Sécurité des données et IA d’entreprise, comment protéger les données sensibles
L’intégration de grands modèles de langage et de systèmes d’IA agentique transforme la façon dont les organisations traitent les informations stratégiques. Pour générer de la valeur et des services personnalisés, les architectures automatisées nécessitent un accès direct aux dossiers commerciaux les plus sensibles. Cette nécessité crée une pression opérationnelle constante dans les départements technologiques, appelés à équilibrer la recherche de compétitivité avec la nécessité de garantir une sécurité maximale des données.
Dans une interview axée sur la protection des architectures d’entreprise, Todd Vancil, vice-président de l’équipe d’ingénierie commerciale de Securiti AI, et Daniel Faggella, PDG d’Emerj et responsable de la recherche, ont analysé les dynamiques qui poussent les entreprises à redéfinir leurs stratégies de gouvernance et la conservation des informations sensibles.
La centralité des informations confidentielles à l’ère de l’intelligence artificielle
La transformation numérique impulsée par les nouvelles technologies de machine learning repose sur un principe structurel : la qualité et l’efficacité des systèmes dépendent des actifs informationnels utilisés pour les former ou les alimenter. Comme le souligne Vancil, la valeur stratégique de l’IA est étroitement liée à l’utilisation des contenus les plus confidentiels détenus par les organisations.
« Si nous prenons du recul, peut-être avec une vue de 30 000 ou 40 000 pieds du paysage de l’IA, en fin de compte, l’élément vital de l’IA, ce sont les données, n’est-ce pas ? Comment cette révolution se produit avec les grands modèles de langage (LLM) et l’IA agentique commence avec ces modèles de langage formés sur d’énormes quantités de données. Et alors que nous essayons d’optimiser nos opérations, en particulier pour les grandes entreprises, les données qui leur sont les plus précieuses s’avèrent être leurs données les plus sensibles », a déclaré Vancil.
Le cas du secteur aérien et la gestion des informations sensibles
Pour comprendre l’impact de cette dynamique sur les opérations quotidiennes, Vancil a souligné l’exemple du secteur des transports et de l’aviation commerciale. Pour fournir ses services, une grande compagnie aérienne comme American Airlines doit stocker une grande variété de données personnelles sur les passagers. Ceux-ci incluent à la fois des éléments traditionnels, tels que l’adresse résidentielle, la date de naissance et le numéro de passeport, et des détails comportementaux liés aux dates de voyage, aux itinéraires historiques et aux installations d’hébergement préférées grâce à des partenariats commerciaux.
Si d’un côté la législation établit des règles précises pour le stockage de ces informations, de l’autre la volonté de mieux connaître les voyageurs et de concevoir de nouveaux itinéraires ou services nécessite de mettre ces archives à la disposition de modèles et d’agents automatisés. Chaque projet lié à l’innovation technologique s’articule autour d’un objectif business précis, mais nécessite inévitablement d’aborder la question de la sécurité des données pour protéger le patrimoine informationnel de l’entreprise.
La vitesse des machines et le dépassement de la sécurité périmétrique
L’un des éléments les plus critiques pour les responsables de la protection informatique est représenté par l’accélération rapide avec laquelle les informations peuvent être traitées et éventuellement exposées. Par rapport aux interactions homme-machine traditionnelles, les systèmes automatisés fonctionnent à des rythmes logarithmiquement plus élevés. En cas de violation ou de mauvaise configuration, les informations peuvent être diffusées de manière inappropriée à une vitesse sans précédent.
L’évolution du modèle du château à la dispersion des nuages
L’approche de la sécurité des données a connu une profonde transformation au cours des vingt-cinq dernières années. Historiquement, la cyberprotection reposait sur l’idée d’un périmètre physiquement délimité, appelé défense en profondeur ou modèle du château à douves. Les organisations, en particulier les institutions financières, conservaient leurs enregistrements dans leurs propres centres de données soumis à des contrôles physiques et logiques stricts.
L’avènement du cloud computing (avec des plateformes comme AWS, Google Cloud ou Microsoft) et la migration des charges de travail vers des fournisseurs SaaS (Software as a Service) ont progressivement déplacé l’information hors des quatre murs de l’entreprise. Ce processus a généré un phénomène de dispersion, connu dans le domaine technique sous le nom de étalementdans lequel les informations sont distribuées sur plusieurs systèmes et avec différentes méthodes d’accès. L’introduction des architectures d’intelligence artificielle rend nécessaire le déverrouillage de ces silos d’informations, rendant obsolète le seul contrôle périmétrique.
Protection des sources en phase de pré-exécution
Pour éviter que la recherche d’efficacité ne compromette la sécurité des données, la gestion de l’information doit passer à un niveau préventif, en agissant avant même que les systèmes d’IA n’entrent dans la phase d’exécution (pré-exécution). Cela nécessite une capacité généralisée de classification à l’échelle de l’ensemble du patrimoine informationnel, qu’il réside dans des environnements cloud ou sur des infrastructures locales.
Comme le précise la comparaison entre Faggella et Vancil, une entreprise doit être traitée comme une grande bibliothèque distribuée. Il devient essentiel de numériser et de classer chaque document, en identifiant qui dispose des autorisations d’accès, quels contenus sont sensibles et comment ils ont été déplacés au sein de l’organisation.
Classification de contenu non structuré et architectures RAG
La plupart de vos informations commerciales de grande valeur résident dans un format non structuré, dans des fichiers texte, des documents Word, des présentations PowerPoint ou des fichiers PDF. La technologie de contrôle doit être capable de lire directement ce contenu et d’appliquer l’étiquetage (étiquetage) systématique.
De cette manière, les politiques qui réglementent la formation et l’ingestion d’informations par les LLM imposent le respect des étiquettes, empêchant la lecture ou organisant l’obscurcissement des passages confidentiels. Le même principe s’applique aux architectures RAG (Retrieval-Augmented Generation), où l’algorithme récupère des informations auprès des plateformes de gestion ou des enregistrements de comptes pour enrichir la réponse. La protection doit être appliquée directement à la source, sans dépendre de la capacité des agents automatisés à interpréter les règles de confidentialité.
« Nous ne pouvons pas compter sur des agents connaissant toutes les politiques de sécurité; nous devons protéger les données à la source », a précisé Vancil, soulignant comment un inventaire préventif permet d’identifier immédiatement ce qui a pu être exposé et quels accès ont été actifs en cas d’accident.
Nettoyer les données ROT pour réduire la surface à risque
Un facteur central dans la gestion des infrastructures d’information concerne l’accumulation massive de contenus sans valeur opérationnelle. Les grandes entreprises détiennent des volumes d’informations d’un ordre de grandeur supérieur à l’ensemble du domaine public d’Internet. Une grande partie de ce matériel est constituée de données dites ROT, un acronyme qui identifie le contenu redondant, obsolète ou trivial (Redondant, obsolète, trivial).
La présence de ces archives inutilisées entraîne des risques et des coûts importants pour les organisations :
- Exposition au risque cyber et juridique : Le stockage incontrôlé d’anciens fichiers augmente la surface d’attaque en cas de violations ou de litiges.
- Coûts de stockage élevés : le maintien de volumes de matériaux superflus pèse lourdement sur les budgets de stockage.
- Ingestion inappropriée dans les modèles d’IA : l’inclusion d’informations obsolètes risque d’altérer les réponses générées par les systèmes automatisés.
Identifier et éliminer ces contenus inutiles vous permet de maintenir une posture proactive, de réduire les risques juridiques et d’économiser les ressources économiques allouées au stockage numérique.
Gouvernance multidisciplinaire et coordination des C-suites
L’intégration de l’intelligence artificielle nécessite une révision des modèles organisationnels internes. Dans le passé, la diffusion des technologies SaaS a souvent généré le phénomène de Informatique fantômeles services achetant et utilisant des logiciels à l’insu des responsables de la sécurité. Pour éviter que cette fragmentation ne se reproduise avec les nouveaux systèmes automatisés, les dirigeants favorisent une gestion programmatique unifiée.
En décrivant l’approche organisationnelle, Vancil a précisé comment la chaîne de valeur de l’IA nécessite une coopération étroite entre les différentes fonctions commerciales. Les directeurs des systèmes d’information (CIO) et les responsables technologiques doivent travailler en harmonie avec le responsable de la sécurité des données (RSSI), les équipes juridiques et les responsables de la conformité qui sont appelés à répondre à des réglementations strictes telles que l’EU AI Act. Cette équipe est épaulée par des personnalités clés telles que le Chief Data Officer (CDO) et le Chief Data Analytics Officer (CDAO).
Pour garantir la sécurité des opérations, Vancil a résumé trois étapes tactiques clés recommandées aux chefs d’entreprise :
- Cartographie préventive des informations sensibles : identifiez et classifiez le contenu sensible avant de le déverrouiller pour les systèmes d’IA.
- Adoptez une approche unifiée au niveau de la direction : traitez la sécurité de l’information comme une responsabilité partagée de l’ensemble de la direction et non comme une tâche isolée d’un seul service.
- Défense proactive en place : coordonnez la couverture de cyberassurance, les centres d’opérations de sécurité (SOC), les équipes de réponse aux incidents et les stratégies de communication de la marque.
L’évolution des menaces et la rapidité de l’innovation technologique nécessitent de maintenir actifs les contrôles de sécurité traditionnels, tels que les antivirus, la protection périmétrique et la gestion des accès privilégiés (PAM), en les intégrant à des outils de classification automatique capables de fonctionner au même rythme que l’évolution des architectures automatisées.
