IA fantôme : révéler les risques cachés dans votre entreprise

Imaginez qu’une grande société de services financiers découvre une fuite de données financières sensibles sur ses clients. La fuite n’est pas due à une cyberattaque sophistiquée ni à un employé mécontent, mais à un analyste bien intentionné qui a collé des données de transactions dans un outil d’IA public pour générer des analyses. Ce n’est qu’un exemple du phénomène croissant de « l’IA fantôme », qui crée des risques invisibles dans les organisations du monde entier.

Les quatre visages de l’IA fantôme : reconnaître la menace

L’IA fantôme désigne l’utilisation, le développement, le déploiement, le stockage ou le partage non autorisés de systèmes, de modèles, d’API, de bibliothèques logicielles d’IA et de pipelines de données associés, en dehors du périmètre de visibilité de la gouvernance et des contrôles de sécurité établis par l’organisation. Contrairement à l’adoption des technologies en général, l’IA introduit des risques spécifiques en raison de sa complexité, de ses besoins en données, de sa nature dynamique et de sa capacité à agir de manière autonome.

Elle se manifeste sous quatre formes distinctes, qui nécessitent chacune des méthodes de détection et de gestion différentes :

1. Utilisation non autorisée de services d’IA publics ou commerciaux : les employés accèdent à des outils d’IA en ligne avec leurs identifiants personnels, sans passer par les processus d’approvisionnement informatique ni les contrôles de sécurité.
   Exemple : une équipe marketing utilise Claude pour rédiger des propositions de campagne sensibles.

2. Intégration non maîtrisée de composants d’IA : les développeurs intègrent des éléments non vérifiés (modèles, bibliothèques, API) dans les systèmes internes sans approbation officielle.
   Exemple : un développeur télécharge des modèles pré-entraînés depuis Hugging Face pour une application destinée aux clients.

3. Solutions d’IA développées sur mesure et hors de tout contrôle : les équipes créent des modèles d’IA personnalisés pour répondre à des besoins métier spécifiques, en dehors des structures de gouvernance.
   Exemple : un data scientist utilise Python sur son ordinateur personnel pour créer un modèle de risque de crédit.

4. Utilisation abusive de plateformes d’IA autorisées : utilisation non conforme de plateformes approuvées, par exemple en entraînant des modèles sur des jeux de données inappropriés ou en contournant les processus de validation.
   Exemple : un analyste utilise Azure ML, pourtant approuvé, pour entraîner des modèles avec des données clients non chiffrées.

Pourquoi l’IA crée des risques spécifiques

Si l’IA fantôme présente des similitudes avec le shadow IT traditionnel, ses fondements techniques posent des problèmes plus complexes, auxquels les approches de gouvernance classiques ne peuvent répondre.

Les outils de détection traditionnels, comme les passerelles de sécurité pour l’accès au cloud (CASB), ne parviennent généralement pas à repérer les risques propres à l’IA, tels que les vulnérabilités liées à l’injection de prompt, les biais des modèles ou la gestion non sécurisée des résultats générés par les modèles. Pour combler cette lacune, il faut adopter une approche plus sophistiquée, intégrant des contrôles de sécurité et des cadres de gouvernance propres à l’IA.

Pourquoi les employés se tournent vers l’IA fantôme (malgré les risques)

Comprendre les raisons qui favorisent l’adoption de l’IA fantôme est essentiel pour élaborer des stratégies de gouvernance efficaces. Les employés n’agissent généralement pas avec de mauvaises intentions : ils répondent à des besoins métier légitimes et à des limites techniques.

Les limites des infrastructures approuvées incitent les utilisateurs à chercher ailleurs :

• Les outils approuvés ne disposent pas des fonctionnalités de pointe offertes par les nouvelles solutions externes.

• Les démarches d’approvisionnement bureaucratiques et les longues évaluations de sécurité génèrent des retards frustrants.

• Les ressources limitées et les performances insuffisantes des environnements approuvés nuisent à la productivité.

Dans le même temps, l’offre externe en matière d’IA est très tentante :

• Des outils d’IA sophistiqués, dotés d’interfaces intuitives, sont accessibles en ligne, souvent gratuitement.

• Des API et des SDK bien documentés simplifient l’intégration sur le plan technique.

• Le soutien de la communauté réduit les efforts nécessaires à la mise en œuvre des solutions.

Les impératifs métier encouragent encore davantage le contournement des processus officiels :

• Les délais serrés des projets imposent un développement et un déploiement rapides.

• Les équipes ont besoin de fonctionnalités d’IA spécialisées, absentes des plateformes d’entreprise généralistes.

• Une gouvernance trop restrictive freine l’innovation et l’expérimentation.

Le principal problème réside dans le décalage entre le rythme rapide de l’innovation en IA à l’extérieur et la capacité des organisations à évaluer et à gouverner ces technologies en toute sécurité. Lorsqu’une organisation évalue et approuve un outil d’IA, les employés ont souvent déjà trouvé et adopté une solution de remplacement plus récente et plus performante.

Stratégies pratiques de gouvernance de l’IA fantôme

Pour gérer l’IA fantôme, il faut adopter une approche équilibrée qui atténue les risques tout en favorisant l’innovation. Les organisations doivent mettre en œuvre une stratégie globale comprenant des cadres de gouvernance, des contrôles techniques et une transformation de la culture.

Mettre en place un cadre de gouvernance adapté

Les organisations ont tout intérêt à adapter les cadres établis à leur contexte :

Mettre en place des contrôles et des mécanismes de détection techniques

La visibilité est le fondement d’une gouvernance efficace :

1. Déployez des outils de découverte de l’IA pour analyser les environnements, répertorier les modèles et identifier les ressources d’IA fantôme.

2. Renforcez la surveillance du réseau pour repérer les connexions aux plateformes d’IA et les flux de données inhabituels.

3. Améliorez la prévention des pertes de données (DLP) pour détecter les informations sensibles transmises aux outils d’IA.

4. Mettez en place des contrôles d’accès fondés sur le principe du moindre privilège pour les sources de données sensibles.

5. Créez des environnements de test pour l’IA afin de permettre l’expérimentation en toute sécurité, sans exposer les données de production.

Proposer des solutions de remplacement approuvées

Traitez les causes profondes de l’adoption de l’IA fantôme :

• Créez une « boutique d’applications d’IA » interne proposant des outils sécurisés et préapprouvés.

• Achetez des versions professionnelles des services d’IA les plus populaires, assorties de contrôles de sécurité adaptés.

• Développez des solutions internes, comme des LLM privés, pour les cas d’usage sensibles.

• Simplifiez les processus d’approbation des nouveaux outils d’IA pour réduire les obstacles.

Intégrer la gouvernance des données

L’IA fantôme et la gouvernance des données sont indissociables :

• Mettez en place des systèmes de classification pour identifier les données sensibles à protéger.

• Cartographiez les flux de données pour comprendre les chemins qu’elles pourraient emprunter vers les systèmes d’IA.

• Définissez des règles d’utilisation claires pour chaque type de données dans les outils d’IA.

• Déployez des contrôles techniques adaptés à la classification des données.

Instaurer une culture de l’IA responsable

La technologie seule ne suffira pas à résoudre le défi de l’IA fantôme :

• Formez les équipes aux risques liés à l’IA, à l’éthique et aux politiques de l’organisation.

• Mettez en place des canaux de signalement sans sanction pour déclarer l’utilisation d’outils non approuvés.

• Créez un centre d’excellence en IA chargé de fournir des conseils et des bonnes pratiques.

• Facilitez la communication entre les utilisateurs métier, l’informatique, la sécurité et les équipes chargées des données.

L’IA fantôme dans l’entreprise de demain

Le défi de l’IA fantôme continuera d’évoluer au gré des avancées technologiques et des changements réglementaires :

Démocratisation accélérée : les fonctionnalités d’IA s’intègrent de plus en plus aux logiciels professionnels courants, ce qui rend leur utilisation non autorisée plus difficile à suivre. Gartner prévoit que plus de 80 % des éditeurs de logiciels intégreront l’IA générative à leurs applications d’ici 2026.

Essor de l’IA agentique : les systèmes d’IA autonomes capables de planifier et d’exécuter des actions introduisent de nouvelles dimensions de risque. Sans supervision, ces agents pourraient entreprendre des actions préjudiciables sur la base de données ou d’une logique erronées.

Pression réglementaire : des cadres comme l’EU AI Act imposent des exigences plus strictes en matière de transparence, d’évaluation des risques et d’auditabilité. Les organisations doivent renforcer dès maintenant leur gouvernance de l’IA pour se préparer aux enjeux de conformité.

Votre plan d’action face à l’IA fantôme

Voici cinq mesures immédiates pour gérer les risques liés à l’IA fantôme dans votre organisation :

1. Réalisez une première évaluation de découverte afin de comprendre l’utilisation actuelle de l’IA dans l’ensemble de l’entreprise.

2. Élaborez et communiquez une politique d’utilisation acceptable de l’IA qui définit clairement les outils approuvés, les cas d’usage soumis à des restrictions et les activités interdites.

3. Mettez en place des contrôles techniques de base, en commençant par empêcher les données sensibles d’être transmises à des services d’IA externes.

4. Créez un processus simplifié permettant aux employés de demander l’évaluation des nouveaux outils d’IA dont ils ont besoin.

5. Lancez une formation de sensibilisation à l’intention de tous les employés sur les risques et les responsabilités liés à l’IA.

La meilleure façon de gérer l’IA fantôme n’est pas d’essayer de l’éliminer : ce serait à la fois irréaliste et potentiellement contre-productif. Il faut plutôt intégrer l’utilisation de l’IA dans un cadre de gouvernance qui concilie les exigences de sécurité et de conformité avec les avantages de ces outils puissants en matière d’innovation et de productivité.

Vous souhaitez en savoir plus sur les dangers que l’IA fantôme fait peser sur votre organisation ? Lisez les cinq façons dont l’IA fantôme menace votre organisation.