Risque IA en entreprise : seuls 25 % des DSI alignent risque technique et risque métier

Le risque IA en entreprise reste, dans la plupart des organisations, un sujet de direction informatique. Sécurité, conformité, fournisseurs : tout cela se traite, et se traite de mieux en mieux. Pendant ce temps, la question qui engage vraiment le comité de direction, à savoir quel niveau de risque accepter pour quelle valeur attendue, trouve rarement son propriétaire. L'alerte lancée par Gartner le 19 octobre 2026 chiffre l'écart : seuls 25 % des DSI interrogés alignent le risque technologique et le risque métier. Voici pourquoi cet écart compte, et comment le réduire sans créer une nouvelle usine à gaz.

En résumé. Selon une enquête Gartner du troisième trimestre 2026 auprès de 303 DSI et responsables du risque informatique, 25 % seulement alignent risque technologique et risque métier. Une autre enquête Gartner (deuxième trimestre 2026, plus de 2 000 DSI) montre que 71 % des organisations comptent déployer de l'IA agentique d'ici douze mois alors que 21 % disposent déjà d'une gouvernance pour elle. En France, 60 % des entreprises n'ont pas de cadre formalisé pour l'IA (Coface, 900 décideurs, 2026). Notre thèse : les référentiels existent, ils traitent surtout le risque technique, et ce qui manque est une décision de direction générale, usage par usage, sur le risque que l'entreprise accepte et sur la personne qui l'endosse. Cinq gestes y suffisent pour commencer.

Que dit exactement l'alerte de Gartner sur le risque IA ?

Le 19 octobre 2026, lors de son IT Symposium/Xpo d'Orlando, Gartner a publié un communiqué intitulé « AI Risk is Rising Faster Than AI Value ». Ses analystes rapportent que les DSI et responsables informatiques leur déclarent que le risque IA croît plus vite que la valeur dans leur organisation.

Trois données, elles, sont précises. D'abord, 58 % des dirigeants fonctionnels interrogés (plus de 1 000, deuxième trimestre 2026) disent tirer une valeur positive de leurs initiatives d'IA. Ensuite, 25 % seulement des DSI alignent risque technologique et risque métier (303 DSI et responsables du risque informatique, troisième trimestre 2026). Enfin, 71 % des organisations comptent déployer de l'IA agentique dans les douze mois, 21 % ont déjà des capacités de gouvernance dédiées (plus de 2 000 DSI et dirigeants technologiques, deuxième trimestre 2026).

Pourquoi le risque IA est-il traité comme un risque technique ?

Parce que les référentiels disponibles l'orientent ainsi, et que la pression réglementaire s'y ajoute. Prenons trois documents de référence.

Le guide de l'ANSSI sur les systèmes d'IA générative, publié le 29 avril 2024, s'intéresse à la sécurisation de l'architecture, de la conception au déploiement en production. Il laisse, selon sa présentation, de côté la performance métier, l'éthique et la vie privée. Ce périmètre est légitime pour un guide de sécurité ; il rappelle simplement qu'un document de cette nature ne répond pas à la question « combien de risque cet usage vaut-il ? ».

Le cadre de gestion des risques de l'IA du NIST américain (AI RMF 1.0, janvier 2023) décrit quatre fonctions : gouverner, cartographier, mesurer, traiter. Le NIST précise que la gouvernance est transversale et irrigue les trois autres. Son usage est volontaire. La norme ISO/IEC 42001, publiée en décembre 2023, fixe pour sa part les exigences d'un système de management de l'IA, à la façon des normes de management de la qualité ou de la sécurité de l'information.

Ces trois cadres sont utiles. Aucun ne décide à votre place du niveau de risque acceptable pour votre activité. Cette décision reste interne.

Côté français, la photographie est plus sombre. Le baromètre Data & IA de Coface, réalisé avec Les Echos Études auprès de 900 décideurs et publié le 5 octobre 2026, indique que 60 % des entreprises n'ont pas de cadre formalisé pour leurs usages de l'IA. Elles citent comme premier frein la sécurité des données et la conformité réglementaire (41 %) : le risque est déjà perçu avant tout comme un sujet technique et juridique. Coface relève aussi que 17 % des entreprises se déclarent avancées dans l'usage de l'IA pour piloter leurs propres risques, ce qui est une autre question que celle des risques de l'IA.

Comment aligner risque technique et risque métier en pratique ?

Pas besoin d'un programme de deux ans. Cinq gestes, à conduire en un trimestre, suffisent pour changer la nature des échanges. Ils prolongent notre guide de gouvernance de l'IA pour le COMEX sur le versant du risque.

1. Lister les usages d'IA et leur exposition

On ne gère pas un risque qu'on ne voit pas. Recensez les usages, officiels ou non, et classez-les selon trois critères : données manipulées, décisions influencées, contact avec des clients ou des collaborateurs. Pour les agents, qui agissent au lieu de simplement répondre, la gouvernance par niveaux d'autonomie fournit une grille directement exploitable.

2. Nommer un propriétaire métier pour chaque usage

Le responsable de la sécurité répond de la protection du système. Il ne peut pas répondre de l'effet d'un agent sur la relation client ou sur une décision de crédit. Chaque usage significatif reçoit donc deux noms : un propriétaire technique et un propriétaire métier, ce dernier signant le risque accepté.

3. Faire fixer l'appétence au risque IA par la direction générale

Trois niveaux suffisent pour démarrer : usages autorisés sans validation, usages soumis à une validation métier, usages interdits en l'état. Le comité de direction décide, par écrit, ce qui relève de chaque niveau. C'est le document que la plupart des chartes ne contiennent pas ; notre analyse sur les chartes IA que personne ne mesure en explique les conséquences.

4. Relier le risque à la valeur dans une même revue

Une revue trimestrielle examine, usage par usage, deux lignes : la valeur obtenue et le risque encouru. C'est l'esprit de ce que Gartner appelle l'alignement, sans que vous ayez besoin d'adopter son vocabulaire. Si la valeur est faible et le risque élevé, l'usage s'arrête.

5. Prévoir l'arrêt dès l'autorisation

Chaque usage autorisé précise ce qui déclenche sa suspension : un incident, un seuil d'erreur, un changement de fournisseur. Les contrats doivent le permettre, et c'est un point que traite notre analyse du risque fournisseur IA.

Quels indicateurs présenter au comité de direction ?

Les cinq indicateurs ci-dessous sont des propositions de digitalie_, non un standard du marché. Ils mesurent l'alignement plutôt que la technique :

• la part des usages d'IA recensés qui ont un propriétaire métier nommé ;
• la part des usages classés dans un des trois niveaux d'appétence au risque ;
• le nombre d'incidents par usage et par trimestre, avec leur propriétaire ;
• le délai entre la détection d'un incident et la décision de suspendre l'usage ;
• la part des dépenses d'IA engagées hors recensement.

Le dernier indicateur rejoint un problème que nous avons décrit dans le cas des agents déployés plus vite que les indicateurs qui les pilotent. Les chiffres de départ comptent moins que leur évolution trimestre après trimestre.

Quelles limites faut-il garder en tête ?

D'abord, les enquêtes citées sont déclaratives : elles mesurent ce que des dirigeants disent faire. Les échantillons ne sont pas comparables entre eux (303 DSI pour l'un, plus de 2 000 pour l'autre, 900 décideurs français pour Coface) et les deux enquêtes Gartner ont été menées à des trimestres différents. Les 21 % de Gartner mesurent une capacité de gouvernance de l'IA agentique déclarée ; ils ne se comparent pas aux 17 % de Coface, qui portent sur l'usage de l'IA pour piloter les risques.

Ensuite, aligner n'est pas centraliser. Gartner le dit lui-même : l'objectif est la coordination, pas un comité unique qui validerait tout. Dans une entreprise de taille moyenne, un comité trimestriel de quelques personnes, avec un ordre du jour fixe, suffit largement.

Enfin, l'alignement ne supprime pas le risque. Il rend la décision traçable, ce qui n'est pas la même chose et ce qui compte lorsqu'un incident survient.

Les entreprises ne manquent ni de cadres ni de normes pour traiter le risque IA. Elles manquent d'une décision claire de la direction sur le niveau de risque qu'elles acceptent, pour quel usage et sous la responsabilité de qui. Tant que cette décision n'existe pas, les équipes techniques gèrent un risque dont elles ne choisissent ni l'ampleur ni le prix. La bonne question à poser à votre prochain comité est donc la suivante : si l'un de nos usages d'IA produisait demain un incident visible de nos clients, qui, nommément, aurait accepté ce risque par écrit ?

Le regard de digitalie_. Chez digitalie_, nous considérons que le risque IA devient pilotable le jour où chaque usage a un propriétaire métier et où la direction a fixé ce qu'elle accepte, plutôt que lorsque le catalogue de contrôles est complet. Nous proposons un audit des usages IA qui part des usages réels pour établir ce recensement, et notre page Data et IA détaille notre périmètre. Si le sujet est ouvert chez vous, un échange de 30 minutes permet de voir par où commencer.

Questions fréquentes

Qu'est-ce que le risque IA en entreprise ?

Le risque IA désigne l'ensemble des effets négatifs possibles liés aux usages de l'IA : fuite de données, erreurs de décision, atteinte à la réputation, non-conformité, dépendance à un fournisseur, coût imprévu. Il est technique, juridique et métier à la fois ; c'est ce dernier versant que les organisations traitent le moins.

Qui est responsable du risque IA dans une entreprise ?

La responsabilité d'ensemble revient à la direction générale. En pratique, chaque usage devrait avoir un propriétaire technique, qui répond de la sécurité du système, et un propriétaire métier, qui signe le risque accepté. Sans ce second nom, le risque reste implicitement porté par la direction informatique.

Faut-il adopter le cadre NIST ou la norme ISO 42001 ?

Pas nécessairement. Le cadre NIST est d'usage volontaire et la norme ISO/IEC 42001 décrit un système de management de l'IA. Ils sont utiles comme références, notamment pour structurer la gouvernance. Dans une entreprise de taille moyenne, un registre des usages, un propriétaire métier par usage et trois niveaux d'appétence suffisent pour commencer.

Que signifie « appétence au risque IA » ?

C'est le niveau de risque que la direction accepte, par écrit, pour obtenir la valeur attendue de l'IA. Concrètement, elle classe les usages en trois niveaux : autorisés sans validation, soumis à validation métier, interdits en l'état. Ce classement oriente les équipes sans leur imposer un comité sur chaque décision.

Quels indicateurs suivre pour piloter le risque IA ?

Cinq indicateurs permettent de piloter l'alignement : usages avec propriétaire métier nommé, usages classés selon l'appétence au risque, incidents par usage, délai de suspension après incident, dépenses d'IA hors recensement. Ils mesurent la maîtrise de l'organisation plus que la performance technique, et se présentent en une page au comité de direction.

Sources

1. Gartner, « Gartner Says AI Risk is Rising Faster Than AI Value », communiqué du 19 octobre 2026 : https://www.gartner.com/en/newsroom/press-releases/2026-10-19-gartner-it-symposium-xpo-keynote-release-2026

2. Coface, « IA en entreprise : les usages progressent, la gouvernance reste à la traîne », Baromètre Data & IA 2026 (avec Les Echos Études, 900 décideurs), 5 octobre 2026 : https://www.coface.fr/actualites-economie-conseils/ia-en-entreprise-les-usages-progressent-la-gouvernance-reste-a-la-traine

3. ANSSI, « Recommandations de sécurité pour un système d'IA générative », 29 avril 2024 : https://messervices.cyber.gouv.fr/guides/recommandations-de-securite-pour-un-systeme-dia-generative

4. NIST, « Artificial Intelligence Risk Management Framework (AI RMF 1.0) », NIST AI 100-1, janvier 2023 : https://nvlpubs.nist.gov/nistpubs/ai/NIST.AI.100-1.pdf

5. ISO/IEC 42001:2023, « Information technology — Artificial intelligence — Management system », décembre 2023 : https://www.iso.org/standard/42001