Cybersécurité : 84% des dirigeants anticipent une hausse des budgets pour faire face aux nouveaux risques liés à l'IA

• 84 % des dirigeants de la sécurité et de la finance anticipent une hausse des budgets cybersécurité dans les 12 prochains mois. Ce chiffre atteint 94 % en France.
• L’IA figure parmi les principales priorités d’investissement pour 58 % des répondants dans le monde et 63 % en France.
• Seules 39 % des organisations disposent d’un plan de continuité pleinement formalisé intégrant les cyberrisques contre 38 % en France.
• La moitié des organisations citent les attaques visant les systèmes d’IA parmi les menaces auxquelles elles se jugent le moins préparées. Pourtant, seules 22 % autoriseraient des agents d’IA entièrement autonomes pour la cyberdéfense. En France, ce chiffre atteint 26 %.
• La cyberrésilience reste insuffisamment traitée au plus haut niveau : seuls 47 % des répondants déclarent que le cyberrisque figure systématiquement à l’ordre du jour du conseil d’administration.

Face à l’essor de l’intelligence artificielle, les organisations renforcent leurs investissements en cybersécurité. Selon l’étude Global Digital Trust Insights 2027 de PwC, 84 % des dirigeants de la sécurité et de la finance anticipent une hausse des budgets cyber au cours des douze prochains mois, contre 78 % l’an dernier.

Menée auprès de près de 4 000 dirigeants métiers et technologiques dans 71 pays et territoires, l’étude montre qu’avec le déploiement des modèles d’IA, près de trois responsables de la sécurité sur cinq (58 %) font de l’IA l’une de leurs principales priorités budgétaires en cybersécurité pour l’année à venir.

En parallèle, seuls 39% des responsables de la sécurité, des risques et des opérations déclarent disposer d’un plan de continuité opérationnel répondant à l’ensemble des enjeux de résilience de l’entreprise.

Interrogés sur les cybermenaces auxquelles leur organisation est la moins bien préparée, 50 % des responsables de la sécurité citent les attaques visant les systèmes d’IA. Celles-ci devancent les menaces liées au cloud (40 %), les compromissions impliquant des tiers (34 %) et les rançongiciels (33 %).

« La cybersécurité n’a pas seulement pour vocation de protéger l’entreprise : elle doit aussi lui donner la confiance nécessaire pour avancer. À mesure que les organisations cherchent à tirer rapidement parti de l’IA, la cyberrésilience doit devenir une véritable capacité métier, intégrée dès l’origine aux décisions des instances dirigeantes. Aujourd'hui, beaucoup d’organisations restent insuffisamment préparées face à un environnement cyber qui évolue rapidement. Celles qui relèveront ce défi seront mieux armées pour innover avec confiance, tout en assurant la continuité de leurs activités en cas de perturbation. » déclare Jamal Basrire, associé responsable des activités cyber et risques technologiques chez PwC France et Maghreb.

La cyberrésilience doit s’imposer au plus haut niveau

Pour renforcer leurs défenses, les organisations doivent faire de la cybersécurité un élément central de leur gouvernance et, plus particulièrement de la gouvernance de leur programme IA.

Alors que les vulnérabilités liées aux modèles d’IAse multiplient, les entreprises n’ont déployé, en moyenne, que trois des sept mesures clés de gestion des risques liés aux données recommandées par PwC :

• A ; Les politiques de classification des données ;
• B ; La prévention des pertes de données (DLP) sur les principaux canaux de sortie ;
• C ; Le chiffrement, la tokenisation et/ou l’anonymisation des données à grande échelle ;
• D ; Les contrôles de données sur l’ensemble du cycle de vie ;
• E ; Les capacités de gestion de la qualité des données ;
• F ; La découverte et le catalogage des données structurées et non structurées ;
• G ; Les approches de minimisation des données.

Seuls 5 % des répondants les ont toutes mises en œuvre, contre 7 % l’an dernier.

Un tiers (33 %) des dirigeants et responsables de la sécurité et des risques indiquent que leur organisation dispose de fonctions dédiées à l’IA, comme un Chief AI Officer ou un comité IA. Pourtant, moins de la moitié déclarent que le cyberrisque figure systématiquement à l’ordre du jour du conseil d’administration (47 %) ou de la direction générale (45 %).

Exploiter le potentiel défensif de l’IA

Alors que les cyberattaques évoluent à un rythme qui dépasse les capacités humaines, l’IA devient un levier clé pour les équipes de sécurité. La confiance reste néanmoins limitée lorsqu’il s’agit de confier des actions à des agents d’IA autonomes.

Parmi les attaques fondées sur l’IA auxquelles ils se jugent les moins préparés, les responsables de la sécurité et des risques citent les compromissions menées par des botnets autonomes (53 %), les attaques adversariales (52 %) et l’empoisonnement des données (52 %).

La détection des menaces et la génération d’alertes (50 %), ainsi que la détection et le traitement du phishing (42 %), comptent parmi les usages prioritaires de l’IA pour la cyberdéfense. Pourtant, seuls 22 % environ autoriseraient des agents d’IA à agir de manière entièrement autonome.

Dans l’Hexagone, les priorités portent également sur la détection et la réponse : 54 % des répondants citent la détection des menaces et la génération d’alertes, devant la détection et la réponse au phishing (49 %), la détection de la fraude (47 %) et les tests d’intrusion (42 %). Par ailleurs, 40 % des organisations privilégieraient une autonomie limitée, avec une validation humaine pour les actions critiques.

La rapidité des progrès de l’IA soulève toutefois plusieurs défis. Pour 55 % des répondants, la fiabilité et la maturité de ces technologies figurent parmi les trois principaux freins à une plus grande autonomie des agents d’IA. Les enjeux de responsabilité et d’explicabilité sont cités par 46 % d’entre eux.

Renforcer la cyberrésilience à l’ère de l’IA

Face aux nouveaux cyberrisques, les organisations commencent à apporter des réponses concrètes.

Plus de la moitié des entreprises (54 %) adoptent des stratégies multicloud ou de cloud hybride. 

D’autres renforcent la redondance régionale de leurs données et infrastructures technologiques (47 %) ou relocalisent certaines infrastructures dans des juridictions spécifiques (37 %). L’objectif est de réduire les risques de concentration dans leur chaîne de valeur.

Dans un contexte de tensions géopolitiques croissantes, 50 % des répondants font également évoluer leur gestion des risques liés aux fournisseurs, aux tiers et à la chaîne d’approvisionnement. Du côté des organisations françaises, 52 % évoquent la difficulté à faire respecter les engagements contractuels de résilience de leurs fournisseurs critiques, tandis que 47 % pointent un manque de visibilité sur les risques de concentration.

Alors que les budgets cyber progressent, certaines entreprises se tournent vers des services managés. L’intelligence artificielle constitue leur premier domaine d’intervention (53 %), dans un contexte de pénurie de compétences en cybersécurité et en IA. Sur le marché français, les priorités concernent la protection des données (41 %), la sécurité des technologies opérationnelles (40 %), à un niveau supérieur à la moyenne mondiale, et la gestion des menaces (36 %).

Pour mieux protéger leur activité face à l’évolution rapide des menaces, les organisations doivent :

• Renforcer la gouvernance cyber, la responsabilisation des acteurs et la prise de décision en matière de risques ;
• Protéger les opérations critiques et développer la cyberrésilience ;
• Sécuriser les données, l’IA et les technologies émergentes ;
• Maîtriser les risques liés à l’écosystème, aux tiers et à la concentration technologique ;
• S’appuyer sur des technologies et des données fiables pour créer de la valeur ;
• Mettre en place un modèle permettant de mobiliser efficacement des agents d’IA contre des attaques reposant elles-mêmes sur ces agents.

« L’IA transforme les deux versants de l’équation cyber. Elle fait émerger de nouveaux risques et élargit la surface d’attaque, mais elle peut aussi transformer en profondeur la manière dont les organisations se protègent. L’enjeu est de mettre en place la confiance, la gouvernance et la supervision humaine nécessaires pour permettre aux organisations d’utiliser l’IA avec davantage d’assurance, au service de la sécurité de l’entreprise et de la création de valeur. » conclut Jamal Basrire, associé responsable des activités cyber et risques technologiques chez PwC France et Maghreb.