L'IA autonome : ce gigantesque défi de gouvernance et de sécurité
Un rapport de SAP/Oxford Economics confirme que l'IA s’impose comme le moteur de l’entreprise de demain. Avec un ROI attendu de 38 % d'ici deux ans et une automatisation couvrant près de la moitié des activités, la technologie devient une infrastructure critique. Mais pour les experts en cybersécurité, cette transition vers l'« Autonomous Enterprise » constitue une mutation profonde de la surface d'attaque et des enjeux de souveraineté. Un bouleversement qui mérite une profonde réflexion d’ordre stratégique.
« Créer une véritable valeur grâce à l’IA exige une nouvelle approche. Les entreprises doivent connecter l’IA à leurs données et à leurs processus, tout en veillant à disposer du contexte et de la gouvernance appropriés. Ce n’est qu’à cette condition que la technologie produira des résultats fiables », affirme Sean Kask, Chief AI Strategy Officer de SAP.
Pour cet expert, la marche vers l’Autonomous Enterprise nécessite à la fois une transformation technologique et humaine. « La véritable valeur n’émerge que lorsque les agents, les processus et les personnes travaillent ensemble comme un tout. »
Autrement dit, si le rendement financier doit être au rendez-vous, la question de la sécurité, elle, implique que les professionnels de la cybersécurité prennent en compte plusieurs considérations importantes dans leur vision stratégique.
Les agents IA, nouvelle surface d'attaque « active »
L'étude SAP met en avant l'émergence des « agents IA », capables de planifier et d'exécuter des tâches de manière autonome. Pour un expert en sécurité, ce changement de cap change tout en matière de risque, car il induit le fait que nous passons d'une IA « passive » (qui analyse des données) à une IA « active » capable de déclencher des actions métier.
Si un agent IA peut déclencher des paiements, modifier des processus métier ou accéder à des bases de données, il devient une cible de choix pour les attaquants. Une compromission de ces agents pourrait permettre une escalade de privilèges automatisée à une vitesse inédite.
Ce changement de paradigme introduit donc un nouveau défi de taille lié à la sécurisation de l'exécution de ces agents. La mise en place de garde-fous (guardrails) et d'une authentification forte pour les « identités non humaines » (les agents) devient une priorité absolue pour les équipes IAM (Identity and Access Management).
La qualité des données : un enjeu d'intégrité et de conformité
L’étude de SAP souligne que 73 % des organisations souffrent de données incomplètes. En cybersécurité, la qualité des données est synonyme d'intégrité.
Le risque de « Data Poisoning » devient alors prépondérant. Si les données alimentant les modèles d'IA sont corrompues ou incomplètes, les décisions prises par l'IA peuvent être perverties ou manipulées. C'est le risque d'intégrité par excellence.
Protection des données et souveraineté
L'utilisation massive de données pour entraîner ou alimenter les agents autonomes pose également la question de la conformité au RGPD et au futur AI Act européen. Si les données d'entreprise (contenant souvent des PII - Personally Identifiable Information) sont injectées dans des modèles d'IA sans une gouvernance stricte, le risque de fuite de données est majeur. Une bonne stratégie de souveraineté numérique exige que ces données restent sous contrôle, idéalement au sein d'infrastructures maîtrisées.
Le danger du « Shadow AI »
L'étude révèle une statistique alarmante pour les responsables en cybersécurité : moins de la moitié des organisations (46 %) disposent d'un responsable dédié à l'IA. On flaire le danger à mille lieues, car cette absence de gouvernance centralisée est le terreau fertile du Shadow AI. Les collaborateurs, poussés par la recherche de productivité, utilisent des outils d'IA non approuvés par la DSI ou le département sécurité.
Il devient donc urgent pour les professionnels de la cybersécurité de sortir de la posture d'observateur. La gouvernance de l'IA ne peut plus être dissociée de la stratégie de cybersécurité. Il est impératif d'intégrer l'IA dans les politiques de sécurité existantes, de cartographier les outils utilisés et d'imposer des standards de sécurité dès la phase de conception (Security by Design).
Vers une « Autonomous Enterprise » sécurisée
L'« Autonomous Enterprise » décrite dans l’étude de SAP est une organisation où les agents, les processus et les humains collaborent. Pour que cette vision ne devienne pas un cauchemar sécuritaire, les RSSI doivent impérativement :
-Intégrer l'IA dans le plan de réponse aux incidents pour être en mesure de réagir efficacement dans le cas où un agent IA autonome commencerait à « dérailler » de manière malveillante.
-Renforcer la gouvernance des données pour s’assurer que les données alimentant l'IA sont propres, intègres et conformes aux réglementations européennes.
-Déployer une stratégie d'IA Security. En veillant à ne pas se contenter de sécuriser le périmètre, mais sécuriser les modèles, les données d'entraînement et les interactions des agents.
En résumé, la transformation humaine et technologique décrite par SAP est inévitable. Mais elle ne pourra être durable que si elle est construite sur des fondations de confiance. En Belgique, où la conformité réglementaire est un levier de compétitivité, les entreprises qui réussiront seront celles qui auront su marier l'agilité de l'IA avec la rigueur de la cybersécurité.
