Les responsables de la sécurité appliquent le principe selon lequel il est impossible de protéger ce que l’on ne voit pas. Dans de nombreuses entreprises, la Shadow IT continue de préoccuper les équipes de sécurité lorsque de nouvelles applications sont intégrées à leur environnement. Cette visibilité lacunaire s’est encore aggravée avec l’arrivée massive d’agents d’IA, déployés dans différentes applications ou développés en interne par leurs propres équipes.

Pour établir la base de notre enquête, nous avons demandé aux RSSI d’exprimer leur avis quant aux affirmations suivantes, selon une échelle allant de « tout à fait d’accord » à « pas du tout d’accord » :

1. Je sais où se trouvent mes agents.

2. Je sais à quoi mes agents peuvent se connecter.

3. Je sais ce que mes agents peuvent faire.

Moins de la moitié des RSSI se disent confiants dans leur capacité à identifier l’ensemble des agents présents dans leur environnement (47 %), à contrôler les interactions de leurs agents (46 %) ou à autoriser les appels d’outils spécifiques en s’appuyant sur le contexte et l’intention (45 %). Ce pourcentage passe sous la barre des 30 % si l’on considère uniquement les personnes ayant répondu « tout à fait d’accord ». Ce manque de confiance incite ces responsables à élaborer ou à identifier de nouvelles solutions aussi rapidement que possible.

La France arrive en dernière position en matière de confiance dans la supervision. Bien que la conviction et l’inquiétude concernant l’utilisation de la Shadow AI par les collaborateurs soient élevées (88 % signalent au moins une utilisation non autorisée de l’IA), les entreprises françaises privilégient une correction passive : près de 24 % se contentent de notifications aux utilisateurs et comptent sur le respect des politiques lorsqu’une utilisation de la Shadow AI est détectée, ce qui les rend particulièrement exposées.

Fait intéressant, l’étude met en lumière un paradoxe entre visibilité et sécurité, où la seule visibilité ne suffit pas à apporter une véritable tranquillité d’esprit. Même parmi les RSSI qui sont pleinement convaincus de savoir où se trouvent leurs agents d’IA, environ 80 % restent très préoccupés par les accès et les autorisations excessifs. Connaître l’emplacement ou les connexions d’un agent atténue légèrement, sans jamais éliminer, l’inquiétude liée à une brèche.

La majorité des responsables de la sécurité n’ont pas une grande confiance dans la sécurisation de leurs agents à l’heure actuelle, mais toutes les entreprises (ou régions) n’en sont pas au même stade dans leur parcours. Il a été demandé aux cadres dirigeants d’évaluer la maturité de leur gouvernance de l’identité et des accès agentiques selon divers niveaux :

• Réactif : « Nous commençons seulement à explorer l’utilisation de l’IA et nous n’avons pas encore mis en place de politiques ou de contrôles d’identité formalisés pour les agents d’IA. »

• En développement : « Nous avons mis en place des politiques de base pour l’IA autorisée, mais nous manquons de visibilité globale et de contrôles des accès automatisés. »

• Défini : « Nous avons standardisé les contrôles d’identité (par exemple SSO, MFA) appliqués aux outils d’IA connus, mais nous rencontrons des difficultés avec la Shadow AI ou les autorisations des agents en aval. »

• Avancé : « Nous disposons de contrôles des accès automatisés en temps réel, d’une surveillance continue et d’une gouvernance dynamique pour l’ensemble des identités humaines et d’IA. »

Le Royaume-Uni est le plus avancé dans sa démarche de gouvernance de l’IA, avec 36 % des entreprises déclarant disposer d’une gouvernance avancée et entièrement automatisée, soit la part la plus élevée parmi tous les pays étudiés. Cette attitude ne relève pas de la complaisance : les responsables de la sécurité au Royaume-Uni restent particulièrement vigilants face aux risques, 46 % d’entre eux indiquant être « très préoccupés » par le manque de supervision sur le niveau d’accès excessif de l’IA, un chiffre dépassé uniquement par les États-Unis.

Une gouvernance des identités mature, une protection contre les menaces

Alors que les entreprises les plus matures s’inquiètent moins des brèches de sécurité facilitées par l’IA et que les organisations réactives sont les plus susceptibles d’être extrêmement préoccupées (32 %), nombre de ces équipes réactives font le choix de privilégier la rapidité. Près des deux tiers (61 %) des entreprises réactives accordent la priorité à l’innovation par rapport à la sécurité, soit une hausse de 13 points par rapport à la moyenne observée tous niveaux de maturité confondus (48 %).

Cela dit, la stratégie permettant de renforcer la protection est claire : plus votre gouvernance des identités d’IA gagne en maturité, moins vous avez à vous préoccuper des brèches, de la Shadow AI et des agents non validés incontrôlables.

Les entreprises réactives déclarent la présence la plus importante de Shadow AI (25 % contre 13 % pour les autres niveaux de maturité) et rencontrent plus souvent des difficultés à identifier et à stopper les agents non autorisés. Alors que les entreprises les plus avancées révoquent rapidement l’accès des agents malveillants (50 % en quelques minutes contre 26 % dans l’ensemble du panel), 18 % des entreprises réactives ne parviennent pas du tout à les identifier ou à les arrêter. Pendant ce temps, 55 % des entreprises peuvent révoquer l’accès des agents d’IA en quelques heures en cas de brèche, mais un délai de réaction compté en heures reste bien trop lent, car les systèmes d’IA peuvent exécuter des actions dommageables instantanément.

Aucune entreprise du niveau avancé ne rencontre de difficulté à identifier et à neutraliser ces agents.

Prendre le contrôle total des identités d’IA est une priorité absolue

Les responsables de la sécurité constatent que les outils et les processus conçus pour l’identité humaine n’ont pas été pensés pour cette situation, et ils s’efforcent de combler leur retard rapidement. Pour être efficaces dans ce nouvel environnement complexe, les équipes sécurité font de la gouvernance une priorité pour progresser : elles placent l’identité au cœur de leur stratégie d’IA afin de pouvoir adopter une approche autonome entièrement automatisée, optimisée et sécurisée. Le maintien d’un contrôle total sur les personnes ayant accès aux agents à tout moment a été classé comme la fonctionnalité de sécurité de l’IA la plus cruciale pour sécuriser l’entreprise agentique par 29 % des personnes interrogées, suivie par la découverte des agents et la gestion des identifiants, chacune citée par 20 %.

Le Japon affiche la plus forte proportion de RSSI se déclarant « extrêmement préoccupés » par les brèches liées à l’IA (29 %), soit davantage que tout autre marché étudié. Ils sont également deux fois plus nombreux (12 %) à ne disposer d’aucune approche cohérente pour la gouvernance de l’identité des agents, comparé à la moyenne mondiale de 6 %. Combler cet écart nécessitera l’adhésion du conseil d’administration, mais les conseils japonais comptent parmi les plus enclins à considérer la sécurité de l’IA comme un simple enjeu de conformité plutôt que comme un levier de croissance pour l’entreprise, ce qui complique la tâche des RSSI pour obtenir les investissements nécessaires.

Cette volonté d’améliorer la gouvernance prend tout son sens lorsqu’on observe la gestion actuelle des identités d’IA : dans de nombreux cas, les méthodes en place peinent à suivre l’évolution des risques. Par exemple, un RSSI sur quatre déclare traiter les agents exactement comme les identités humaines. Toutefois, les piles de sécurité et d’identité actuelles ont été conçues pour les personnes et les logiciels traditionnels, qui présentent des cycles de vie prévisibles et des parcours d’exécution fixes. La nature non déterministe des agents d’IA crée des failles que les outils existants ne sont tout simplement pas conçus pour résoudre.

Encore plus préoccupant, 21 % des entreprises utilisent des identifiants partagés ou des comptes de service dotés de larges autorisations pour gérer l’accès de l’IA, et presque autant (20 %) confient la gestion des agents à l’équipe qui les a déployés, de manière ponctuelle.

Comment les entreprises gèrent le contrôle des accès des agents d’IA

Les responsables de la sécurité qui s’efforcent de renforcer la maturité de leurs politiques de gouvernance de l’IA progressent aussi rapidement que possible, conscients que toute entité non gérée représente une menace pour leur entreprise. Cette crainte des brèches liées à l’IA est particulièrement marquée chez les RSSI basés aux États-Unis, 84 % des personnes interrogées se déclarant extrêmement ou très inquiètes (contre 57 % des RSSI dans le monde).

En dehors des brèches, 81 % des responsables de la sécurité dans le monde sont très préoccupés par le manque de supervision adéquate sur l’accès excessif dont dispose l’IA.

Les RSSI en Allemagne déclarent avoir la plus grande confiance dans la supervision des agents, mais affichent l’un des niveaux de maturité de gouvernance les plus faibles, avec 58 % en phase de développement ou réactive. Ils sont également fort préoccupés par le phishing alimenté par l’IA, à près de 81 %, soit le niveau d’alerte le plus élevé pour une menace unique dans l’étude.

En analysant les causes de cette inquiétude, les responsables de la sécurité identifient quelques menaces précises. Ils ont cité les tentatives de phishing optimisées par l’IA comme la menace liée à l’IA la plus préoccupante (61 %), suivies par les agents d’IA malveillants (49 %) et le contournement de l’authentification par deepfake (45 %).

Analyse des principaux obstacles à la sécurité agentique

Au-delà des niveaux de maturité et des différences régionales, les responsables de la sécurité s’accordent sur les principaux obstacles à la sécurisation de l’IA. Le manque de visibilité sur les identités d’IA constitue le principal obstacle à la sécurité (48 %), un défi particulièrement répandu sur le marché étasunien, où 74 % des personnes interrogées y sont confrontées. 

D’autres facteurs freinent la sécurité de l’IA, notamment les contraintes budgétaires et de ressources humaines (39 %) ainsi que le cloisonnement entre les équipes IA et les équipes sécurité (33 %), ce qui complique la mise en œuvre des changements nécessaires. Les RSSI canadiens se distinguent du groupe, estimant que leur principal obstacle à la sécurisation de l’entreprise agentique réside dans l’absence d’un standard sectoriel (65 %).

Principaux obstacles à la sécurisation de l’IA avec des contrôles axés sur l’identité

Principal obstacle à la sécurité de l’IA par pays (défi n° 1 signalé)

Faire sortir de l’ombre la Shadow AI

Plus des deux tiers (68 %) des RSSI signalent un usage non autorisé de l’IA et de l’IA agentique. Compte tenu des limites évoquées ci-dessus, les équipes font de leur mieux pour gérer et répondre aux menaces liées à la Shadow AI partout où cela est possible. La réponse la plus fréquente lorsqu’une IA non approuvée est détectée consiste à bloquer l’accès (35 %) ou à intégrer l’outil à la gouvernance et à appliquer des contrôles des accès (29 %) en utilisant les solutions dont l’équipe dispose.

Même si les cadres dirigeants reconnaissent que l’identité est au cœur de la sécurité de l’IA, il subsiste un décalage important entre la reconnaissance d’une stratégie et l’alignement total en ce qui concerne sa mise en œuvre. Moins d’un tiers (31 %) des RSSI estiment être pleinement en phase avec leur direction générale et leur conseil d’administration concernant les niveaux de risque liés à l’IA jugés acceptables. Les cadres dirigeants basés aux États-Unis se sentent les moins alignés du groupe, seulement 12 % déclarant se sentir pleinement alignés, un constat peu surprenant compte tenu de leur préoccupation majeure concernant les brèches.

Les entreprises américaines affichent le niveau d’anxiété le plus élevé face aux brèches (84 %) et une forte préoccupation concernant les agents dotés de privilèges excessifs (65 %), mais elles sont mieux placées pour réussir, car la majorité de leurs conseils d’administration (54 %) considèrent la sécurité comme un levier de croissance pour l’entreprise.

Les RSSI s’efforcent depuis longtemps de convaincre leur conseil d’administration et la direction que la sécurité constitue un moteur plutôt qu’un frein à l’innovation, mais à l’ère de l’IA, il est devenu encore plus difficile de défendre cette position. Moins de la moitié des RSSI (46 %) estiment que leur conseil d’administration considère aujourd’hui la sécurité de l’IA comme un levier pour l’entreprise.

Cependant, ce niveau de friction varie considérablement selon les régions. Les conseils d’administration aux États-Unis et en France sont les plus enclins à considérer la sécurité de l’IA comme un levier pour l’entreprise, ce qui les rend plus favorables à l’investissement. Les entreprises allemandes et japonaises, en revanche, sont les plus susceptibles de considérer la sécurité de l’IA uniquement comme un enjeu de conformité ou une contrainte réglementaire. Ce manque de compréhension au niveau de la direction générale crée un décalage entre les niveaux hiérarchiques qui prive la sécurité de l’identité liée à l’IA des ressources nécessaires.

Il revient aux RSSI de montrer clairement qu’ils jouent un rôle stratégique dans l’entreprise. Cette revendication peut être le facteur décisif entre une entreprise agentique sécurisée et une entreprise paralysée par une posture réactive.