Lacune dans la gouvernance de l’IA : en 2025, 91% des petites entreprises jouent à la roulette russe avec la sécurité des données

Imaginez la scène : Vous conduisez une Ferrari à 320 km/h sur l’autoroute… les yeux bandés. C’est exactement ce que font 91 % des petites entreprises avec leurs systèmes d’IA aujourd’hui. Aucun suivi, aucune visibilité, aucune idée si leur IA divulgue des données sensibles ou invente des informations clients à tout-va.

La 2025 AI Governance Survey de Pacific AI vient de paraître, et les résultats font plus peur qu’un roman de Stephen King sur des chatbots devenus fous. Pendant que tout le monde se lance dans la ruée vers l’or de l’IA, promettant aux actionnaires d’être “AI-first” et de “tirer parti du machine learning de pointe”, la réalité ressemble plutôt à un cirque où les clowns gèrent la sécurité informatique.

Le constat est sans appel : les incidents liés à l’IA ont augmenté de 56,4 % en un an selon l’AI Index de Stanford, avec 233 incidents de confidentialité rien que l’an dernier. Les attaques sur la supply chain logicielle devraient coûter 60 milliards de dollars aux organisations en 2025. Pourtant, la plupart des entreprises traitent la gouvernance de l’IA comme leur abonnement à la salle de sport pris en janvier : de bonnes intentions, mais aucune action concrète.

Nous assistons à un choc frontal entre la pression à innover et l’incapacité totale à gérer les risques de l’IA de façon responsable. Ce n’est pas qu’un problème technique ; c’est une menace existentielle pour la sécurité des données, la conformité réglementaire et la confidentialité des clients. Plongeons dans ce chaos pour mesurer l’ampleur du désastre.

Cauchemar Sécurité : Quand « Move Fast and Break Things » Finit par Tout Casser

Angle Mort du Monitoring : Un Risque Majeur pour Votre Entreprise

Commençons par la statistique la plus frappante de l’étude Pacific AI : seulement 48 % des organisations surveillent leurs systèmes d’IA en production pour l’exactitude, la dérive ou les usages abusifs. Mais c’est encore pire pour les petites entreprises : ce chiffre s’effondre à un catastrophique 9 %. Neuf. Pour cent.

Imaginez ce que cela implique. Plus de 90 % des petites entreprises ignorent totalement ce que font leurs systèmes d’IA une fois déployés. C’est comme lancer un satellite puis jeter la télécommande. Votre IA peut dériver, produire des résultats biaisés, ou pire — divulguer des données sensibles clients — sans que vous ne vous en rendiez compte.

Les responsables techniques font un peu mieux avec 55 % de taux de monitoring, mais cela signifie que près de la moitié de ceux qui devraient savoir pilotent à l’aveugle. Il ne s’agit pas d’une option secondaire. Sans monitoring, impossible de détecter les attaques par injection de prompt, où des acteurs malveillants manipulent votre IA pour révéler des données d’entraînement ou adopter un comportement malveillant. Impossible de repérer quand votre modèle de langage commence à halluciner des numéros de sécurité sociale dans les réponses. C’est comme gérer un réacteur nucléaire sans thermomètre.

La Réponse aux Incidents : Un Mythe

Voilà où la situation devient franchement risible… si elle n’était pas aussi inquiétante. L’étude révèle que 54 % des organisations affirment disposer de playbooks de gestion des incidents IA. Responsable, non ? Faux. Ces “playbooks” sont en réalité des cadres IT où l’on a remplacé “serveur” par “modèle IA”.

La plupart des organisations n’ont aucun protocole pour les modes de défaillance propres à l’IA. Que faire si une vulnérabilité d’injection de prompt est découverte ? Comment réagir si votre IA génère des données synthétiques en violation des lois sur la confidentialité ? Quel est le plan si un biais dans vos résultats déclenche une plainte pour discrimination ?

Les petites structures sont particulièrement exposées, avec seulement 36 % disposant d’un plan de réponse aux incidents. Cela signifie que lorsque (et non si) un incident survient, deux tiers des petites entreprises improviseront dans la panique, sans savoir qui contacter ni quoi faire.

L’épidémie de Shadow AI dont personne ne veut parler

Vous vous souvenez du Shadow IT ? Ce “petit” problème où les employés utilisaient Dropbox au lieu du serveur de fichiers de l’entreprise ? Voici son cousin survitaminé : le Shadow AI. Avec seulement 59 % des organisations disposant de rôles dédiés à la gouvernance IA (et 36 % pour les petites entreprises), le terrain est idéal pour une utilisation incontrôlée de l’IA.

Voici ce qui se passe dans votre entreprise : Karen, de la compta, télécharge des bilans sur ChatGPT pour “aider à l’analyse”. Bob, aux RH, injecte des données collaborateurs dans un outil IA de tri de CV trouvé en ligne. Le marketing ? Il utilise tous les outils IA possibles pour générer du contenu, avec vos guidelines de marque et données clients confidentielles.

L’enquête Kiteworks sur la sécurité et la conformité des données IA est sans appel : seuls 17 % des organisations disposent de contrôles techniques bloquant l’accès aux outils IA publics, combinés à une analyse DLP. Autrement dit, 83 % fonctionnent sur la confiance, espérant que les collaborateurs ne feront rien de catastrophique avec les données de l’entreprise.

Mais le vrai problème, c’est que 26 % des organisations déclarent que plus de 30 % des données saisies dans les outils IA publics sont des données privées. Plus d’un quart des entreprises admettent donc que près d’un tiers de ce qui entre dans ces systèmes IA est sensible et n’a rien à y faire.

Comédie de la conformité : Pourquoi votre “politique IA” ne vaut même pas le PDF

Désert de connaissances réglementaires

Si l’ignorance est un bonheur, la plupart des organisations doivent être euphoriques. Les résultats sur la connaissance réglementaire ressemblent à un bulletin d’une école en échec :

• Connaissance du NIST AI RMF : 30 % au global
• Lois sur la confidentialité des consommateurs (CCPA, CPA, etc.) : 29 % de notoriété
• ISO 42001/23894 : 21 % chez les responsables techniques
• Législation sur les deepfakes : 17 % de notoriété générale

Il ne s’agit pas de réglementations obscures. Ce sont les cadres qui déterminent si vous serez sanctionné ou autorisé à continuer d’opérer. L’AI Act européen entre en vigueur en septembre 2025, et la plupart des entreprises sont aussi préparées qu’un pingouin dans le désert.

Le manque de connaissances est d’autant plus inquiétant que 75 % de la population mondiale sera couverte par des lois sur la confidentialité d’ici 2025. Pourtant, les petites entreprises ne sont que 14 % à connaître les principales normes. C’est comme traverser un champ de mines avec un bandeau sur les yeux et un casque anti-bruit.

Le fossé entre politique et pratique

Voici où les organisations excellent dans la mise en scène. Pas moins de 75 % des répondants déclarent fièrement avoir des politiques d’utilisation de l’IA. Bravo ! Vous avez créé un document ! Quelqu’un l’a même probablement relié avec une belle couverture.

Mais qu’en est-il de la réalité ? Seuls 59 % disposent de rôles de gouvernance dédiés pour appliquer ces politiques. À peine 54 % maintiennent des playbooks de gestion des incidents. Et seulement 45 % réalisent des évaluations de risques pour les projets IA. Ce n’est pas de la gouvernance, c’est du théâtre.

Le décalage est encore plus flagrant quand on creuse les chiffres. Les organisations rédigent des chartes éthiques IA et des politiques d’utilisation acceptable, mais ne les traduisent pas en actions concrètes. C’est comme avoir un plan d’évacuation incendie détaillé, mais sans extincteurs, ni panneaux de sortie, ni exercices.

Pour les petites entreprises, la situation est dramatique. Seules 55 % ont une politique, et vu leur taux d’application, ces politiques pourraient tout aussi bien être écrites à l’encre sympathique. Elles s’exposent à des risques de confidentialité chaque fois que des données clients sont utilisées pour l’entraînement ou l’inférence IA, sans aucun contrôle réel.

La spirale de la mort des PME

Les petites entreprises sont prises dans une véritable spirale de la mort réglementaire. Les chiffres dressent le portrait d’organisations totalement démunies face à la tempête réglementaire qui s’annonce :

Seulement 29 % des PME surveillent leurs systèmes IA. 36 % ont des rôles de gouvernance. À peine 41 % proposent une formation IA annuelle. Et seulement 51 % disposent d’un processus formel pour suivre l’évolution des réglementations IA et confidentialité.

Ce ne sont pas que des statistiques — ce sont des signaux d’alerte. Les PME agissent souvent comme fournisseurs tiers pour de grandes entreprises, ce qui signifie que leurs défaillances de conformité deviennent des failles dans la supply chain de leurs partenaires. Quand le couperet réglementaire tombera, il ne s’abattra pas que sur les petites structures : c’est tout leur écosystème qui sera impacté.

Confidentialité : Le Far West des données où tout le monde joue au cow-boy

Bombe à retardement dans les données d’entraînement

L’un des aspects les plus négligés de la gouvernance IA est la question que personne ne veut poser : quelles données servent réellement à entraîner vos modèles IA ? L’enquête montre que les organisations sont très mal préparées à gérer les nouveaux enjeux comme la gestion des données synthétiques, les risques liés au federated learning et les restrictions sur les flux de données transfrontaliers.

Pensez-y. À chaque fois que votre modèle IA s’entraîne sur des données clients, vous créez potentiellement un cauchemar en matière de confidentialité. Ces données ne disparaissent pas : elles deviennent partie intégrante des pondérations et biais du modèle. Si vous entraînez sur des données européennes et déployez le modèle aux États-Unis, félicitations, vous venez de créer un transfert de données transfrontalier qui pourrait enfreindre le RGPD.

L’étude révèle que seuls 45 % des organisations réalisent des évaluations de risques pour les projets IA, et chez les responsables techniques, ce chiffre monte à peine à 47 %. Cela signifie que plus de la moitié des projets IA sont lancés sans se poser des questions de base comme “Devons-nous utiliser ces données ?” ou “Que se passe-t-il si ce modèle mémorise des informations personnelles identifiables ?”

L’absence d’évaluation des risques avant déploiement est d’autant plus grave que des réglementations comme l’article 35 du RGPD imposent des analyses d’impact. Les entreprises jouent leur conformité à la roulette russe plutôt que de s’appuyer sur des processus solides.

La confiance aveugle envers les tiers

Si vous pensiez que votre propre gouvernance IA était défaillante, attendez de voir les risques liés aux tiers. Selon les recherches de Kiteworks, près de 60 % des organisations n’ont pas de suivi ni de contrôle sur les échanges de données avec leurs partenaires. Cela crée des failles béantes que les attaquants exploitent de plus en plus.

Le rapport Verizon 2025 Data Breach Investigations confirme que ce n’est pas théorique : les incidents impliquant des tiers ont doublé pour atteindre 30 % des cas, les solutions de partage de fichiers obsolètes étant particulièrement vulnérables. Quand les systèmes IA de vos fournisseurs accèdent à vos données, leurs failles de sécurité deviennent vos désastres de confidentialité.

C’est d’autant plus critique à l’ère de l’IA, où le partage de données est devenu exponentiellement plus complexe. Votre agence marketing utilise l’IA pour traiter vos données clients. Votre fournisseur cloud implémente des analyses dopées à l’IA. Votre plateforme de support client déploie des chatbots entraînés sur vos tickets. Chaque point de contact est un risque potentiel de fuite de données.

Le fossé IA-humain en matière de confidentialité

Voici où la théorie se heurte à la réalité humaine. L’enquête Kiteworks révèle un chiffre édifiant : 26 % des organisations déclarent que plus de 30 % des données saisies par les collaborateurs dans des outils IA publics sont des données privées. Ce n’est pas une erreur de frappe. Plus d’un quart des entreprises admettent que près d’un tiers de ce qui entre dans ChatGPT, Claude ou autres IA publiques est sensible.

Mais ce n’est pas tout. Rappelez-vous : seuls 17 % des organisations disposent de contrôles techniques bloquant l’accès aux outils IA publics avec analyse DLP. Cela signifie que la grande majorité compte sur la formation, les politiques et la chance pour éviter les fuites de données. C’est comme essayer d’empêcher l’eau de couler vers le bas : sans barrières techniques, les collaborateurs trouveront toujours un moyen d’utiliser l’IA, quitte à y injecter toutes les données qui facilitent leur travail.

L’humain crée une tempête parfaite de violations de la confidentialité. Les collaborateurs veulent être efficaces. Les outils IA les rendent plus productifs. Les données de l’entreprise rendent l’IA plus utile. Sans barrières techniques, cette équation finit toujours par une fuite de données sensibles dans les IA publiques.

Rapidité contre sécurité : Pourquoi “livrer vite, sécuriser plus tard” est suicidaire

Un climat sous pression

L’enquête met en lumière l’éléphant dans la pièce : 45 % des organisations citent la pression du déploiement rapide comme principal frein à la gouvernance IA. Chez les responsables techniques, ce chiffre grimpe à 56 %. Plus de la moitié des personnes en charge de l’IA doivent choisir entre bien faire et faire vite.

Cette mentalité “aller vite, quitte à sacrifier la confidentialité” n’est pas seulement risquée — elle est potentiellement catastrophique. Quand Stanford annonce une hausse de 56,4 % des incidents IA liés à la confidentialité et que les attaques sur la supply chain logicielle devraient coûter 60 milliards de dollars en 2025, le prix de la rapidité devient exorbitant.

La pression ne sort pas de nulle part. Les conseils d’administration veulent des initiatives IA. Les investisseurs veulent des histoires IA. Les concurrents annoncent des fonctionnalités IA. Le marché récompense la vitesse, du moins jusqu’au premier incident ou à la première amende. Ensuite, tout le monde veut savoir pourquoi la gouvernance n’était pas en place.

La réalité budgétaire

Pour les PME, la difficulté est aggravée par le manque de ressources. L’enquête montre que 40 % citent le budget comme principal obstacle à la gouvernance IA. Un vrai cercle vicieux : elles n’ont pas les moyens d’une gouvernance efficace, mais ne peuvent pas non plus se permettre les conséquences de son absence.

C’est le cas typique d’une fausse économie. Les organisations économisent sur la gouvernance pour mieux perdre en amendes, coûts de violation et atteinte à la réputation. Quand les amendes RGPD peuvent atteindre 4 % du chiffre d’affaires mondial, et que les recours collectifs pour biais IA ou violation de la confidentialité se multiplient, l’équation ne tient pas.

Le vrai coût n’est pas que financier. Sans pratiques responsables intégrées dans tout le cycle de développement IA, les développeurs — et donc leurs entreprises — multiplient les risques juridiques, financiers et réputationnels, comme le rappelle David Talby, CEO de Pacific AI. Une fois la confiance rompue, la regagner coûte bien plus cher que de prévenir la fuite dès le départ.

Le piège du double rôle

Peut-être le constat le plus inquiétant : 35 % des organisations sont à la fois développeurs et déployeurs d’IA. Ce double rôle devrait rimer avec double expertise et contrôles. En réalité, c’est souvent double risque pour moitié moins de gouvernance.

Ces organisations font face à des défis uniques. Elles doivent garantir l’intégrité des données d’entraînement, l’explicabilité des modèles et l’audit des résultats tout en maîtrisant les risques de déploiement. Sans contrôles matures, elles mènent deux opérations à haut risque sans filet de sécurité. C’est comme jongler avec des torches enflammées sur un monocycle : impressionnant si ça marche, catastrophique sinon.

Feuille de route : du chaos au contrôle

Les indispensables techniques

La voie à suivre n’a rien de mystérieux — elle exige juste engagement et ressources. Les organisations doivent commencer par les fondamentaux que beaucoup négligent :

Premièrement, l’observabilité automatisée des modèles n’est plus optionnelle. Il faut un monitoring en temps réel capable de détecter la dérive, les comportements inhabituels et les failles potentielles. Ce suivi doit être intégré à votre pipeline de déploiement, pas ajouté après coup.

Deuxièmement, élaborez des playbooks de gestion des incidents spécifiques à l’IA, adaptés aux modes de défaillance propres à ces systèmes. Les playbooks IT génériques ne suffisent pas face aux injections de prompt, empoisonnements de modèle ou fuites de données synthétiques. Il faut des protocoles qui prennent en compte les risques uniques de l’IA.

Troisièmement, mettez en place des architectures d’échange de données en zéro trust. Comme le souligne Kiteworks, il faut des contrôles techniques qui imposent la sécurité quel que soit le canal ou l’endpoint. La confiance ne suffit pas quand 26 % des entreprises signalent une exposition massive de données privées dans les outils IA publics.

Les fondamentaux de la gouvernance

Même les petites entreprises doivent désigner des rôles dédiés à la gouvernance IA. Pas besoin d’un Chief AI Ethics Officer (même si ce n’est pas une mauvaise idée), mais il faut un responsable, même si cela s’ajoute à d’autres missions. Sans propriétaire identifié, la gouvernance devient la responsabilité de tous, donc de personne.

L’intégration dans les workflows CI/CD est essentielle pour éviter le piège de la vitesse contre la sécurité. Quand les contrôles de gouvernance sont automatisés et intégrés au pipeline de développement, ils ne sont plus des freins mais des facilitateurs. C’est ainsi que vous répondez à la fois à la demande de rapidité du board et à l’exigence de responsabilité des régulateurs.

Les évaluations de risques spécifiques à l’IA doivent devenir aussi courantes que les revues de code. Avant tout lancement de projet IA, il faut se poser les questions difficiles sur l’utilisation des données, les biais potentiels, les impacts sur la confidentialité et les exigences de conformité. Les 55 % d’organisations qui sautent cette étape jouent à la roulette russe avec leur avenir.

Le socle de la conformité

Le manque de connaissances réglementaires mis en lumière par l’enquête impose d’investir d’urgence dans la formation. Les organisations doivent rendre obligatoire la formation sur des cadres comme le NIST AI RMF, l’AI Act européen et les lois locales sur la confidentialité. Ce n’est pas du développement professionnel optionnel — c’est une question de survie à l’ère de l’IA.

Les évaluations de risques avant déploiement doivent devenir la norme, non seulement pour la conformité mais aussi pour la continuité d’activité. Avec des réglementations qui évoluent vite et un renforcement des contrôles, le coût de la non-conformité explose. Il faut passer d’une conformité réactive à une gestion proactive des risques.

Évoluer ou disparaître

La 2025 AI Governance Survey dresse le portrait d’un secteur à la croisée des chemins. Le fossé de gouvernance ne fait pas que s’élargir — il devient un gouffre prêt à engloutir les organisations non préparées. Les PME sont particulièrement vulnérables, mais même les grands groupes peinent à concilier innovation et responsabilité.

Le plus alarmant n’est pas une statistique isolée — c’est la tendance globale. Les organisations déploient des IA puissantes sans monitoring, gouvernance ni contrôles adaptés. Elles rédigent des politiques sans les appliquer. Elles foncent sur le marché sans anticiper les conséquences. C’est la recette d’un désastre à l’échelle de tout un secteur.

La réalité est brutale : 2025 sera l’année décisive pour la gouvernance IA. Avec l’entrée en vigueur de l’AI Act européen, l’extension mondiale des lois sur la confidentialité et l’explosion des incidents IA, les organisations ne peuvent plus reléguer la gouvernance au second plan. Le choix est simple : mettre en place une vraie gouvernance maintenant, ou s’exposer à des risques existentiels demain.

Le paradoxe, c’est que la gouvernance responsable de l’IA n’est pas un frein à l’innovation — c’est ce qui la rend durable. Les organisations qui intègrent la gouvernance dès le départ iront plus vite sur le long terme, car elles n’auront pas à gérer des crises ou à reconstruire leurs systèmes pour répondre aux exigences réglementaires.

Alors que nous fonçons vers un avenir dominé par l’IA, la question n’est pas de savoir si vous mettrez en place une gouvernance IA — mais si vous le ferez de façon proactive ou sous la contrainte d’un échec majeur. Miser sur l’anticipation, c’est éviter que les régulateurs, les hackers ou vos propres IA ne vous y obligent.
Les chiffres sont clairs. Les risques sont réels. Il est temps d’agir. Car dans la gouvernance IA, soit vous êtes à la table, soit vous êtes au menu.

Ressources complémentaires

• Article de blog Zero Trust Architecture : Never Trust, Always Verify
• Vidéo Comment Kiteworks fait avancer le modèle Zero Trust de la NSA au niveau de la donnée
• Article de blog Ce que signifie étendre le Zero Trust à la couche contenu
• Article de blog Instaurer la confiance dans l’IA générative grâce au Zero Trust
• Vidéo Kiteworks + Forcepoint : démonstration de la conformité et du Zero Trust à la couche contenu