Les risques liés aux fournisseurs d’IA changent en quelques semaines : analyse

Votre tableur des risques fournisseurs a bien vécu. Il portait une petite cravate, posait les mêmes questions aux fournisseurs chaque année, et faisait comme si rien d’important ne se passait entre deux audits. Puis les fournisseurs d’IA ont commencé à livrer de nouvelles capacités de modèles, à modifier les flux de données, à se faire racheter et, parfois, à prendre feu de la manière habituelle en entreprise. Consultancy.eu a rapporté le 13 octobre 2026 qu’IG&H estime désormais que les revues annuelles traditionnelles des fournisseurs peinent à suivre le rythme de l’adoption de l’IA, ce qui est une façon polie, en gouvernance, de dire que le calendrier est en train de perdre face à l’API.

Le profil de risque a maintenant une demi-vie plus courte

Selon Consultancy.eu, IG&H avertit que les organisations adoptent l’IA par l’intermédiaire de tiers externes, notamment des fournisseurs de cloud, des fournisseurs de modèles de fondation, des fournisseurs de données et des éditeurs de logiciels spécialisés. Giovanni Ferronato, Senior Manager Cyber Security chez IG&H, a bien résumé le problème : « Le profil de risque d’un fournisseur d’IA peut changer de manière significative en quelques semaines. » Il a ajouté qu’« un cyberincident, une acquisition, un changement dans le traitement des données ou une nouvelle fonctionnalité d’IA peut modifier fondamentalement le niveau de risque. » Voilà le changement central : le risque fournisseur lié à l’IA n’est pas un portrait annuel, c’est un système météo avec des conditions générales d’utilisation.

@title Comment évolue le risque fournisseur lié à l’IA
@source AI challenges traditional approach to IT supplier risk management

  External suppliers
     │
     ├─ cloud providers
     ├─ foundation model providers
     ├─ data suppliers
     └─ specialist vendors
     │
     ▼
  Supplier changes
     │
     ├─ cyber incident
     ├─ acquisition
     ├─ data processing
     └─ new AI functionality
     │
     ▼
  Service risk

@caption Les fournisseurs d’IA peuvent modifier en quelques semaines le risque hérité par une organisation.

Le même rapport de Consultancy.eu indique que la dernière enquête CISO Pulse Survey d’IG&H a révélé que la moitié des RSSI interrogés considèrent l’exposition aux tiers et à la chaîne d’approvisionnement comme l’une de leurs principales préoccupations. Elle a également constaté que 55 % s’inquiètent de la dépendance à un petit groupe d’hyperscalers basés hors de l’UE, tandis que les trois quarts considèrent l’IA comme l’une de leurs plus grandes préoccupations. Ce n’est pas de la panique, c’est du calcul de dépendance. Si votre produit destiné aux clients repose sur un fournisseur de modèles, une région cloud, un courtier en données et un outil d’orchestration de niche, félicitations, vous avez inventé une chaîne d’approvisionnement avec une interface de chatbot.

La divulgation annuelle rattrape son retard, maladroitement

L’article AI Risk Observatory sur arXiv montre pourquoi ce n’est pas seulement un smoothie d’angoisses de RSSI. Les auteurs ont appliqué un pipeline de classification reproductible en deux étapes à 9 821 rapports annuels de 1 362 sociétés cotées au Royaume-Uni couvrant la période 2020 à 2025, avec des données partielles pour 2026. Ils ont constaté que les rapports mentionnant un risque lié à l’IA sont passés de 2,8 % à 41,2 % entre 2020 et 2025, tandis que les déclarations d’adoption de l’IA sont passées de 13,8 % à 45,2 %. Les mentions de fournisseurs nommés, selon le même article, se concentrent autour d’un petit ensemble de grands fournisseurs, avec Microsoft en tête.

Ce dernier point compte plus que les pourcentages de divulgation, même si ces pourcentages font de grands moulinets avec les bras. Si de nombreuses entreprises dépendent du même petit groupe de fournisseurs, alors le risque fournisseur ressemble moins à vérifier si votre fournisseur de café de bureau a une assurance, et davantage à se demander si la moitié de l’économie est branchée sur la même rallonge. Les rapports annuels sont des signaux utiles, mais ce sont aussi des artefacts en retard, rédigés après que les juristes ont fini de poncer les arêtes vives. Pour la gouvernance opérationnelle, attendre le prochain dépôt annuel revient à déboguer la production depuis une carte postale.

La surveillance continue demande plus que des confettis de tableau de bord

Une revue systématique distincte de la littérature sur arXiv, consacrée à l’IA dans l’évaluation des risques de la chaîne d’approvisionnement, a examiné 1 903 articles publiés entre 2015 et 2025, dont 54 études sélectionnées selon les lignes directrices PRISMA. La revue a constaté que les modèles d’apprentissage automatique, notamment Random Forest, XGBoost et les approches hybrides, améliorent la précision de la prédiction des risques et l’adaptabilité dans les contextes post-pandémie. Elle a également mis l’accent sur l’IA explicable pour une prise de décision transparente, l’utilisation de données en temps réel, la blockchain pour la traçabilité et l’évaluation continue des modèles. Traduction : la surveillance continue est un problème de conception de système, pas un questionnaire plus joli avec une mascotte robot.

Pour les responsables technologiques, le geste pratique consiste à surveiller les changements qui modifient réellement l’exposition. Cela signifie suivre les évolutions importantes du traitement des données, des fonctionnalités des modèles, de la propriété, des incidents, des sous-traitants critiques et du risque de concentration. Cela signifie aussi traiter les achats comme une surface de contrôle, car un fournisseur ne peut pas devenir critique pour l’activité si personne n’approuve la dépendance au départ. Le but n’est pas de noter chaque fournisseur à chaque minute comme une agence de crédit dérangée, mais de détecter les quelques changements qui imposeraient une décision de risque différente.

Ce que les bâtisseurs devraient changer ensuite

Les exemples d’IG&H donnent aux équipes une carte de départ claire : les cyberincidents, les acquisitions, les changements dans le traitement des données et les nouvelles fonctionnalités d’IA méritent tous des déclencheurs en dehors du cycle de revue annuelle. Les bâtisseurs devraient intégrer ces déclencheurs à l’intégration des fournisseurs, à l’évaluation des modèles, à la revue d’architecture et à la réponse aux incidents, plutôt que de les enterrer dans un dossier de conformité étiqueté « plus tard ». Les constats de l’AI Risk Observatory suggèrent aussi que les équipes devraient cartographier la concentration autour des grands fournisseurs, surtout lorsqu’un seul fournisseur de cloud ou de modèle devient discrètement porteur de charge. Votre pile IA a des dépendances, et les dépendances ont des passe-temps, principalement celui de vous surprendre.

La prochaine chose à surveiller est de savoir si la surveillance continue du risque fournisseur deviendra un élément normal des outils de gouvernance de l’IA, aux côtés des évaluations de modèles, de la traçabilité des données et des contrôles d’accès. Bien faite, elle devrait aider les équipes à avancer plus vite parce que les risques sont visibles plus tôt, et non parce que la gouvernance a été remplacée par des impressions et un tableau de bord. Si les revues annuelles étaient l’ancien contrôle de ceinture de sécurité, la surveillance des fournisseurs d’IA est le voyant du tableau de bord qui s’allume avant que le moteur ne devienne une fumée interprétative. Le tableur n’est pas mort, il a juste besoin d’un pouls.