La cybersécurité entre dans une nouvelle phase. Son rôle ne se limite plus à protéger les systèmes : elle permet aux organisations de continuer à fonctionner, d’innover et de renforcer la confiance dans un contexte marqué par l’essor de l’IA, la souveraineté des données et l’évolution constante des cybermenaces. Dans cette nouvelle réalité, la priorité du CISO est claire : garantir que les initiatives d’IA soient déployées avec les niveaux de sécurité, de résilience et de gouvernance nécessaires.
Le 2026 Global AI Report: A Playbook for Private and Sovereign AI de NTT DATA illustre l’ampleur de cette évolution. Selon l’étude, 96 % des organisations craignent que l’IA et l’IA générative entraînent des violations de la confidentialité ou une utilisation inappropriée des données clients. Dans le même temps, seules 47 % se disent confiantes dans leur capacité à répondre à leurs exigences en matière de souveraineté des données. En dehors des contraintes budgétaires, la sécurité des données — y compris la protection de la vie privée — constitue aujourd’hui le principal obstacle à l’adoption de l’IA.
Ces résultats montrent que, dans de nombreuses organisations, le rythme de l’innovation dépasse encore celui des capacités de protection. L’IA ouvre la voie à davantage d’efficacité, d’automatisation, à de nouvelles expériences et à des modèles économiques plus intelligents. Mais elle introduit également de nouveaux risques : données circulant entre différentes juridictions, modèles entraînés sur des informations sensibles, intégrations avec des tiers, cycles continus de réentraînement et environnements cloud toujours plus distribués.
L’ère de la cyberrésilience
La cyberrésilience va bien au-delà de la restauration des systèmes après une attaque. Elle consiste à concevoir des organisations capables de résister, de s’adapter et d’apprendre tout en maintenant leurs activités. Cela implique d’intégrer la sécurité dès la conception des architectures, des données, des modèles, des identités, des relations avec les fournisseurs et de la gouvernance. L’objectif n’est plus seulement de protéger les actifs, mais de préserver la confiance.
Le rapport met également en évidence un défi majeur dans les environnements cloud. Seules 38 % des organisations déclarent avoir confiance dans leur niveau de sécurité dans le cloud et 48 % disposent de plans formels pour gérer les risques liés à la sécurité de l’IA et du cloud. Ce constat est d’autant plus préoccupant que la sécurité du cloud est essentielle pour garantir la résidence des données, la conformité réglementaire et la protection des modèles contre les accès non autorisés.
C’est là que le rôle du CISO prend toute son importance : intégrer la sécurité dès la conception de chaque processus métier. Pour que le contrôle soit effectif, les organisations doivent mettre en œuvre une classification des données, des contrôles d’accès fondés sur les principes du zero trust, un chiffrement tout au long du cycle de vie des données, une traçabilité complète, des exercices réguliers de red teaming ainsi qu’une gestion centralisée des identités et des clés. Dans les environnements d’IA privée et souveraine, le contrôle n’est réel que si l’architecture permet de l’exercer.
La souveraineté, un impératif stratégique
La souveraineté ajoute une nouvelle dimension. Selon le rapport, 95 % des organisations considèrent que l’IA souveraine est importante pour leur stratégie d’IA, mais seules 29 % en ont fait une priorité à court terme avec des actions concrètes. La prise de conscience progresse plus vite que la mise en œuvre.
Pour le CISO, cela signifie participer aux décisions concernant l’architecture, le cloud, les données, l’IA, les achats et la gestion des risques. La protection de la vie privée et la souveraineté ne relèvent plus uniquement des fonctions juridiques ou de conformité : elles deviennent des exigences de conception. Elles déterminent où les données peuvent être stockées, quels modèles sont autorisés à les traiter, sous quelle juridiction ils opèrent et quels contrôles doivent être appliqués. Dans des secteurs comme la santé, les services financiers, le secteur public, l’énergie ou l’industrie, une décision inadaptée peut compromettre non seulement les données, mais aussi la continuité des activités, la confiance des parties prenantes et la réputation de l’organisation.
Cette complexité est renforcée par les environnements hybrides. Le rapport indique que 51 % des organisations considèrent ces environnements comme l’un des principaux défis pour exécuter des charges de travail d’IA sur des infrastructures cloud privées. Par ailleurs, 97 % estiment que les charges de travail critiques devraient rester dans des environnements privés ou sur site.
Cette réalité impose de dépasser une approche reposant sur un choix entre cloud public et cloud privé. Le rôle du CISO consiste désormais à aider l’organisation à déterminer quelles données et quels traitements doivent être protégés, où ils doivent être exécutés et comment ils doivent être audités. Cette capacité constituera un facteur clé de différenciation pour les organisations les plus résilientes.
Les prochaines années exigeront davantage d’anticipation. Les cyberattaquants exploiteront eux aussi l’IA pour accélérer la découverte de vulnérabilités, concevoir des campagnes plus convaincantes et adapter leurs techniques avec une rapidité croissante. Pour y répondre, les organisations devront renforcer leurs capacités de renseignement sur les menaces, développer des simulations offensives, s’appuyer sur des centres des opérations de sécurité (SOC) augmentés par l’IA, automatiser davantage la réponse aux incidents, améliorer leurs capacités de reprise après des attaques par rançongiciel et suivre des indicateurs de résilience directement liés aux priorités métier.
La cybersécurité de demain sera celle qui démontrera sa capacité à résister, à s’adapter et à assurer la continuité des activités. Pour le CISO, le moment est venu d’exercer un leadership tourné vers l’avenir, en faisant de la sécurité un véritable socle de confiance pour l’IA, les données et l’entreprise.