Le fossé de sécurité de l’IA en 2025 : pourquoi 83 % des organisations avancent à l’aveugle

Imaginez la scène suivante : Une entreprise de services financiers du Fortune 500 découvre qu’au cours des six derniers mois, son service client a copié-collé des données sensibles de clients—numéros de sécurité sociale, soldes de comptes, historiques de transactions—dans ChatGPT pour générer des modèles de réponse. L’outil d’IA a traité des millions d’enregistrements, sans possibilité de les supprimer ni de savoir où ils ont été envoyés. Les seules amendes réglementaires pourraient atteindre 50 millions de dollars, sans compter les recours collectifs et la perte irréversible de confiance des clients.

Ce scénario n’a rien d’hypothétique—il se produit actuellement dans tous les secteurs. Une enquête inédite menée auprès de 461 professionnels de la cybersécurité, de l’IT, de la gestion des risques et de la conformité révèle que 83 % des organisations n’ont pas mis en place de contrôles automatisés pour empêcher l’entrée de données sensibles dans des outils d’IA publics. Plus inquiétant encore, 86 % n’ont aucune visibilité sur les flux de données traitées par l’IA, opérant ainsi à l’aveugle pendant que les employés partagent librement des informations propriétaires avec des systèmes d’IA.

Les enjeux n’ont jamais été aussi élevés. Avec 59 nouvelles réglementations liées à l’IA publiées par les autorités en 2024—plus du double de l’année précédente—les organisations font face à une tempête parfaite : vulnérabilités de sécurité, échecs de conformité et risques concurrentiels. Chaque jour sans contrôle de sécurité adapté à l’IA accroît l’exposition aux violations de données, aux sanctions réglementaires pouvant aller de centaines de milliers à plusieurs millions de dollars, et à la perte d’avantages concurrentiels, les secrets commerciaux se retrouvant dans les données d’entraînement publiques de l’IA.

Cette analyse détaille l’étude 2025 sur la sécurité des données et les risques de conformité liés à l’IA, et explique pourquoi même les secteurs les plus réglementés échouent à sécuriser l’IA—et ce que votre organisation doit faire pour ne pas devenir le prochain exemple à éviter.

Le problème des 83 % : comprendre le fossé des contrôles

Le constat le plus frappant de l’étude reste l’ampleur du fossé en matière de contrôle. Seules 17 % des organisations ont mis en place des contrôles automatisés avec une analyse DLP (DLP)—le strict minimum pour la sécurité des données face à l’IA. Autrement dit, 83 % des entreprises laissent la porte grande ouverte à leurs employés pour saisir des données sensibles dans des outils d’IA publics, sans aucune barrière technique.

Décryptage de la pyramide de sécurité

La pyramide de maturité des contrôles de sécurité révèle une répartition inquiétante des niveaux de protection au sein des organisations :

Contrôles automatisés avec DLP (17 %) : Ces organisations représentent la référence, utilisant la technologie pour analyser et bloquer automatiquement les données sensibles avant qu’elles n’atteignent les outils d’IA. Lorsqu’un employé tente de coller des données clients ou du code propriétaire dans ChatGPT, le système intervient et empêche l’exposition.

Formation et audits uniquement (40 %) : Le plus grand groupe mise uniquement sur la formation des employés et des audits périodiques. Si la formation a son utilité, elle ne protège pas contre l’erreur humaine, les oublis ou les employés qui contournent délibérément les règles. Même les collaborateurs les mieux formés commettent des erreurs—88 % des violations de données sont dues à l’erreur humaine.

Avertissements sans application (20 %) : Une organisation sur cinq se contente d’émettre des avertissements sans suivi ni sanction. C’est comme afficher un panneau « Merci de ne pas entrer » tout en laissant la porte ouverte et sans surveillance. Les employés reçoivent des pop-ups d’avertissement mais peuvent simplement cliquer pour poursuivre un comportement à risque.

Absence totale de politiques (13 %) : Les 13 % restants n’ont aucune politique spécifique sur l’IA, laissant aux employés le soin de décider eux-mêmes quelles données partager avec les outils d’IA.

Conséquences concrètes : la sécurité de l’IA

Les conséquences pratiques de contrôles faibles se manifestent de plusieurs façons :

• Fuite continue de données : Contrairement aux violations ponctuelles, l’exposition des données à l’IA se produit en continu au fil des interactions des employés avec les outils d’IA tout au long de la journée
• Exposition intraçable : Une fois les données intégrées à des systèmes d’IA publics, il est impossible pour l’organisation de les tracer, de les récupérer ou de les supprimer
• Violations de la conformité : Chaque interaction non contrôlée avec l’IA peut violer plusieurs réglementations, du RGPD à l’HIPAA
• Désavantage concurrentiel : Les informations propriétaires partagées avec les outils d’IA peuvent intégrer les données d’entraînement et potentiellement bénéficier à des concurrents

Comparaison sectorielle : la sécurité de l’IA

Le fossé des contrôles touche tous les secteurs, avec une constance frappante. L’implémentation de contrôles techniques varie de 15 % seulement pour les fonctions axées sur la conformité à 18 % pour les métiers de la cybersécurité. Même les entreprises technologiques—qui conçoivent les outils d’IA—n’affichent qu’une légère amélioration dans la protection de leurs propres données.

Le défi de la visibilité : l’aveuglement organisationnel

Plus dangereux encore que des contrôles faibles : l’incapacité généralisée à voir ce qui se passe. Un écrasant 86 % des organisations n’ont aucune visibilité sur les flux de données traitées par l’IA, opérant dans l’obscurité totale quant aux informations partagées par les employés avec les systèmes d’IA.

La surconfiance paradoxale dans la sécurité des données IA

L’étude met en lumière un décalage majeur entre perception et réalité. Alors que 56 % des organisations affirment disposer de contrôles de gouvernance et de suivi, la recherche indépendante révèle une autre réalité :

• Gartner indique que seuls 12 % des organisations disposent de structures dédiées à la gouvernance de l’IA
• Deloitte constate que seulement 9 % atteignent le niveau de maturité « Prêt »
• Cela représente une surestimation de 5 à 10 fois des capacités réelles

Ce fossé de surconfiance entraîne des problèmes en cascade. Les dirigeants prennent des décisions stratégiques sur la base de protections imaginaires, accélérant l’adoption de l’IA tout en croyant à tort disposer de garde-fous suffisants. C’est comme rouler à grande vitesse en pensant que les freins fonctionnent parfaitement—alors qu’ils sont défaillants.

Conséquences concrètes de l’aveuglement

Sans visibilité sur l’utilisation de l’IA, les organisations se heurtent à des difficultés immédiates et majeures :

Échec lors des audits : Lorsque les régulateurs demandent les journaux des interactions IA impliquant des données personnelles, les organisations sont incapables de les fournir. Cela viole des exigences fondamentales telles que l’article 30 du RGPD, la section 1798.130 du CCPA et l’HIPAA § 164.312.

Enquêtes impossibles : En cas de violation de données ou de non-respect des règles, les équipes de sécurité ne peuvent pas retracer ce qui s’est passé, ni quand, ni par qui. Les outils de forensic traditionnels ne capturent pas les interactions avec l’IA.

Lacunes dans la documentation de conformité : Les organisations ne peuvent pas démontrer le respect des principes de minimisation des données, des politiques de conservation ou des exigences de suppression si elles ignorent quelles données ont été traitées.

Évaluation des risques impossible : Sans données d’usage, les responsables des risques ne peuvent ni évaluer l’exposition, ni prioriser les contrôles, ni allouer efficacement les ressources de sécurité.

Le danger du « je ne sais pas »

Un pourcentage significatif—17 %—des organisations ignorent tout simplement quelle part des données traitées par l’IA contient des informations privées. Cette ignorance n’est pas qu’un manque de connaissance : c’est une vulnérabilité critique qui :

• Empêche toute évaluation précise des risques
• Rend impossible la certification de conformité
• Laisse les organisations non préparées aux audits
• Crée une exposition illimitée à la responsabilité

Exposition des données : la catastrophe du « 1 sur 4 »

Les résultats de l’étude sur l’exposition réelle des données dressent un tableau alarmant de l’hémorragie d’informations vers les systèmes d’IA publics.

Une répartition inquiétante

La répartition de l’exposition des données privées révèle une crise : 27 % des organisations—plus d’une sur quatre—déclarent que plus de 30 % des données partagées avec les outils d’IA contiennent des informations privées. Il ne s’agit pas seulement de métadonnées ou d’informations anonymisées, mais bien de :

• Dossiers clients avec des informations personnelles identifiables (PII)
• Données collaborateurs, y compris évaluations de performance et salaires
• Algorithmes propriétaires et code source
• Données financières et historiques de transactions
• Informations médicales protégées par l’HIPAA
• Documents juridiques couverts par le secret professionnel
• Secrets industriels et renseignements concurrentiels

Le phénomène de fuite continue

L’exposition des données à l’IA diffère fondamentalement des violations de données traditionnelles à plusieurs égards :

Vitesse : Les violations classiques impliquent souvent un vol massif à un instant donné. Avec l’IA, l’exposition se produit en continu, les employés partageant des données sensibles des dizaines de fois par jour sur plusieurs plateformes.

Fragmentation : Les données ne partent pas en un seul fichier volumineux, mais via des milliers de petites interactions, rendant leur détection et leur quantification quasi impossibles.

Persistance : Une fois intégrées aux systèmes d’entraînement de l’IA, les données deviennent partie intégrante de la base de connaissances du modèle, pouvant réapparaître dans les réponses à d’autres utilisateurs.

Multiplication : Une seule donnée sensible peut être traitée par plusieurs systèmes d’IA, multipliant les points d’exposition.

Évaluer votre risque d’exposition

Pour mesurer la vulnérabilité de votre organisation, posez-vous ces questions :

1. Combien d’employés ont accès à la fois à des données sensibles et à des outils d’IA ?
2. Quel pourcentage des tâches quotidiennes pourrait bénéficier de l’aide de l’IA ?
3. À quelle fréquence les employés travaillent-ils sous pression, au détriment de la sécurité ?
4. Quels types de données les employés manipulent-ils régulièrement et qui pourraient intéresser l’IA ?
5. Combien d’outils d’IA différents sont accessibles depuis le réseau de l’entreprise ?

La plupart des organisations qui répondent honnêtement constateront que leur surface d’exposition est bien plus vaste qu’elles ne l’imaginaient.

Analyse sectorielle : personne n’est à l’abri

Les résultats sectoriels de l’étude brisent l’illusion que certains secteurs maîtrisent la sécurité de l’IA. Même les industries les plus réglementées affichent des taux d’échec qui seraient inacceptables dans tout autre contexte de sécurité.

Le paradoxe HIPAA dans la santé

Les organisations de santé sont soumises aux exigences les plus strictes de l’HIPAA, mais 44 % fonctionnent avec peu ou pas de contrôles de confidentialité pour les interactions avec l’IA. Cela crée une contradiction majeure :

• L’HIPAA exige une traçabilité totale, mais seuls 40 % peuvent suivre l’utilisation de l’IA
• Seuls 39 % des décideurs santé sont conscients des menaces liées à l’IA—le taux le plus bas de tous les secteurs
• Chaque interaction IA non tracée peut violer plusieurs dispositions de l’HIPAA

Imaginez des infirmières utilisant l’IA pour résumer des notes patient, partageant sans le savoir des informations médicales protégées avec des systèmes d’IA publics. Sans contrôle ni visibilité, cela peut se produire des milliers de fois par jour dans un même établissement.

La fausse confiance des services financiers

Le secteur financier, pourtant habitué à manipuler des données hautement sensibles, présente des tendances préoccupantes :

• Les violations par des tiers ont doublé, représentant 30 % de tous les incidents
• Mais seuls 14 % priorisent le risque IA tiers—le taux le plus élevé du secteur, mais encore bien trop faible
• 26 % signalent toujours des niveaux extrêmes d’exposition des données, et 43 % n’ont que peu ou pas de contrôles de confidentialité

Banques et sociétés d’investissement utilisant l’IA pour le service client ou l’analyse pourraient exposer des numéros de compte, historiques de transactions ou stratégies d’investissement sans s’en rendre compte.

L’échec ironique de la technologie

Ironie du sort, les entreprises technologiques—créatrices d’outils d’IA—ne protègent pas leurs propres données :

• 92 % prévoient d’augmenter leurs investissements IA
• Mais 27 % signalent une exposition extrême des données—le taux le plus élevé tous secteurs confondus
• Elles développent des outils d’IA tout en négligeant la sécurité de leur propre usage

C’est comme si une société de sécurité laissait ses propres bureaux ouverts—une contradiction qui nuit à sa crédibilité.

Le fossé de 54 points du secteur juridique

Les cabinets d’avocats font face à un décalage particulièrement marqué :

• 95 % estiment que l’IA sera centrale dans leur activité d’ici 2030, mais seuls 41 % disposent aujourd’hui de politiques IA
• 31 % expriment une forte inquiétude concernant la fuite de données
• Mais seuls 17 % ont mis en place des contrôles techniques

Le secret professionnel peut être compromis chaque fois qu’un avocat utilise l’IA pour rédiger des documents ou faire des recherches sans contrôles adaptés.

La crise de confiance du secteur public

Les organismes publics, garants des données citoyennes, présentent des vulnérabilités alarmantes :

• 11 % n’ont aucun plan de sécurité IA, 13 % n’ont aucune politique, 43 % fonctionnent avec des contrôles minimaux, et 26 % signalent une exposition extrême

Résultat : les données citoyennes—des déclarations fiscales aux prestations sociales—peuvent circuler dans des systèmes d’IA publics sans contrôle ni supervision.

L’hémorragie de propriété intellectuelle dans l’industrie

Les entreprises industrielles font face à des risques spécifiques, leur propriété intellectuelle alimentant les systèmes d’IA :

• Secrets industriels, formules, procédés, fichiers CAO, données de supply chain sont intégrés aux outils d’IA
• Avec 22 % sans contrôle et 13 % sans politique, les concurrents pourraient accéder à des informations propriétaires via l’IA

Bombe à retardement réglementaire

Les organisations sous-estiment largement le risque réglementaire encouru. Malgré des exigences croissantes, seuls 12 % classent les violations de conformité parmi leurs principales préoccupations en matière de sécurité IA.

Accélération réglementaire

Le paysage réglementaire évolue à grande vitesse :

• Les agences fédérales américaines ont publié 59 réglementations liées à l’IA en 2024, contre 25 en 2023
• Les mentions législatives de l’IA ont augmenté de 21,3 % dans 75 pays
• De nouveaux cadres réglementaires ciblant spécifiquement la gestion des données IA émergent chaque trimestre

Défaillances de conformité spécifiques

L’incapacité à tracer l’utilisation de l’IA entraîne des échecs immédiats face aux grands cadres réglementaires :

Violations de l’article 30 du RGPD : Les organisations doivent tenir un registre de toutes les activités de traitement. Chaque interaction IA non tracée constitue une violation, avec des amendes pouvant atteindre 4 % du chiffre d’affaires mondial annuel.

Défaillances de la section 1798.130 du CCPA : La loi californienne impose de pouvoir tracer et supprimer les données personnelles sur demande. Sans visibilité sur l’IA, impossible de répondre à ces demandes.

Violations de l’HIPAA § 164.312 : Les organismes de santé doivent tenir des journaux d’audit complets pour tout accès aux ePHI. Les interactions IA échappent totalement à ces contrôles.

Scénario cauchemar lors d’un audit

Quand les régulateurs viendront auditer—et cela arrivera—les organisations sans contrôle IA feront face à une cascade d’échecs :

1. Impossible de fournir les journaux des interactions IA impliquant des données réglementées
2. Impossible de démontrer la conformité à la minimisation des données
3. Impossible de prouver le respect des politiques de conservation et de suppression
4. Impossible de montrer que les contrôles d’accès requis sont en place
5. Impossible de répondre précisément aux demandes des personnes concernées

Chaque échec aggrave les sanctions et allonge la durée de l’audit, transformant un contrôle de routine en menace existentielle.

Rompre le cercle vicieux de la surconfiance

L’enquête révèle que les organisations surestiment leur préparation à la gouvernance IA de 5 à 10 fois, 40 % revendiquant une mise en œuvre totale contre 12 % en réalité.

Reconnaître les symptômes

La surconfiance en la sécurité IA se manifeste par plusieurs signaux d’alerte :

• Assimiler la documentation des politiques à une sécurité opérationnelle
• Penser que la formation des employés équivaut à une protection technique
• Supposer que les outils de sécurité actuels couvrent automatiquement les risques IA
• Confondre l’intention de mise en œuvre et la mise en œuvre effective
• Se fier aux assurances des fournisseurs sans vérification

Le coût de l’illusion

Les organisations qui fonctionnent sur une fausse confiance multiplient les risques :

• Décisions stratégiques basées sur des protections inexistantes
• Adoption accélérée de l’IA sans croissance parallèle de la sécurité
• Budgets alloués à l’innovation alors que la sécurité est à la traîne
• Certifications de conformité fondées sur des évaluations incomplètes
• Plans de réponse aux incidents qui ne prennent pas en compte les expositions IA

Cadre de vérification de la réalité

Pour évaluer votre véritable posture de sécurité, posez-vous ces questions :

1. Pouvez-vous produire un rapport listant tous les usages d’outils IA sur les dernières 24 heures ?
2. Vos outils DLP analysent-ils automatiquement les données avant qu’elles n’atteignent les systèmes IA ?
3. Pouvez-vous empêcher (et non seulement détecter) l’entrée de données sensibles dans les outils d’IA ?
4. Disposez-vous de journaux adaptés aux exigences d’audit réglementaire ?
5. Pouvez-vous quantifier précisément la part des entrées IA contenant des données sensibles ?

Si vous avez répondu « non » à l’une de ces questions, votre organisation souffre probablement du fossé de la surconfiance.

L’avantage concurrentiel de la sécurité

Les organisations qui agissent rapidement sur la sécurité IA ne se contentent pas d’éviter les risques—elles créent des avantages concurrentiels qui se renforcent avec le temps.

Les bénéfices du premier arrivé

Les pionniers de la sécurité IA gagnent plusieurs avantages :

• Différenciation par la confiance : Devenez le fournisseur qui garantit la sécurité IA
• Préparation réglementaire : Respectez les nouvelles exigences avant vos concurrents
• Vitesse d’innovation : Déployez l’IA en toute confiance pendant que les autres hésitent
• Attractivité des talents : Les professionnels sensibles à la sécurité privilégient les environnements protégés
• Préférence des partenaires : Les autres organisations recherchent des partenaires IA sécurisés

La confiance comme monnaie d’échange

Dans une économie pilotée par l’IA, la confiance devient un actif mesurable :

• Les clients paient plus cher pour une protection des données garantie
• Les partenaires partagent des données plus précieuses avec les organisations sécurisées
• Les régulateurs accordent des validations plus rapides et un contrôle allégé
• Les investisseurs valorisent la réduction du risque de conformité
• Les employés innovent plus librement dans un cadre sécurisé

Le coût de l’attente

Chaque jour de retard augmente les coûts de façon exponentielle :

• Dette technique : Ajouter la sécurité a posteriori coûte 10 fois plus cher que de l’intégrer dès le départ
• Sanctions réglementaires : Les premières violations fixent la barre des amendes
• Atteinte à la réputation : Les pionniers fixent les standards de sécurité que les autres devront suivre
• Renseignements concurrentiels : Des données non protégées servent à entraîner les modèles IA des concurrents
• Positionnement sur le marché : Les organisations sécurisées attirent les clients sensibles à la sécurité

Conclusion : la prophétie des 18 mois

Les chiffres sont sans appel : avec 83 % sans contrôles automatisés, 60 % aveugles à l’usage de l’IA et une hausse des incidents de 56,4 % par an, le secteur fait face à une crise majeure. La fenêtre d’action volontaire se referme rapidement.

Dans 18 mois, chaque organisation appartiendra à l’une de ces deux catégories : celles qui auront agi sans attendre, et celles qui deviendront des exemples à ne pas suivre, faute d’avoir sécurisé l’innovation. La tempête réglementaire a déjà commencé avec 59 nouvelles réglementations IA en 2024, et l’accélération est inévitable.

Le choix vous appartient, mais le temps presse. Les organisations qui prennent la mesure de la réalité, mettent en place des contrôles et se préparent à la surveillance peuvent transformer l’IA de leur plus grande vulnérabilité en atout majeur. Celles qui tardent verront les coûts, les échecs de conformité et le désavantage concurrentiel s’accumuler chaque jour.

Ressources complémentaires

• Article de blog Zero Trust Architecture : Ne jamais faire confiance, toujours vérifier
• Vidéo Comment Kiteworks fait progresser le modèle Zero Trust de la NSA au niveau de la donnée
• Article de blog Ce que signifie étendre le Zero Trust à la couche contenu
• Article de blog Instaurer la confiance dans l’IA générative grâce à une approche Zero Trust
• Vidéo Kiteworks + Forcepoint : démonstration de la conformité et du Zero Trust à la couche contenu