Comment les flux de travail basés sur l'IA transforment la manière dont les entreprises appréhendent les risques liés aux données

Pendant des années, le risque lié aux données revêtait une forme relativement familière. Les entreprises s'inquiétaient de l'emplacement de stockage des données, des personnes autorisées à y accéder, de leur chiffrement, de la mise à jour des systèmes et du risque qu'une violation expose les informations des clients ou des employés. Ce modèle n'était pas simple, mais il était au moins reconnaissable : protéger la base de données, contrôler les autorisations, surveiller les prestataires, former les employés et se préparer aux incidents.

Les processus basés sur l'IA ont bouleversé la donne.

Le risque ne se limite plus seulement à cela données pourraient être volées, divulguées ou utilisées à mauvais escient par un employé. Le risque réside dans le fait que les données transitent par des systèmes automatisés, sont combinées à d’autres informations, interprétées par un modèle, servent de base à une recommandation, puis influencent discrètement une décision commerciale. Dans cette chaîne, une entreprise ne sait pas toujours quelles données ont été utilisées, si elles étaient exactes, si elles auraient dû être utilisées ou qui est responsable du résultat.

C'est là que réside le véritable changement. L'IA ne se contente pas de créer de nouveaux risques liés aux données du simple fait qu'elle en consomme davantage. Elle modifie la logique même du risque.

Un chargé du service client peut consulter les tickets d'assistance, les politiques internes et les dossiers du CRM avant de rédiger une réponse. Un workflow financier peut analyser les factures, détecter les anomalies et déclencher une remontée d'alerte. Un outil de recrutement peut classer les candidats. Un assistant juridique peut effectuer des recherches dans les contrats. Un outil commercial peut proposer les meilleures actions à entreprendre en fonction du comportement des clients. Un workflow de conformité peut analyser les transactions et signaler les schémas suspects.

Prise isolément, chaque utilisation peut sembler efficace. Combinées, elles transforment les données de l'entreprise en une couche décisionnelle en temps réel.

Le risque lié aux données s'est déplacé de la base de données vers le flux de travail

La gouvernance traditionnelle des données commence souvent par la classification : publiques, internes, confidentielles, à accès restreint. Cela reste nécessaire. Mais les flux de travail basés sur l'IA soulèvent une question plus épineuse : qu'advient-il des données une fois que le système les a lues ?

Un document qui se trouvait auparavant en toute sécurité dans un référentiel sécurisé peut désormais être récupéré par un assistant IA, résumé, combiné à d’autres documents et utilisé pour générer une recommandation. Un agent peut accéder au dossier d’un client pour rédiger une réponse de service. Un contrat confidentiel peut faire l’objet d’une recherche via un système de recherche qui facilite la mise en évidence de ses clauses. Une feuille de calcul peut être téléchargée vers un outil d’IA externe par un employé cherchant à gagner du temps.

Le risque ne réside pas seulement dans l'accès. Il réside dans la transformation.

Dès lors que l'IA commence à transformer les informations, les entreprises doivent se préoccuper de la provenance, du contexte, de l'exactitude, de la conservation et de l'utilisation en aval de ces données. La source était-elle fiable ? Le document était-il à jour ? Le modèle a-t-il confondu un projet de politique avec une politique approuvée ? A-t-il résumé une clause de manière trop radicale ? A-t-il combiné des données à caractère personnel avec des données provenant d'un autre système d'une manière que l'entreprise n'avait jamais envisagée ?

Reuters Legal a récemment mis en garde contre le fait que les agents autonomes basés sur l'IA posent des problèmes en matière de protection de la vie privée, car ils peuvent accéder aux e-mails, aux documents et aux bases de données, traiter des données à caractère personnel à grande échelle, conserver des informations en mémoire et prendre des décisions sans le type de contrôle humain prévu par de nombreux accords existants en matière de protection de la vie privée. (reuters.com)

C'est pourquoi la gestion des risques liés à l'IA ne peut pas être confiée uniquement aux services de sécurité informatique. Elle relève désormais des services juridiques, de la conformité, de la gestion des risques, des opérations, des achats, de la gouvernance des données, ainsi que des équipes métier qui utilisent concrètement ces flux de travail.

Le nouveau risque ne réside pas seulement dans les fuites. Il réside dans une utilisation abusive à grande vitesse.

Une fuite de données est évidente dès qu’elle est découverte. Un fichier est exposé, un système est compromis, des données sont divulguées, les autorités de régulation sont informées et les plans d’intervention en cas d’incident sont mis en œuvre. Les risques liés aux données liés à l’IA sont souvent moins visibles.

Un modèle peut fournir une réponse erronée à partir de données fiables s'il interprète mal le contexte. Il peut fournir une réponse plausible à partir de données erronées si la source était obsolète. Il peut divulguer des informations sensibles via une invite, un plug-in ou un système connecté. Il peut inciter les employés à se fier à des résultats que personne n'a validés. Il peut modifier discrètement des décisions opérationnelles à grande échelle.

C'est pourquoi les processus basés sur l'IA peuvent rendre les risques liés aux données plus subtils. L'entreprise ne subira peut-être pas une seule faille spectaculaire, mais pourrait être confrontée à de nombreuses petites défaillances dans son jugement.

Le rapport de Deloitte intitulé “ L'état de l'IA dans l'entreprise en 2026 ” soutient qu'une gouvernance efficace de l'IA doit s'intégrer aux structures existantes de gestion des risques et de contrôle, plutôt que de se cantonner à des fonctions « parallèles » distinctes. Il souligne également la nécessité d'identifier les applications à haut risque, de mettre en œuvre des pratiques de conception responsables et de recourir à une validation indépendante lorsque cela s'avère nécessaire. (deloitte.com)

Il s'agit là d'une norme utile, car les risques liés à l'IA relèvent rarement de la seule responsabilité d'un service. Un processus marketing peut entraîner un risque lié à la vie privée. Un processus financier peut entraîner un risque d'audit. Un processus de recrutement peut entraîner un risque de discrimination. Un processus juridique peut entraîner un risque lié au secret professionnel. Un processus de service client peut entraîner un risque lié à la protection des consommateurs.

C'est au niveau du flux de travail que ces risques se rejoignent.

L'IA fait de la qualité des données un enjeu au niveau du conseil d'administration

La qualité des données était autrefois considérée comme un problème technique. Les équipes chargées des données s'inquiétaient des doublons, des champs manquants, des libellés incohérents, de la mauvaise qualité des métadonnées et de la fragmentation des systèmes. Les dirigeants d'entreprise considéraient souvent cela comme une simple question d'organisation interne.

L'IA modifie l'importance de ces tâches administratives.

Si un analyste humain repère une donnée douteuse, il peut la remarquer, la remettre en question ou demander des précisions. Un processus basé sur l'IA, quant à lui, peut la traiter sans hésitation et passer à la suite. Une mauvaise qualité des données devient d'autant plus dangereuse lorsqu'elle alimente automatiquement des décisions.

L'enquête « State of AI 2025 » menée par McKinsey révèle que les entreprises commencent à repenser leurs processus, à renforcer leur gouvernance et à atténuer davantage les risques afin de tirer parti de l'IA générative. Le rapport souligne également que la gestion des risques et la gouvernance des données comptent parmi les éléments les plus centralisés du déploiement de l'IA. (mckinsey.com)

Cette centralisation n'est pas une bureaucratie en soi. Elle reflète une réalité concrète. Si les systèmes d'IA utilisent des données erronées, l'entreprise amplifie les mauvaises décisions. Si différents services utilisent des ensembles de données contradictoires, l'IA peut accentuer les incohérences internes. Si les employés ne parviennent pas à déterminer quelle source fait autorité, les outils d'IA peuvent fournir des réponses soignées reposant sur des bases fragiles.

C'est pourquoi la traçabilité des données, les métadonnées, les droits d'accès et la qualité des sources prennent une importance stratégique. Une entreprise qui souhaite mettre en place des flux de travail basés sur l'IA mais dont la gouvernance des données laisse à désirer construit son automatisation sur des bases instables.

Les employés évoluent déjà plus vite que les mécanismes de gouvernance

L'un des problèmes les plus pressants en matière de risques liés aux données est celui de l'« IA fantôme ».

Les employés n’attendent pas qu’une architecture d’entreprise parfaite soit mise en place. Ils utilisent tout ce qui leur permet de travailler plus rapidement : chatbots publics, extensions de navigateur, outils de synthèse de réunions, applications de transcription, assistants de tableur, outils de rédaction basés sur l’IA et automatisations non officielles. Parfois, ils utilisent ces outils avec de bonnes intentions, dans le but de gagner du temps ou d’améliorer la qualité. Le problème est que des données sensibles peuvent sortir des environnements contrôlés avant que l’entreprise n’ait évalué l’outil.

Le rapport 2026 de Cyberhaven sur l'adoption de l'IA et les risques associés, qui s'appuie sur des milliards de mouvements de données au sein d'applications SaaS d'IA générative, d'applications d'IA sur terminaux et d'agents d'IA, souligne que l'adoption de l'IA par les entreprises crée un déficit en matière de gouvernance et de sécurité des données, les employés utilisant ces outils plus rapidement que les entreprises ne parviennent à les sécuriser. (cyberhaven.com)

C'est là que de nombreuses politiques échouent. Interdire aux employés d'utiliser l'IA ne fonctionne que rarement si les concurrents, les clients et les collègues y ont recours. Mais autoriser une utilisation sans restriction est imprudent.

La meilleure approche consiste à favoriser l'autonomie. Fournissez aux collaborateurs des outils approuvés, des règles claires, une formation pratique et des processus de travail sécurisés. Faites en sorte qu'il soit plus facile d'agir correctement que de contourner le système.

Une entreprise qui interdit l'IA sans proposer d'alternatives crée un risque latent. Une entreprise qui en autorise l'accès sans mise en place de contrôles s'expose à des risques. La voie de la maturité se situe entre ces deux extrêmes.

Les agents autonomes font monter les enjeux

La prochaine étape ne se limitera pas à des employés qui donnent des instructions aux outils d'IA. Il s'agira d'agents autonomes ou semi-autonomes intervenant de manière transversale entre les différents systèmes.

Un agent peut consulter des informations, effectuer des actions, utiliser des outils, mettre à jour des fiches, envoyer des messages, créer des tickets, déclencher des workflows et faire remonter des décisions. Cela le rend plus performant qu'un chatbot et plus risqué qu'un script d'automatisation classique.

Un flux de travail traditionnel suit des règles fixes. Un agent peut interpréter un objectif et décider de la marche à suivre. Cette flexibilité est utile, mais elle rend également les risques plus difficiles à prévoir. L'agent peut accéder à davantage de données que nécessaire, conserver le contexte plus longtemps que prévu, agir sur la base d'instructions ambiguës ou prendre des décisions qui n'ont pas été explicitement approuvées par un humain.

Dans son étude de 2026 consacrée à la confiance dans l'IA, McKinsey met en garde contre le fait que, à mesure que les systèmes d'IA gagnent en autonomie et s'intègrent davantage dans les processus critiques, les lacunes en matière de gouvernance et de gestion des risques ont des conséquences de plus en plus coûteuses. L'étude souligne que les organisations ont besoin d'une responsabilité clairement définie, de contrôles rigoureux et de mécanismes de suivi si elles souhaitent développer l'IA à grande échelle sans compromettre la confiance. (mckinsey.com)

Il s'agit là d'un tout autre niveau de gouvernance. Les entreprises doivent déterminer ce que les agents sont autorisés à faire, à quelles données ils peuvent accéder, quelles actions nécessitent une validation humaine, comment les décisions sont consignées, comment les erreurs sont détectées et comment les agents sont désactivés si leur comportement devient dangereux.

En d'autres termes, la gouvernance des agents englobe à la fois la gouvernance des données, la gouvernance de la vie privée, la gouvernance de la cybersécurité et la gouvernance opérationnelle.

La conformité doit être intégrée plus en amont dans le processus de travail

Dans de nombreuses entreprises, les contrôles de conformité interviennent trop tard. Une équipe opérationnelle choisit un outil, le teste dans le cadre d'un projet pilote, en démontre la valeur, puis demande aux services juridiques, de protection des données ou de gestion des risques d'approuver son déploiement à plus grande échelle. Avec les workflows basés sur l'IA, cette succession d'étapes s'avère de plus en plus risquée.

Le risque est souvent inhérent à la conception même du modèle. Quelles données le modèle utilise-t-il ? S'agit-il de données à caractère personnel ? Sont-elles confidentielles ? Sont-elles soumises à une réglementation ? Sont-elles transmises à un prestataire tiers ? Peuvent-elles être utilisées pour l'entraînement du modèle ? Les résultats sont-ils utilisés pour prendre des décisions en matière d’emploi, de crédit, de santé, d’assurance, de droit ou ayant un impact sur les clients ? Existe-t-il un droit à une explication ou à un réexamen ? La décision peut-elle faire l’objet d’un audit ?

Ces questions doivent être posées dès le début, et non une fois que le processus de travail est déjà en place.

La loi européenne sur l’IA a renforcé cette orientation en instaurant un cadre fondé sur les risques pour les systèmes d’IA. Les cas d’utilisation à haut risque, notamment dans certains contextes liés à l’emploi, au crédit, à l’éducation, à l’application de la loi et aux services essentiels, sont soumis à des obligations plus strictes en matière de gestion des risques, de gouvernance des données, de documentation, de transparence et de contrôle humain. La Commission européenne décrit cette loi comme le premier cadre juridique complet consacré à l’IA, conçu pour gérer les risques tout en favorisant une IA digne de confiance. (digital-strategy.ec.europa.eu)

Même les entreprises situées hors d'Europe devraient y prêter attention, car les clients, les fournisseurs et les multinationales intègrent souvent les attentes propres à l'Union européenne dans leurs pratiques commerciales à l'échelle mondiale. La leçon à en tirer est simple : la conception des flux de travail basés sur l'IA devient un enjeu de conformité.

Le coût d'une violation de données ne représente qu'une partie du risque

Les entreprises envisagent souvent les risques liés aux données sous l'angle du coût d'une fuite de données. Cet aspect reste important. Le rapport d'IBM intitulé « Le coût d'une fuite de données en 2025 » estime le coût moyen mondial d'une fuite de données à 4,44 millions de dollars américains et souligne l'importance croissante de l'IA et de l'automatisation tant en matière de sécurité que d'exposition aux risques. (ibm.com)

Mais les flux de travail basés sur l'IA élargissent le champ des risques au-delà du scénario classique de violation de données.

Une entreprise peut subir une atteinte à sa réputation si un outil d'IA donne un mauvais conseil à un client. Elle peut être exposée à un risque juridique si un employé télécharge des données confidentielles de clients vers un outil non autorisé. Elle peut prendre de mauvaises décisions stratégiques si l’analyse générée par l’IA repose sur des données internes obsolètes. Elle peut commettre une discrimination involontaire si un processus utilise des variables de substitution. Elle peut perdre la confiance de ses clients si personne n’est en mesure d’expliquer comment une décision automatisée a été prise.

Ces défaillances ne se présentent pas toujours sous la forme d'incidents de cybersécurité. Certaines ressemblent à des défaillances opérationnelles. D'autres à des manquements en matière de conformité. D'autres encore à des défaillances de gouvernance.

C’est pourquoi les fonctions chargées de la gestion des risques liés aux données doivent élargir leur champ de vision. La question n’est plus seulement de savoir “ ces données pourraient-elles être exposées ? ”, mais aussi “ ces données pourraient-elles être utilisées à mauvais escient, mal interprétées, conservées de manière inappropriée ou donner lieu à des actions inappropriées ? ”

Ce que les entreprises devraient faire dès maintenant

La première étape consiste à cartographier les flux de travail liés à l'IA, et pas seulement les outils d'IA. Un inventaire des outils permet à l'entreprise de savoir ce qui a été acheté. Une cartographie des flux de travail montre à quels stades l'IA intervient dans le traitement des données, la prise de décision, les relations avec les clients, les interactions avec les collaborateurs et les processus réglementés.

La deuxième étape consiste à classer les cas d'utilisation en fonction du risque. Un outil de brainstorming marketing n'est pas comparable à un système d'IA utilisé pour les décisions de crédit, le recrutement, le triage médical, les enquêtes sur les fraudes ou le conseil juridique. La gouvernance doit être proportionnée, mais les processus à haut risque nécessitent un examen plus approfondi.

La troisième étape consiste à définir les autorisations d'accès aux données au niveau des tâches. Un assistant IA ne doit pas bénéficier d'un accès étendu simplement parce qu'un employé humain dispose d'un tel accès. Les agents et les flux de travail doivent disposer du minimum de données nécessaires à la tâche spécifique.

La quatrième étape consiste à améliorer la traçabilité des données. Les entreprises doivent savoir quelles sources sont utilisées par les systèmes d'IA, dans quelle mesure ces sources sont à jour, si elles font autorité et comment il est possible de remonter à l'origine des résultats.

La cinquième étape consiste à mettre en place un contrôle humain là où cela s'avère nécessaire. Cet examen humain ne doit pas être purement symbolique. La personne chargée de l'examen doit disposer du temps, de l'autorité et d'informations suffisantes pour remettre en question les résultats obtenus.

La sixième étape consiste à surveiller le comportement de l'IA après son déploiement. Les flux de travail basés sur l'IA doivent faire l'objet d'une évaluation continue, car les modèles, les données, le comportement des utilisateurs et les conditions commerciales évoluent.

La septième étape consiste à former les employés à l'aide d'exemples concrets. Les directives abstraites en matière d'IA sont rarement suffisantes. Le personnel doit savoir ce qu'il est autorisé à mettre en ligne, ce qu'il ne doit pas mettre en ligne, quand vérifier les résultats, comment signaler les incidents et quels outils sont autorisés.

Le nouveau modèle opérationnel de gestion des risques liés aux données

Les entreprises qui sauront bien gérer cette question ne considéreront pas la gouvernance de l'IA comme une simple commission secondaire. Elles l'intégreront dans leurs contrôles opérationnels habituels.

Le service des achats évaluera les fournisseurs avant l'acquisition des outils. Le service juridique examinera les clauses relatives au traitement des données et à la responsabilité. Les équipes chargées de la protection de la vie privée réaliseront des analyses d'impact. Le service de cybersécurité testera les risques liés aux accès et aux fuites. Les équipes chargées des données géreront la traçabilité et la qualité des données. L'audit interne vérifiera l'efficacité des contrôles. Les responsables métier resteront responsables des résultats.

Les travaux de Deloitte sur la gouvernance de l'IA le soulignent clairement : les organisations de premier plan intègrent la gouvernance aux structures existantes de gestion des risques et de contrôle, plutôt que de mettre en place des fonctions isolées. (deloitte.com)

C'est le seul modèle réaliste. L'IA est désormais trop ancrée dans le monde du travail pour pouvoir être régie de l'extérieur. Elle doit être intégrée dans la manière dont les entreprises valident, contrôlent et améliorent leurs processus.

La difficulté réside dans les différences culturelles. Les équipes opérationnelles considèrent souvent l’évaluation des risques comme un frein. Les équipes chargées de la gestion des risques peuvent quant à elles percevoir l’adoption de l’IA comme une exposition incontrôlée. Les meilleures entreprises parviendront à établir un langage commun : utiliser l’IA là où elle crée de la valeur, la restreindre lorsque le risque est disproportionné, et définir des contrôles suffisamment clairs pour que les équipes puissent agir sans devoir improviser.

L'IA redéfinit la notion de confiance

Dans l'ancien modèle de gestion des risques liés aux données, la confiance était souvent synonyme de confidentialité. Pouvons-nous protéger les données ?

Dans le modèle de flux de travail de l'IA, la confiance revêt une importance particulière. Pouvons-nous protéger les données ? Pouvons-nous prouver leur provenance ? Pouvons-nous montrer comment elles ont été utilisées ? Pouvons-nous expliquer la décision prise ? Pouvons-nous corriger le résultat ? Pouvons-nous arrêter le système ? Pouvons-nous justifier le processus auprès d'une autorité de régulation, d'un client, d'un salarié ou du conseil d'administration ?

C'est pourquoi la gouvernance de l'IA devient une fonction liée à la confiance, et non plus seulement une fonction de conformité.

Une entreprise qui ne peut pas répondre à ces questions peut tout de même tirer des gains de productivité de l'IA. Mais elle aura du mal à déployer l'IA en toute sécurité, en particulier dans les processus sensibles.

Le prochain avantage concurrentiel ne viendra pas d'une utilisation généralisée de l'IA. Il viendra de son utilisation dans les domaines où l'organisation peut prouver que le processus est sécurisé, conforme à la loi, suffisamment précis, contrôlé et justifiable.

En résumé

Les flux de travail basés sur l'IA modifient les risques liés aux données, car ils transforment le parcours des données au sein de l'entreprise.

Les données ne sont plus seulement stockées, consultées et protégées. Elles sont extraites, interprétées, synthétisées, combinées, exploitées et parfois utilisées par des agents autonomes. Cela ouvre de nouvelles perspectives en matière d'efficacité et d'amélioration de la prise de décision, mais cela crée également de nouveaux points de défaillance.

Les entreprises qui sauront s'adapter cesseront de considérer le risque lié aux données comme un simple enjeu technique défensif. Elles l'intégreront désormais dans la conception même de leur activité.

Avant de déployer un workflow d'IA, ils se demanderont d'où proviennent les données, si le système doit y accéder, comment les résultats seront utilisés, qui peut contester ces résultats, ce qui se passe si le modèle se trompe et comment l'ensemble du processus peut faire l'objet d'un audit.

C'est la nouvelle norme. Il ne s'agit plus de se demander “ disposons-nous d'une IA ? ”, mais “ pouvons-nous faire confiance au processus de travail ? ”

L'IA ne supprimera pas les risques liés aux données. Elle rendra ces risques plus dynamiques, plus opérationnels et plus étroitement liés au jugement commercial.