Crise de la gouvernance de l’IA : pourquoi les responsables cybersécurité doivent agir avant le déploiement à grande échelle de l’IA agentique

L’écart de gouvernance de l’IA agentique : un risque croissant pour la sécurité et la conformité

Les chiffres sont éloquents : 86 % des décideurs technologiques se disent confiants quant au retour sur investissement que l’IA agentique apportera à leur organisation, mais moins de 48 % ont mis en place des politiques et cadres de gouvernance formels. Il ne s’agit pas d’une simple anomalie statistique, mais d’un signal d’alerte annonçant une crise à l’échelle du secteur.

À mesure que les systèmes d’IA autonomes passent rapidement des phases pilotes à la production, les entreprises font face à une réalité inconfortable : l’adoption progresse bien plus vite que l’infrastructure de gouvernance nécessaire pour la gérer en toute sécurité. Avec 91 % des organisations qui développent ou déploient déjà de l’IA agentique selon une étude menée par Collibra, le fossé entre innovation et supervision n’a jamais été aussi large, ni aussi dangereux.

Pour les responsables cybersécurité, gestion des risques et conformité, ce décalage ne se limite pas à un manque de politiques : il représente une menace existentielle pour la sécurité, la conformité réglementaire et la réputation des entreprises. Contrairement aux précédentes vagues technologiques où l’on pouvait « avancer vite et casser des choses », l’IA agentique fonctionne à la vitesse machine et prend des décisions de façon autonome. Lorsque ces systèmes échouent, ils ne se contentent pas de « casser » : ils peuvent amplifier les erreurs de façon exponentielle, prendre des décisions lourdes de conséquences pour les clients et les employés, et exposer l’organisation à des sanctions réglementaires et à une atteinte à la réputation qui peuvent mettre des années à être réparées.

Résumé des points clés

1. L’écart de gouvernance de l’IA est désormais un risque pour la sécurité. L’IA agentique transfère la prise de décision vers le logiciel, mais de nombreuses organisations n’ont toujours pas de politiques, de contrôles et de traces d’audit contraignants. Considérez la gouvernance de l’IA comme un contrôle de sécurité, et non comme une simple note de service, afin que les équipes risques, conformité et ingénierie partagent les mêmes garde-fous.
2. Alignez l’IA sur les réglementations mondiales (RGPD, AI Act européen, UK DPA, CCPA). Faites correspondre les cas d’usage de l’IA aux bases légales, à la localisation des données et aux niveaux de risque au Royaume-Uni, dans l’UE et aux États-Unis. Standardisez une bibliothèque de contrôles (DPIA, registres de traitement, conservation, traitements licites) et la collecte de preuves pour rendre les audits reproductibles.
3. Mettez en place des contrôles Zero Trust pour les données de l’IA. Limitez l’accès aux données sensibles selon les rôles et les modèles, appliquez la minimisation des données et le masquage basé sur des règles. Chiffrez les données en transit et au repos, journalisez chaque accès, et activez la DLP pour les prompts, sorties, fichiers, e-mails, formulaires web, API et MFT.
4. Prouvez l’imputabilité grâce à des opérations d’IA auditées. Tenez un registre des modèles, gérez les versions et imposez l’approbation humaine pour les décisions à haut risque. Collectez des preuves de bout en bout (origine des données d’entraînement, historique des prompts, justification des sorties, dérogations) pour satisfaire aux contrôles internes et aux audits externes.
5. Avancez rapidement avec une feuille de route pragmatique pour la gouvernance de l’IA. Commencez par la découverte : recensez les modèles, cartographiez les flux de données, classez les risques et comblez les lacunes évidentes avec des garde-fous politiques. Formalisez ensuite le suivi continu, l’assurance tierce, les procédures d’incident et les KPIs pour que la gouvernance suive le rythme de l’adoption.

État actuel : un vide de gouvernance à l’ère de l’IA autonome

Ce qui distingue l’IA agentique — et la rend plus risquée

La différence fondamentale entre l’IA générative et l’IA agentique n’est pas seulement technique, elle est aussi opérationnelle et existentielle. L’IA générative crée du contenu à partir de modèles appris et de prompts humains. Elle reste un outil, nécessitant une décision humaine à chaque étape. L’IA agentique, elle, exécute des tâches complexes, prend des décisions et s’adapte en temps réel à des situations évolutives, sans intervention humaine.

Cette autonomie bouleverse la gestion des risques. Gartner prévoit qu’en 2028, 15 % des décisions quotidiennes seront prises de façon autonome par des systèmes d’IA agentique. Dans trois ans, une décision de gestion courante sur sept — impactant clients, employés, finances et opérations — se prendra sans supervision humaine directe.

L’ampleur du déploiement accentue ce risque. Marc Benioff, CEO de Salesforce, a déclaré à Yahoo! Finance qu’il s’attend à ce qu’un milliard d’agents IA soient en service d’ici la fin de l’exercice 2026. Cela représente une flotte massive de décideurs autonomes opérant dans tous les secteurs, zones géographiques et cas d’usage.

Comme l’a expliqué Chris Mixter, VP Analyst chez Gartner, lors d’une présentation au Symposium/Xpo IT de la société : « Si je lâche ce truc dans la nature et qu’il dit des choses méchantes, fausses ou stupides, c’est un échec technique et une atteinte à la réputation. » Les dégâts se produisent à la vitesse machine, pouvant impacter des milliers de clients ou d’employés avant même que les opérateurs humains n’identifient le problème, et encore moins n’interviennent.

Paysage de la mise en œuvre

L’étude Collibra révèle que seuls 47 % des organisations forment leurs employés à la gouvernance et à la conformité, et à peine 48 % ont défini des politiques et cadres formels de gouvernance de l’IA. Cela signifie que plus de la moitié des organisations qui déploient des systèmes d’IA autonomes le font sans les structures de gouvernance fondamentales nécessaires pour les gérer en toute sécurité.

Les approches de mise en œuvre sont très variées :

• 58 % s’appuient sur des partenariats avec des tiers
• 44 % recourent à des fusions-acquisitions pour acquérir des fonctions
• 49 % développent des solutions en interne

Chaque approche implique des enjeux de gouvernance différents : gestion des risques fournisseurs pour les partenariats, défis d’intégration pour les acquisitions, vulnérabilités de sécurité pour les systèmes développés sur mesure.

L’étude identifie l’IT et le logiciel comme secteur leader dans le déploiement de l’IA agentique, 75 % des décideurs citant ce domaine comme pionnier des systèmes autonomes. Cela confirme la prévision de Gartner : d’ici 2028, 75 % des ingénieurs logiciels d’entreprise utiliseront des assistants de code IA, contre moins de 10 % début 2023.

Le paradoxe de la gestion des risques : surveiller sans gouverner

Malgré le manque de politiques de gouvernance, les organisations ne négligent pas totalement les risques liés à l’IA. L’étude Collibra indique que 60 % des décideurs technologiques surveillent activement les systèmes d’IA pour détecter les biais, l’équité et la transparence. Plus de la moitié — 52 % — mènent des évaluations et audits réguliers des risques liés à l’IA. Par ailleurs, 83 % se disent confiants quant à la gouvernance et la fiabilité des données non structurées utilisées pour les agents IA.

Mais comme l’a expliqué Felix Van de Maele, CEO de Collibra, à CIO Dive : « Pour surveiller réellement les biais, l’équité, la transparence, il faut mettre en place de vraies politiques et cadres de gouvernance. Sinon, tout reste ad hoc, ce qui peut suffire au début, mais à l’échelle, ça ne fonctionne plus. »

Sans cadre formel de gouvernance, les organisations manquent de critères d’évaluation cohérents, de structures d’imputabilité, de mécanismes d’application et de traçabilité. La surveillance permet d’identifier les écarts, mais sans politiques de gouvernance, il n’existe aucun cadre pour appliquer ou corriger.

Les conséquences financières sont déjà visibles. Selon une enquête de OneTrust, une organisation moyenne prévoit d’augmenter de 24 % ses dépenses de gestion des risques liés à l’IA l’an prochain. Cette hausse traduit moins un investissement proactif dans la gouvernance qu’une gestion de crise réactive, les organisations découvrant des failles et tentant d’y remédier dans l’urgence.

Fondations de la gouvernance des données : le préalable souvent négligé

Le problème des 83 % de confiance

Le fait que 83 % des organisations interrogées par Collibra se disent confiantes dans la gouvernance et la fiabilité des données non structurées utilisées pour les agents IA mérite d’être questionné. Ce niveau élevé de confiance contraste avec les lacunes de gouvernance relevées ailleurs dans l’étude.

La gouvernance des données non structurées est l’un des défis majeurs de la gestion de l’information. Documents, présentations, tableurs, images, vidéos, historiques de chat se dispersent sur les partages de fichiers, systèmes de messagerie, plateformes collaboratives et espaces de stockage cloud. Une grande partie de ces données a une origine incertaine, une qualité douteuse et une classification de sensibilité ambiguë.

Pour l’IA agentique, une gouvernance des données insuffisante multiplie les risques. Lorsque des systèmes autonomes prennent des décisions à partir de données non gouvernées, les organisations perdent la capacité de remonter à la source, de valider la pertinence des données utilisées ou de garantir la conformité aux réglementations sur la protection des données personnelles.

Contrôles et preuves clés pour la gouvernance de l’IA

Exigences critiques pour la gouvernance des données

• Traçabilité de l’origine et de la lignée des données : Les organisations doivent pouvoir répondre à ces questions : Quelles données ont informé cette décision ? D’où proviennent-elles ? Qui y a eu accès ? Ont-elles été validées pour leur qualité et leur exactitude ? Sans traçabilité, impossible d’auditer efficacement les décisions de l’IA.
• Classification des données sensibles et contrôles d’accès : Les modèles de contrôle d’accès traditionnels, conçus pour les utilisateurs humains, ne s’appliquent pas directement à des agents IA susceptibles d’accéder à des milliers d’enregistrements par seconde. Il faut mettre en place des contrôles granulaires qui appliquent le principe du moindre privilège aux systèmes autonomes.
  • Dans la santé, la règle HIPAA du minimum nécessaire impose de limiter l’accès aux informations médicales protégées au strict nécessaire pour l’objectif visé. Les établissements doivent définir quels agents IA peuvent accéder aux PHI, dans quelles circonstances, à quelles fins et avec quelles garanties.
  • Les services financiers sont soumis aux exigences PCI DSS pour les données de paiement et à des obligations réglementaires plus larges pour protéger les informations financières des clients. Un agent IA traitant des transactions par carte ou analysant des données bancaires doit fonctionner dans des limites d’accès strictes.
• Qualité des données comme pilier de la gouvernance IA : Le principe « garbage in, garbage out » s’applique avec force à l’IA agentique. Si les systèmes autonomes prennent des décisions à partir de données de mauvaise qualité, ils ne produisent pas seulement de mauvais résultats : ils prennent de mauvaises actions aux conséquences réelles.
  • La validation en temps réel de la qualité des données devient essentielle, mais difficile à l’échelle de l’IA. Les cadres de gouvernance doivent définir les exigences de fraîcheur des données selon les cas d’usage et mettre en place des mécanismes pour garantir que les agents IA accèdent à des informations à jour.

Cartographie réglementaire pour l’IA agentique (UK/UE/US)

Défis sectoriels spécifiques de la gouvernance

Santé : l’enjeu le plus critique

Le rapport d’Accenture prévoit que les principales applications cliniques de l’IA pourraient générer 150 milliards de dollars d’économies annuelles pour le système de santé américain d’ici 2026. Des recherches du National Institutes of Health montrent que l’IA peut améliorer la qualité des soins tout en économisant temps et argent.

Mais la santé est le secteur où la gouvernance de l’IA agentique revêt les enjeux les plus élevés. Les décisions ont un impact sur la santé et la vie humaine. Les erreurs peuvent être fatales. Les exigences de gouvernance y sont bien supérieures à celles des autres secteurs :

• Conformité HIPAA : Les établissements de santé doivent veiller à ce que les agents IA mettent en œuvre les mesures de sécurité requises, tiennent des journaux d’audit, respectent les directives de consentement des patients et protègent contre toute divulgation non autorisée des PHI.
• Consentement et transparence pour les patients : Les patients ont le droit de comprendre comment leurs données de santé sont utilisées. Lorsque des systèmes d’IA prennent ou influencent des recommandations de traitement, les cadres de gouvernance doivent prévoir comment informer les patients et recueillir leur consentement.
• Documentation des décisions cliniques : Les établissements doivent documenter de façon exhaustive la manière dont les décisions ont été prises, les données utilisées et les référentiels cliniques appliqués.
• Considérations réglementaires FDA : La FDA considère de plus en plus les systèmes d’IA qui posent des diagnostics ou recommandent des traitements comme des dispositifs médicaux nécessitant une autorisation réglementaire.
• Obligations de notification en cas de violation : Si des agents IA sont compromis et que des PHI sont consultées par des personnes non autorisées, les établissements de santé doivent respecter les obligations de notification de violation HIPAA.

Services financiers : naviguer dans la complexité réglementaire

Les agents IA traitant des données financières sensibles posent des défis de gouvernance à l’intersection de plusieurs cadres réglementaires :

• Conformité SOX : Lorsque des agents IA traitent des transactions, prennent des décisions comptables ou génèrent des données financières intégrées aux rapports, ces systèmes relèvent du périmètre SOX.
• Exigences PCI DSS : Les agents IA opérant dans des environnements de paiement doivent respecter des contrôles techniques stricts, des restrictions d’accès et des exigences de surveillance pour les systèmes manipulant des données de carte.
• Exigences de non-discrimination en matière de crédit : Lorsque des agents IA participent à des décisions de crédit, les organisations doivent s’assurer que ces systèmes ne discriminent pas selon des critères protégés, ce qui impose une surveillance continue des résultats.
• Exigences d’explicabilité : Lorsqu’une institution financière refuse un crédit, elle doit fournir une notification expliquant les raisons, ce qui pose des défis techniques pour les modèles d’IA fonctionnant comme des « boîtes noires ».

Transformation du service client

Gartner prévoit que l’IA agentique résoudra de façon autonome 80 % des demandes courantes de service client d’ici 2029, sans intervention humaine. Les premières implémentations, comme l’AI Copilot d’Atera, montrent que les utilisateurs gagnent 11 à 13 heures par semaine et résolvent les tickets 10 fois plus vite.

Mais les exigences de gouvernance pour les agents IA dédiés au service client sont importantes :

• Protection de la confidentialité des données clients : Les organisations doivent mettre en place des contrôles pour que les agents IA n’accèdent qu’aux données strictement nécessaires à chaque interaction.
• Transparence des décisions : Lorsqu’un agent IA refuse une demande ou applique une pénalité, peut-il expliquer sa décision de façon compréhensible pour le client ?
• Protocoles d’escalade : Les politiques de gouvernance doivent préciser quels types de demandes nécessitent une intervention humaine et dans quels délais l’escalade doit intervenir.

Impératifs de gouvernance : ce que les dirigeants doivent mettre en place dès maintenant

Cadres politiques formels

La transition d’une surveillance ad hoc à une gouvernance systématique commence par des cadres politiques formels. Comme l’a souligné Chris Mixter de Gartner, les organisations doivent documenter « pourquoi nous avons décidé de ne pas faire telle chose, au cas où ». Lorsque des arbitrages sont faits entre rapidité et sécurité ou que certains risques IA sont acceptés, ces décisions doivent être documentées avec une justification claire et les validations appropriées.

Des comités de gouvernance transverses constituent une infrastructure organisationnelle essentielle. Une gouvernance efficace implique des représentants de la sécurité, de la conformité, du juridique, de la confidentialité, des métiers, de l’ingénierie et de la direction. Ces comités doivent avoir des mandats clairs, se réunir régulièrement et disposer de voies d’escalade définies.

Agents gardiens et mécanismes de supervision

Gartner prévoit qu’en 2028, 40 % des CIO exigeront des « agents gardiens » capables de suivre, superviser ou contenir de façon autonome les actions des agents IA. Cela traduit une réalité : la seule façon de gouverner une IA opérant à la vitesse machine, c’est d’utiliser des systèmes de gouvernance IA fonctionnant à la même vitesse.

Les agents gardiens assurent la supervision IA des opérations IA. Si les comités humains définissent les politiques, les agents gardiens les appliquent en temps réel : ils surveillent le comportement de l’IA, signalent les anomalies, appliquent les contrôles d’accès et peuvent intervenir pour empêcher des actions préjudiciables.

Formation et transformation culturelle

Le déficit de 47 % en matière de formation à la gouvernance et à la conformité constitue une faille organisationnelle majeure. Développer la culture IA dans l’entreprise ne se limite pas à la formation technique des ingénieurs. Les dirigeants doivent comprendre les capacités et limites de l’IA pour prendre des décisions éclairées. Les juristes et responsables conformité doivent acquérir une culture technique pour élaborer des politiques adaptées.

Les recommandations de Gartner pour anticiper la résistance des collaborateurs rappellent que lorsque 15 % des décisions quotidiennes passent à l’IA agentique, les employés peuvent craindre pour leur poste. La formation à la gouvernance doit présenter l’IA comme un outil d’augmentation, non de remplacement.

S’appuyer sur les pratiques de sécurité existantes

Comme l’a noté Chris Mixter de Gartner, « La plupart des mesures nécessaires pour sécuriser l’IA sont déjà connues. » Les organisations dotées de programmes GRC matures peuvent ajouter des politiques, contrôles et évaluations spécifiques à l’IA à leurs cadres existants, plutôt que de repartir de zéro.

Construire une organisation prête pour la gouvernance : checklist

Les organisations qui veulent sérieusement gouverner les données IA doivent mettre en place des cadres couvrant politique, données, préparation organisationnelle et contrôles techniques :

• Politique et cadre :
  • Documentation formelle de la politique de gouvernance IA
  • Planification des évaluations de risques et audits
  • Protocoles de surveillance des biais, de l’équité et de la transparence
  • Procédures de gestion des incidents liés à l’IA
  • Exigences de gestion des risques tiers pour la gouvernance IA
  • Mécanismes de reporting IA au niveau du conseil d’administration
• Fondations de la gouvernance des données :
  • Traçabilité de l’origine des données dans tous les systèmes IA
  • Classification et découverte des données sensibles
  • Contrôles d’accès granulaires pour les données accessibles aux agents IA
  • Validation de la qualité des données utilisées par l’IA
  • Gouvernance des flux de données à l’international
  • Politiques de conservation et suppression des données traitées par l’IA
• Préparation organisationnelle :
  • Comités transverses de gouvernance IA
  • Programmes de formation des employés pour combler le déficit de 47 %
  • Initiatives de culture IA dans tous les métiers
  • Voies d’escalade et autorités de décision claires
• Contrôles techniques :
  • Conception d’agents gardiens ou de systèmes de supervision
  • Surveillance et intervention en temps réel
  • Traçabilité et mécanismes d’imputabilité
  • Intégration à l’infrastructure de sécurité existante

Le cadre d’arbitrage

Les métiers veulent déployer l’IA rapidement pour gagner en compétitivité. Les équipes sécurité et gouvernance ont besoin de temps pour évaluer les risques et mettre en place des contrôles. Comme le conseille Mixter de Gartner : « Il y aura toujours des arbitrages entre sécurité et rapidité de mise sur le marché, mais votre rôle est de vous assurer que ces arbitrages sont explicites, partagés et documentés, au cas où. »

Les processus d’acceptation des risques liés à l’IA doivent définir les niveaux de gravité nécessitant une validation de la direction, les analyses à fournir pour accepter un risque et la façon dont les risques acceptés sont suivis et contrôlés.

L’avantage concurrentiel de la gouvernance

Les organisations qui font de la gouvernance un avantage concurrentiel, plutôt qu’une contrainte réglementaire, prendront l’avantage. Les entreprises dotées d’une gouvernance solide avancent plus vite, car elles disposent de processus systématiques pour évaluer les risques, de contrôles prédéfinis à déployer et de procédures établies pour surveiller et traiter les incidents.

La confiance client devient un facteur différenciant. Les clients entreprises évaluent de plus en plus la maturité de la gouvernance IA des fournisseurs avant de leur confier des données sensibles ou des processus critiques. Les organisations capables de démontrer des cadres robustes de gouvernance IA remporteront des contrats face à des concurrents incapables d’apporter de telles garanties.

La préparation à la conformité réglementaire réduit les coûts futurs en évitant de coûteuses refontes de systèmes lors de l’entrée en vigueur de nouvelles règles. Une gouvernance proactive réduit aussi le risque de sanctions : les autorités sont plus favorables aux organisations ayant fait preuve de bonne foi en matière de gouvernance.

Paysage émergent de la gouvernance

Statista prévoit que la valeur du marché de l’IA agentique passera de 5,1 milliards de dollars en 2025 à plus de 47 milliards en 2030, soit une multiplication par neuf en cinq ans. Deloitte anticipe que 25 % des entreprises utilisant l’IA générative lanceront des pilotes d’IA agentique en 2025, et 50 % en 2027.

Les 2 milliards de dollars investis dans les startups d’IA agentique ces deux dernières années témoignent de la confiance des investisseurs. Ce capital finance des plateformes spécialisées qui faciliteront le déploiement de l’IA autonome en entreprise, accélérant l’adoption et intensifiant les défis de gouvernance.

La thèse d’investissement reconnaît de plus en plus que les organisations prêtes pour la gouvernance capteront une part disproportionnée de la valeur de l’IA agentique. Si la gouvernance peut sembler ralentir le déploiement initial, elle permet en réalité de monter en charge plus vite en réduisant les risques qui obligent à suspendre ou annuler des initiatives IA.

Conclusion : l’impératif de gouvernance

Le décalage flagrant entre l’adoption de l’IA et la maturité de la gouvernance — 91 % des organisations déployant de l’IA agentique alors que seulement 48 % disposent de cadres formels — résume le défi majeur qui attend les responsables cybersécurité, risques et conformité en 2025.

Le coût de l’inaction s’aggrave chaque jour. La prévision de OneTrust selon laquelle les organisations s’attendent à une hausse de 24 % des dépenses de gestion des risques IA n’est qu’un début. Plus les systèmes autonomes prennent de décisions impactant des personnes, plus les risques liés à un déploiement non gouverné se multiplient.

Comme l’a souligné Stijn Christiaens de Collibra : « Pour avancer collectivement, nous devons adopter une approche réfléchie, placer la confiance au centre et bâtir un cadre de gouvernance solide pour innover et déployer l’IA de façon responsable. »

Les organisations qui déploient l’IA agentique sans cadre de gouvernance devront ralentir lorsque surviendront les crises. Celles qui investissent tôt dans la gouvernance avanceront peut-être plus lentement au départ, mais pourront ensuite déployer l’IA à plus grande échelle et plus rapidement.

L’opportunité de marché de 47,1 milliards de dollars pour l’IA agentique que Statista prévoit d’ici 2030 ne profitera pas à tous de la même façon. Les organisations prêtes pour la gouvernance capteront la plus grande part de cette valeur, tandis que celles en retard feront face à des coûts croissants, des restrictions réglementaires et au scepticisme du marché.

Le moment de bâtir l’infrastructure de gouvernance IA, c’est maintenant — avant que la réglementation ne l’impose, avant que les crises ne l’exigent, tant que les organisations ont encore le choix d’agir de façon proactive. Les responsables cybersécurité et conformité qui porteront cet impératif de gouvernance positionneront leur organisation pour réussir à l’ère de l’IA autonome.