L'intégration massive de l'intelligence artificielle générative au sein des organisations s'effectue souvent en marge des politiques de sécurité informatique. Selon des données récentes, une majorité de salariés utilise des outils non validés par leur direction, créant des failles critiques dans la protection des données professionnelles et personnelles.
L'angle mort des usages non autorisés
L'adoption de solutions comme ChatGPT ou Claude par les collaborateurs, via des comptes personnels, échappe au contrôle des services informatiques. Cette pratique, bien que courante, fragilise la confidentialité des échanges : des documents stratégiques ou des fichiers clients peuvent être transmis hors des zones sécurisées sans laisser de trace. Moins de 30 % des entreprises tiennent un inventaire précis des outils d'IA utilisés en interne, et près de 60 % des utilisateurs professionnels opèrent sans aucune charte d'utilisation définie par leur employeur.
Vulnérabilités techniques et menaces persistantes
Au-delà des erreurs humaines, les outils eux-mêmes présentent des failles structurelles. Des incidents survenus sur des solutions intégrées, telles que Microsoft 365 Copilot, ont démontré que des erreurs de code peuvent exposer des courriels confidentiels ou permettre l'exfiltration de données internes. Parallèlement, les groupes de cybercriminels exploitent désormais l'IA pour automatiser leurs attaques, notamment via des versions détournées d'assistants conversationnels vendues sur des forums clandestins. Le risque s'étend également au développement logiciel, où des assistants de code peuvent induire l'installation de paquets malveillants, une technique baptisée « slopsquatting » qui compromet l'intégrité des applications.
Vers une gouvernance responsable des outils IA
Face à ces enjeux, les autorités comme l'ANSSI et la CNIL insistent sur la nécessité d'un cadre strict. Pour les décideurs, l'urgence est à la reprise en main : il est impératif de dresser un inventaire exhaustif des outils, de limiter les accès des assistants aux seuls dossiers nécessaires et de journaliser leur activité pour détecter toute consultation anormale. La mise en place d'une charte éthique, la sensibilisation des équipes et la validation humaine systématique des actions critiques — comme les transactions financières ou le déploiement de code — constituent des remparts essentiels. Enfin, les entreprises sont tenues d'informer leurs collaborateurs sur le traitement de leurs données personnelles, conformément aux exigences réglementaires en vigueur.