Corporate Risk Radar 2026 : Le fossé de la gouvernance de l’IA devient un problème de sécurité des données

La confiance n’est pas synonyme de contrôle, et la dernière étude mondiale sur les risques d’entreprise montre que l’écart entre les deux se creuse rapidement. Le Corporate Risk Radar 2026 de Clyde & Co a interrogé 700 décideurs de haut niveau, dont des CEOs, CFOs, General Counsel et membres de conseils d’administration, dans dix secteurs et huit régions. Les organisations représentées ne sont pas de petite taille : les répondants déclarent un chiffre d’affaires annuel moyen de 14,7 milliards de dollars. Lorsque des dirigeants à la tête de telles entreprises affirment que les risques technologiques et réglementaires progressent plus vite que la gouvernance ne peut suivre, il faut y prêter une attention particulière.

Le chiffre marquant du rapport concerne le risque technologique, qui est passé de 46 % à 86 % d’évaluations à fort impact en un an, soit la plus forte hausse annuelle de toutes les catégories mesurées par l’enquête. Clyde & Co attribue cette envolée directement à l’adoption de l’IA, qui est passée d’une réflexion pour l’avenir à une réalité opérationnelle intégrée au fonctionnement des organisations. Ce changement a des conséquences qui dépassent largement le service informatique, modifiant la circulation des données dans l’organisation, les personnes qui y accèdent et la part de ces accès désormais confiée à des prestataires externes.

Pour les équipes sécurité et conformité des données, ce rapport ressemble moins à un avertissement sur un risque lointain qu’à une description des problèmes déjà présents sur leur bureau : un écart croissant entre l’ambition de gouvernance de l’IA et la capacité réelle à la mettre en œuvre, une charge de conformité qui se fragmente plus vite que les équipes juridiques ne peuvent la suivre, et une fonction technologique de plus en plus imbriquée avec les tiers. Le partage sécurisé de données proposé par Kiteworks existe précisément pour combler cet écart, et ce rapport offre une vision claire et étayée des raisons pour lesquelles cet écart s’est creusé.

Résumé des points clés

1. Le risque technologique a connu la plus forte hausse jamais enregistrée dans l’enquête. 86 % des dirigeants mondiaux considèrent désormais le risque technologique comme à fort impact, contre 46 % un an plus tôt, soit une progression de 40 points qui dépasse toutes les autres catégories de risque suivies.
2. La confiance dépasse largement la maturité de la gouvernance. 88 % des dirigeants se disent prêts à atténuer le risque technologique, mais seulement 68 % disposent d’un cadre de gouvernance de l’IA mature, et 76 % estiment que la réglementation sur l’IA, la confidentialité des données et la cybersécurité évolue plus vite que leur organisation ne peut l’absorber.
3. L’adoption de l’IA concentre le risque sur la dépendance aux tiers. À mesure que les organisations intègrent l’IA dans leurs opérations, elles deviennent plus dépendantes d’un nombre restreint de fournisseurs technologiques et plus exposées aux points d’intégration entre systèmes, transformant les relations avec les prestataires et les échanges de données en surfaces d’attaque majeures.
4. Les risques réglementaires et réputationnels convergent. 85 % des dirigeants considèrent la charge réglementaire et de conformité comme à fort impact, contre 54 % un an plus tôt, et 82 % déclarent que les obligations de conformité limitent déjà leur capacité à investir et à développer leur activité.
5. Une gouvernance basée sur les règles de l’an passé ne suffira pas cette année. Les organisations qui réduisent l’écart traitent la gouvernance de l’IA comme une infrastructure, et non comme une simple politique, en mettant en place des contrôles applicables sur la circulation des données sensibles, les personnes et systèmes qui y accèdent, et la traçabilité de chaque interaction.

Le risque technologique connaît sa plus forte progression depuis la création de l’enquête

Le risque technologique n’a pas progressé lentement cette année. Il a explosé. Clyde & Co constate que 86 % des répondants considèrent désormais le risque technologique comme à fort impact, contre 46 % en 2025, et le rapport indique qu’il s’agit de la plus forte progression annuelle de toutes les catégories de risque mesurées. Le risque opérationnel suit la même tendance, passant de 61 % à 86 %, et ces deux tendances sont liées : à mesure que l’IA s’intègre au quotidien, les défaillances technologiques et opérationnelles se confondent de plus en plus.

Ce n’est pas un simple problème informatique, et Clyde & Co l’affirme explicitement. L’adoption de l’IA a restructuré la dépendance et la vulnérabilité à l’échelle de l’organisation, la rendant plus tributaire d’un groupe restreint de fournisseurs technologiques, plus exposée aux points d’intégration entre systèmes, et plus vulnérable aux défaillances en cascade qu’engendre l’interconnexion. Les dirigeants interrogés citent désormais la mise en œuvre technologique et l’intégration des systèmes comme le principal facteur de risque opérationnel, selon 72 % des répondants.

Cette combinaison — adoption rapide de l’IA et dépendance accrue aux tiers — a fait passer la gouvernance des données IA d’une simple case à cocher en conformité à un enjeu de direction générale. Un grand modèle de langage, un agent IA ou une chaîne de génération augmentée par la recherche n’est sûr que si les flux de données qui l’alimentent le sont aussi, et la plupart des organisations ont conçu ces flux pour un monde où les humains, et non les systèmes automatisés, décidaient des accès. La classification des données appliquée au contenu traité par ces pipelines — c’est-à-dire l’étiquetage des fichiers et enregistrements selon leur sensibilité avant leur entrée dans un flux IA — est la condition préalable pour que la gouvernance des accès soit pertinente et non approximative.

Là où la confiance et la capacité divergent

L’un des constats les plus révélateurs du Corporate Risk Radar réside dans l’écart entre deux chiffres. 76 % des dirigeants estiment que la réglementation sur l’IA, la confidentialité des données et la cybersécurité, ainsi que les exigences de conformité associées, évoluent rapidement. Mais seuls 68 % disposent d’un cadre de gouvernance de l’IA mature pour gérer ce changement. La moitié des répondants (51 %) considèrent qu’une gouvernance faible de l’adoption des technologies émergentes, y compris les contrôles IA, représente un risque important pour leur organisation dans l’année à venir.

Et pourtant, 88 % des dirigeants se disent prêts à atténuer le risque technologique dans son ensemble. L’analyse de Clyde & Co souligne directement cette tension, notant que ce chiffre « suggère que la confiance dépasse la maturité dans certaines organisations ». C’est une façon polie de décrire un écart de gouvernance que de nombreux dirigeants n’ont pas encore pleinement intégré.

Ce schéma est familier à quiconque a déjà suivi un cycle réglementaire. Jan Spittka, partner chez Clyde & Co, fait le parallèle avec le RGPD dans le rapport : « Ce que nous observons avec la gouvernance de l’IA est exactement ce que nous avons vu avec le RGPD : même si, sur le papier, tout le monde devait être conforme, les organisations ont pris leur temps et évalué leurs investissements, car les régulateurs ont clairement indiqué qu’ils voyaient d’abord leur rôle comme consultatif, et non punitif. » Le risque, cette fois, est que la période de tolérance soit plus courte et que les enjeux, compte tenu du volume de données sensibles traitées par les systèmes IA, soient bien plus élevés. Un audit formel des risques qui cartographie les flux de données IA actuels par rapport aux contrôles de gouvernance en place — et quantifie l’écart entre la politique documentée et le contrôle effectif et traçable — fournit la base factuelle qui transforme ce constat d’écart confiance-maturité en un plan de remédiation priorisé, prêt pour le conseil d’administration.

Tim Crockford, également partner chez Clyde & Co cité dans le rapport, résume le défi opérationnel : « Quand on demande si les organisations disposent d’un cadre de gouvernance de l’IA mature, certaines répondront oui aujourd’hui, mais il sera obsolète demain. C’est pourquoi le cadre de gouvernance qui accompagne l’IA doit évoluer au rythme de la technologie, et les organisations doivent savoir quand et comment elle est utilisée, et disposer de mesures pour prévenir les abus. » Il s’agit là d’une gouvernance continue et appliquée des données, et non d’un document révisé une fois par an.

Pour combler cet écart, il faut une infrastructure capable de répondre en temps réel à trois questions : quel contenu sensible circule, où va-t-il, et si la destination — humaine ou système IA — est autorisée à le recevoir. C’est précisément la fonction de Kiteworks Compliant AI, qui applique les règles là où les données sensibles rencontrent un modèle ou un agent IA, plutôt que de s’en remettre à des audits a posteriori pour détecter les problèmes.

La dépendance aux tiers devient la surface d’attaque par défaut

Un thème récurrent du rapport est que le risque est de plus en plus importé, et non généré en interne. Avec l’accélération de l’adoption de l’IA, les organisations se concentrent autour d’un nombre réduit de fournisseurs technologiques critiques, et chacune de ces relations représente un point de défaillance potentiel. Le General Counsel d’un cabinet international de services professionnels résume bien la situation : « L’IA crée clairement des opportunités de croissance, mais elle élargit aussi la surface d’attaque et les défis de gouvernance. »

Clyde & Co souligne également la relation à double sens entre l’instabilité géopolitique et l’exposition technologique. Lorsque les tensions géopolitiques augmentent, les acteurs étatiques malveillants ciblent davantage les infrastructures de données critiques et exploitent les vulnérabilités des systèmes en pleine mutation, tandis que l’adoption rapide de l’IA crée de nouvelles surfaces d’attaque avant que les contrôles de sécurité ne soient en place. Un Chief Strategy Officer du secteur maritime, cité dans le rapport, l’exprime ainsi : « De nombreuses entreprises maritimes dépendent désormais fortement des données et des systèmes connectés, ce qui signifie que le risque cyber est bien plus important qu’il y a dix ans. » Le rapport note que ce schéma — la capacité numérique créant de la valeur opérationnelle tout en augmentant la vulnérabilité — se répète dans la construction, la finance, les services professionnels, etc.

C’est précisément ce problème que les programmes de gestion des risques tiers visaient à résoudre, mais la plupart d’entre eux reposaient sur des questionnaires fournisseurs et des audits périodiques, pas sur le volume et la rapidité des échanges de données générés par les systèmes IA modernes. Chaque fichier partagé avec un cabinet d’avocats externe, chaque jeu de données envoyé à un service IA cloud, chaque appel API entre systèmes internes et plateforme fournisseur est un événement d’échange de données qui nécessite des contrôles d’accès, du chiffrement et une traçabilité. Sans cette instrumentation, les organisations étendent leur confiance à un réseau croissant de tiers sans moyen fiable de la vérifier. Les programmes de gestion des risques supply chain qui étendent formellement cette instrumentation à chaque canal d’échange de données fournisseur — et pas seulement aux contrats cloud principaux — permettent de combler la faille de surface d’attaque tiers que le rapport identifie comme la nouvelle catégorie dominante de risque opérationnel.

Une approche Zero Trust, où chaque demande d’accès est vérifiée quelle que soit son origine, permet aux organisations d’étendre la gouvernance aux interactions avec les tiers et l’IA sans ralentir l’activité. Ce principe s’applique aussi directement aux déploiements Zero Trust pour l’IA générative, où le modèle lui-même, et tout agent agissant sur ses résultats, doivent être soumis au même niveau de vérification qu’un utilisateur humain accédant à des contenus sensibles.

La fragmentation réglementaire dépasse les capacités des équipes juridiques

Si le risque technologique a connu la plus forte hausse, la charge réglementaire et de conformité suit de près, et elle est sans doute plus difficile à gérer, car il ne s’agit pas d’un problème unique, mais de dizaines de problématiques qui se chevauchent. Le rapport indique que 85 % des dirigeants considèrent la charge réglementaire et de conformité comme à fort impact, contre 54 % en 2025. De nouvelles exigences — IA, confidentialité des données, reporting ESG, règles sectorielles — apparaissent rapidement et de manière disparate selon les juridictions. La complexité réglementaire internationale représente déjà un risque important pour 51 % des organisations, et la charge de conformité ESG, données et confidentialité est importante pour 64 %.

Les conséquences sont bien concrètes. 82 % des dirigeants affirment que l’augmentation des obligations réglementaires et de conformité influence de manière significative la capacité de leur organisation à investir et à se développer. Rebecca Kelly, partner chez Clyde & Co, décrit la difficulté pour ses clients dans le rapport : « La conformité pilotée par les processus est gérable, il suffit de mettre en place le cadre et de le suivre. La difficulté pour les clients, c’est de se préparer au risque géopolitique, qui surgit sans prévenir et affecte des pans de l’activité inattendus. » Jared Kangwana, également partner chez Clyde & Co, pointe directement la dimension transfrontalière : « Une réglementation européenne peut avoir un impact, disons, au Kenya. Les organisations doivent tenir compte de la portée extraterritoriale et de l’applicabilité des réglementations étrangères sur un marché totalement différent. »

C’est dans ce contexte que les exigences de souveraineté et de résidence des données cessent d’être un problème juridique pour devenir une exigence d’infrastructure. Lorsqu’un seul contenu — contrat, dossier patient, dépôt réglementaire — peut être soumis au RGPD dans une juridiction, à des règles sectorielles ailleurs, et à des contrôles à l’export dans une troisième, la plateforme qui gère ce contenu doit appliquer ces règles automatiquement, sans compter sur la mémoire des employés pour savoir quelle politique s’applique où. Les obligations de conformité RGPD et les exigences américaines au niveau des États imposent déjà ce type d’automatisation, et le rapport suggère que la liste des régimes qui se superposent ne cesse de s’allonger. Les politiques de minimisation des données appliquées au niveau de la plateforme — ne conserver que les données strictement requises par chaque juridiction, supprimer le reste — réduisent la surface réglementaire à surveiller et à défendre à travers plusieurs cadres de conformité simultanés.

Le risque réglementaire présente aussi un problème de visibilité au niveau de la direction, que le rapport souligne explicitement. Bien qu’il figure parmi les risques les plus élevés, la charge réglementaire n’est citée que par 14 % des membres du comité de direction comme nécessitant l’attention la plus forte de la part des dirigeants, derrière les défis opérationnels, le risque technologique et le risque économique. Roshanak Bassiri Gharb, partner chez Clyde & Co, avance une explication probable : « Le risque réglementaire et de conformité a tendance à être relégué plus bas dans l’agenda exécutif, les dirigeants estimant souvent qu’il relève davantage des équipes techniques. » Cette délégation comporte ses propres risques. Lorsque la gestion réglementaire est trop éloignée de la direction, le rapport prévient que la responsabilité devient réactive plutôt que proactive, et que le délai de réaction en cas de violation de données est plus court que ce que la plupart des organisations imaginent.

Le risque réputationnel découle désormais directement des défaillances de données

Les défaillances opérationnelles et technologiques se transforment rapidement en atteinte à la réputation, et le rapport établit un lien direct entre ces deux aspects, qui passe par la gestion des données. 78 % des dirigeants considèrent désormais le risque réputationnel comme à fort impact, contre 47 % en 2025, principalement en raison des défaillances de service et de qualité qui nuisent à la confiance (69 %), de la pression des investisseurs (60 %) et des défaillances de gouvernance et de conduite (57 %). Un General Counsel du secteur financier, cité dans le rapport, relie explicitement ces points : « Un incident cyber ou une fuite de données pourrait facilement interrompre nos services clients, générer des problèmes réglementaires et nuire à la confiance de nos clients. Notre qualité de service et notre reporting dépendent de la fiabilité de nos systèmes et de nos prestataires externes. »

Cette phrase résume pourquoi la sécurité des données, la conformité réglementaire et la réputation ne peuvent plus être gérées comme des chantiers distincts. Une violation impliquant des informations personnelles identifiables (PII) ou informations médicales protégées (PHI) ne se limite pas à un rapport d’incident de sécurité. Elle déclenche des obligations de divulgation, attire l’attention des régulateurs et, si elle devient publique, ébranle la confiance des clients, investisseurs et régulateurs dont l’organisation a le plus besoin en période de risque accru. Rebecca Kelly rappelle dans le rapport que « la plupart des violations réglementaires graves découlent d’un défaut de divulgation » et que « les entreprises disposent de délais très courts pour divulguer et agir dans l’intérêt de la société », avec des conséquences réputationnelles « immédiates et publiques ». Un plan de réponse aux incidents documenté, qui attribue à l’avance l’évaluation du périmètre des données, la notification réglementaire et la communication publique — et qui est testé sur des scénarios réels avant qu’un incident n’impose l’improvisation — constitue le mécanisme organisationnel qui transforme les alertes du rapport sur les délais de divulgation en une réponse concrète et maîtrisée.

Pour éviter cette cascade, il faut agir en amont, avec des contrôles qui réduisent la probabilité de la défaillance initiale. Les politiques DLP, le chiffrement de bout en bout et les contrôles granulaires RBAC limitent le risque que des contenus sensibles se retrouvent là où ils ne devraient pas. Mais lorsqu’un incident se produit, les journaux d’audit générés par une plateforme de transfert sécurisé de fichiers gouvernée déterminent souvent si l’organisation peut respecter les délais de notification — comme la fenêtre de 72 heures imposée par le RGPD — ou si elle doit passer ce temps à reconstituer les faits. L’alimentation de ces journaux d’audit en temps réel dans une plateforme SIEM offre aux équipes sécurité une couche de détection comportementale qui fait remonter les mouvements de données anormaux — l’alerte précoce qui réduit le délai entre la survenue d’une violation et la découverte qui déclenche le compte à rebours de la notification.

Ce que font différemment les organisations résilientes

La conclusion la plus utile du Corporate Risk Radar est peut-être la plus claire : les organisations qui traitent la gouvernance de l’IA, la conformité réglementaire et la sécurité des données comme une seule et même discipline surpassent celles qui les gèrent encore en silos. Près de six dirigeants sur dix citent la complexité des risques émergents comme le principal obstacle à leur gestion efficace, soit plus du double de la réponse suivante la plus fréquente. Cette complexité ne se résoudra pas avec de meilleurs tableaux Excel ou plus de réunions de comité.

La voie à suivre décrite dans le rapport correspond à ce que Kiteworks observe chaque jour dans les secteurs réglementés : une prise en charge du risque IA au niveau de la direction, avec des contrôles clairs, des cadres d’escalade et des structures de responsabilité, plutôt que de déléguer entièrement le problème aux équipes techniques ou juridiques. Concrètement, cela signifie mettre en place des règles d’utilisation claires, une responsabilité exécutive définie, des journaux d’audit pour les décisions importantes et une supervision adéquate des fournisseurs IA tiers, soit exactement les éléments nécessaires pour combler le déficit de gouvernance IA. Le Shadow AI — c’est-à-dire les collaborateurs et dirigeants utilisant des outils IA non gouvernés en dehors du périmètre autorisé — est précisément la faille que ces mesures permettent de combler : les règles d’utilisation définissent la frontière, les journaux d’audit prouvent ce qui l’a franchie, et la supervision des fournisseurs IA tiers révèle les outils qui n’étaient pas inclus dans le périmètre initial.

Un Kiteworks Control Plane offre aux organisations un point unique d’application et de visibilité sur tous les canaux où circulent des contenus sensibles — messagerie électronique, partage et transfert de fichiers, formulaires web et connexions aux systèmes IA — afin que les mêmes règles d’accès, de chiffrement et de traçabilité s’appliquent partout, et non différemment selon l’outil ou l’équipe. Le tableau de bord RSSI centralise tout cela en temps réel, offrant aux équipes sécurité et à la direction la visibilité unifiée qui fait défaut à la plupart des organisations confrontées au déficit de gouvernance IA aujourd’hui. Plutôt que de bâtir une couche de gouvernance distincte pour chaque nouveau cas d’usage IA, les équipes sécurité et conformité peuvent étendre un seul jeu de contrôles à l’ensemble, comblant ainsi l’écart entre le rythme réglementaire et la maturité de la gouvernance que le Corporate Risk Radar de cette année identifie comme le risque central de 2026.

Pour en savoir plus sur la manière de combler le déficit de gouvernance IA identifié dans le Corporate Risk Radar 2026 de Clyde & Co, réservez votre démo personnalisée dès aujourd’hui.

Ressources complémentaires

• Article de blog
  Stratégies Zero Trust pour une protection abordable de la confidentialité IA
• Article de blog
  77 % des organisations échouent à sécuriser les données IA
• eBook
  Déficit de gouvernance IA : pourquoi 91 % des petites entreprises jouent à la roulette russe avec la sécurité des données en 2025
• Article de blog
  Il n’existe pas de « –dangerously-skip-permissions » pour vos données
• Article de blog
  Les régulateurs ne se contentent plus de demander si vous avez une politique IA. Ils veulent des preuves de son efficacité.