Crise de l’IA fantôme : comment résoudre le risque de sécurité caché des gouvernements

Les États-Unis abritent l’écosystème d’IA le plus avancé au monde. Les entreprises américaines développent les modèles les plus innovants. Les chercheurs américains publient les études les plus marquantes. Le capital-risque américain finance la nouvelle génération de start-up spécialisées dans l’IA.

Et pourtant, lorsqu’il s’agit d’intégrer l’IA au sein de l’administration, les États-Unis se font distancer par des pays qu’ils devraient largement devancer.

À retenir

1. L’IA fantôme représente déjà un risque de sécurité à l’échelle de l’administration. Dans les agences qui n’ont pas fourni d’outils d’IA approuvés, 64 % des agents publics utilisent leurs identifiants personnels au travail et 70 % recourent à l’IA sans que leur supérieur en soit informé. Les données gouvernementales — y compris les informations personnelles identifiables (PII), les dossiers fiscaux et les fichiers des forces de l’ordre — transitent par des outils d’IA grand public non validés, sans traçabilité, sans supervision ni capacité de réponse aux incidents.
2. Les États-Unis se classent 7e sur 10 pays malgré leur leadership mondial en matière d’IA. Les États-Unis n’obtiennent que 45 points sur 100 à l’Indice d’adoption de l’IA dans le secteur public, derrière l’Afrique du Sud et le Brésil. Le problème ne vient pas de la technologie, mais de la gouvernance, du manque de directives claires et d’une infrastructure sécurisée qui donnerait aux agents publics la confiance nécessaire pour utiliser l’IA dans leur quotidien.
3. Restreindre l’accès à l’IA génère plus de risques que de l’activer de manière sécurisée. Les organisations qui adoptent une approche « prudente » en limitant l’accès à l’IA ne freinent pas son utilisation — elles la rendent clandestine. Les données de l’indice montrent que seule une activation sécurisée, avec des outils approuvés, des contrôles de gouvernance des données et un reporting d’audit, permet de réduire les risques tout en stimulant la productivité.
4. L’intégration de l’IA dans les processus métiers libère la vraie valeur ajoutée. Les États-Unis n’obtiennent que 39 points sur 100 concernant l’intégration — le score le plus bas des cinq dimensions de l’indice. Or, 61 % des agents publics travaillant dans des environnements à forte intégration constatent des bénéfices liés à l’usage d’IA avancée, contre seulement 17 % là où l’intégration est faible. Lorsque l’IA s’intègre aux outils déjà utilisés, les gains de productivité profitent à tous, quel que soit l’âge ou le niveau de compétence.
5. Les agents publics ne réclament pas de budget, mais de la clarté et de la sécurité. Interrogés sur ce qui les inciterait à utiliser davantage l’IA, les agents publics américains placent en tête des priorités des directives claires (38 %), des outils plus simples à utiliser (36 %) et la garantie de la confidentialité des données (34 %). Le budget dédié arrive en dernier, à 12 %. Les obstacles à l’adoption se résolvent par la politique, la communication et des achats intelligents — pas par de lourds investissements.

L’Indice d’adoption de l’IA dans le secteur public 2026, publié récemment par Public First pour le Center for Data Innovation avec le soutien de Google, a interrogé 3 335 agents publics dans 10 pays — dont 301 aux États-Unis. Les États-Unis se classent septièmes sur dix, avec seulement 45 points sur 100. Ils se situent derrière l’Afrique du Sud et le Brésil, et loin derrière des pionniers comme Singapour (58), l’Arabie saoudite (66) et l’Inde (58).

Ce n’est pas un problème technologique. C’est un problème de gouvernance, de sécurité et de leadership — qui crée un risque massif d’IA fantôme que la plupart des responsables IT du secteur public ignorent.

Les chiffres qui devraient inquiéter tous les RSSI du secteur public

L’indice mesure l’expérience de l’IA par les agents publics selon cinq dimensions : enthousiasme, responsabilisation, activation, intégration et formation. Pour les États-Unis, les scores dressent le portrait d’une main-d’œuvre ayant accès à l’IA, mais sans la confiance, la clarté ou l’infrastructure sécurisée nécessaires pour l’exploiter efficacement :

• Enthousiasme : 43/100 — l’un des scores les plus bas au niveau mondial. Quarante pour cent des agents publics américains jugent l’IA « déroutante ».
• Formation : 50/100 — des formations existent, mais elles restent basiques et inégalement réparties selon les organisations.
• Responsabilisation : 46/100 — plus d’un agent public sur trois ignore si son organisation dispose d’une politique formelle sur l’IA.
• Activation : 45/100 — les outils sont disponibles, mais « accès » ne rime pas avec « sécurité » ou « conformité ».
• Intégration : 39/100 — le score le plus bas des cinq. Les outils d’IA cohabitent avec les systèmes existants au lieu d’être intégrés aux processus métiers.

Près de la moitié des agents publics américains (45 %) estiment que leur organisation doit « avancer prudemment pour éviter les erreurs ». Moins de la moitié se sentent guidés clairement par leur hiérarchie sur l’utilisation de l’IA. Seuls 56 % déclarent se sentir en confiance pour utiliser des outils d’IA.

Ces chiffres ne traduisent pas une résistance à l’IA, mais l’attente d’un feu vert sécurisant.

L’IA fantôme, une bombe à retardement

Voici le constat qui devrait alerter tous les RSSI du secteur public.

Dans les environnements à faible activation, 64 % des agents publics enthousiastes à l’égard de l’IA utilisent leurs identifiants personnels au travail, et 70 % recourent à l’IA pour des tâches professionnelles sans que leur supérieur en soit informé.

Quand l’administration n’offre pas d’outils d’IA approuvés, de règles claires ou de support accessible, les agents publics ne cessent pas d’utiliser l’IA. Ils le font simplement de leur côté — sans cadre. Et les conséquences dépassent largement la simple conformité réglementaire.

Imaginez ce que cela implique concrètement pour les agences fédérales américaines. Des données gouvernementales qui transitent via des comptes ChatGPT personnels, sans supervision, sans traçabilité, sans contrôle de sécurité. Des informations sensibles sur les citoyens — informations personnelles identifiables (PII/PHI), dossiers fiscaux, données des forces de l’ordre — potentiellement injectées dans des LLM publics pour des synthèses, analyses ou rédactions. Des décisions politiques influencées par des outils d’IA non validés quant à leur fiabilité, leur biais ou leur pertinence. Et des risques de non-conformité potentiels avec HIPAA, FISMA et les lois étatiques sur la confidentialité, sans aucune preuve permettant d’en déterminer l’ampleur.

L’ironie est frappante. Les organisations qui veulent « jouer la prudence » en restreignant l’accès à l’IA créent en réalité plus de risques que celles qui proposent des outils approuvés et des règles d’utilisation claires. Les données de l’indice le confirment dans tous les pays étudiés.

Il est temps de passer du débat « doit-on autoriser l’IA » à « comment activer l’IA de façon sécurisée ». L’infrastructure nécessaire doit permettre de tirer parti de l’IA avec des outils comme Claude, ChatGPT ou Copilot, tout en gardant les données sensibles dans un réseau privé. Les cadres de gouvernance existants (RBAC/ABAC) doivent s’appliquer à toutes les interactions avec l’IA, chaque opération d’IA doit être tracée pour la conformité et la traçabilité, et les contenus sensibles ne doivent jamais sortir de l’environnement de confiance. Le serveur MFT sécurisé de Kiteworks illustre cette approche. Pour les agences fédérales, l’autorisation FedRAMP et l’alignement sur les mémos de la Maison-Blanche et le NIST AI Risk Management Framework garantissent que ces protections répondent aux obligations de conformité existantes.

Penser que restreindre l’accès suffira à stopper l’usage de l’IA est une illusion, que les chiffres de l’indice viennent définitivement balayer.

Le fossé de la traduction : ambition fédérale vs réalité terrain

L’administration fédérale n’est pas restée inactive. Près de 90 % des agences fédérales utilisent déjà l’IA sous une forme ou une autre, selon une étude récente de Google. Les décrets présidentiels et le plan d’action américain pour l’IA font de l’IA une priorité stratégique. L’Office of Management and Budget a publié de nouvelles directives sur la gouvernance et l’achat d’IA. Les CIO des États classent l’IA comme priorité n°1 pour 2026, et plus de 90 % des États mènent au moins des projets pilotes d’IA.

Les briques sont donc en place. Mais l’indice révèle un écart criant entre l’activité au niveau des agences et l’expérience de terrain.

Les agents publics américains affichent l’un des plus hauts niveaux d’expérience personnelle de l’IA dans l’indice. Soixante-seize pour cent déclarent utiliser l’IA dans leur vie privée, et près des trois quarts (72 %) l’utilisent aussi au travail. Près de neuf sur dix (89 %) ayant recours à l’IA au travail y accèdent via leur organisation. Environ un tiers (32 %) disposent d’outils d’IA de niveau entreprise — une proportion supérieure à celle de nombreux autres pays.

Mais cet accès ne se traduit pas par une utilisation confiante et enthousiaste. Les États-Unis n’obtiennent que 43/100 sur l’enthousiasme — la plupart des agents publics n’ont pas encore perçu d’avantages concrets, adaptés à leur rôle, dans leurs tâches quotidiennes. L’IA est plus souvent jugée déroutante qu’émancipatrice. Peu d’agents constatent des gains tangibles comme des économies de temps ou une IA véritablement assistante.

Et l’« accès » existant est souvent dépourvu des contrôles de sécurité et de gouvernance requis dans l’environnement fédéral. La plupart des agences proposent des outils d’IA génériques sans accord de protection des données. Il n’existe aucune traçabilité permettant de savoir quelles données ont été partagées avec les systèmes d’IA, quand, ou par qui. Impossible de révoquer un accès ou de supprimer des données des ensembles d’entraînement après coup. Le score d’activation reflète la disponibilité, pas la sécurité — une nuance capitale dès lors qu’il s’agit de données gouvernementales.

Comparez cela à ce qu’ont mis en place les pays les plus avancés. À Singapour, 73 % des agents publics savent précisément ce qu’ils peuvent ou non faire avec l’IA, et 58 % savent vers qui se tourner en cas de problème. En Arabie saoudite, une stratégie nationale descendante a fait de l’IA un levier de modernisation, avec 65 % d’accès à des outils d’IA de niveau entreprise et 79 % d’utilisation pour des tâches avancées ou techniques. En Inde, 83 % des agents du secteur public sont optimistes à propos de l’IA et 59 % souhaitent qu’elle transforme radicalement leur quotidien.

Ces pays n’ont pas réussi grâce à une technologie supérieure à celle des États-Unis. Ils ont réussi parce qu’ils ont facilité l’utilisation de l’IA en toute confiance pour les agents publics. Règles claires. Outils approuvés. Support visible. Les États-Unis ont l’avantage technologique — il leur manque le liant.

La couche manquante : la gouvernance des données IA

L’indice révèle que les agents publics américains souhaitent « des directives claires et pratiques sur l’application de l’IA dans le secteur public » (38 %) et « la garantie de la confidentialité et de la sécurité des données » (34 %). Ce ne sont pas des vœux pieux. Ils pointent une faille fondamentale sous-jacente à tous les autres défis d’adoption : la plupart des agences gouvernementales n’ont aucune visibilité sur les données partagées avec les systèmes d’IA.

Quels employés utilisent l’IA, et dans quel but ? Les résultats générés par l’IA contiennent-ils des informations sensibles qui ne devraient pas être partagées à l’externe ? Comment appliquer les règles de classification des données quand des outils d’IA sont utilisés ? Pour la plupart des agences, la réponse honnête à toutes ces questions est « nous ne savons pas ».

C’est là que les cadres de gouvernance des données IA deviennent fondamentaux — non comme un frein à l’adoption, mais comme la base qui rend une adoption sereine possible. Les fonctions de gestion de la posture de sécurité des données (DSPM) permettent d’identifier et de classer les données sensibles dans tous les référentiels, y compris celles ingérées par les systèmes d’IA. L’application automatique des règles peut bloquer l’ingestion de données privilégiées ou confidentielles par l’IA selon leur classification. Les journaux d’audit assurent la traçabilité de toutes les interactions IA-données. Et en s’alignant sur le NIST AI Risk Management Framework, ces fonctions aident les agences à gouverner, cartographier et gérer les risques IA tout au long du cycle de vie des données.

Les fonctions nécessaires pour combler ce fossé sont claires : intégration du DSPM, application automatique des règles et journalisation d’audit immuable, permettant de taguer les données selon leur niveau de sensibilité — public, interne, confidentiel, classifié — et d’appliquer ces classifications automatiquement dès qu’un outil d’IA intervient. Chaque interaction IA-données doit être tracée avec l’ID utilisateur, l’horodatage, les données consultées et le système d’IA utilisé. Le Réseau de données privé de Kiteworks propose cette démarche, en réunissant ces fonctions sur une plateforme unifiée. Ce n’est pas qu’un exercice de conformité ; c’est l’infrastructure qui permet une adoption sereine de l’IA à grande échelle.

Sans cette couche, les gouvernements avancent à l’aveugle face aux risques IA. Avec, ils peuvent dire « oui » à l’IA en toute confiance, sachant que les données sensibles sont protégées — exactement ce que réclament les agents publics.

Ce que demandent les agents publics américains

Interrogés sur ce qui les inciterait à utiliser davantage l’IA, les agents publics américains ont été très précis :

• Des directives claires et pratiques sur l’application de l’IA dans le secteur public (38 %)
• Des outils plus simples à utiliser, ne nécessitant pas de compétences techniques pointues (36 %)
• La garantie de la confidentialité et de la sécurité des données (34 %)
• Des formations ou un accompagnement adaptés à chaque rôle (30 %)
• Une meilleure intégration avec les logiciels et systèmes existants (29 %)

Remarquez ce qui n’est pas en tête de liste : le budget dédié (12 %) et le soutien de la direction (20 %) arrivent en bas du classement. Les agents publics ne réclament pas de grands programmes ni d’initiatives coûteuses. Ils veulent de la clarté, de l’ergonomie et de la confiance — des éléments accessibles via la politique, la communication et des achats judicieux.

Et notez que les trois principales attentes — directives, ergonomie, sécurité des données — forment un tout indissociable. Impossible de fournir des directives claires sans savoir ce qui est sûr. Impossible de garantir la confidentialité sans infrastructure de gouvernance. Et impossible de simplifier les outils si les agents publics hésitent, de peur de s’exposer à des risques. Résoudre un point sans les autres ne fonctionne pas.

Pourquoi l’intégration est le facteur clé

Les États-Unis obtiennent le score le plus bas sur l’intégration (39/100), et les données de l’indice expliquent pourquoi c’est le critère le plus important.

Dans tous les pays, 61 % des agents évoluant dans des environnements à forte intégration constatent des bénéfices liés à l’usage de l’IA pour des tâches avancées ou techniques, contre seulement 17 % là où l’intégration est faible. L’intégration réduit aussi les écarts entre générations : dans les environnements à forte intégration, 58 % des agents publics de 55 ans et plus gagnent plus d’une heure grâce à l’IA, contre seulement 16 % dans les contextes à faible intégration. Quand l’IA s’intègre aux outils existants, l’adoption ne dépend plus de la maîtrise technologique, mais permet à chacun de progresser dans son métier.

Les États-Unis sont aujourd’hui à l’opposé de ce modèle. L’indice décrit « une infrastructure formelle minimale, peu de structures de soutien, des investissements limités et de nombreux obstacles à l’intégration avec les systèmes existants ». Tant que l’intégration ne progresse pas, les gains de productivité promis par l’IA resteront l’apanage d’un petit groupe précurseur, au lieu de profiter à l’ensemble des agents publics.

Trois priorités pour changer la donne

L’indice identifie trois leviers concrets qui pourraient accélérer l’adoption de l’IA dans le secteur public américain, à condition de les activer ensemble.

Premièrement, fixer un cap clair au sommet — soutenu par une infrastructure approuvée et sécurisée. Les agents publics ont besoin d’une assurance cohérente et visible que l’usage de l’IA est encouragé, soutenu et conforme aux valeurs du service public. Mais l’autorisation sans protection serait irresponsable. Les agences doivent déployer des solutions d’IA d’entreprise assorties d’accords de protection des données, de contrôles de gouvernance et d’un reporting d’audit — pour garantir que les données sensibles ne quittent jamais le réseau privé. Des plateformes comme le serveur MCP sécurisé de Kiteworks montrent comment cela fonctionne : elles permettent d’utiliser l’IA (Claude, ChatGPT, Copilot…) tout en maintenant les contrôles de gouvernance exigés par les agences fédérales. Lorsque les agents savent que les outils sont approuvés, conformes et surveillés, la permission culturelle s’installe naturellement.

Deuxièmement, instaurer la confiance par la preuve et la préparation aux incidents. Beaucoup d’agents publics américains n’ont pas encore constaté d’avantages concrets, adaptés à leur rôle, grâce à l’IA. Partager des exemples tangibles d’économie de temps, d’amélioration du service ou de meilleure prise de décision rendrait l’IA plus concrète. Mais la confiance exige aussi d’être prêt en cas d’incident. Imaginez qu’un agent public colle par erreur des milliers de numéros de Sécurité sociale dans un outil d’IA public. Les données se retrouvent dans les systèmes du fournisseur — potentiellement stockées indéfiniment. L’agence peut-elle dire ce qui a été exposé, quand, par qui, et quelles autres données sensibles ont été partagées ? Sans journaux d’audit immuables, intégration SIEM et documentation de la chaîne de conservation, la réponse est non. Les capacités de réponse aux incidents spécifiques à l’IA ne sont pas optionnelles — elles sont la condition d’une adoption responsable.

Troisièmement, proposer des formations et des directives concrètes, adaptées à chaque rôle. La sensibilisation à l’IA est forte aux États-Unis, mais la confiance ne suit pas. Des formations courtes et pratiques, ciblées par rôle, peuvent combler ce fossé. Cela suppose une autorisation explicite pour les tâches à faible risque — rédaction, recherche, synthèse, brainstorming — et des directives adaptées montrant comment l’IA soutient les missions existantes. Modèles, prompts partagés et exemples concrets facilitent l’adoption. S’associer à des fournisseurs technologiques de confiance permet de former à grande échelle tout en offrant les garanties de sécurité et de protection des données attendues par les agents publics.

Des enjeux bien plus importants que le classement

Le fait que les États-Unis se classent septièmes dans cet indice est embarrassant, mais le véritable coût n’est pas réputationnel. Il est opérationnel. Chaque jour sans outils d’IA sécurisés et approuvés, ce sont des données gouvernementales qui transitent par des comptes personnels sans supervision. Chaque semaine sans directives claires, ce sont des gains de productivité qui échappent à l’administration. Chaque mois sans gouvernance intégrée de l’IA, l’écart se creuse entre secteur privé et secteur public américains.

L’IA fantôme est déjà là. Soixante-dix pour cent des agents publics utilisent l’IA, souvent hors des canaux approuvés. Restreindre l’accès accroît les risques, au lieu de les réduire. Les outils existent — ce qui manque, c’est une infrastructure sécurisée et approuvée, associée à une permission culturelle et à des directives claires.

Les 301 agents publics américains interrogés dans cet indice envoient un message limpide : donnez-nous des directives, des outils sécurisés, et laissez-nous avancer. Reste à savoir si les dirigeants entendent cet appel — et s’ils sont prêts à résoudre le problème de l’IA fantôme avant qu’il ne se transforme en crise majeure de sécurité des données.