# PwC alerte sur le retard face aux cyberattaques visant l’IA > PwC révèle que la protection de l’IA constitue la principale lacune de préparation cyber pour la moitié des responsables sécurité interrogés. Type : Actualité IA · Catégorie : Stratégie · Publié le 2026-10-14 · Signal IA - Order & Chaos · Secteur : Cybersécurité Source : https://www.orderchaos.eu/signal-ia/actu/pwc-revele-langle-mort-cyber-majeur-proteger-lia Tags : gouvernance, cybersécurité, agents autonomes, risque tiers, shadow ia, ia-entreprise --- ## En résumé - PwC identifie la protection de l’IA comme la principale lacune cyber pour la moitié des responsables sécurité. - KPMG indique que 49 % des organisations limitent les accès des agents autonomes dans les scénarios à haut risque. - Les entreprises doivent attribuer chaque agent à un responsable humain nommé selon George Gerchow. **Le signal :** La moitié des responsables sécurité interrogés par PwC citent la protection de l’IA comme leur principale lacune de préparation. **Adoption accélérée** Les entreprises déploient l’IA dans leurs opérations, notamment avec des [agents autonomes](/signal-ia/actu/darktrace-devoile-lia-fantome-qui-echappe-aux-entreprises) et des outils de sécurité enrichis. Cette adoption progresse souvent plus vite que les garde-fous nécessaires à la protection des systèmes et des données clients. Un rapport publié en octobre par PwC indique que les entreprises sont moins préparées à se défendre contre les cyberattaques visant les systèmes d’IA. La moitié des responsables sécurité interrogés citent cette protection comme leur principale lacune de préparation. Elle dépasse les menaces liées au nuage informatique, aux violations chez les prestataires et aux rançongiciels. L’étude repose sur une enquête menée auprès de plus de 3 900 responsables dans 71 pays. [Consulter l’analyse de PwC](https://www.pwc.com/us/en/services/consulting/cybersecurity-data-tech-risk/library/global-digital-trust-insights.html) **Responsabilité fragmentée** La [gouvernance](/signal-ia/actu/crest-accredite-10-entreprises-pour-lia-en-tests-dintrusion) de l’IA souffre aussi d’une attribution incertaine des responsabilités. Les entreprises ne disposent pas encore d’un modèle unique pour décider qui pilote les déploiements et les mesures de protection. Selon PwC, moins de 30 % de la responsabilité liée à l’IA revient aux directeurs des systèmes d’information, aux directeurs techniques ou à d’autres responsables technologiques. Environ un quart des organisations ont nommé un responsable dédié à l’IA. Seules 17 % déclarent que cette responsabilité revient au responsable de la sécurité des systèmes d’information. Tonya Ugoretz, de PwC, estime que l’opportunité et le risque liés à l’IA doivent être considérés ensemble. Ces données placent la définition d’un propriétaire clairement identifié au centre des arbitrages de direction. ## Les agents exigent un responsable humain **Accès des agents** Les outils d’IA autonome reçoivent parfois des accès étendus aux systèmes de l’entreprise. Les responsables du risque cyber surveillent donc leur capacité d’action et le niveau de contrôle humain disponible. George Gerchow, responsable de la sécurité chez Bedrock Data, recommande de traiter chaque agent comme une nouvelle identité. Il demande aussi de lui attribuer un propriétaire humain nommé. Un agent hérite des droits de la personne ou du compte utilisé pour son exécution. Le troisième rapport trimestriel de KPMG indique que 49 % des organisations ont défini des scénarios à haut risque limitant l’accès des agents autonomes. Cette proportion atteignait 28 % au même trimestre l’année précédente. [Voir l’étude de KPMG](https://view.ceros.com/kpmg-design/kpmg-genai-study/p/1?utm_content=0e7b3ecc-2f61-49b4-b277-ee043137d1ec) **Prestataires connectés** Les outils d’IA fournis par des tiers constituent un autre point de contrôle. De nombreuses entreprises les utilisent au lieu de développer leurs propres produits. Ces solutions peuvent disposer d’un accès étendu aux informations sensibles et aux systèmes connectés. Les responsables sécurité risquent alors de manquer de visibilité sur certaines connexions. Les outils d’IA peuvent accéder à des informations que les dispositifs de sécurité existants ne voient pas. Pasha Sternberg, avocat spécialisé chez Polsinelli, considère l’évaluation des fournisseurs sous les angles technique et cyber comme une exigence importante. Cette évaluation concerne donc les droits accordés, les connexions établies et les données accessibles. Elle complète les contrôles appliqués aux systèmes internes avant le déploiement des solutions concernées. ## Les usages clandestins échappent aux contrôles **Applications non autorisées** Le shadow IA désigne les outils d’IA utilisés sans autorisation ni évaluation de l’organisation. Des salariés téléchargent ces applications pour accroître leur productivité, apprendre une compétence ou répondre à un besoin personnel. Les entreprises disposent souvent d’une visibilité limitée sur ces usages et sur leurs interactions avec les systèmes internes. Elles peuvent aussi manquer d’informations sur les données clients concernées. Le Centre national de [cybersécurité](/signal-ia/actu/cisco-verrouille-chaque-agent-autonome-avec-une-identite) britannique a averti les entreprises que le shadow IA pouvait introduire des risques non intentionnels dans leur environnement. Sarah Glover, avocate chez Polsinelli, résume la difficulté ainsi : il est difficile de sécuriser et de gérer ce qui reste inconnu. [Lire l’avertissement du NCSC](https://www.ncsc.gov.uk/blogs/the-hidden-risks-of-shadow-ai)