Une étude de Red Hat menée auprès de 1 400 responsables des systèmes d’information (DSI) dans 14 pays, dont la France, révèle que les agents d’IA autonomes sont rapidement intégrés aux environnements informatiques des entreprises françaises. En effet, 98 % des entreprises ayant participé à l’étude ont déjà déployé de tels agents en production. Toutefois, un écart critique subsiste entre la gouvernance telle qu’elle est perçue et la visibilité opérationnelle réelle.
La majorité (84 %) des DSI français interrogés se disent très confiants quant à la sécurité et la conformité réglementaire de leurs agents d’IA, grâce à la mise en place de garde-fous et de mécanismes de surveillance. Cependant, les résultats de l’étude révèlent que cet optimisme peut masquer un manque de visibilité. En effet, 31 % des répondants déclarent avoir une compréhension précise des flux de données au sein de leur organisation, et savoir où ces données sont stockées et traitées. Seuls 26 % disposent d’une vue d’ensemble complète de leur chaîne d’approvisionnement logicielle, incluant les dépendances directes et indirectes. Et seulement un tiers (32 %) des répondants évaluent en continu les risques liés aux fournisseurs d’IA, au-delà de la phase d’intégration initiale.
Ces résultats montrent que, si les personnes interrogées estiment que leurs agents et environnements d’IA bénéficient de mécanismes de sécurité et de souveraineté adéquats, il y a clairement un manque de preuves auditables permettant d’en attester l’efficacité. Le rythme soutenu de l’innovation en matière d’IA et l’évolution des forces du marché peuvent faire qu’un système, pourtant hautement sécurisé et conforme au moment de son déploiement, se retrouve complètement exposé peu de temps après.
De petites lacunes en matière de visibilité, un risque majeur pour les données
Les entreprises françaises accélèrent leur adoption de l’IA. Parmi les répondants, 38 % déclarent pouvoir s’appuyer pleinement sur des garde-fous éprouvés, une surveillance continue et des mécanismes d’intervention automatisés. Par ailleurs, 46 % des entreprises françaises se disent « assez confiantes » quant à leur capacité à maîtriser les questions de sécurité et de conformité, tout en reconnaissant certaines lacunes mineures dans leurs garde-fous et leurs dispositifs de surveillance.
Toutefois, en environnement de production, les échanges de données non surveillés entre les plateformes d’entreprise, les services cloud et les modèles d’IA externes peuvent engendrer des risques. Ainsi, 47 % des entreprises interrogées en France signalent des lacunes mineures dans la visibilité des flux de données. En outre, 21 % ont déjà intégré des fonctionnalités d’IA sans comprendre pleinement les flux de données associés, tandis que 1 % n’a qu’une vue très limitée des endroits où sont stockées les données.
À l’échelle internationale, la visibilité varie considérablement d’un pays à l’autre. Par exemple, 61 % des répondants en Afrique du Sud affirment avoir une visibilité de bout en bout sur les flux de données, contre seulement 29 % pour les entreprises en Turquie. Pour les entreprises françaises soumises à des cadres réglementaires stricts, tels que le RGPD et le règlement européen sur l’IA, mettre en place une traçabilité des données vérifiables couvrant l’ensemble de leur cycle de vie demeure essentiel pour éviter toute non-conformité et fuite de données.
Le risque majeur des dépendances logicielles indirectes
Pas moins de 71 % des entreprises françaises interrogées déclarent être en mesure de corriger les vulnérabilités logicielles critiques dans les 24 heures suivant la disponibilité d’un correctif. Les autres indiquent avoir besoin de quelques jours, et aucune ne fait état d’un délai supérieur à une semaine.
Cependant, la plupart des entreprises ne savent pas précisément quels composants logiciels elles utilisent. Seules 26 % d’entre elles disposent d’une vue d’ensemble complète et constamment actualisée de tous les composants open source utilisés, notamment leur origine, leurs numéros de version, et leurs dépendances directes et indirectes. Tous pays confondus, ce chiffre s’établit à un peu moins de 33 % en moyenne.
Si 41 % des entreprises de la région ont une bonne vue d’ensemble des composants et de leurs versions, elles reconnaissent toutefois certaines lacunes dans leur connaissance des origines et des dépendances indirectes. Parmi les répondants, 33 % ne disposent pas d’une vue d’ensemble complète, notamment parce qu’ils se concentrent sur les composants issus de projets d’envergure ou parce que la visibilité dépend fortement des applications spécifiques ou des unités opérationnelles qui les utilisent. Aucune des entreprises françaises interrogées n’a déclaré ne pas assurer un suivi systématique de sa chaîne d’approvisionnement logicielle open source.
Les dépendances indirectes sont courantes dans de nombreux projets logiciels open source. Ces projets intègrent des bibliothèques, des frameworks et d’autres composants provenant d’autres projets. Les dépendances peuvent présenter des risques importants pour le système d’information d’une organisation, en particulier lorsqu’elles ne font pas l’objet d’une évaluation rigoureuse (74 %).
Évaluation des risques : une démarche continue, et non ponctuelle
S’agissant de l’évaluation des risques liés aux fournisseurs d’IA, seules 32 % des entreprises françaises déclarent être bien préparées et utiliser des critères mesurables, faisant l’objet d’un suivi continu dans le cadre de leurs activités quotidiennes autour de l’IA. Ce chiffre est nettement supérieur à celui des Pays-Bas, où il s’établit à un peu moins de 22 %, mais reste bien inférieur à celui de l’Italie (51 %).
Pour Rémy Mandon, manager de Red Hat France, « En matière de sécurité de l’IA, les entreprises françaises affichent une confiance forte, mais rarement vérifiable. Or, dans notre contexte réglementaire, la confiance ne suffit plus : une visibilité totale sur les flux de données, les dépendances et la chaîne d’approvisionnement logicielle est indispensable. Grâce à la transparence de l’open source et à une gouvernance intégrée en amont, les organisations peuvent transformer la conformité en un véritable gage de sécurité ».
Bien que 33 % des entreprises interrogées en France évaluent les risques avant de déployer de nouvelles technologies d’IA, elles peinent à assurer un suivi et une réévaluation de ces risques par la suite. Un tiers d’entre elles (33 %) se limitent à une évaluation initiale, ce qui peut s’avérer insuffisant dans un domaine où les modèles, les données, les exigences réglementaires et les menaces évoluent presque quotidiennement.
Les répondants à l’enquête sont bien conscients de ce défi et de la nécessité d’y répondre à l’aide de méthodes mesurables et soumises à un contrôle interne. Seules 1 % des entreprises françaises déclarent s’appuyer exclusivement sur des audits externes, des certifications et des garanties contractuelles pour évaluer les risques. Par ailleurs, 1 % seulement se fient à la réputation des fournisseurs et à leurs expériences passées, ou ne disposent d’aucune approche structurée pour évaluer les risques liés à leurs fournisseurs.