Pourquoi la plupart des RSSI naviguent à l'aveugle dans l'adoption de l'IA (et comment ils peuvent retirer leur bandeau)

Pour ceux qui sont plongés au cœur de l'implémentation de l'IA dans les écosystèmes de développement logiciel en entreprise, rares sont ceux qui voudraient être à la place de leur CISO en ce moment. Les préoccupations de sécurité se multiplient à mesure que les processus sont augmentés par l'IA. Entre le choix de modèles compatibles avec la pile technologique, les développeurs utilisant l'IA fantôme et, de manière générale, le déluge de code généré par l'IA qui souligne que le fossé des compétences en sécurité n'est pas près de se combler, leur rôle déjà complexe devient chaque mois plus difficile.

L'expression « gouvernance de l'IA » est invoquée pour répondre à ces défis, présentée comme une solution universelle pour une intégration et une utilisation sécurisées de l'IA, même par ceux qui ne sont pas experts en sécurité. Bien que ce soit une solution, il est difficile de l'appliquer selon les meilleures pratiques de sécurité lorsque le stade d'adoption de l'IA par l'entreprise n'est pas clair.

Même en se concentrant uniquement sur les développeurs, l'adoption de l'IA varie au sein des équipes. Certains se contentent de poser quelques questions à Copilot, l'utilisant comme un forum de discussion traditionnel, tandis que d'autres expérimentent des systèmes d'IA agents qui représentent un bond significatif en termes d'autonomie, de puissance et d'accès à des bases de code potentiellement sensibles. Une gamme de modèles de langage de pointe et open source est utilisée pour générer du code, les agents utilisent la technologie MCP (Model Context Protocol) et des compétences pour accéder à des outils externes, et des attaques innovantes sur la chaîne d'approvisionnement mettent tout l'écosystème en alerte. Ce comportement augmente considérablement la surface d'attaque d'une organisation, et la maîtrise de ce risque croissant empêche les responsables de la sécurité de dormir.

Comment convaincre les retardataires d'accélérer et les rassurer sur les résultats des outils d'IA dans le développement logiciel, tout en les sensibilisant aux erreurs de sécurité que ces outils continueront de commettre ? Comment convaincre les pionniers de ne pas aller trop vite avec l'ingénierie agentique, exposant ainsi votre organisation à des risques incontrôlés et inconnus ? Le message « Avancer vite, mais pas trop vite » semble être la seule approche sensée pour un CISO aujourd'hui.

Lorsque la traçabilité et l'observabilité des outils d'IA sont en place, l'efficacité sécuritaire de l'outil et de l'utilisateur, ainsi que la sécurité des commits qu'ils sont autorisés à effectuer, sont les points de données clés à prendre en compte lors de la mise à jour d'un programme de sécurité pour l'ère de l'IA.

Nous devons apprendre à évaluer honnêtement le stade d'adoption de l'entreprise, et nous avons des orientations passionnantes à partager avec vous à ce sujet.

Aujourd'hui, Secure Code Warrior a publié un tout nouveau livre blanc présentant un modèle d'adoption de l'IA prescriptif et directionnel que les responsables de la sécurité peuvent utiliser pour identifier leur stade d'adoption et progresser concrètement dans la maîtrise des risques liés à l'IA au sein de leur organisation.

Qu'est-ce qu'un modèle d'adoption de l'IA et pourquoi en avons-nous besoin ?

Les développeurs ne peuvent plus se contenter d'écrire du code ; ils doivent devenir des créateurs et des orchestrateurs. Nous assistons à la transition du cycle de vie du développement logiciel (SDLC) traditionnel vers le cycle de vie du développement agentique (ADLC), et peu sont préparés à le gérer de manière sûre et efficace.

L'adoption de l'IA ne se limite plus à l'ingénierie traditionnelle. Aujourd'hui, même les employés non développeurs créent des applications à l'aide d'outils « no-code » et de « vibe coding », ce qui contribue de manière significative au profil de risque global d'une organisation. Face à une surface d'attaque qui s'étend plus vite que les contrôles traditionnels, les responsables de la sécurité des systèmes d'information (RSSI) me posent constamment une question cruciale : par où commencer ?

Les RSSI ont désespérément besoin d'une approche de la gouvernance de l'ADLC aussi moderne que la méthodologie elle-même : une approche conçue spécifiquement pour la nature évolutive et adaptative de l'IA agentique. C'est précisément pour cette raison que nous avons lancé ce modèle d'adoption de l'IA. Il représente une pièce maîtresse du puzzle de la défense pour les RSSI, à une époque où ils recherchent une visibilité accrue et des plans adaptatifs correspondant à leur stade d'adoption. Nous avons conçu ce cadre pour aider les organisations à transformer l'adoption et la gouvernance sécurisées de l'IA, passant d'un exercice réactif à une discipline mesurable et évolutive.

Que peuvent retenir les responsables de la sécurité dès maintenant ?

Le modèle sert de feuille de route pratique qui organise le développement de l'IA en trois phases distinctes : Assisté par l'IA, IA native et Agentique. Pour un RSSI, l'avantage principal de ce cadre est sa capacité à connecter de manière transparente l'utilisation de l'IA, les compétences des développeurs et les signaux de risque logiciel. Comme toutes les utilisations de l'IA ne présentent pas le même risque, ce modèle fournit une carte claire pour identifier précisément où se situe l'organisation aujourd'hui, éclairant ainsi les décisions stratégiques en matière d'IA.

En définissant les contrôles de gouvernance spécifiques requis à mesure que l'autonomie de l'IA augmente, ce modèle d'adoption permet aux RSSI de proposer une formation ciblée adaptée au niveau de chaque développeur. Les analystes prédisent que d'ici 2027, plus de 40 % des projets d'IA agentique seront abandonnés en raison de coûts incontrôlés et de contrôles des risques insuffisants. La réponse à cette menace ne consiste pas simplement à utiliser davantage d'IA pour détecter les erreurs générées par l'IA. Le véritable atout pour les RSSI est de disposer d'un cadre qui forme les développeurs à utiliser l'IA correctement dès le départ, évitant ainsi les vulnérabilités répétées tout en démontrant un retour sur investissement tangible et mesurable.

‍

DÉCOUVRIR LE CADRE

EN SAVOIR PLUS : SCW Trust Agent : IA