IA au travail : PwC pointe un flou sur la responsabilité

PwC constate une absence de titulaire clair pour la gouvernance et la sécurité de l’IA dans les entreprises. Des experts de la cybersécurité proposent d’appliquer aux agents d’IA les mêmes contrôles d’identité que pour les utilisateurs humains, sans se substituer à un encadrement managérial.

Des contrôles d’identité proposés pour encadrer les agents d’IA

Jim Taylor, directeur produit et stratégie chez RSA, recommande d’utiliser les mêmes contrôles d’identité que pour les utilisateurs humains afin de gérer l’IA agentique. Chaque modèle d’IA ou chaque instance déployée dispose d’une identité propre, à laquelle sont rattachés des identifiants, des droits d’accès aux ressources, et la capacité d’agir pour le compte d’un salarié. Les principes du zero-trust, l’usage de l’authentification multi-facteurs ainsi que d’autres mesures de contrôle d’accès sont déjà employés pour valider les identités humaines ; Taylor propose d’étendre ces pratiques à tout déploiement d’IA agentique. Cette méthode ne se substitue pas à la surveillance exercée par la direction. Selon lui, renforcer la sécurité via des contrôles de gouvernance pour l’IA agentique peut mieux préparer les organisations aux risques continus associés à l’IA.

PwC constate l’absence d’un responsable unique de l’IA

PwC constate qu’aucun rôle unique n’assume clairement la gestion et la sécurité de l’IA agentique. La sensibilisation aux avantages et aux inconvénients de l’IA atteint toutefois le niveau des conseils d’administration dans environ la moitié des entreprises. Pour PwC, la chaîne de responsabilité autour du déploiement, de la surveillance et de la sécurité de l’IA n’est pas encore définie.

La répartition actuelle des rôles reste éclatée

29 % des PDG et responsables de la sécurité et des risques estiment que la responsabilité revient au CIO, CTO ou à un rôle technologique équivalent. 17 % l’attribuent au CISO ou aux équipes de cybersécurité, tandis que 26 % considèrent qu’elle devrait revenir à un leader IA dédié ou à une fonction IA. Pour 11 % des répondants, la responsabilité demeure floue et partagée entre plusieurs rôles. Par ailleurs, près d’un tiers des organisations, soit environ 33 %, ont embauché des profils spécifiquement dédiés à l’IA, comme des responsables IA ou des administrateurs experts. Concernant la gouvernance globale, 47 % des personnes interrogées rapportent que la cybersécurité est inscrite à l’agenda des conseils d’administration, et neuf dirigeants sur dix affirment disposer de mécanismes tels que la supervision par le conseil, la responsabilité des cadres dirigeants et l’intégration des risques d’entreprise.

Un déploiement de l’IA étendu mais porteur de risques

L’adoption de l’IA s’étend des applications d’entreprise aux chatbots de livraison, portée par des modèles agentiques et des LLMs. Pour les entreprises, il s’agit d’un levier pour optimiser les opérations, limiter les interventions manuelles, soutenir la recherche et l’analyse, et alléger la charge de travail des collaborateurs. Cette généralisation s’accompagne de menaces tangibles : modèles non maîtrisés, attaques qualifiées d’amicales par des IA, plusieurs milliers d’incidents de sécurité en lien avec l’IA actuellement en cours d’examen, et agents qui deviennent de nouveaux vecteurs d’accès aux réseaux. Ces éléments sont issus du rapport Digital Trust Insights 2027 de PwC, publié un vendredi, qui repose sur les réponses d’environ 4 000 dirigeants répartis dans 71 pays.