Intelligence artificielle cachée : un problème non seulement de sécurité, mais aussi juridique au regard du droit de l’UE

L'incident de cybersécurité le plus grave auquel votre organisation pourrait être confrontée cette année, lié à l'intelligence artificielle , ne proviendra probablement pas d'attaquants externes utilisant de nouveaux modèles sophistiqués. Il commencera très vraisemblablement par un employé qui, par souci de simplification, copiera un contrat client, des prévisions financières ou des données RH dans un outil d'IA, sans que personne ne lui explique l'importance de cette action.

L’IA fantôme est un problème croissant, et nos recherches ont révélé que près de la moitié des employés des grandes entreprises saisissent régulièrement des données sensibles dans des outils d’IA qui n’ont pas été approuvés ni gérés par leurs services informatiques.

Plus alarmant encore, 85 % des employés persistent dans ce comportement même lorsque des outils approuvés par l'entreprise sont disponibles, révélant ainsi une défaillance de gouvernance qui touche jusqu'aux plus hautes sphères de la direction. Grâce à une IA furtive, des données sensibles peuvent s'échapper discrètement par des canaux que la plupart des systèmes de sécurité ne sont pas conçus pour intercepter.

Outre les risques de sécurité liés à ce flux incontrôlé de données, l'entrée en vigueur de la loi européenne sur l'IA implique que les organisations sont désormais soumises à des obligations légales spécifiques en matière de gestion de l'utilisation de l'IA. La capacité à imposer une gouvernance complète du déploiement, de la gestion et du contrôle de l'IA est devenue un impératif réglementaire et de sécurité crucial.

Pourquoi la loi européenne sur l'IA fait-elle de cette question un enjeu relevant du conseil d'administration ?

L'intelligence artificielle parallèle (Shadow AI) représente une menace sérieuse pour la sécurité. Selon le rapport 2026 d'IBM sur le coût des violations de données, les outils non autorisés ont contribué à 43 % des violations l'an dernier. La réglementation européenne sur l'IA renforce encore ces risques par des exigences supplémentaires.

Les obligations légales ont été mises en place par étapes ; plus récemment, les organisations classées comme utilisateurs publics d'intelligence artificielle sont devenues soumises à de nouvelles exigences relatives à l'inventaire, à la gouvernance des données, à l'enregistrement des audits et à la transparence à compter du 2 août 2026.

D'autres échéances ont été reportées : les contrôles relatifs à l'utilisation de l'intelligence artificielle à haut risque, qui couvrent des domaines tels que le recrutement, la notation de crédit et l'évaluation biométrique, entreront en vigueur le 2 décembre 2027. L'IA intégrée aux produits réglementés sera concernée à partir du 2 août 2028.

Toute organisation dont les employés utilisent des systèmes d'intelligence artificielle a désormais des obligations de conformité en tant que déployeur, que ces systèmes aient été officiellement autorisés ou non.

Toutes les organisations utilisant l'intelligence artificielle doivent savoir que l'obligation de formation à l'IA prévue à l'article 4 est en vigueur depuis février 2025, ce qui signifie que les organisations sont responsables de veiller à ce que leurs employés soient conscients de l'utilisation sûre et autorisée de l'IA.

Les règles d'utilisation de l'intelligence artificielle à haut risque ne se limiteront pas à ce qu'il n'y paraît au premier abord, mais incluront des opérations plus larges, comme l'utilisation par un employé d'un outil grand public non approuvé (tel qu'une application d'IA ) pour des tâches comme l'examen de CV, l'évaluation de la solvabilité ou l'évaluation des performances.

Ce sont des tâches courantes qui pourraient déclencher, en vertu de la loi, des pouvoirs de contrôle complets sur un système dont le service informatique n'avait même pas connaissance du déploiement.

Avec des amendes pouvant atteindre 15 millions d'euros ou 3 % du chiffre d'affaires annuel mondial pour les infractions à haut risque, de nombreuses organisations prennent plus de risques qu'elles ne le pensent.

Pourquoi votre système de sécurité actuel ne peut-il pas détecter cela ?

Le problème avec l'intelligence artificielle furtive, c'est qu'elle exploite les angles morts des couches de sécurité traditionnelles, se faufilant à travers des failles que la plupart des outils ne sont pas conçus pour combler.

Par exemple, les solutions CASB et les passerelles web sécurisées ne peuvent pas déchiffrer les données conversationnelles transitant par HTTPS vers des domaines LLM légitimes. Du point de vue du réseau, un routeur contenant une base de données clients complète est indiscernable de toute autre session web chiffrée. De plus, les extensions de navigateur sont limitées aux terminaux gérés et ne peuvent pas accéder aux appareils personnels ni à l'IA intégrée aux applications SaaS légitimes.

De même, les passerelles API sont généralement conçues autour de déploiements d'entreprise approuvés, ce qui signifie qu'elles enregistrent l'activité d'IA déjà approuvée par les organisations, tout en ignorant les outils d'IA destinés aux consommateurs qui présentent le plus de risques.

Ces angles morts s'accumulent, de sorte qu'une organisation gérant les trois niveaux peut toujours manquer de visibilité complète sur l'activité de l'IA sur une grande partie de ses actifs et n'avoir aucun moyen de créer des journaux d'interaction ou des preuves d'application des politiques exigées par la loi.

À quoi ressemble la découverte d'une intelligence artificielle efficace ?

Les flux de données de l'IA sont généralement contrôlés par des employés agissant dans le cadre de leurs fonctions sans intention malveillante. Toutefois, cette situation est très similaire à la défense contre une menace externe susceptible d'accéder secrètement à vos données.

La logique de détection doit tenir compte de cette réalité. La détection authentique des terminaux intercepte les données sensibles dès leur transmission, avant qu'elles n'atteignent un système d'IA externe, et applique les politiques de sécurité au niveau du routeur , que ce soit sur les navigateurs gérés ou non, les appareils personnels ou les fonctions d'IA intégrées aux outils SaaS. Elle intervient là où l'activité se produit, plutôt que de tenter de la détecter ultérieurement.

Compte tenu du montant potentiel des amendes, la capacité de prouver la conformité est tout aussi importante que la prévention des failles de sécurité.

La détection continue de tous les actifs, y compris les outils non autorisés, permet aux organisations de disposer de l'inventaire des systèmes d'IA exigé par la loi.

Des journaux d'interaction détaillés – indiquant qui a utilisé quoi, quand et quelles données étaient concernées – répondent aux exigences de documentation des articles 12 et 13, évitant ainsi aux équipes de devoir reconstituer frénétiquement les activités après coup. Ces mêmes journaux permettent également d'identifier précisément les lacunes dans les connaissances en IA, rendant la conformité à l'article 4 démontrable et non plus seulement affirmable.

Mesures pratiques pour la conformité

Les équipes de sécurité et de conformité qui cherchent à se conformer à la législation européenne sur l'IA disposent désormais d'une voie claire à suivre.

La première étape consiste à dresser un inventaire complet de tous les actifs d'IA. Cet inventaire doit aller au-delà des outils approuvés par le service informatique et inclure les terminaux non gérés, les appareils personnels connectés aux réseaux d'entreprise et l'IA intégrée aux solutions SaaS (Software as a Service).

La gouvernance des données doit se déplacer vers la périphérie du réseau. Les politiques interdisant le partage de données sensibles avec des outils non approuvés ne constituent pas des contrôles techniques, et lorsque ces politiques sont appliquées en périphérie du réseau, les données ont déjà quitté le système.

Il est important de rappeler que les informations partagées avec un système d'IA externe peuvent être stockées dans des journaux d'activité, intégrées aux données d'entraînement du modèle ou encore hébergées sur des serveurs situés dans des juridictions auxquelles l'organisation n'a aucun accès. Dès lors que les données franchissent ce seuil, l'organisation en perd tout contrôle et aucune procédure ne permet de les récupérer. Cela accroît le risque de cyberattaques par IA.

L’article 12 exigeant la tenue de registres d’interaction pouvant être remis aux autorités de réglementation sur demande, les organisations devront procéder à des audits automatisés et continus de leurs activités et procédures de sécurité.

Enfin, les programmes d'initiation à l'IA, destinés à sensibiliser les utilisateurs, devraient s'appuyer sur des données comportementales plutôt que sur des formations générales. Les journaux d'activité révélant les défaillances de gouvernance – au plus haut niveau de la direction comme ailleurs – permettent à la fois de diagnostiquer le problème et de fournir aux autorités de réglementation les éléments de preuve qu'elles souhaiteront examiner.