L’IA présente de nouveaux types de risques et accélère les processus métier à une vitesse que la plupart des fonctions technologiques et de gestion des risques d’entreprise ne peuvent pas gérer. Voici la recette d’une nouvelle façon de penser qui protège les opérations sans étouffer l’innovation.
À mesure que l’IA s’intègre dans les expériences client, les flux de travail internes et tout au long de la chaîne d’approvisionnement, les responsables de la sécurité sont invités à faire plus que gérer les risques. On leur demande d’aider l’entreprise à prendre des décisions plus éclairées et à agir plus rapidement.
Dans le même temps, l’IA a évolué plus rapidement que les programmes conçus pour la gérer.
Le résultat est un écart croissant entre le rythme de la transformation et la capacité des équipes de sécurité, de gestion des risques, de confidentialité, de conformité et de gestion des risques tiers à comprendre où l’entreprise est exposée.
Avancez vite, ne cassez rien
L’IA introduit des risques tels que l’injection rapide et les jailbreaks, mais les problèmes qui empêchent les RSSI de dormir la nuit sont plus familiers : comptes trop autorisés, mauvaise journalisation, informations d’identification laissées dans d’anciens référentiels, données sensibles dispersées dans les systèmes et contrôles d’accès faibles.
L’IA donne à ces risques plus de rapidité, de portée et d’impact.
Lorsque les agents IA sont connectés aux données, aux flux de travail, aux fournisseurs et aux applications de l’entreprise, le rayon d’action des points faibles existants s’étend rapidement. Un incident de faible gravité devient désormais plus difficile à détecter, plus difficile à résoudre et plus lourd de conséquences pour l’entreprise.
C’est pourquoi les conseils d’administration et les équipes de direction se tournent vers les responsables de la sécurité pour obtenir des conseils proactifs. Ils veulent savoir si l’entreprise peut adopter l’IA à grande échelle sans créer de risque susceptible de nuire à la valeur à long terme.
Le mandat du RSSI a évolué du reporting des risques à la promotion de l’innovation.
Quand tout est risque, rien n’est priorité
Dans de nombreuses organisations, le contexte de risque est réparti entre plusieurs équipes. La sécurité, les achats, la confidentialité, l’informatique et les risques liés aux tiers ont chacun leur propre point de vue.
Cette fragmentation crée des angles morts.
Envisagez un agent IA capable de récupérer les enregistrements clients, d’accéder aux bases de connaissances internes et de déclencher des flux de travail en aval. La sécurité peut savoir que l’agent existe, le service informatique peut savoir où il est déployé et les achats peuvent savoir qui l’a acheté.
Toutefois, sans une vision globale, il devient difficile de déterminer si l’agent dispose des autorisations appropriées, s’il respecte la politique ou comment il pourrait exposer l’entreprise.
Mais la visibilité ne représente que la moitié de la bataille. Alors que les systèmes d’IA, les identités, les fournisseurs et les données évoluent à une échelle vertigineuse, les organisations doivent comprendre si les politiques sont réellement suivies en temps réel.
Un contrôle qui était en vigueur il y a six mois peut ne plus suffire après une nouvelle intégration de l’IA, une mise à jour du fournisseur ou une modification des autorisations.
Les systèmes d’aujourd’hui sont trop dynamiques pour être régis par le même modèle opérationnel qui fonctionnait pour la pile technologique d’hier.
De l’examen des risques à la décision en matière de risques
Les RSSI sont désormais invités à aider l’entreprise à décider, de manière rapide et défendable, de ce qui peut avancer, de ce qui nécessite des garde-fous et de ce qui doit s’arrêter. Remplir ce mandat nécessite une approche différente :
- Traitez le risque lié à l’IA comme faisant partie du risque d’entreprise et non comme une discipline distincte. L’IA est intégrée aux mêmes décisions que les organisations prennent déjà concernant les données, les fournisseurs, les identités, les contrôles et les processus métier.
- Commencez par le processus métier et le contexte, pas par le modèle. Comprenez quels processus dépendent de ce système, les données qu’il touche et ce qui se passe en cas d’échec.
- Passez d’une approbation unique à une assurance continue. Ce qui compte n’est pas de savoir si un projet d’IA a été examiné avec succès il y a six mois, mais s’il fonctionne aujourd’hui dans le cadre des politiques de l’organisation et de son appétit pour le risque.
- Mesurez la vitesse de décision. Démontrez avec quelle rapidité l’organisation est capable de déterminer ce qui avance, ce qui nécessite des garde-fous et ce qui doit s’arrêter.
Lorsque les risques sont liés à l’ensemble de l’entreprise, les priorités deviennent claires. Les responsables de la sécurité peuvent comprendre non seulement ce qui doit être traité, mais aussi ce qui compte le plus, à qui appartient cette tâche et quel pourrait être l’impact sur l’entreprise.
Lorsqu’il existe une compréhension commune de l’utilisation approuvée, les équipes peuvent avancer plus rapidement sans s’appuyer sur des examens ad hoc, des questionnaires statiques ou des restrictions générales. L’objectif est de rendre la technologie et les risques liés aux tiers visibles, hiérarchisés et exploitables au rythme où l’entreprise fonctionne actuellement.
Ce changement aide les responsables de la sécurité à dire « oui » en toute confiance.
Sauvegarder la transformation et étendre l’innovation
Je connais la pression que subissent actuellement de nombreux RSSI. Votre champ d’action s’agrandit tandis que les ressources continuent de diminuer.
Votre direction vous demande de protéger toutes les facettes de l’organisation, de prendre en charge les exigences croissantes en matière de risque et de conformité et, désormais, d’être une voix clé dans l’orientation de la stratégie commerciale.
Lorsque vous savez clairement quels sont les risques réellement importants et que vous disposez des outils nécessaires pour agir, votre programme de gestion des risques peut devenir un moteur d’innovation responsable et évolutive.
