des outils spécifiques, exclusivement destinés à la gestion des risques liés à l'IA.

Au premier abord, cela semble logique. Mais dans la pratique, cela se retourne contre nous.

Comme ces cadres fonctionnent en parallèle, ils fragmentent la gestion des cyber-risques avant même qu’elle ne commence. En conséquence, ils ralentissent la prise de décisions fondées sur l’analyse des risques. Pire encore, ils compliquent la tâche des dirigeants qui souhaitent comparer les risques liés à l’IA à tous les autres risques figurant dans le registre des risques.

Les recommandations de Gartner sont donc claires : ne mettez pas en place un deuxième système dédié à l'IA. Faites plutôt évoluer celui dont vous disposez déjà.

Cette situation reflète une lacune en matière de gouvernance à laquelle les conseils d’administration sont déjà confrontés ailleurs. Le rapport « Global Cybersecurity Outlook 2026 » du Forum économique mondial a mis en évidence une tendance similaire dans la supervision de la chaîne d’approvisionnement : c’est généralement la visibilité fragmentée, et non le manque d’outils, qui constitue le véritable problème.

Six façons de faire évoluer la gestion des risques cyberliés à l'IA

Gartner présente six mesures concrètes portant sur la méthodologie, les ressources humaines et la technologie. Ensemble, elles permettent de maintenir les risques liés à l'IA au sein de votre structure de gouvernance existante, plutôt que de les y ajouter en parallèle.

1. Renforcer la responsabilisation en matière de cyber-risques liés à l'IA. Les équipes de sécurité se retrouvent souvent désignées par défaut comme responsables de tous les risques liés à l'IA. Cela pose problème, car ce sont les unités opérationnelles qui déploient des outils d'IA qui doivent assumer la responsabilité des risques que ces outils engendrent.

Concrètement, cela implique de mettre à jour votre charte de cybersécurité. Cela implique également d'exiger des responsables métier qu'ils reconnaissent et acceptent formellement les risques liés à l'IA avant le déploiement, et non après.

2. Tenez un registre unifié des risques cybernétiques. Résistez à la tentation de créer un registre distinct pour les risques liés à l'IA. Évaluez plutôt les menaces liées à l'IA en utilisant la même méthodologie que celle que vous appliquez à tous les autres risques.

En quoi est-ce important ? Parce qu’un registre unique impose une hiérarchisation cohérente à tous les niveaux. Cela empêche ainsi l’IA de devenir un sujet de discussion isolé, déconnecté des décisions plus larges en matière de risques.

3. Adopter une approche axée sur les menaces. Les registres de risques traditionnels répertorient souvent des lacunes en matière de conformité et des vulnérabilités isolées. Cette approche ne s’adapte toutefois pas bien aux menaces spécifiques à l’IA, telles que l’injection de prompts ou la fuite de données des modèles.

Au contraire, fondez vos évaluations des risques sur le comportement réel des attaquants. Par exemple, élaborez des scénarios spécifiques à l'IA, mais évaluez-les selon les mêmes critères que pour tout autre risque cybernétique.

4. Intégrez la gouvernance de l'IA dans les politiques existantes. Évitez de rédiger une toute nouvelle « politique relative à l'IA » pour chaque situation. En effet, la plupart des risques liés à l'IA s'inscrivent naturellement dans les politiques que vous appliquez déjà, comme celles relatives à la gestion des identités et des accès.

Ne créez de nouvelles normes spécifiques à l'IA que lorsque les normes existantes ne s'appliquent pas. La validation de l'intégrité des modèles, par exemple, illustre bien un cas où une telle norme pourrait s'avérer nécessaire.

5. Renforcez les compétences en matière de sécurité de l'IA. Vous n'avez probablement pas besoin de nouveaux postes. Au contraire, vos professionnels GRC actuels sont déjà bien placés pour gérer les risques liés à l'IA, à condition de bénéficier d'une formation adaptée.

Investissez donc dans le perfectionnement des compétences. Commencez par vous associer au service des ressources humaines pour financer des certifications en sécurité de l'IA. Ajoutez ensuite des scénarios d'attaque générés par l'IA à vos exercices de simulation existants.

6. Utilisez la technologie pour renforcer votre programme, et non pour le fragmenter. Les nouveaux outils destinés à faciliter la gouvernance de l’IA peuvent apporter une réelle valeur ajoutée. Cependant, le simple fait d’ajouter davantage d’outils disparates ne résoudra pas automatiquement les problèmes.

Avant d'acheter un nouveau produit, il convient donc de bien comprendre ce que font déjà vos plateformes existantes. En résumé, l'objectif est la consolidation, et non la prolifération.

Pourquoi la gestion des risques cybernétiques grâce à l'IA est-elle aujourd'hui si importante ?

Quelque 302 responsables de la cybersécurité ont été interrogés dans le cadre de l'étude de Gartner intitulée « Gestion des risques liés à l'IA à l'horizon 2025 ». Les résultats sont éloquents : la plupart ont déclaré que leurs organisations devaient mettre en œuvre des changements importants, voire globaux, pour gérer les risques émergents en matière de cybersécurité liés à l'IA.

Il est évident que ce n'est pas un problème lointain pour la gestion des cyberrisques liés à l'IA. Au contraire, cela se produit dès à présent, à mesure que les outils d'IA générative, les applications d'IA sur mesure et les fonctionnalités d'IA intégrées sont mis en production.

Pour autant, la technologie à elle seule ne suffira pas à combler ce fossé. En effet, la gestion des risques cybernétiques repose sur le jugement d’experts humains. L’IA permet plutôt aux équipes de traiter davantage de signaux, plus rapidement, afin que les personnes puissent se concentrer sur les décisions les plus importantes.

Pour découvrir comment cela se traduit concrètement pour les petites entreprises en particulier, découvrez comment l'IA redéfinit les risques cybernétiques pour les entreprises en pleine croissance.

Le point sur la gestion des risques cyberliés à l'IA

L'IA n'est plus un simple projet secondaire. Elle fait désormais partie intégrante du mode de fonctionnement des entreprises.

C'est pourquoi votre programme de GRC cybernétique ne peut pas considérer l'IA comme une exception. Il doit au contraire intégrer les risques liés à l'IA dans la même structure, le même registre et le même modèle de responsabilité auxquels vous faites déjà confiance.

Ainsi, les organisations qui font évoluer leur gouvernance existante, plutôt que de la reproduire à l'identique, parviendront à se développer bien plus efficacement. Dans un environnement axé sur l'IA, ce n'est pas seulement une bonne pratique. En réalité, c'est la seule pratique qui permette de suivre le rythme.

Source : Gartner, « Les pratiques de Cyber GRC doivent évoluer pour gérer les risques liés à l'IA », 27 avril 2026 (réf. G00846514).

Le registre des informations DORA : un guide pratique

Si votre organisation est une entité financière exerçant ses activités dans l'UE, le registre d'informations prévu par la loi DORA n'est pas une simple formalité administrative facultative. Il s'agit d'une obligation légale, déjà en vigueur. La loi sur la résilience opérationnelle numérique (Digital Operational Resilience Act, ou DORA) est entrée en vigueur le 17 janvier 2025. À compter de cette date, les entreprises concernées doivent disposer d'un registre complet et à jour de tous les accords contractuels qu'elles ont conclus avec des prestataires de services informatiques tiers.

Sur le papier, cela semble simple. Dans la pratique, cela s’est avéré être l’une des obligations de déclaration les plus exigeantes auxquelles les entités financières aient été confrontées depuis des années. L’Autorité bancaire européenne (ABE) a mené un exercice de simulation en 2024 dans le but précis d’identifier les problèmes avant le début des déclarations officielles. Malgré cela, les problèmes qu’elle avait repérés continuaient d’apparaître lors des tests jusqu’en 2025.

Cet article explique en détail les exigences réelles du registre d’informations DORA. Il explique pourquoi les autorités de régulation l’ont conçu de cette manière et ce que les conclusions de l’ABE en matière de qualité des données suggèrent que votre équipe devrait vérifier attentivement avant de procéder au dépôt.

Qu'est-ce que le registre d'informations DORA ?

Le registre d'informations DORA est un inventaire structuré des relations d'une entité financière avec des tiers dans le domaine des technologies de l'information et de la communication (TIC). Il doit être tenu à trois niveaux : celui de l'entité, celui du périmètre sous-consolidé et celui du périmètre consolidé. Une entreprise autonome établit ses rapports différemment d'un groupe bancaire comptant plusieurs filiales. Dans les deux cas, le registre doit être à jour et exact.

Il ne s'agit pas non plus d'une déclaration ponctuelle. Les entités financières doivent tenir ce registre à jour en permanence. Elles le transmettent ensuite à leur autorité compétente sur demande. Cette dernière transmet à son tour les registres collectés aux autorités européennes de surveillance, appelées « AES », en vue de leur utilisation ultérieure.

Le champ d'application est ici également déterminant. La directive DORA s'applique de manière générale à l'ensemble du secteur financier de l'UE. Elle couvre les banques, les assureurs et les entreprises d'investissement. Les établissements de paiement et une longue liste d'autres entités réglementées relèvent également de son champ d'application. Si votre organisation relève de la directive DORA, l'obligation d'enregistrement des informations s'applique très certainement à vous.

Pourquoi le registre DORA des informations existe-t-il ?

Les autorités de régulation n'ont pas mis en place cette obligation de déclaration dans le seul but d'alourdir la charge administrative. Au contraire, le registre d'informations DORA répond à trois objectifs distincts. Chacun d'entre eux détermine la forme que doivent prendre les données.

Tout d'abord, cela permet aux entités financières de surveiller leurs propres risques liés aux tiers dans le domaine des TIC. Un registre complet met en évidence les risques de concentration. Imaginons, par exemple, que cinq fonctions métier essentielles dépendent toutes du même fournisseur de services cloud. Ce schéma apparaît clairement dans les données, au lieu de rester dissimulé dans cinq dossiers contractuels distincts.

D'autre part, cela fournit aux autorités compétentes de l'UE un outil de surveillance. Les régulateurs peuvent ainsi évaluer la manière dont les entreprises gèrent les risques liés aux TIC et aux tiers sans avoir à attendre qu'un incident vienne mettre en évidence les lacunes.

Troisièmement, et c’est peut-être le plus important, les AES utilisent les registres agrégés pour désigner les fournisseurs tiers de TIC d’importance systémique. Ceux-ci sont souvent désignés par l’acronyme CTPP. Une fois qu’un fournisseur obtient cette désignation, il est soumis à une surveillance directe au niveau de l’UE. En d’autres termes, le registre d’informations ne concerne pas seulement la conformité de votre entreprise. C’est également le mécanisme qui identifie quels fournisseurs de cloud et de technologies revêtent une importance systémique pour l’ensemble du secteur financier européen.

Ce qu'a révélé la simulation de 2024

Avant le début de la déclaration officielle, les autorités de surveillance européennes (ESA) ont mené un exercice de simulation tout au long de l’année 2024. Dans ce cadre, les entités financières de toute l’Union européenne ont transmis des registres à titre d’essai. Cela a permis aux régulateurs, ainsi qu’aux entreprises elles-mêmes, d’identifier d’éventuels problèmes avant que cette obligation n’acquière une valeur juridique effective.

Cette simulation n’était pas non plus un simple projet pilote. Elle comprenait des ateliers avec les acteurs du secteur, un modèle de rapport spécifique et un projet de taxonomie. Elle s’accompagnait également de ses propres contrôles de qualité des données. L’ABE a ensuite publié un rapport de synthèse, ainsi qu’une fiche d’information expliquant les objectifs de cet exercice.

Cette préparation s’est avérée cruciale, car elle a permis de mettre en lumière très tôt des problèmes structurels. À l’issue de l’exercice de 2024, l’ABE a publié ses observations issues de l’examen des déclarations officielles de RoI. Ces conclusions ont mis en évidence des problèmes communs majeurs identifiés dans l’ensemble du secteur. Concrètement, cela signifie que les entreprises ne se contentaient pas de commettre des erreurs sur des données ponctuelles. Elles se heurtaient à des problèmes récurrents et systémiques liés à la manière même dont elles structuraient et validaient leurs registres.

Aspects techniques du registre d'informations DORA

La saisie des informations dans le registre DORA ne consiste pas simplement à remplir librement un tableur. Au contraire, le format de déclaration est strictement défini dans un cahier des charges technique officiel.

Au cœur de ce dispositif se trouvent les normes techniques d’exécution (ITS) relatives au registre d’informations. Celles-ci ont été adoptées et publiées au Journal officiel de l’Union européenne. Sur cette base, l’ABE gère un modèle de données complet. Celui-ci comprend un dictionnaire du modèle de points de données ainsi qu’un schéma de tableau annoté définissant chaque champ qu’une entreprise pourrait être amenée à remplir.

Les déclarations doivent, en définitive, être conformes à une taxonomie reposant sur l'architecture XBRL-CSV. Des fichiers types et un ensemble complet de taxonomies sont mis à la disposition des entreprises afin qu’elles puissent les tester avant de procéder à la déclaration effective. De plus, l’ABE publie des règles de validation. Elle fournit également un aperçu détaillé des contrôles techniques et métier qu’elle applique à chaque déclaration. Il existe même un ensemble de rapports au format CSV simple pour les entreprises qui souhaitent une solution plus simple que l’utilisation complète des outils XBRL, ainsi qu’un outil de conversion permettant de passer d’un format à l’autre.

Ce niveau de précision technique s'explique par une raison bien précise. Les données proviennent de centaines d'entités financières, réparties dans différents pays et utilisant différents systèmes internes. Il faut ensuite regrouper toutes ces informations en un ensemble de données cohérent que les AES puissent réellement analyser.

Pièges courants liés au registre des déclarations d'informations DORA

Compte tenu du caractère très technique du format, il n’est pas surprenant que la qualité des données soit un thème récurrent. L’ABE a publié des documents explicatifs sur les retours d’information relatifs à la qualité des données que les entreprises reçoivent à l’issue des contrôles de validation. Elle met également à disposition des exemples de réponses concernant la qualité des données, afin que les entreprises puissent se faire une idée de ce à quoi ressemble un rapport d’erreurs avant d’en recevoir un elles-mêmes.

Plusieurs tendances se dégagent de ces données. Les entreprises ont parfois du mal à classer correctement les activités faisant l'objet d'une licence, ce qui nécessite de se référer à une annexe spécifique répertoriant les valeurs possibles. D'autres rencontrent des difficultés quant à la manière dont les registres sous-consolidés et consolidés s'articulent entre eux. Le reporting au niveau du groupe introduit des interdépendances qu'un registre portant sur une seule entité n'a tout simplement pas à gérer.

L'ABE tient également à jour une FAQ sur le registre des déclarations d'informations, mise à jour à mesure que de nouvelles questions apparaissent. Il convient de considérer cette FAQ comme un document évolutif plutôt que comme un document à consulter une seule fois. Elle reflète les problèmes que l'ABE constate réellement dans les données transmises, et non des cas limites hypothétiques.

Comment se préparer à la déclaration au registre DORA des informations

Si votre organisation n'a pas encore mis en place un processus standardisé à cet effet, certaines priorités peuvent faire toute la différence.

Commencez par recenser tous les contrats informatiques conclus par votre organisation avec des tiers, et pas seulement ceux avec les fournisseurs de cloud les plus évidents. La définition des services informatiques tiers donnée par la DORA est large. Les lacunes dans votre inventaire des contrats se traduisent par des lacunes dans votre registre, et ce sont précisément ces lacunes que les contrôleurs sont formés à repérer. Ensuite, désignez clairement les responsables chargés de maintenir cet inventaire à jour. Le registre n’est pas un exercice ponctuel. Les contrats évoluent et les fournisseurs changent ; le registre doit donc refléter ces changements en temps quasi réel.

À partir de là, effectuez dès que possible des tests par rapport aux règles de validation publiées par l’ABE. N’attendez pas la date limite de dépôt pour découvrir un problème de mise en forme que vous auriez pu repérer des mois plus tôt. L’exercice de simulation et le rapport sur les problèmes courants qui s’ensuit ont tous deux pour objectif spécifique de permettre aux entreprises de tirer les leçons des erreurs commises par d’autres plutôt que des leurs. Enfin, si votre organisation met déjà en œuvre d’autres programmes de conformité aux normes européennes, recherchez les recoupements. Le travail d’évaluation des risques liés aux fournisseurs, qui sous-tend la conformité à la norme ISO 27001 ou à la directive NIS2, correspond souvent étroitement aux données de tiers désormais exigées par la DORA, mais sous un format plus structuré et plus adapté à la production de rapports.

À retenir

Le registre d’informations DORA a désormais dépassé le stade de la planification. Il s’agit désormais d’une obligation contraignante et effective, étayée par un ensemble détaillé de rapports techniques et par un corpus de conclusions concrètes sur la qualité des données issues des propres tests de l’ABE. Les entreprises qui gèrent efficacement cette obligation ne sont pas celles qui la considèrent comme une course contre la montre annuelle. Ce sont celles qui tiennent à jour un inventaire précis et constamment actualisé de leurs relations avec des tiers dans le domaine des TIC, validé au regard des règles publiées par l’ABE bien avant l’échéance de dépôt.

Si vous n’avez pas encore testé votre registre au regard des règles de validation de l’ABE, c’est la prochaine étape la plus utile. Tout le reste de ce processus repose sur le fait que ces données soient correctement structurées dès le départ.

Pour en savoir plus, consultez votre guide de mise en conformité avec la loi sur la cyber-résilience, votre aperçu des exigences de la directive NIS2 et votre liste de contrôle pour la documentation relative à la norme ISO 27001.

Sources : Autorité bancaire européenne — Préparatifs en vue de la communication des registres d’informations DORA

 

Risques cybernétiques liés à la chaîne d'approvisionnement : ce que les conseils d'administration doivent savoir en 2026

Un seul fournisseur défaillant peut désormais mettre toute une entreprise à l'arrêt. Ce n'est plus une simple mise en garde. Cela s'est déjà produit, et pas qu'une seule fois.

Le rapport « Global Cybersecurity Outlook 2026 » du Forum économique mondial le confirme. Le risque lié à la chaîne d’approvisionnement est devenu le principal défi en matière de cybersécurité pour les grandes entreprises. Pour les conseils d’administration, il ne s’agit plus d’un sujet à déléguer. C’est une question de gouvernance.

Cet article explique pourquoi ce risque a augmenté si rapidement. Il présente également les questions que les administrateurs et les dirigeants devraient poser à leurs équipes dès maintenant.

Les chiffres qui expliquent cette évolution

Selon ce rapport, 65 % des grandes entreprises considèrent désormais les failles de la chaîne d'approvisionnement comme leur principal obstacle à la cyber-résilience. Ce chiffre est en forte hausse par rapport aux 54 % enregistrés il y a tout juste un an.

Pourquoi cette augmentation ? Parce que les chaînes d'approvisionnement numériques d'aujourd'hui sont étroitement interconnectées. Une faille chez un fournisseur peut avoir des répercussions en cascade sur l'ensemble d'un écosystème. Elle peut affecter simultanément la production, les opérations et même d'autres clients.

Il est évident qu'il ne s'agit pas là d'un risque hypothétique. En réalité, cette situation se produit déjà dans les conseils d'administration du monde entier.

Des incidents réels, des coûts réels

Prenons l'exemple de Jaguar Land Rover. En 2025, une seule cyberattaque a paralysé la production pendant cinq semaines. En effet, cette attaque a perturbé simultanément l'activité de plus de 5 000 fournisseurs.

Les répercussions financières directes ont été lourdes : 196 millions de livres sterling de coûts liés aux cyberattaques et une baisse de près de 25 % du chiffre d'affaires trimestriel. L'économie britannique dans son ensemble a subi des pertes estimées à 1,9 milliard de livres sterling. Le gouvernement est même intervenu en accordant une garantie de prêt de 1,5 milliard de livres sterling afin de stabiliser la chaîne d'approvisionnement.

Prenons l'exemple d'Asahi, le fabricant japonais de boissons. Une cyberattaque survenue fin 2025 a paralysé ses principaux systèmes informatiques. En conséquence, le personnel a dû se rabattre sur le stylo et le papier simplement pour suivre l'état des stocks.

De même, en Europe, une faille relativement mineure chez un prestataire chargé de l'enregistrement dans un aéroport a entraîné des retards et des annulations de vols à grande échelle. La solution technique était simple. En revanche, les répercussions sur l'activité n'avaient rien de simples.

Ensemble, ces cas envoient un message clair aux dirigeants. La faiblesse d'un fournisseur se transforme rapidement en crise pour votre entreprise.

Pourquoi la confiance envers les fournisseurs s'effrite-t-elle ?

Au cœur de ce problème se cache une vérité simple, mais dérangeante : la plupart des entreprises ne sont pas en mesure de vérifier pleinement la sécurité des fournisseurs dont elles dépendent.

Le rapport du Forum économique mondial (WEF) qualifie ce phénomène de « risque d’héritage ». En termes simples, cela signifie hériter des vulnérabilités d’un fournisseur sans en avoir conscience. Ce risque figure désormais en tête des préoccupations liées à la chaîne d’approvisionnement dans cette enquête.

Vient ensuite le manque de visibilité. De nombreuses entreprises ne disposent tout simplement pas d'une vue d'ensemble claire de leur chaîne d'approvisionnement étendue. Elles ne peuvent donc pas gérer les risques qu'elles ne voient pas.

Enfin, il y a le risque de concentration. Les entreprises dépendent de plus en plus d’un petit nombre de fournisseurs essentiels, comme les grandes plateformes cloud. Ainsi, si l’un de ces fournisseurs venait à faire faillite, les répercussions pourraient toucher des milliers d’entreprises du jour au lendemain.

Ce qui distingue les entreprises les plus résilientes

Le rapport établit une distinction claire entre les organisations résilientes et les autres. Cette différence tient à des pratiques spécifiques, dont le conseil d'administration a pleinement conscience.

Les entreprises très résilientes associent leurs équipes de sécurité aux décisions d'achat dans 76 % des cas. Les entreprises moins résilientes ne le font que dans 53 % des cas. En d'autres termes, la sécurité doit avoir son mot à dire avant la signature des contrats, et non après une violation.

De même, 74 % des entreprises résilientes évaluent de manière formelle le niveau de maturité de leurs fournisseurs en matière de sécurité. Seules 48 % des entreprises moins résilientes font de même.

Les entreprises résilientes se préparent également à faire face à des défaillances. Ainsi, 44 % d’entre elles organisent des simulations conjointes d’incidents avec leurs partenaires de la chaîne d’approvisionnement, contre seulement 16 % de leurs homologues moins résilientes. Cette préparation porte ses fruits : seules 15 % des entreprises hautement résilientes font état d’une planification insuffisante de la réponse aux incidents, contre 37 % des autres.

Le rôle du conseil d'administration n'est plus facultatif

C'est désormais l'implication du conseil d'administration qui distingue les entreprises résilientes des entreprises vulnérables. Les données à ce sujet sont frappantes.

Parmi les organisations faisant preuve d'une grande résilience, 99 % indiquent que leur conseil d'administration s'implique activement dans la cybersécurité. Un peu plus de la moitié reçoivent régulièrement des informations sur les risques cybernétiques. Près de la moitié affirment que leur conseil d'administration a un rôle de supervision clairement défini.

À l'inverse, les conseils d'administration des entreprises moins résilientes se désengagent beaucoup plus souvent. Cet écart en matière de surveillance se répercute directement sur l'écart observé au niveau des résultats.

Pour les dirigeants, le message est clair : la supervision de la cybersécurité n'est pas une simple formalité technique. Il s'agit au contraire d'un élément central de la gestion des risques d'entreprise, au même titre que les risques financiers et opérationnels.

Les questions que tout conseil d'administration devrait se poser

Compte tenu de tout cela, que devraient faire concrètement les dirigeants ? Quelques questions ciblées peuvent être le moteur d'un véritable changement.

Commencez par vous demander dans quelle mesure les équipes chargées de la sécurité participent à la sélection des fournisseurs. Si le processus d'achat se poursuit sans examen de sécurité, il s'agit là d'une lacune en matière de gouvernance qu'il convient de combler.

Deuxièmement, demandez une cartographie des dépendances critiques. Plus précisément, la direction doit savoir quels fournisseurs, s'ils faisaient l'objet d'une violation, causeraient le plus de dommages.

Troisièmement, demandez si l'entreprise a testé son plan d'intervention avec ses principaux partenaires. En effet, un plan que personne n'a mis en pratique échoue souvent au moment où cela compte le plus.

Enfin, demandez comment l'entreprise gère le risque de concentration. Après tout, s'en remettre à un seul fournisseur essentiel, sans plan de secours, constitue une vulnérabilité stratégique, et pas seulement technique.

En résumé

Les risques liés à la chaîne d’approvisionnement ne sont plus l’affaire de la salle des serveurs, mais celle de la salle du conseil d’administration. Les conclusions du Forum économique mondial (FEM) pour 2026 ne laissent aucun doute sur cette évolution.

Cependant, la voie à suivre est clairement définie. Les entreprises qui intègrent la sécurité dès le début, recensent leurs dépendances et s'entraînent à réagir sont nettement plus résilientes.

Pour les conseils d'administration, le message est clair. Posez les questions qui fâchent dès maintenant, avant que les faiblesses d'un fournisseur ne fassent la une des journaux.

Source : Forum économique mondial, « Global Cybersecurity Outlook 2026 », janvier 2026.

Cybersécurité des petites entreprises : les signaux d'alerte dans le rapport 2025 du Forum économique mondial (WEF)

La cybercriminalité n'est plus l'apanage des grandes entreprises. En réalité, ce sont désormais les petites et moyennes entreprises qui constituent le maillon faible de la chaîne.

C'est le message clair qui ressort du rapport « Global Cybersecurity Outlook 2025 » du Forum économique mondial. Ce rapport s'appuie sur une enquête menée auprès de centaines de dirigeants d'entreprises et de responsables de la sécurité à travers le monde. Ses conclusions dressent un tableau inquiétant pour les petites entreprises.

Cet article présente en détail les conclusions du rapport. Il explique également ce que les chefs d'entreprise et les dirigeants de petites entreprises peuvent faire dès aujourd'hui pour y remédier.

Le fossé entre les petites et les grandes entreprises ne cesse de se creuser

Selon le rapport du Forum économique mondial, 35 % des petites entreprises déclarent aujourd'hui que leurs défenses informatiques sont insuffisantes. Ce chiffre a été multiplié par sept depuis 2022, année où il n'était que de 5 %.

Les grandes entreprises, quant à elles, prennent le contre-pied de cette tendance. À titre de comparaison, seules 7 % des grandes entreprises déclarent aujourd’hui disposer de systèmes de protection insuffisants, contre 13 % il y a quelques années.

En d'autres termes, les grandes entreprises gagnent en puissance. Les petites entreprises, quant à elles, prennent de plus en plus de retard. Et comme les chaînes d'approvisionnement relient les petits fournisseurs aux grandes entreprises, cet écart met tout le monde en danger.

Le rapport ne mâche pas ses mots. Lors de la réunion annuelle 2024 du Forum économique mondial (FEM) consacrée à la cybersécurité, 71 % des responsables de la cybersécurité se sont accordés sur un point. Selon eux, les petites entreprises ont déjà atteint un point de basculement. Beaucoup d’entre elles ne sont plus en mesure de se défendre contre les menaces actuelles.

Pourquoi les petites entreprises ont du mal à suivre le rythme

Plusieurs facteurs expliquent cet écart qui ne cesse de se creuser. Les comprendre constitue la première étape pour y remédier.

Une pénurie de personnel qualifié. Le rapport fait état d'un déficit mondial de 2,8 à 4,8 millions de professionnels de la cybersécurité. Ce sont les petites entreprises qui ressentent le plus durement cette pénurie. En effet, elles sont rarement en mesure de rivaliser avec les grandes entreprises en matière de salaires ou d'avantages sociaux.

Seules 14 % des entreprises déclarent disposer des compétences dont elles ont besoin. Pour les petites entreprises, le déficit de compétences occupe la deuxième place parmi les obstacles auxquels elles sont confrontées. Seule la complexité même des menaces actuelles arrive avant.

Budgets et ressources limités. Les grandes entreprises ont les moyens de se doter d’équipes de sécurité dédiées, d’outils de pointe et de faire appel à des consultants externes. Ce n’est généralement pas le cas des petites entreprises. Cela signifie que les moyens de défense en place sont moins nombreux lorsqu’une attaque se produit.

La complexité ne cesse de croître partout. Les tensions internationales, les nouvelles réglementations et l'évolution rapide des technologies ne font qu'accentuer la pression. Près de 60 % des entreprises affirment que les tensions internationales ont déjà bouleversé leurs plans de sécurité. Les petites équipes ont tout simplement moins de temps pour suivre chaque nouvelle évolution.

Les menaces que les petites entreprises doivent surveiller de près

Dans la pratique, toutes les cybermenaces n'affectent pas toutes les entreprises de la même manière. Le rapport du Forum économique mondial met en avant celles qui revêtent actuellement la plus grande importance.

Les ransomwares occupent toujours la première place. Quelle que soit la taille de l'entreprise, 45 % des personnes interrogées considèrent les ransomwares comme leur principal risque cybernétique. Les cybercriminels louent de plus en plus souvent des outils de ransomware à des malfaiteurs moins expérimentés. En conséquence, les attaques sont plus nombreuses et plus fréquentes.

La fraude et le hameçonnage suivent de près. Environ un répondant sur cinq a cité la fraude informatique, notamment le hameçonnage et les fausses demandes de paiement, comme sa principale préoccupation. Ces attaques visent souvent les petites entreprises. Pourquoi ? Parce que leur personnel ne bénéficie pas toujours de la même formation à la sécurité que celle dispensée dans les grandes entreprises.

Les « deepfakes » générés par l’IA constituent un risque émergent. Les cybercriminels utilisent désormais l’IA générative pour falsifier de manière convaincante la voix et l’image de dirigeants. En effet, une étude citée dans le rapport a révélé une hausse de 223 % du nombre d’outils de « deepfake » commercialisés sur le dark web. Cette augmentation s’est produite en l’espace d’une seule année. Plus de la moitié des responsables de la sécurité interrogés considèrent désormais les « deepfakes » comme une menace réelle.

Le risque lié aux tiers et à la chaîne d'approvisionnement est bien réel, même si cela ne semble pas être le cas. Les grandes entreprises considèrent le risque lié à la chaîne d'approvisionnement comme leur principale préoccupation. Cela s'explique en grande partie par le fait qu'elles dépendent de petits fournisseurs comme vous. Si vos systèmes sont compromis, les répercussions peuvent s'étendre à tous les partenaires avec lesquels vous travaillez.

Ce que les petites entreprises peuvent faire dès maintenant

Pour autant, ce rapport n'est pas seulement un avertissement. Il propose également des mesures concrètes qui permettent d'obtenir des résultats tangibles, même sans disposer d'un budget important en matière de sécurité.

Tout d'abord, misez sur vos collaborateurs. Le rapport du Forum économique mondial (FEM) révèle que 76 % des entreprises comblent leur déficit de compétences en formant leur personnel actuel. Elles sont de moins en moins nombreuses à se contenter de recruter de nouveaux spécialistes. Ainsi, une formation de base à la sécurité destinée à l'ensemble de votre équipe, et pas seulement au personnel informatique, contribue grandement à prévenir le hameçonnage et la fraude.

Deuxièmement, impliquez la direction. Le rapport révèle que 62 % des entreprises très résilientes informent régulièrement leurs dirigeants des risques liés à la cybersécurité. Seules 29 % des entreprises moins résilientes font de même. En résumé, la cybersécurité est plus efficace lorsqu’elle est considérée comme une priorité stratégique, et non comme une simple question technique.

Troisièmement, préparez-vous spécifiquement aux attaques par ransomware. Comme il s'agit toujours du risque numéro un, ne laissez rien au hasard. Conservez des sauvegardes hors ligne. Testez votre plan d'intervention. Et assurez-vous que chacun connaisse son rôle en cas d'attaque.

Quatrièmement, vérifiez les demandes inhabituelles. Les « deepfakes » générés par l'IA et les escroqueries par usurpation d'identité se multiplient rapidement. Il convient donc de former les employés à vérifier minutieusement les demandes de paiement inhabituelles ou les instructions provenant de la direction. Un simple coup de fil avant d'agir peut permettre de déjouer une escroquerie.

Enfin, posez des questions à vos fournisseurs et partenaires. Si vous approvisionnez de grandes entreprises, par exemple, attendez-vous à ce qu’elles vous interrogent sur vos pratiques en matière de sécurité. Anticiper ces questions permet d’instaurer un climat de confiance et de préserver vos relations commerciales.

En résumé

Le rapport 2025 du Forum économique mondial (FEM) met clairement en évidence une chose : disposer de solides défenses cybernétiques n’est plus une option pour les petites entreprises. L’écart entre les grandes et les petites entreprises est bien réel, et il ne cesse de se creuser.

Cependant, le rapport montre également que pour réaliser de réels progrès, il n'est pas nécessaire de disposer d'un budget important. Former son équipe, impliquer les dirigeants et se préparer à faire face aux menaces courantes peut déjà faire une grande différence.

On pourrait avoir l'impression que la cybersécurité est un problème réservé aux grandes entreprises. Mais comme le montre le rapport de cette année, les petites entreprises ne peuvent plus se permettre de penser ainsi.

Source : Forum économique mondial, « Global Cybersecurity Outlook 2025 », janvier 2025.

Les données relatives aux risques cybernétiques sont-elles suffisamment fiables pour permettre au comité de direction de prendre des décisions ?

Le risque cyber figure désormais à l'ordre du jour de presque tous les conseils d'administration. Mais les données qui sous-tendent ces discussions reflètent-elles réellement ce qui se passe au sein du système d'information ? C'est la question à laquelle chaque RSSI doit tôt ou tard répondre devant son comité exécutif ou son conseil d'administration.

Trois chiffres tirés du dernier baromètre OpinionWay réalisé pour le CESIN ont retenu notre attention :

  • 92 % des entreprises classent le risque cyber parmi leurs cinq principaux risques commerciaux.
  • 29 % ne l'examinent qu'une fois par an, au sein du comité exécutif ou du conseil d'administration.
  • 61 % le révisent plusieurs fois par an, au même niveau.

Le risque cyber est donc clairement devenu un risque stratégique pour l'entreprise, et non plus seulement un risque technique. Et cette évolution a une conséquence : on attend désormais des responsables de la sécurité des systèmes d'information (RSSI) qu'ils contribuent à la prise de décisions stratégiques au sein du conseil d'administration, et non plus qu'ils se contentent de rendre compte des incidents passés.

Le risque cyber a gagné sa place à la table des discussions — mais les données n'ont pas encore rattrapé leur retard

Les données financières transmises au conseil d'administration font l'objet d'audits, sont présentées selon des formats standardisés et sont soumises à des contrôles mis en place au fil des décennies. Ce n'est toujours pas le cas des données relatives aux risques cybernétiques dans la plupart des organisations.

Cet écart ne se limite pas à une simple habitude de reporting. Il se reflète également dans les décisions qui en découlent. Pour la première fois en trois ans, la part des entreprises françaises consacrant 5 % ou plus de leur budget informatique à la sécurité a en effet diminué en 2025, passant de 48 % à 42 % (CESIN, 2026). Lorsque les données sur lesquelles repose cette décision ne sont qu’un instantané obsolète, le budget qui en découle est établi sur la base d’informations anciennes — et non en fonction des risques tels qu’ils se présentent aujourd’hui.

Une question qui revient sans cesse chez les RSSI

Voici ce qui revient sans cesse dans nos échanges avec les RSSI : les données consolidées à quelques moments clés de l'année reflètent-elles réellement la réalité opérationnelle du système d'information ? Et ces données sont-elles suffisamment fiables pour étayer les décisions stratégiques d'un RSSI au sein du comité exécutif ou du conseil d'administration ?

Dans de nombreuses organisations, les équipes continuent de rassembler ces données manuellement, à partir d’outils disparates, juste avant la réunion. Au moment où elles sont présentées au conseil d’administration, elles ne constituent déjà plus qu’un instantané de la situation telle qu’elle était quelques semaines auparavant — et non de celle d’aujourd’hui.

Chez SharpenCISO, nous sommes convaincus que le véritable enjeu ne réside pas dans l'augmentation de la fréquence des mesures, mais bien dans l'utilisation, dès le départ, de données plus fiables. Augmenter la fréquence des rapports sans veiller à la qualité des données revient simplement à présenter une image erronée, mais plus souvent.

Ce que signifie réellement le terme « fiable » dans ce contexte

La fiabilité ne se limite pas à l'exactitude des données au moment de leur collecte. Elle implique également que ces données soient à jour lorsqu'elles parviennent au décideur.

Prenons l’exemple des risques liés aux tiers. Seules 23 % des entreprises françaises surveillent en permanence leur surface d’attaque ; la plupart s’appuient encore sur une clause contractuelle, examinée une seule fois et rarement réexaminée. Il s’agit là autant d’un choix de gouvernance que d’un choix technique, et c’est précisément le genre de lacune qu’un rapport ponctuel peut masquer.

Cette même évolution est déjà en cours dans d’autres domaines de la sécurité. La part des organisations qui évaluent leurs outils d’IA avant leur déploiement a presque doublé en un an, passant de 37 % à 64 % (WEF, 2026). La vérification continue devient la norme en matière de risques liés à l’IA. Les rapports GRC en matière de cybersécurité destinés au conseil d’administration doivent suivre cette même évolution : passer d’un instantané périodique à une vue en temps réel.

Alors, quel est votre niveau de confiance ?

Nous sommes curieux de savoir : dans quelle mesure votre organisation se fie-t-elle à ses données GRC en matière de cybersécurité lorsqu'il s'agit de prendre une décision au sein du comité exécutif ou du conseil d'administration ?

Responsables de la sécurité des systèmes d'information (RSSI), les données que vous présentez correspondent-elles à la réalité sur le terrain ? Et vous, membres du conseil d'administration, avez-vous l'impression de prendre des décisions en fonction des risques actuels ou de ceux du dernier trimestre ? Faites-nous part de vos commentaires : nous aimerions savoir comment vous percevez la situation de votre point de vue.

#SharpenCISO #CISO #RSSI #GRC #Cybersécurité #ISO27001 #ISO27005 #EBIOS #NIS2 #DORA #NIST #Conformité #SecurityByDesign #CRA

La cybersécurité devient un enjeu de gouvernance. Il s’agit désormais d’une question de résilience et de maîtrise des risques, et non plus uniquement de défense technique. Le dernier baromètre OpinionWay réalisé pour le CESIN confirme cette évolution : trois cadres réglementaires dominent désormais les priorités des entreprises en France.

Au total, 59 % des entreprises françaises déclarent être concernées par la directive NIS 2, 32 % par la directive DORA et 30 % par la directive CRA (CESIN, 2026). Mais ces moyennes masquent un fossé marqué selon la taille des entreprises. C’est dans ce fossé que réside la véritable réalité.

1. NIS2 : le nouveau centre de gravité

70 % des grandes entreprises considèrent la directive NIS 2 comme une priorité absolue. Parmi les très petites et moyennes entreprises (TPE/PME), ce chiffre tombe à seulement 44 %.

Cet écart s'explique. Les grandes entreprises ont déjà franchi l'étape de la norme NIS1 ; elles connaissent donc bien la marche à suivre : gestion des risques, notification des incidents, responsabilité au niveau du conseil d'administration. Les structures plus modestes, en revanche, commencent seulement à prendre la mesure de la portée réelle des exigences, notamment des obligations qui s'étendent à leur chaîne d'approvisionnement et ne se limitent pas à leurs propres systèmes.

2. DORA : la résilience opérationnelle au cœur du secteur financier

La directive DORA reste une priorité majeure pour les grandes entreprises, avec un taux de 38 %. Ce chiffre reflète son champ d'application : les établissements financiers et leurs fournisseurs de services informatiques essentiels.

Tests de résilience, gestion des risques liés aux tiers, gouvernance : la directive DORA impose une discipline rigoureuse. Et comme elle s'applique directement tant aux prestataires de services informatiques qu'aux établissements financiers, son impact s'étend bien au-delà du secteur financier lui-même.

3. La CRA : la sécurité des produits dès la conception

Avec la CRA, la logique change. La sécurité doit être intégrée dès le départ, et non ajoutée a posteriori. C'est là l'essence même des principes « Secure by Design » et « Secure by Default ».

Les grandes entreprises ont là aussi une longueur d’avance : 37 % d’entre elles se préparent déjà à la CRA, contre seulement 23 % des entreprises de taille intermédiaire (ETI). Cet écart de 14 points est significatif, car la mise en œuvre des exigences fondamentales de la CRA — les listes de composants logiciels (SBOM) et la gestion des correctifs — prend du temps. Attendre la date limite n’est pas vraiment une option.

Ce qui distingue les organisations les plus performantes

Nous sommes convaincus que les organisations qui progressent le plus rapidement auront en commun trois habitudes :

  • Ils mutualisent les contrôles et les cadres de référence entre les différentes réglementations, au lieu de gérer en parallèle des programmes de conformité distincts pour la directive NIS2, la directive DORA et la CRA.
  • Ils hiérarchisent les mesures à prendre en fonction du niveau de risque réel, et non en fonction de la facilité avec laquelle on peut en apporter la preuve. La case la plus facile à cocher en matière de conformité n'est pas toujours celle qui correspond au risque le plus important.
  • Elles fournissent aux équipes chargées de la conformité, du risque et de la gouvernance (GRC) dans le domaine cybernétique les outils nécessaires pour industrialiser les évaluations, produire des preuves fiables et gérer simultanément plusieurs réglementations — sans multiplier les efforts à chaque fois.

Il ne s'agit pas d'une opportunité négligeable. Comme nous l'avons évoqué dans un article précédent, 76 % des RSSI affirment déjà que la gestion simultanée de plusieurs référentiels nuit à leur capacité à rester en conformité. La convergence n'est pas un simple atout supplémentaire : c'est la clé pour garantir une conformité durable.

Faire de la conformité un levier, et non une obligation

C'est précisément l'approche que nous mettons en place avec SharpenCISO, notre plateforme GRC native IA, automatisée en temps réel.

Notre objectif est simple : faire de la conformité un véritable levier de gestion des risques cybernétiques — un levier qui renforce durablement le niveau de sécurité — plutôt qu’une succession d’obligations réglementaires à cocher, un cadre à la fois.

Alors, qu'avez-vous mis en place ?

Nous sommes curieux : quelles mesures avez-vous mises en place pour améliorer les performances et l'impact de vos équipes chargées de la gouvernance, du risque et de la conformité (GRC) en matière de cybersécurité ?

Utilisez-vous toujours NIS2, DORA et la CRA comme des volets distincts, ou avez-vous déjà commencé à mettre en commun vos efforts ? Faites-le-nous savoir dans les commentaires.

#SharpenCISO #CISO #RSSI #GRC #Cybersécurité #ISO27001 #ISO27005 #EBIOS #NIS2 #DORA #NIST #Conformité #SecurityByDesign #CRA

 

 

AI Governance in Cybersecurity: The Gap Between Perceived Risk and Reality

One number sets the scene. According to the World Economic Forum’s Global Cybersecurity Outlook 2026, 87% of cybersecurity professionals now see AI-related risk as growing fast. That’s more than phishing. More than ransomware. More than classic software flaws. And it’s exposing a widening AI governance gap inside most organizations.

Yet another number tells a different story. Only 64% of organizations assess the security of an AI tool before deploying it. That share is improving. It stood at just 37% in 2025. But it still leaves more than a third of companies exposed to tools they’ve never truly vetted.

This gap isn’t a statistical footnote. It’s the new terrain CISOs must navigate in 2026, and it’s why AI governance is becoming a board-level topic.

The nature of the risk has shifted

A year ago, the dominant fear centered on AI’s offensive capabilities. Deepfakes, auto-generated malware, hyper-personalized phishing: it was the attacker who worried people most. In 2025, 47% of leaders named these adversarial capabilities as their top generative AI concern.

In 2026, that trend has flipped. The figure has dropped to 29%. Data leaks tied to generative AI now lead instead, cited by 34% of respondents, up from 22% the year before.

In other words, the fear no longer comes only from outside. It also comes from within. An employee pasting sensitive data into a public chatbot. An AI agent connected to a critical system, unsupervised. An internal model poorly segmented. The WEF confirms it: the “AI arms race” between attackers and defenders keeps intensifying. But attention is now shifting toward the unintended exposure of data.

A booming market, an AI governance lag

Gartner’s Hype Cycle for Cyber-Risk Management 2026 adds a complementary lens, this time from the market side. The AI-security tooling sector is expected to grow from $1.5 billion in 2025 to $16.5 billion by 2030. A staggering pace, and a clear sign of shared urgency.

But Gartner also flags a blind spot: shadow AI. Generative and agentic assistants are rolling out faster than the governance frameworks meant to contain them. The result is an attack surface expanding quietly, often off the CISO’s radar.

Another telling signal: data security governance is going through what Gartner calls a “trough of disillusionment.” Organizations struggle to deploy it. The culprits are fragmented data silos and underestimated operational complexity. Technology is outpacing the processes meant to keep it in check.

This shift shows up in the budgets too. By 2030, AI-enhanced security solutions are expected to account for more than half of the entire cybersecurity market, itself projected at $353 billion. Investment is following the threat. The question is whether governance can keep the same pace.

France adds its own layer of urgency: sovereignty

This global picture takes on a distinct tone in France. The CESIN cybersecurity barometer (wave 11, January 2026) is unambiguous on this point. 63% of French companies now say they’re concerned about digital sovereignty and trusted cloud. That’s up 11 points in a single year.

This shift matters. Securing AI isn’t just about picking the right tool. It also means knowing where data is hosted, under which jurisdiction, and with what real level of control. For French and European companies, sovereignty and AI governance are becoming inseparable — and a growing number are folding sovereignty checks directly into their ISO 27001 risk assessment process.

The same barometer points to confidence that remains fragile. 67% of respondents say they’re worried about their company’s ability to face cyber risk going forward, up from 63% in the previous wave. Vigilance is rising faster than reassurance.

Geopolitics is adding to the pressure

AI isn’t the only factor complicating the picture. The WEF finds that geopolitics remains, in 2026, the top factor shaping cyber risk strategies. 64% of organizations now factor in geopolitically motivated attacks: disruption of critical infrastructure, espionage.

This climate is also eroding executive confidence. Fewer than 45% of private-sector CEOs trust their country’s ability to respond to a major cyberattack. That uncertainty feeds, once again, the growing interest in digital sovereignty.

For French companies, geopolitics and cloud sovereignty are no longer separate topics. They reinforce each other. And together they fuel the same demand: regaining control over data, and over who handles it.

Why checklists aren’t enough for AI governance

Faced with this acceleration, the instinct is to respond with more controls. More policies, more committees, more manual sign-offs. The WEF warns against exactly this trap. Too many controls create friction. Teams end up working around the rules instead of following them.

The challenge, then, isn’t stacking up constraints. Effective AI governance keeps pace with the business instead of slowing it down. That calls for three things:

  • guardrails built in by design (security-by-design), rather than bolted on afterward;
  • continuous human oversight, especially for high-impact decisions;
  • near real-time monitoring, rather than periodic, backward-looking audits.

This is exactly the philosophy behind the “AI proposes, the CISO decides” approach. Artificial intelligence speeds up detection. It prioritizes risk. It automates repetitive compliance work. But the final call stays in human hands, especially when it touches a business risk or a regulatory obligation.

The link to the EU AI Act

This governance shift isn’t happening in a regulatory vacuum. The EU AI Act already imposes obligations on AI systems classified as high-risk: technical documentation, risk management, human oversight, decision traceability.

For a CISO, there’s good news here too. The AI Act’s requirements largely overlap with ISO 27001 and NIS2. They demand the same discipline: identify risks, document controls, prove compliance over time. Treating AI as an isolated compliance track means duplicating work already under way elsewhere.

The more effective approach is folding the AI Act into the same control mapping as other frameworks. One control plan, several regulations covered. That’s also what keeps a compliance team lean, even as regulatory requirements keep piling up.

AI governance that builds on what already exists

Good news for CISOs already running an ISO 27001 or NIS2 program: there’s no need to start from scratch. AI governance fits naturally into existing GRC processes.

An information security management system (ISMS) already covers most of the groundwork. Asset mapping, risk management, access control, vendor management: these building blocks already exist. It’s simply a matter of extending them to AI tools and their data pipelines, rather than building a parallel silo.

This continuity has a direct payoff. It avoids compliance fatigue. Teams work from a single map, where ISO 27001, NIS2, DORA, and the AI Act overlap and reinforce each other.

Where to start, concretely

A few priorities stand out from the 2026 data, for any CISO looking to structure a response now:

  • Map real AI usage, including tools not officially declared by business teams (shadow AI).
  • Extend vendor risk assessments to AI solution providers, with close attention to data location.
  • Document a pre-deployment validation process, even a lightweight one. The goal: close the gap between perceived risk (87%) and actual coverage (64%).
  • Prioritize human oversight on use cases with high business or regulatory impact.
  • Reassess the cloud supply chain in light of sovereignty concerns, now a priority for two-thirds of French companies.

None of these steps require an organizational big bang. They build on GRC fundamentals most companies already apply elsewhere — the same ones covered in our GRC practices checklist.

In summary: closing the AI governance gap

AI risk is no longer just a sophisticated external threat. It also lives in the everyday, often invisible uses of generative AI at work. The 2026 data leaves little doubt: perceived risk is rising faster than the AI governance meant to contain it.

Closing that gap doesn’t mean slowing AI adoption. It means applying the same rigor already used for information security. Mapping, risk assessment, continuous oversight. And a human decision that keeps the final word.

Want to assess how mature your organization’s AI governance really is? Talk to us about your specific context.

Sources cited: World Economic Forum; Gartner ; CESIN.