Communiqué de presse

Les organisations se précipitent pour adopter l'IA mais n'ont pas de contrôles de sécurité et de conformité à la hauteur

Kiteworks, qui aide les organisations à gérer efficacement les risques liés à l’envoi, au partage, à la réception et à l’utilisation de données privées, a publié aujourd’hui les résultats de son enquête sur la sécurité des données et les risques de conformité liés à l’IA, menée auprès de 461 professionnels de la cybersécurité, de l’informatique, de la gestion des risques et de la conformité. L’enquête, réalisée par Centiment, révèle des échecs critiques de mise en œuvre : seulement 17 % des organisations disposent de contrôles techniques bloquant l’accès aux outils d’IA publics combinés à une analyse DLP, tandis que 26 % rapportent que plus de 30 % des données que les employés introduisent dans les outils d’IA publics sont des données privées.

Ces résultats émergent dans un contexte de forte augmentation des incidents liés à l’IA. Le rapport AI Index 2025 de Stanford enregistre une augmentation de 56,4 % des incidents de confidentialité liés à l’IA d’une année sur l’autre, atteignant 233 incidents l’année dernière. L’enquête de Kiteworks montre comment les organisations restent mal préparées : 40 % limitent l’utilisation des outils d’IA par la formation et les audits, 20 % se contentent d’avertissements sans surveillance, et 13 % n’ont aucune politique spécifique pour l’utilisation des outils d’IA publics, laissant la grande majorité vulnérable aux menaces émergentes.

“Notre recherche révèle un décalage fondamental entre l’adoption de l’IA et la mise en œuvre de la sécurité”, a déclaré Tim Freestone, Chief Marketing Officer chez Kiteworks. “Lorsque seulement 17 % disposent de contrôles techniques de blocage avec analyse DLP, nous assistons à un échec systémique de la gouvernance. Le fait que Google rapporte que 44 % des attaques zero-day ciblent les systèmes d’échange de données sape les systèmes mêmes sur lesquels les organisations comptent pour se protéger.”

Les références de l’industrie révèlent un dangereux fossé de surconfiance

L’enquête de Kiteworks met en lumière une crise critique de surconfiance dans la préparation à la gouvernance de l’IA. Alors qu’un tiers des répondants à l’enquête affirment disposer de contrôles de gouvernance et de suivi complets, cela contraste fortement avec la découverte de Gartner selon laquelle seulement 12 % des organisations ont des structures de gouvernance de l’IA dédiées, 55 % n’ayant aucun cadre. Ce fossé dramatique entre perception et réalité crée une exposition aux risques sans précédent.

La recherche de Deloitte fournit un contexte encore plus préoccupant : seulement 9 % des organisations atteignent un niveau de maturité de gouvernance de l’IA “Prêt”, malgré 23 % affirmant être “très préparées”, un écart de surconfiance de 14 points. Ce désalignement est particulièrement préoccupant étant donné que 86 % des organisations manquent de visibilité sur les flux de données de l’IA, selon les recherches de l’industrie.

La ruée vers l’adoption de l’IA sans contrôles appropriés s’accélère. Une récente enquête EY a révélé que 48 % des entreprises technologiques déploient déjà des agents d’IA, avec 92 % prévoyant d’augmenter les dépenses en IA, soit une augmentation de 10 % depuis mars 2024. Pourtant, cet enthousiasme s’accompagne de ce qu’EY appelle une “pression énorme” pour démontrer le retour sur investissement, créant des incitations à privilégier la rapidité sur la sécurité.

“Le fossé entre les capacités auto-déclarées et la maturité mesurée représente une forme dangereuse d’aveuglement organisationnel”, a expliqué Patrick Spencer, VP of Corporate Marketing and Research chez Kiteworks. “Lorsque les organisations affirmant avoir une gouvernance découvrent que leur suivi révèle beaucoup plus de risques que prévu selon Deloitte, et lorsque 91 % n’ont que des capacités de gouvernance de l’IA basiques ou en cours, cette surconfiance multiplie l’exposition aux risques précisément lorsque les menaces augmentent.”

Le secteur juridique illustre le fossé entre mise en œuvre et sensibilisation

L’enquête de Kiteworks a révélé que les professionnels du droit signalent la plus grande préoccupation concernant les fuites de données à 31 %, mais la mise en œuvre reste faible : 15 % n’ont pas de politiques ou de contrôles spécifiques concernant l’utilisation des outils d’IA publics avec les données de l’entreprise, tandis que 19 % se fient à des avertissements non surveillés.

Ce fossé de mise en œuvre devient plus prononcé dans les stratégies d’investissement en matière de confidentialité. Alors que 23 % de toutes les organisations maintiennent des contrôles de confidentialité complets avec des audits réguliers avant tout déploiement de système d’IA, seulement 15 % des cabinets juridiques sont tombés dans le piège de ne pas avoir de contrôles de confidentialité formels tout en privilégiant l’adoption rapide de l’IA, une amélioration de 8 points par rapport à la moyenne de 23 % dans tous les secteurs, mais toujours préoccupante compte tenu de leurs obligations fiduciaires.

Le décalage s’aligne avec les données de Thomson Reuters montrant que seulement 41 % des cabinets d’avocats ont des politiques d’IA malgré 95 % s’attendant à ce que l’IA devienne centrale dans cinq ans. Ce fossé entre la préparation actuelle et les attentes futures dans le secteur juridique, une industrie fondée sur le précédent et la gestion des risques, illustre la tendance organisationnelle plus large à différer les mises en œuvre de sécurité critiques tout en adoptant des technologies transformatrices.

Fossé de sécurité de l’IA : quand la perception rencontre la réalité

La constatation de l’enquête selon laquelle seulement 17 % ont mis en œuvre des contrôles techniques bloquant l’accès aux outils d’IA publics combinés à une analyse DLP devient plus préoccupante compte tenu du paysage des menaces en évolution. Les recherches de Google révèlent que 44 % des vulnérabilités zero-day ciblent les systèmes d’échange de données, avec 60 % des zero days ciblant les entreprises exploitant des outils de sécurité et de mise en réseau, les systèmes mêmes censés protéger les données sensibles.

Malgré la prise de conscience des risques, l’enquête de Kiteworks a révélé que les organisations restent profondément divisées sur la manière de traiter les vulnérabilités :

• 34 % rapportent utiliser une approche équilibrée avec minimisation des données et technologies de protection de la vie privée sélectives
• 23 % maintiennent des contrôles de confidentialité complets avec des audits réguliers
• 10 % ont des politiques de confidentialité basiques mais privilégient l’innovation en IA
• 10 % traitent les préoccupations de confidentialité de manière réactive, se concentrant sur la conformité uniquement lorsque la loi l’exige
• 23 % n’ont pas de contrôles de confidentialité formels et privilégient l’adoption rapide de l’IA

Sur la base de la convergence de contrôles faibles, de visibilité limitée et de menaces croissantes, les organisations doivent :

1. Reconnaître la réalité : Reconnaître que la gouvernance auto-évaluée peut surestimer considérablement la maturité réelle selon les références de l’industrie
2. Déployer des contrôles vérifiables : Mettre en œuvre un suivi et des contrôles de gouvernance automatisés qui peuvent démontrer la conformité, et non seulement la revendiquer
3. Se préparer à l’examen réglementaire : Quantifier les écarts d’exposition et mettre en œuvre des améliorations mesurables

“Les données révèlent que les organisations surestiment considérablement leur maturité en matière de gouvernance de l’IA”, a conclu Freestone. “Avec l’augmentation des incidents, les attaques zero-day ciblant l’infrastructure de sécurité elle-même, et la grande majorité manquant de visibilité ou de contrôle réels, la fenêtre pour mettre en œuvre des protections significatives se referme rapidement.”

Pour consulter l’intégralité du rapport en anglais, téléchargez une copie.

À propos de Kiteworks

Kiteworks s’est donné une mission : aider les organisations à gérer efficacement les risques liés à l’envoi, au partage, à la réception et au stockage de données privées. Kiteworks offre à ses clients un Réseau de données privé qui assure la gouvernance, la conformité et la protection des données. La plateforme unifie, suit, contrôle et protège les échanges de données sensibles, en interne comme en externe, ce qui facilite la gestion des risques et garantit la conformité réglementaire de tous les échanges de données privées. Basé dans la Silicon Valley, Kiteworks protège plus de 100 millions d’utilisateurs finaux à travers plus de 1 500 entreprises et agences gouvernementales dans le monde.

À propos de Centiment

Centiment est une société d’études de marché spécialisée dans la collecte et l’analyse de données pour les secteurs de la cybersécurité et de la technologie. L’entreprise fournit des aperçus exploitables grâce à la conception d’enquêtes personnalisées, au recrutement ciblé de répondants et à des analyses sophistiquées. La plateforme de recherche propriétaire de Centiment garantit une qualité de données exceptionnelle grâce à une supervision humaine experte. L’entreprise sert des entreprises du Fortune 500, des fournisseurs de technologies et des agences gouvernementales, fournissant des renseignements pour des décisions stratégiques dans des marchés en évolution. Basée à Denver, Centiment mène des recherches à l’échelle mondiale pour aider les organisations à comprendre les paysages technologiques complexes et les tendances en matière de cybersécurité.

Contact PR/Média :
David Schutzman
PR Manager
David.schutzman@kiteworks.com