Ce que révèle une nouvelle étude Carnegie Mellon-Larridin sur l’adoption de l’IA et la croissance du chiffre d’affaires

Chaque entreprise affirme désormais avoir une stratégie IA. Mais rares sont celles capables de prouver que cela a eu un impact sur leur activité. Un nouveau document de travail du programme AI Capstone de la Carnegie Mellon University, réalisé en collaboration avec la société d’analyses Larridin spécialisée dans l’adoption de l’IA, a testé ce décalage de façon empirique auprès de plus de 500 grandes entreprises américaines cotées. Les résultats sont plus précis, et plus utiles pour les responsables sécurité et conformité, que la plupart des études sur l’adoption de l’IA.

Ce document, « Do AI Adoption Signals Predict Company Performance? Evidence from a 500-Company Cross-Section of Scores, Filings, and Hiring Data » (Li, Tao, Xu et Hong, version de travail de juillet 2026), a testé si les signaux d’adoption de l’IA, l’intensité des investissements, l’activité de recrutement, les scores attribués par les fournisseurs et le langage utilisé dans les rapports publics permettaient réellement de prédire la croissance du chiffre d’affaires, l’amélioration des marges ou la performance boursière. Les chercheurs ont mis en place une chaîne de mesure fondée sur la preuve, analysé des centaines de rapports 10-K et des dizaines de milliers d’offres d’emploi, et confronté ces données à des résultats financiers réels plutôt qu’à des enquêtes d’opinion.

Le principal enseignement ne va pas plaire aux éditeurs de solutions de mesure de maturité IA : les dépenses, les recrutements et les scores génériques d’adoption de l’IA s’effacent dès lors qu’on prend en compte la taille de l’entreprise. Le seul signal qui résiste à tous les contrôles statistiques appliqués par les chercheurs est la concrétude du discours : la capacité d’une entreprise à citer des systèmes IA déployés, nommément, avec des résultats chiffrés, plutôt que de se contenter d’un langage aspirant à l’IA. Cette conclusion a des implications directes pour la façon dont les organisations qui mettent en place des programmes de gouvernance et de conformité IA, Kiteworks compris, doivent penser la mesure et la démonstration de la valeur de l’IA.

Ce point va bien au-delà du marketing. Si le marché commence à distinguer les déploiements IA réels du simple discours, et si le signal gagnant est la preuve d’un système spécifique, gouverné et opérationnel, alors les organisations les mieux placées pour en profiter sont celles capables de produire cette preuve : qui a accédé à quelles données, avec quelle autorisation, et pour quel résultat. Il s’agit d’un enjeu de gouvernance des données et de traçabilité avant même d’être un enjeu IA.

Résumé des points clés

1. La spécificité l’emporte sur la dépense.

Parmi plus de 500 grandes entreprises américaines cotées, le signal d’adoption de l’IA le plus fortement corrélé à la croissance du chiffre d’affaires était la concrétude du discours : des cas d’usage nommés, déployés, avec des résultats mesurables, et non le montant total investi dans l’IA, le nombre de fournisseurs ou d’employés.

2. L’effet de concrétude est important et durable.

Passer du niveau le plus faible au niveau le plus élevé de concrétude dans les déclarations IA était associé à environ 8 points de pourcentage de croissance supplémentaire du chiffre d’affaires d’une année sur l’autre, un résultat qui reste valable après prise en compte du secteur, de la taille de l’entreprise et de la dynamique de croissance antérieure.

3. L’IA est aujourd’hui un levier de croissance, pas de marge.

L’étude n’a trouvé aucun lien significatif entre les signaux d’adoption de l’IA et l’amélioration de la marge opérationnelle, ni aucune preuve que les signaux publics d’IA prédisaient la performance boursière sur les quatre mois suivants.

4. Le discours générique sur les risques IA est devenu la norme minimale.

Environ 75 % des entreprises étudiées se retrouvent avec le même score de déclaration sur les risques IA, ce qui signifie que le langage standardisé sur les risques IA ne permet plus de distinguer les programmes matures des autres.

5. La rigueur de la mesure compte autant que le résultat.

Les chercheurs ont exigé que chaque score d’adoption de l’IA s’appuie sur des preuves vérifiables, et non sur la seule inférence du modèle, un principe fondé sur la preuve qui devrait également guider la façon dont les entreprises mesurent leurs propres programmes IA et prouvent leur conformité auprès des régulateurs ou des auditeurs.

Dans l’étude : plus de 500 entreprises, trois sources de données, une question

L’équipe de recherche, composée de Yixiao Li, Siru Tao, Xin Xu et Hanzhe Hong à Carnegie Mellon, en partenariat avec Larridin, a constitué son panel à partir de la base de couverture AI Transformation Tracker de Larridin, combinée au S&P 500, pour aboutir à 564 entreprises couvrant les douze secteurs. Pour éviter que quelques géants des semi-conducteurs IA ne biaisent les résultats, l’analyse principale exclut les cinq plus grandes entreprises du secteur (Nvidia, Broadcom, AMD, Micron et Intel) ; le document précise que chaque conclusion reste valable sur l’ensemble de l’échantillon.

Trois sources de données indépendantes alimentent l’analyse. L’AI Transformation Tracker de Larridin attribue à chaque entreprise des scores de 1 à 5, fondés sur des preuves, couvrant l’adoption, la compétence des effectifs et l’impact réalisé, ainsi qu’un indice global de maturité, pour 562 entreprises. Un pipeline d’extraction basé sur un grand modèle de langage a évalué séparément les derniers rapports 10-K de 478 entreprises selon trois axes : intensité des investissements IA, concrétude du discours et profondeur de la déclaration de risques, avec pour règle que chaque score non nul devait citer un extrait exact du rapport à l’appui. Une troisième équipe a classé 30 861 offres d’emploi individuelles dans 536 entreprises selon les rôles IA (constructeur, utilisateur, leader) ou non IA, afin de mesurer l’intensité du recrutement IA.

Face à ces trois familles de signaux, les chercheurs ont testé trois questions : les signaux d’adoption de l’IA prédisent-ils la croissance du chiffre d’affaires, l’évolution de la marge et la productivité ? Permettent-ils d’anticiper la performance boursière ajustée du marché sur les quatre mois suivants ? Et à quel niveau de la chaîne de valeur IA les effets se concentrent-ils ? Chaque régression a été contrôlée pour le secteur, la taille de l’entreprise et la dynamique de croissance préexistante, afin d’éviter le biais évident selon lequel les entreprises en forte croissance adoptent l’IA plus vite et continuent à croître, indépendamment de l’IA.

Le signal qui résiste : la concrétude du discours

C’est ici que l’étude prend tout son sens pour ceux qui construisent un programme de gouvernance IA. Tous les signaux basés sur les scores ou les déclarations étaient associés à la croissance du chiffre d’affaires dans une comparaison simple et sans condition. Mais à mesure que les chercheurs ajoutaient des contrôles statistiques (secteur, taille, dynamique de croissance), la plupart de ces signaux perdaient leur pertinence statistique. Les scores composites d’adoption de l’IA, qui agrègent plusieurs composantes naturellement corrélées à la taille de l’entreprise, s’atténuaient dès que la taille entrait dans le modèle. L’intensité des investissements IA restait positive mais perdait sa signification une fois la taille prise en compte (p = 0,14). Le taux de recrutement de constructeurs IA n’affichait aucune corrélation significative avec les résultats, et les auteurs précisent que les données de recrutement ont été collectées après le trimestre de référence, ce qui empêche de les considérer comme un véritable test prédictif.

La concrétude du discours fait exception. Son coefficient, dans le modèle complet, est de 0,080 (p = 0,009) après tous les contrôles, et il passe la correction du taux de fausse découverte de Benjamini-Hochberg dans la famille d’hypothèses principale de l’étude, une précaution statistique standard contre les faux positifs lors de tests multiples. Concrètement, faire passer une entreprise du bas vers le haut de la distribution de concrétude correspond à une différence de 8 points de pourcentage de croissance du chiffre d’affaires d’une année sur l’autre, à secteur, taille et dynamique constants.

L’interprétation des chercheurs mérite d’être citée : « la spécificité est le signal. » Ce qui distingue les entreprises à forte croissance, à secteur et taille équivalents, c’est la substance vérifiable dans leurs déclarations réglementaires, des systèmes nommés en production, des résultats chiffrés, et non une simple exposition aux mots-clés IA. Le langage sur les risques, désormais standardisé, ne discrimine plus rien. Chaque pas vers une spécificité ancrée dans la preuve apporte de l’information.

Ce qui ne prédit pas la performance : dépenses, effectifs et recrutement

Il faut aussi s’arrêter sur ce que l’étude n’a pas trouvé, car ces résultats négatifs sont aussi stratégiques que le signal positif. L’intensité des investissements IA, c’est-à-dire combien une entreprise dit investir dans l’IA, était corrélée à la croissance brute mais disparaissait dès que la taille de l’entreprise était prise en compte. Les grandes entreprises investissent simplement plus dans tout, y compris l’IA, donc le volume d’investissement ne distingue pas les véritables performeurs IA des entreprises qui dépensent beaucoup parce qu’elles sont grosses.

L’indicateur d’intensité du recrutement IA, construit à partir d’une classification validée de plus de 30 000 offres d’emploi, n’a montré aucune relation significative avec les résultats testés (coefficient 0,026 en analyse univariée, et négatif après contrôles complets). Les auteurs reconnaissent une limite méthodologique : les données de recrutement ne peuvent être collectées qu’en temps réel et non rétroactivement, leurs instantanés de recrutement ont donc été recueillis après le trimestre financier de référence. Le résultat doit donc être lu comme descriptif, et non prédictif.

Pour les organisations qui évaluent leurs propres programmes IA, et pour les fournisseurs qui vendent des tableaux de bord de maturité IA basés sur les dépenses, le nombre de fournisseurs ou d’employés, c’est un rappel utile. Ces mesures décrivent une activité, mais, selon ces données, elles ne décrivent pas la valeur business.

L’IA, aujourd’hui, est synonyme de croissance plus que de marge

Le deuxième grand enseignement de l’étude concerne l’endroit où l’effet économique de l’IA se manifeste, et là où il ne se manifeste pas. Aucun des signaux testés, qu’ils soient composites ou issus des déclarations, n’a permis de prédire la performance boursière à quatre mois après correction pour tests multiples. Les auteurs l’expliquent par la logique classique de l’efficience des marchés : chaque signal de l’étude est construit à partir d’informations publiques, les marchés semblent donc déjà intégrer tout ce qui est publiquement connu sur la posture IA d’une entreprise. Le score composite IA affiche même une tendance légèrement négative sur la période, cohérente avec une correction partielle des valorisations boursières liées à l’IA qui avaient flambé début 2026.

Les effets sur la marge sont également absents : aucun signal n’a montré d’association significative avec l’évolution de la marge opérationnelle. En croisant avec les résultats sur la croissance, l’étude conclut que l’adoption de l’IA agit actuellement par le haut du compte de résultat (croissance du chiffre d’affaires) plutôt que par une réduction rapide des coûts. Cela rejoint ce que les responsables sécurité et conformité entendent en interne : les initiatives IA sont justifiées par de nouvelles fonctions, des cycles produits plus rapides, une meilleure expérience client, et non (pas encore) par la réduction des effectifs.

Un résultat de marché mérite d’être souligné : la classification de la chaîne de valeur IA de l’étude montre que les fournisseurs d’infrastructures et de matériel IA ont surperformé leurs pairs du même secteur et de même taille d’environ 32 points de pourcentage sur le premier semestre 2026, une décomposition frappante du rallye boursier lié à l’IA sur cette période, et un rappel que le « trade IA » et la question « l’adoption de l’IA prédit-elle les fondamentaux » sont deux phénomènes différents qui se sont produits en parallèle.

Où le signal compte le plus : entreprises à forte composante physique et adopteurs tardifs

La décomposition de la chaîne de valeur IA de l’étude divise le S&P 500 en quatre catégories : infrastructures et matériel IA (36 entreprises), logiciels et plateformes IA (41), adopteurs riches en données (138), et entreprises à forte composante physique ou adopteurs tardifs (285), de loin le plus grand groupe. La relation entre la concrétude du discours et la croissance du chiffre d’affaires était statistiquement significative précisément dans ce groupe à forte composante physique et adopteurs tardifs (n = 214, p = 0,025).

À première vue, cela pourrait sembler anecdotique. Ce n’est pas le cas. Les auteurs expliquent, et c’est le lien direct avec la sécurité et la gouvernance, que c’est justement dans ce segment qu’il est le plus difficile de distinguer le déploiement réel de l’IA du simple discours. Les allégations IA d’une société de logiciels sont relativement faciles à vérifier sur son produit. Celles d’un industriel, d’un distributeur ou d’un fabricant le sont beaucoup moins. C’est là que la déclaration concrète, appuyée par des preuves, a fait la différence pour séparer les vrais adopteurs des entreprises qui utilisent l’IA comme argument de communication. Pour la grande majorité du marché, qui se situe dans cette catégorie (hors fournisseurs d’infrastructure ou éditeurs natifs IA), la capacité à démontrer un déploiement IA gouverné et vérifiable peut être l’atout différenciant numéro un.

Conséquence pour la gouvernance : la mesure fondée sur la preuve comme discipline opérationnelle

Le choix méthodologique qui sous-tend toute l’étude est aussi la leçon la plus transférable pour les programmes de gouvernance IA en entreprise. Les chercheurs ont conçu ce qu’ils appellent un protocole d’extraction LLM fondé sur la preuve : chaque score IA non nul devait citer un extrait exact du rapport source, et les dimensions sans preuve étaient renvoyées comme nulles plutôt que devinées. Lors d’un audit interne, 87 à 90 % des citations de preuves du modèle correspondaient exactement au texte source.

Il faut le redire simplement : les chercheurs ont refusé qu’un modèle attribue un score de maturité IA à une entreprise sur la seule base d’inférences. Chaque affirmation devait être reliée à une preuve précise et vérifiable. Et le signal le plus ancré dans ce principe, la concrétude du discours, est aussi le seul à avoir résisté à tous les tests statistiques de l’étude.

C’est cette même discipline qui doit guider la façon dont une entreprise mesure et prouve son propre programme IA, et c’est là que les conclusions de l’étude cessent d’être une curiosité académique pour devenir un véritable mode d’emploi. Un programme interne de gouvernance des données IA fondé sur cette logique de la preuve pourrait répondre, pour chaque cas d’usage IA : quel processus métier est réellement transformé par l’IA, qui l’utilise, quelles données sont concernées, quel résultat business précis est obtenu, ce résultat est-il mesurable, et l’organisation peut-elle produire une preuve, et non une simple affirmation, que le système est déployé et gouverné. Un programme IA capable de répondre à ces questions avec des preuves vérifiables ressemble, selon la logique même de l’étude, bien plus aux entreprises associées à une vraie croissance du chiffre d’affaires qu’à celles qui se contentent d’annonces ou de pilotes IA.

Ce que cela implique pour la sécurité des données, la conformité, la souveraineté et la gouvernance des données IA

Le rapport CMU-Larridin prend soin de préciser ce qu’il ne démontre pas : il ne teste pas directement si une sécurité des données renforcée, la conformité réglementaire, la souveraineté des données ou la gouvernance IA entraînent de meilleures performances financières. C’est une réserve honnête et importante, et toute conclusion reliant la maturité de la gouvernance à la croissance du chiffre d’affaires doit être lue comme une inférence stratégique, et non comme une causalité établie par les chercheurs.

Cette réserve posée, l’inférence reste utile pour les RSSI et responsables conformité qui évaluent où investir dans la gouvernance IA. Dès que l’IA passe du pilote à la production, elle touche des données réelles, des collaborateurs, des clients, des processus. La question de sécurité devient alors beaucoup plus précise : quel système ou agent IA peut accéder à quelles données, dans quel but, selon quelle règle, et que peut-il faire des données récupérées. C’est d’abord une question de gouvernance des données et de contrôle d’accès, et cela rejoint directement la conclusion de l’étude selon laquelle la spécificité vérifiable au niveau du déploiement est ce qui distingue réellement les programmes matures des autres.

La conséquence pour la conformité découle de la même logique. L’étude a montré que la profondeur du discours sur les risques IA, c’est-à-dire la simple présence d’un langage sur les risques IA dans les rapports, n’a quasiment aucun pouvoir discriminant, car environ 75 % de l’échantillon obtient le même score. Le discours standardisé sur les risques IA est devenu tellement courant qu’il n’apporte plus d’information. C’est un signal à prendre au sérieux pour les équipes conformité : une déclaration de politique IA, un comité de gouvernance ou un langage générique sur les risques dans un rapport deviennent rapidement la norme minimale, et non la preuve d’une maturité. Ce qui doit les remplacer, ce sont des preuves de contrôle : la règle précise appliquée à un workflow IA, les systèmes et données concernés, l’identité à l’origine de chaque action, la décision d’application, et la traçabilité qui permet de reconstituer l’opération a posteriori. Pour toute organisation qui vend ou développe des technologies de conformité, la proposition de valeur que pointe cette étude est « nous pouvons prouver que le contrôle a bien été appliqué », et non « nous sommes conformes à la réglementation ».

Sur la souveraineté, le rapport précise explicitement qu’il ne contient aucun test empirique sur la résidence, la localisation ou le contrôle juridictionnel des données comme prédicteurs de performance. Toute conclusion sur la souveraineté est donc une inférence, et non un résultat. Mais cette inférence va dans le même sens que le reste de l’étude : à mesure que le déploiement IA devient plus concret et opérationnel, ce qui est précisément la tendance documentée, les organisations doivent savoir non seulement quelles données un système IA utilise, mais aussi où ces données se trouvent, où elles sont traitées, quel fournisseur peut y accéder, et si l’organisation peut techniquement faire respecter la règle. Pour les organisations réglementées, multinationales, de santé, de défense ou de services financiers, la conformité à la souveraineté des données devient plus opérationnelle à mesure que l’IA passe de l’expérimentation à la production, ce n’est pas une piste parallèle à l’adoption de l’IA.

Construire une traçabilité des preuves acceptée par les régulateurs et les auditeurs

En réunissant les trois enseignements du rapport — la spécificité l’emporte sur la dépense, le discours générique sur les risques est devenu la norme minimale, et l’effet de concrétude est maximal là où il est le plus difficile de vérifier les allégations IA — on obtient un modèle opérationnel assez direct pour les équipes de gouvernance IA. La maturité de la gouvernance doit se mesurer par les comportements réels, et non par des artefacts de gouvernance. Un comité IA, une politique d’usage acceptable, un inventaire sur tableur et une formation annuelle sont peut-être nécessaires. Mais aucun d’eux, pris isolément, ne prouve que le comportement IA est effectivement contrôlé.

Un modèle fondé sur la philosophie de la preuve de l’étude suivrait, pour chaque action initiée par une IA ou un agent : l’identité à l’origine de l’action, les données précises consultées ou modifiées, l’objectif métier, la règle ou l’approbation qui a autorisé l’action, l’action effectivement réalisée, la destination ou le stockage de la donnée, la juridiction de traitement, et la capacité de l’organisation à reconstituer l’ensemble de la chaîne à la demande. Ce n’est pas une liste de vœux théorique, c’est le niveau de preuve qu’un régulateur, un évaluateur ou un avocat adverse attend déjà lorsqu’il demande à une organisation de prouver qu’un accès à une donnée a été autorisé, chiffré et tracé.

C’est là le lien entre l’étude CMU-Larridin et l’approche de Kiteworks pour la conformité IA et la gouvernance GenAI zéro trust : appliquer le contrôle d’accès basé sur les attributs et les décisions de politique au point où un système IA ou une personne accède à des données sensibles, et générer une traçabilité unifiée capable de répondre exactement aux questions posées par le protocole fondé sur la preuve de l’étude. Un Data Policy Engine qui applique ces règles avant que les données n’atteignent un système ou un workflow IA, associé à un CISO Dashboard qui remonte les actions réellement réalisées, transforme la gouvernance de la documentation en preuves vérifiables, au niveau de la production, que l’étude relie à la performance économique. Lorsque les activités des constructeurs et utilisateurs IA passent par un point d’intégration tel qu’un Serveur MCP sécurisé, cette traçabilité s’étend aussi aux actions initiées par des agents, ce qui est essentiel car le cadre de gouvernance de l’étude exige explicitement de suivre « l’action humaine/agent » comme une seule catégorie responsable, et non deux séparées.

Rien de tout cela ne remet en cause les résultats des chercheurs. Cela signifie simplement que l’infrastructure de conformité et de gouvernance des données n’est pas une taxe sur l’adoption de l’IA, mais bien ce qui rend possible, de façon pérenne, le type de déploiement vérifiable et opérationnel que l’étude valorise, une fois que les régulateurs, clients et auditeurs exigent des preuves plutôt que des annonces.

S’il ne fallait retenir qu’une action, ce ne serait pas « rédiger une meilleure politique IA » ou « viser un score plus élevé sur un indice de maturité ». Les équipes sécurité et conformité doivent se concentrer sur la couche données : qui ou quoi y a accédé, avec quelle autorisation, et la capacité à le prouver a posteriori. Tout le reste dans les conclusions de l’étude, et dans cette analyse, découle de ce point central.

Pour en savoir plus sur la construction d’une gouvernance IA fondée sur la preuve, réservez votre démo personnalisée dès maintenant.

Ressources complémentaires

• Article de blog
  Stratégies Zero Trust pour une protection abordable de la vie privée avec l’IA
• Article de blog
  Comment 77 % des organisations échouent à sécuriser les données IA
• eBook
  Le fossé de la gouvernance IA : pourquoi 91 % des petites entreprises jouent à la roulette russe avec la sécurité des données en 2025
• Article de blog
  Il n’existe pas de « –dangerously-skip-permissions » pour vos données
• Article de blog
  Les régulateurs ne se contentent plus de demander si vous avez une politique IA. Ils veulent la preuve de son efficacité.