[Partie 3] L’IA en entreprise : Sécuriser l’IA entre accélération des usages et nouveaux défis de gouvernance

Interview croisée Løvell x Alexandre Bounpheng

A propos de cet article

Dans ce troisième et dernier épisode de notre série d’article sur l’IA en entreprise, nous vous présentons un RETEX d’une mission d’accompagnement auprès d’un de nos clients pour piloter ses activités d’Intégration de la Sécurité dans ses Projets (ISP) d’IA.

NB : Afin de préserver la confidentialité du client, les cas d’usage et les informations mentionnés dans cet article sont présentés de manière volontairement générale et anonymisée.

Pour rappel, nous avions dans le premier épisode et second épisode échangés avec Dimitri Foucault, fondateur de TsunamIA et d’Intégralité Consulting, qui accompagne au quotidien des PME, ETI et grands comptes dans leur adoption de l’IA générative. Nous y avions abordé le sujet des cas d’usage actuels, des profils d’entreprises concernées, des freins à l’adoption et de la gouvernance, des tendances à venir (agents, applications sur mesure, …), des enjeux de cybersécurité, de la position de la France et de la soutenabilité du marché.

I – Cas d’usage, profils d’entreprises et gouvernance

Dans le premier épisode, nous avons échangé avec Dimitri Foucault, fondateur de TsunamIA et d’Intégralité Consulting, qui accompagne au quotidien des PME, ETI et grands comptes dans leur adoption de l’IA générative. Nous avons abordé le sujet des cas d’usage actuels, des profils d’entreprises concernées, des freins à l’adoption et de la gouvernance.

II – Tendances, cybersécurité et avenir 

Dans ce second épisode, nous avons poursuivi nos échanges avec Dimitri, et nous nous sommes concentrés sur les tendances à venir (agents, applications sur mesure, …) les enjeux de cybersécurité, la position de la France et la soutenabilité du marché. 

III – Sécuriser l’IA en entreprise : entre accélération des usages et nouveaux défis de gouvernance 

Interview d’Alexandre Bounpheng, expert en gestion des risques intervenant au sein d’un grand groupe industriel international du secteur des matériaux et spécialités chimiques, comptant environ 13.000 collaborateurs à travers le monde. L’entreprise a lancé ses premiers cas d’usage en intelligence artificielle très tôt et développe aujourd’hui un portefeuille non négligeable de cas d’usage, couvrant des domaines tels que l’optimisation des processus, l’aide à la décision et l’amélioration des opérations. Dans ce contexte, la mission d’Alexandre consiste à assurer l’intégration des exigences de sécurité dans les projets d’intelligence artificielle et à accompagner la maîtrise des risques associés. 

Introduction

Løvell : Présente-toi ? Quel est ton poste/tes responsabilités chez le client ? Que fait-il lui ? 

Je suis Alexandre, Consultant senior et manager chez Lovell. Je suis expert en analyse de risques et interviens depuis maintenant 18 mois pour un client dans la définition et le déploiement d’un processus d’intégration de la sécurité de l’IA dans l’ensemble des projets du groupe.

Løvell : Donne-moi une définition simple de l’IA. 

L’intelligence artificielle (IA) regroupe des systèmes capables d’analyser des données, de générer du contenu ou de prendre des décisions de manière automatisée, en s’appuyant sur des modèles statistiques et d’apprentissage. Aujourd’hui, avec les modèles de type LLM (Large Language Models), elle devient accessible à grande échelle (c’est d’ailleurs l’un des principaux risques si cet usage n’est pas strictement encadré) et s’intègre directement dans les usages métiers (source de valeur ajoutée significative). 

L’IA au coeur des enjeux métier

Løvell : En quoi l’IA impacte l’activité de ton client ?

L’IA est devenue un levier majeur de transformation. Elle permet des gains de productivité significatifs, notamment en automatisant certains processus métiers et en réduisant les temps de traitement. 

Exemple : une plateforme exploitant l’intelligence artificielle pour simuler des expériences scientifiques, réduire le temps et le budget nécessaires à l’exploration de différentes hypothèses, avant une phase de validation expérimentale en laboratoire. 

Au-delà de l’efficacité opérationnelle, le groupe a une volonté forte de positionnement stratégique : être précurseur dans l’usage de l’IA. Aujourd’hui, l’IA n’est plus un “plus”, elle devient un standard attendu. Dans certains cas, un projet sans composante IA est même remis en question. 

Løvell : Et dans ton contexte, comment sécuriser l’utilisation d’une IA ? 

La première des choses est qu’on ne peut pas agir sur le modèle en lui-même qui est totalement opaque. Partant de ce constat, on se concentre donc essentiellement sur la gouvernance de la data et non pas le modèle en lui-même. 

On agit à trois niveaux : 

• Entrée : traitement de la donnée via sa classification, des règles de DLP…
• Pendant : via la sensibilisation des utilisateurs sur la nature des données, le niveau de confidentialité, la criticité, les usages interdits…
• Sortie : on insiste sur « l’humain »; il reste le seule capable de déterminer
  • si l’IA est entrée dans une phase d’hallucination,
  • si le résultat est cohérent

La prise de recul et l’analyse humaine restent fondamentales. 

Structurer la sécurité dès la conception

Løvell : Quel est le besoin pour lequel Løvell a été sollicité ?

Très tôt, le client a pris conscience que les usages de l’IA introduisent de nouvelles problématiques de sécurité. L’objectif était donc de traiter ces enjeux le plus en amont possible, dans une logique de security by design. Le sujet était donc identifié mais pas encore traité. 

Concrètement, mon travail s’est traduit par :

• l’adaptation d’un framework de sécurité (ISP) des projets d’IA,
• l’intégration des enjeux IA dès la phase d’identification des projets

Apport de l’accompagnement

Løvell : Quels sont les bénéfices de travailler avec nous ? 

Dans ce contexte particulier, l’accompagnement a permis plusieurs avancées structurantes :

• un renforcement des processus de sécurité existants, 
• l’identification de nouveaux risques spécifiques à l’IA, 
• l’industrialisation des pratiques de sécurisation, 
• et une montée en compétence des équipes (Product Managers, Service Owners).

L’expertise apportée par le cabinet – par moi-même et via les autre consultants certifiés Løvell que je peux ponctuellement sollicités, et nos premiers retours terrain constituent un accélérateur clé. 

Au-delà de la structuration de la démarche de security by design, cela a également permis d’introduire une logique de sécurité continue, incluant la supervision des usages et comportements des systèmes d’IA en production. 

IA en entreprise : opportunités et nouveaux risques

Løvell : Comment vois-tu l’évolution de l’IA en entreprise ? Ses défis, ses risques majeurs et les solutions associées ?

L’adoption de l’IA va continuer à s’accélérer, notamment avec l’émergence d’agents IA capables d’exécuter des actions (appels API, automatisation de tâches, interaction avec des systèmes internes…). 

Cela change profondément le paradigme : on ne sécurise plus seulement un modèle, mais un système capable d’agir de manière autonome.

Risques principaux

Parmi les principaux risques que l’on peut recenser, voici une liste non exhaustive qui me semble pertinente :

• Fuite de données sensibles (prompts, documents injectés)
• Dépendance à un LLM ou à un fournisseur
• Data poisoning / manipulation du modèle
• Risque réglementaire (traitement de données dans des environnements hors cadre)

Par ailleurs, avec les agents IA, de nouveaux risques apparaissent :

• Prompt injection (manipulation des instructions)
• Utilisation abusive d’outils ou d’API
• Comportements non maîtrisés d’agents autonomes
• Problèmes d’identité et de traçabilité (qui agit réellement ?)

Ces risques s’inscrivent dans un paysage désormais largement documenté par des référentiels spécialisés. Le MIT AI Risk Repository¹ recense plusieurs centaines de risques couvrant non seulement les aspects de cybersécurité, mais également la gouvernance, la confidentialité, la robustesse des modèles, les biais ou encore les impacts organisationnels et sociétaux. En complément, des référentiels plus opérationnels, tels que l’OWASP Top 10 dédié aux applications et agents IA, mettent en évidence les principales vulnérabilités techniques, comme les attaques par prompt injection ou l’utilisation abusive d’outils. Cette structuration progressive des risques illustre la montée rapide en maturité du domaine et la nécessité d’une approche de gestion des risques adaptée aux systèmes d’intelligence artificielle.

Défis opérationnels

Au-delà des risques introduits par ces nouvelles technologies, les entreprises doivent faire face à de nouveaux défis opérationnels parmi lesquels :

• Trouver l’équilibre entre productivité et sécurité 
• Encadrer des systèmes capables d’agir sans supervision directe 
• Assurer une traçabilité des décisions et des actions 
• Adapter des frameworks de sécurité historiques à des systèmes non déterministes

Et tout ça en intégrant la remise en question des modèles traditionnels de gouvernance, car les systèmes d’IA peuvent désormais prendre des décisions et interagir avec leur environnement.

Solutions et approches

Løvell : Maintenant que le contexte est posé, sur quoi et comment peut-on agir ?

En complément des briques classiques (mais toujours indispensables) :

• DLP (Data Loss Prevention) 
• Labellisation obligatoire des données 
• Sensibilisation des utilisateurs 
• Cartographie des usages LLM  

On voit émerger des approches plus dédiées :

• Gouvernance à l’exécution (runtime) : contrôler les actions de l’IA pendant son fonctionnement 
• Policy enforcement en temps réel : validation des actions avant exécution 
• Approche Zero Trust appliquée aux agents IA 
• Isolation et contrôle des environnements d’exécution 
• Supervision continue des comportements   

Prospectif : casser les idées reçues

Løvell : Quelle est la fausse idée sur l’IA que tu entends le plus ? 

Plusieurs idées reçues persistent :

• “L’IA fait toujours gagner du temps” → ❌ faux, il est indispensable de maîtriser la formalisation de prompts notamment 
• “L’IA est fiable par défaut” → ❌ faux, les hallucinations sont fréquentes 
• “L’IA intègre nativement la sécurité” → ❌ faux, nous l’avons démontré dans nos échanges 
• “L’IA challenge automatiquement les résultats” → ❌ faux, et c’est d’ailleurs le principal rôle de nous autres êtres humains
• “L’IA reste un outil passif” → ❌ faux, elle peut désormais agir de manière autonome 

Løvell : À l’inverse, qu’est-ce qu’on n’entend pas assez ?

Deux sujets sont encore à mon sens, sous-estimés :

• Le caractère très intrusif de l’IA si les droits sont mal maîtrisés 
• Son coût énergétique, parfois disproportionné pour des usages simples ; les recherches Google restent bien moins consommatrices pour du tout venant

Les métiers de demain

Løvell : Quels sont les métiers qui vont émerger autour de l’IA ?

Plusieurs rôles devraient fortement se développer :

• Prompt manager / AI Product Owner 
• Risk manager spécialisé IA 
• Expert en validation et contrôle des flux IA 
• Architecte de gouvernance des agents 

On voit également émerger des profils dédiés à la sécurité à l’exécution :

• AI Runtime Security Engineer 
• AI Governance Lead

Ouverture

Løvell : Si tu devais recommander un expert à interviewer sur ce sujet ? 

Il serait pertinent d’aller interroger :

• Des experts travaillant sur différents modèles de LLM, pour comparer la sécurisation des différents modèles. On peut penser notamment à Bertrand Braunschweig : ancien président de l’Association française pour l’intelligence artificielle (AfIA) et coordinateur scientifique de la stratégie nationale IA. Il travaille notamment sur l’IA de confiance, la gouvernance et l’évaluation des systèmes d’IA. 
• Ou des acteurs impliqués dans la “course aux modèles”, afin de mieux comprendre les dynamiques actuelles d’évolution de l’IA. Pour ces sujets, il semblerait intéressant d’interroger Arthur Mensch, figure centrale de l’IA française, très actif sur les questions de souveraineté européenne, d’ouverture des modèles et d’évolution de l’écosystème IA ; ou encore les cofondateurs de Mistral AI, Guillaume Lample et Timothée Lacroix, qui sont également des références techniques.

Merci pour ta contribution Alexandre !

1. https://airisk.mit.edu/ ↩︎