Alors que les entreprises intègrent l’IA dans les flux de travail, les analyses, le service client et les pipelines de développement, ces systèmes bénéficient d’un accès étendu et automatisé aux données de l’entreprise, souvent avec moins de contrôles que ceux appliqués aux utilisateurs humains.
« Le risque interne ne concerne plus seulement les personnes. Il s’agit également de systèmes automatisés qui ont été approuvés trop rapidement, déclare Sebastien Cano, vice-président senior, produits de cybersécurité chez Thales. « Lorsque la gouvernance des identités, les politiques d’accès ou le chiffrement sont faibles, l’IA peut amplifier ces faiblesses beaucoup plus rapidement que n’importe quel humain dans tous les environnements corporate. »
Les écarts de visibilité s’élargissent à mesure que l’IA étend la portée des données
Le rapport révèle une troublante déconnexion entre l’adoption de l’IA et le contrôle des données. Seules 34 % des organisations savent où se trouvent toutes leurs données, et seulement 39 % peuvent les classer complètement. Pendant ce temps, près de la moitié (47 %) des données sensibles du cloud restent non cryptées.
À mesure que les systèmes d’IA ingèrent et exploitent des données à travers des environnements cloud et SaaS, le manque de visibilité rend de plus en plus difficile l’application du principe du moindre privilège, c’est-à-dire l’attribution uniquement des droits d’accès strictement nécessaires. Cela accroît le niveau d’exposition en cas de compromission des identifiants.
L’infrastructure d’identité constitue désormais la principale surface d’attaque. Le vol d’identifiants demeure la technique d’attaque la plus répandue contre les infrastructures de gestion cloud, citée par 67 % des organisations ayant subi des attaques dans le cloud. Par ailleurs, 50 % d’entre elles considèrent la gestion des secrets parmi leurs principaux défis en matière de sécurité applicative, ce qui reflète la complexité croissante de la gouvernance des identités machines, des clés d’API (interfaces de programmation applicative) et des tokens à grande échelle.
L’IA alimente des attaques plus convaincantes
Alors que les organisations se précipitent pour adopter l’IA, les attaquants font de même. Près de 60 % des entreprises signalent avoir subi des attaques basées sur des deepfake, et 48 % signalent des atteintes à la réputation liées à des campagnes de désinformation ou d’usurpation d’identité générées par l’IA.
En plus d’introduire de nouveaux risques, l’IA accélère également ceux existants. L’erreur humaine contribue déjà à 28 % des violations, et avec l’automatisation superposée, les petites erreurs peuvent évoluer plus rapidement et se propager plus largement.
L’investissement dans la sécurité change, mais pas suffisamment par rapport à l’ampleur des risques
Bien que les organisations reconnaissent la nécessité de s’adapter, l’investissement ne suit pas le rythme de l’expansion rapide de l’accès et de l’automatisation basés sur l’IA. 30% consacrent désormais des budgets spécifiques à la sécurité de l’IA, ce qui reflète une sensibilisation croissante. Cependant, la majorité (53 %) dépend encore de programmes de sécurité traditionnels conçus principalement pour les utilisateurs humains et les contrôles basés sur le périmètre. Alors que les machines authentifient, accèdent et agissent de plus en plus de manière autonome, de nombreuses stratégies de sécurité doivent encore s’adapter à ce changement dans les modèles opérationnels.
« Alors que l’IA devient profondément intégrée aux opérations de l’entreprise, la visibilité et la protection continues des données ne sont plus facultatives », déclare Eric Hanselman, analyste en chef chez S&P Global 451 Research. « Les organisations doivent considérer leur stratégie de sécurité des données comme fondamentale pour l’innovation, et non pas séparée de celle-ci. » [i]
La confiance doit évoluer à la même vitesse que l’IA
L’IA ne remplace pas les menaces traditionnelles ; elle les intensifie plutôt en augmentant leur vitesse, leur échelle et leur portée. Alors que les systèmes automatisés obtiennent un accès plus large aux données d’entreprise, les organisations doivent repenser l’identité, le chiffrement et la visibilité des données en tant qu’infrastructure centrale. Les organisations qui intègrent une gouvernance solide dans leurs stratégies d’IA seront mieux placées pour innover en toute sécurité et éviter de transformer l’IA en menace interne.
[i] Thales 2026 Data Threat Report, 2026, commandé par Thales et réalisé par S&P Global 451 Research.
