Le point aveugle de l’IA dans la gouvernance de la cybersécurité
Les entreprises adoptent rapidement des solutions d’IA pour la détection des menaces, mais elles négligent souvent la mise en place d’une gouvernance adaptée. Cette déconnexion entre technologie et gouvernance crée un risque majeur, notamment en Amérique latine où les incidents de ransomware ont presque doublé en 2025.
Contexte actuel
Malgré la mise en œuvre d’un système d’IA qui a réduit le temps de réponse aux incidents de plus de 60 %, de nombreuses organisations restent vulnérables parce qu’elles n’ont pas développé de cadre de gouvernance capable de superviser ces outils. Les cadres de sécurité traditionnels, conçus pour protéger les réseaux et les serveurs, ne sont pas adaptés aux modèles d’IA qui apprennent et évoluent en permanence.
Les lacunes de la gouvernance
Les conseils d’administration sont souvent dépassés par la vitesse d’adoption de l’IA. Ils approuvent des projets sans comprendre les implications en termes de risques d’exposition et de responsabilités. Cette situation conduit à une défaillance de la gouvernance, où l’IA devient une boîte noire ou, pire, une nouvelle surface d’attaque.
Cinq piliers de gouvernance efficaces
1. Propriété claire du risque : désigner un responsable exécutif clairement identifié pour les risques liés à l’IA.
2. Cadres adaptés : utiliser des normes reconnues (NIST AI RMF, ISO/IEC 42001) et les ajuster aux opérations spécifiques de l’entreprise.
3. Audit continu : mettre en place des revues périodiques du modèle d’IA, avec documentation et preuves d’évaluation.
4. Formation des dirigeants : former le conseil aux fondamentaux des risques d’IA afin qu’ils puissent poser les bonnes questions.
5. Exercices incluant des scénarios d’IA : intégrer l’IA dans les plans de continuité d’activité et les simulations d’incident.
Exemple d’application au Mexique
En 2025, les nouvelles directives ouvertes de données au Mexique ont intégré la sécurité et la confidentialité dès la conception des publications de données. Cette approche « design with security from the start » illustre comment les cadres peuvent évoluer pour couvrir les risques liés à l’IA.
Conséquences de l’absence de gouvernance
Lorsque les équipes techniques identifient les risques mais n’ont pas l’autorité d’arrêter un projet, et que le conseil possède l’autorité mais manque de vocabulaire technique, le projet échoue souvent. Cette asymétrie entraîne des incidents qui pourraient être évités par une gouvernance robuste.
Conclusion
La gouvernance de l’IA ne doit pas être considérée comme une option, mais comme une responsabilité fiduciaire essentielle pour les conseils d’administration, surtout dans les secteurs fortement régulés. Une gouvernance proactive, basée sur les cinq piliers présentés, permet de transformer l’IA d’une menace potentielle en un atout sécurisé pour la cybersécurité.