Au fil des années, les responsables de la sécurité ont considéré l’intelligence artificielle comme une technologie “émergente”, un domaine à surveiller mais pas encore essentiel. Un nouveau rapport sur la sécurité des données de l’IA et des SaaS, élaboré par l’entreprise LayerX spécialisée dans la sécurité des navigateurs, révèle à quel point cette perception est désormais obsolète. Loin d’être une problématique future, l’IA s’avère être le plus grand canal non contrôlé d’exfiltration de données des entreprises, surpassant même les SaaS non réglementés ou le partage de fichiers illégaux.
Les résultats, issus de l’analyse des comportements de navigation d’entreprises réelles, mettent en lumière une vérité contre-intuitive : le véritable problème de l’IA dans les entreprises ne réside pas dans des incertitudes futures, mais dans les flux de travail quotidiens d’aujourd’hui. Des données sensibles sont déjà transférées vers des outils tels que ChatGPT, Claude et Copilot à des taux alarmants, surtout via des comptes non gérés et des canaux de copie/collage invisibles. Les outils de prévention de perte de données traditionnels, conçus pour des environnements basés sur des fichiers autorisés, ne regardent même pas dans la bonne direction.
De “Émergent” à Essentiel en un Temps Record
En seulement deux ans, les outils d’IA ont atteint des niveaux d’adoption qui ont mis des décennies à se concrétiser pour l’email et les réunions en ligne. Près d’un employé d’entreprise sur deux (45 %) utilise déjà des outils d’IA générative, ChatGPT atteignant à lui seul une pénétration de 43 %. Par rapport à d’autres outils SaaS, l’IA représente 11 % de toute l’activité des applications d’entreprise, rivalisant avec le partage de fichiers et les applications de productivité bureautique.
Le paradoxe? Cette croissance fulgurante n’est pas accompagnée d’une gouvernance adéquate. En effet, 67 % des utilisations de l’IA se font via des comptes personnels non gérés, laissant les responsables de la sécurité dans le flou quant à l’utilisation qui en est faite et aux données qui circulent.
Les Données Sensibles Sont Partout, Et Elles Circulent Dans La Mauvaise Direction
Peut-être la découverte la plus surprenante et alarmante est de constater à quel point des données sensibles sont déjà transférées vers des plateformes d’IA : 40 % des fichiers téléchargés dans des outils d’IA générative contiennent des données personnelles identifiables (PII) ou des données de cartes de paiement (PCI), et les employés utilisent des comptes personnels pour près de quatre téléchargements sur dix.
Mais ce n’est pas tout : les fichiers ne représentent qu’une partie du problème. Le véritable canal de fuite est le copier/coller. 77 % des employés collent des données dans des outils d’IA générative, et 82 % de cette activité provient de comptes non gérés. En moyenne, les employés effectuent 14 collages par jour via des comptes personnels, avec au moins trois d’entre eux contenant des données sensibles.
Le copier/coller dans des outils d’IA générative constitue donc le principal vecteur de fuite des données d’entreprise. Ce n’est pas seulement un angle mort technique mais également culturel. Les programmes de sécurité conçus pour scanner les pièces jointes et bloquer les téléchargements non autorisés ratent entièrement cette menace qui se développe rapidement.
Le Mirage de l’Identité : Corporate ≠ Sécurisé
Les responsables de la sécurité partent souvent du principe que les comptes “entreprise” équivalent à un accès sécurisé. Les données prouvent le contraire. Même lorsque les employés utilisent des identifiants d’entreprise pour des plateformes à haut risque telles que les CRM et les ERP, ils contournent massivement l’authentification unique (SSO) : 71 % des connexions CRM et 83 % des connexions ERP ne sont pas fédérées.
Cela rend un accès d’entreprise fonctionnellement indistinguable d’un accès personnel. Que l’employé se connecte à Salesforce avec un adresse Gmail ou via un compte d’entreprise, le résultat est identique : pas de fédération, pas de visibilité, pas de contrôle.
Le Point D’Aman de Messagerie Instantanée
Bien que l’IA soit le canal de fuite de données qui se développe le plus rapidement, la messagerie instantanée est la plus silencieuse. 87 % de l’utilisation des chats d’entreprise se fait via des comptes non gérés, et 62 % des utilisateurs y intègrent des PII/PCI. La confluence de l’IA non réglementée et des chats en dehors du contrôle crée un double angle mort où les données sensibles fuitent constamment vers des environnements non surveillés.
Ces résultats dessinent une réalité inquiétante : les équipes de sécurité se concentrent sur les mauvais champs de bataille. La guerre pour la sécurité des données ne se joue pas sur des serveurs de fichiers ou des SaaS autorisés, mais bien dans le navigateur, où les employés mélangent comptes personnels et professionnels, transitionnent entre outils réglementés et non, et déplacent des données sensibles entre les deux.
Réévaluer la Sécurité des Entreprises à l’Ère de l’IA
Les recommandations du rapport sont claires et peu conventionnelles :
- Considérer la sécurité de l’IA comme une catégorie essentielle de l’entreprise, et non comme une technologie émergente. Les stratégies de gouvernance doivent aligner l’IA sur l’email et le partage de fichiers, avec des suivis sur les téléchargements, les invites et les flux de copier/coller.
- Transitionner d’une approche centrée sur les fichiers à une approche axée sur les actions. Les données sortent de l’entreprise non seulement par des téléchargements de fichiers mais aussi via des méthodes sans fichiers, telles que la messagerie instantanée et l’injection de commandes. Les politiques doivent refléter cette réalité.
- Restreindre les comptes non gérés et imposer la fédération partout. Les comptes personnels et les identifiants non fédérés sont fonctionnellement identiques : invisibles. Limiter leur utilisation – que ce soit par un blocage total ou par l’application de politiques de contrôle rigoureuses contextuelles – est le seul moyen de rétablir la visibilité.
- Prioriser les catégories à haut risque : IA, messagerie et stockage de fichiers. Tous les SaaS ne sont pas égaux. Ces catégories exigent les contrôles les plus stricts car elles présentent à la fois un fort taux d’adoption et une grande sensibilité.
Conclusion pour les Responsables de la Sécurité
La vérité surprenante révélée par les données est la suivante : l’IA n’est pas seulement une révolution productive, mais également un effondrement de la gouvernance. Les outils prisés par les employés sont aussi les moins contrôlés, et le fossé entre adoption et supervision s’élargit chaque jour.
Pour les leaders de la sécurité, les implications sont urgentes. Attendre pour traiter l’IA comme une technologie “émergente” n’est plus une option. Elle est déjà intégrée dans les flux de travail, déjà porteuse de données sensibles, et elle est déjà le principal vecteur de perte de données en entreprise.
Le périmètre des entreprises a encore évolué, cette fois vers le navigateur. Si les responsables de la sécurité ne s’adaptent pas, l’IA ne façonnera pas seulement l’avenir du travail, mais elle dictera également l’avenir des violations de données.
Le nouveau rapport de recherche de LayerX offre une vision sans précédent de l’utilisation réelle de l’IA et des SaaS au sein des entreprises, alors que les équipes de sécurité tentent de comprendre leur véritable exposition et comment se protéger. Ce rapport fournit la clarté et les recommandations nécessaires pour agir avec confiance.
Points à retenir
- Les flux de données sensibles vers des outils d’IA générative sont croissants, un risque qui nécessite une attention particulière.
- La sécurité des données doit inclure la surveillance des pratiques de copie/collage, un vecteur souvent négligé.
- Les employés mélangent fréquemment comptes personnels et professionnels, compliquant la traçabilité.
- Penser la sécurité de l’IA comme essentielle pourrait radicalement changer la façon dont les entreprises gèrent leurs données.
- Il est nécessaire de prioriser les outils à haute sensibilité et d’instaurer des contrôles stricts pour diminuer les risques liés à leur utilisation.
En somme, la montée de l’IA dans les entreprises représente un défi qui requiert une réflexion approfondie sur les stratégies de sécurité. La transition vers de nouveaux outils et méthodes de travail n’est pas sans conséquences, et les entreprises doivent s’engager à mettre en place des solutions adaptées pour prévenir les fuites de données. Que doit-on attendre de cette révolution numérique, et quelles mesures faut-il anticiper pour se préparer à l’avenir?