Gouvernance des données d’IA : maîtrisez les données tout au long du cycle de vie de l’IA

F5 Newsroom Staff

L’IA d’entreprise a largement dépassé le stade des projets pilotes. Selon le rapport F5 2026 sur l’état des stratégies applicatives, 78 % des organisations déclarent exploiter déjà des systèmes d’inférence d’IA. Et 98 % indiquent se préparer à l’IA agentique.

Alors que les entreprises accélèrent la mise en œuvre de systèmes d’IA, la gouvernance des données s’impose comme un enjeu majeur. Les systèmes d’IA dépendent des données à chaque étape de leur cycle de vie. Les organisations alimentent les modèles d’IA en données pour les entraîner et les affiner. Les outils d’IA reçoivent des données sous forme de requêtes, en extraient de bases de données vectorielles et en produisent sous forme de réponses narratives. Quant aux agents autonomes, ils accèdent aux données pour accomplir leurs tâches.

Chaque étape implique une décision en matière de gouvernance des données. Les flux de données doivent être surveillés et l’accès aux données contrôlé. Trop peu d’organisations mettent en place une gouvernance avant de déployer le dernier outil en date ou de développer un nouvel agent. Par conséquent, les données comme l’entreprise restent exposées à de multiples menaces.

La première étape de la mise en œuvre d’une gouvernance des données pour l’IA consiste à comprendre en quoi celle-ci diffère à la fois de la gouvernance traditionnelle des données et de la gouvernance des modèles d’IA. Vous pouvez ensuite vous concentrer sur les domaines présentant les risques les plus élevés et instaurer des pratiques permettant de contrôler les données sensibles sans ralentir la mise en œuvre de l’IA.

Qu’est-ce que la gouvernance des données de l’IA ?

La gouvernance des données d’IA désigne l’ensemble des politiques et des contrôles techniques qui encadrent la manière dont les données sont collectées, classées, utilisées, transmises, conservées et supprimées tout au long du cycle de vie de l’IA. Elle doit couvrir un large éventail de données, notamment :

• Données utilisées pour l’entraînement et l’ajustement fin des modèles.
• Invites et réponses échangées lors de l’inférence.
• Données qui enrichissent les réponses des modèles.
• Appels d’outils et d’API effectués par les agents.
• Données de télémétrie générées au cours des processus d’IA.

Les approches traditionnelles de la gouvernance des données ne sont pas adaptées aux systèmes d’IA. Elles se concentrent principalement sur les données structurées stockées dans les référentiels de l’entreprise. Ces données au repos sont consultées au moyen de requêtes prévisibles, et les accès sont contrôlés périodiquement.

Les données des systèmes d’IA présentent des caractéristiques et des comportements différents. Plus précisément, les données d’IA sont :

• Non structurées et conversationnelles : Les requêtes en langage libre et les réponses générées par l’IA ne peuvent pas être régies par des politiques conçues pour les données structurées stockées dans des bases de données.
• En mouvement : Dans les systèmes d’IA, les données circulent en permanence : les requêtes sont envoyées à un modèle, qui renvoie une réponse. Un agent d’IA peut effectuer des milliers d’appels à des API et à des modèles en quelques secondes. Les examens trimestriels des accès prévus par les modèles traditionnels de gouvernance des données ne suffiront pas à contrôler ces données en mouvement. La gouvernance des données d’IA doit être automatisée pour suivre le rythme des systèmes d’IA.
• Non déterministe : Un modèle d’IA peut répondre différemment à une même question à chaque fois. Les contrôles des résultats doivent évaluer le sens et le contexte. Ils ne peuvent pas s’appuyer sur la reconnaissance de motifs utilisée dans la gouvernance traditionnelle des données.

Pour les données des systèmes d’IA, la gouvernance doit être appliquée directement au niveau des points d’interaction.

Gouvernance des données d’IA et gouvernance des modèles d’IA

La gouvernance des données d’IA et la gouvernance des modèles d’IA doivent fonctionner de concert, mais il s’agit de stratégies distinctes. Elles relèvent souvent d’équipes différentes.

La gouvernance des modèles d’IA vise à contrôler les modèles et les agents. Les stratégies de gouvernance des modèles déterminent quels modèles sont approuvés, qui en est responsable, comment ils sont entraînés, quelle version est déployée en production, comment leur comportement est surveillé et quand ils sont mis hors service.

La gouvernance des données d’IA porte sur les données auxquelles l’IA peut accéder et sur les flux qu’elles empruntent. Ces stratégies régissent la classification des données, déterminent celles qui ne doivent pas sortir de l’entreprise, définissent où elles doivent être traitées et fixent leur durée de conservation.

La gouvernance des données et celle des modèles d’IA doivent fonctionner de concert, faute de quoi elles échoueront ensemble. Si les requêtes adressées aux modèles et leurs réponses ne sont pas contrôlées, même un modèle parfaitement documenté et rigoureusement évalué peut divulguer des données réglementées. De même, si un agent non approuvé a accès à une base de données clients, des contrôles stricts des données pourraient ne pas suffire à empêcher leur divulgation.

Cette interdépendance se retrouve dans les référentiels et normes reconnus en matière de gouvernance de l’IA. Le cadre de gestion des risques liés à l’IA du National Institute of Standards and Technology (NIST AI RMF) adopte une approche des risques liés à l’IA couvrant l’ensemble du cycle de vie, au moyen de ses fonctions Govern, Map, Measure et Manage. La norme ISO/IEC 42001 établit elle aussi un système de management à l’échelle de l’organisation pour encadrer l’IA, tandis que la matrice des contrôles de l’IA de la Cloud Security Alliance (AICM) traduit la gouvernance de l’IA en contrôles de sécurité concrets. Dans toutes ces approches, la gouvernance des données et celle des modèles ne sont pas traitées séparément : elles participent toutes deux à la gestion des risques liés à l’IA tout au long de son cycle de vie.

Identifier les principaux risques liés aux données de l’IA

Les données peuvent être exposées accidentellement ou intentionnellement de différentes manières lorsqu’elles transitent par des systèmes d’IA. La gouvernance de l’IA vise à éliminer ou à atténuer ces vulnérabilités.

• IA fantôme : Les employés adoptent fréquemment des outils d’IA à l’insu des équipes de sécurité ou informatiques. Même si vous avez mis en place des solutions de sécurité à l’échelle de l’entreprise ou des politiques de gouvernance des données, les données transitant par des systèmes d’IA non autorisés échappent à toute gouvernance.
• Saisie : Lorsqu’ils utilisent des outils autorisés, les employés peuvent malgré tout saisir par inadvertance des informations sensibles, allant des données clients aux informations de santé, simplement parce que c’est le moyen le plus rapide d’obtenir des réponses à leurs questions. Ces données peuvent alors faire l’objet d’une exfiltration.
• Sortie : Lorsqu’il est sollicité d’une certaine manière, un modèle d’IA générative peut reproduire des fragments de données d’entraînement, notamment des éléments d’informations personnelles (un phénomène parfois appelé fuite par mémorisation). Un attaquant peut utiliser l’IA pour réassembler ces éléments et reconstituer des informations sensibles à des fins frauduleuses.
• Pipelines de récupération : La génération augmentée par récupération (RAG) s’appuie sur des données stockées dans des bases de données vectorielles. Lorsque des documents sont intégrés à ces bases de données sans leurs contrôles d’accès d’origine, un modèle peut présenter leur contenu à un utilisateur qui n’est pas autorisé à ouvrir le fichier d’origine.
• Agents disposant de privilèges permanents : Toute menace pesant sur un agent s’étend aux outils, bases de données et serveurs auxquels il est connecté. Si un agent dispose d’autorisations étendues, les données auxquelles il accède peuvent être exposées.
• Modèles tiers : L’envoi de requêtes à un modèle externe implique que des données sensibles échappent au contrôle de l’organisation et peuvent franchir des frontières géographiques. Il devient alors plus difficile de gérer les durées de conservation, de contrôler les lieux de traitement, de respecter les exigences de localisation des données et de veiller à ce que les informations sensibles ne soient pas utilisées pour entraîner des modèles.
• Persistance des données : La suppression des données après un certain délai ou à la demande d’un client est souvent imposée par les politiques de gouvernance des données. Supprimer des enregistrements d’une base de données est relativement simple, mais il est plus difficile d’éliminer les informations déjà intégrées aux poids du modèle. Il convient donc de choisir avec soin les données utilisées pour l’entraînement.

Pourquoi les outils de sécurité laissent subsister des failles dans les systèmes d’IA

Les outils de prévention des pertes de données (DLP) et de gestion de la posture de sécurité des données (DSPM) peuvent s’avérer extrêmement utiles pour sécuriser les données d’entreprise. Cependant, les systèmes d’IA peuvent mettre en évidence d’importantes limites de ces outils, notamment :

• Manque de visibilité en temps réel sur les données : Les outils DSPM cartographient l’emplacement des données sensibles. Mais les données utilisées par les systèmes d’IA sont en mouvement et deviennent vulnérables lors de leur transfert. Les outils DSPM ne peuvent pas fournir la visibilité en temps réel nécessaire à la gouvernance de ces données.
• Classification optimisée pour les données structurées : Les outils DLP et DSPM utilisent la reconnaissance de motifs pour classifier les données. Cette méthode fonctionne bien pour les données structurées, mais moins bien pour les contenus narratifs non structurés que les utilisateurs saisissent sous forme de prompts et reçoivent sous forme de réponses.
• Application des règles au mauvais endroit : Un outil de prévention des pertes de données (DLP) peut être en mesure de bloquer un chargement depuis un terminal, mais pas d’empêcher un utilisateur d’envoyer une requête contenant des informations sensibles. L’outil devrait intervenir au niveau de la couche d’inférence, où s’effectue l’échange de données.
• Aucun journal exploitable : Les équipes chargées de la conformité doivent souvent montrer quelles requêtes ont été adressées à un système d’IA, comment il y a répondu et quelle politique a été appliquée. Les outils DLP et DSPM classiques ne permettent pas de produire ces éléments de preuve.

Ces outils n’ont tout simplement pas été conçus pour protéger les données dans les flux de travail liés à l’IA. Ils doivent être complétés par des stratégies et des solutions spécifiques à l’IA.

Pratiques visant à renforcer la gouvernance des données d’IA

Toutes les stratégies de gouvernance de l’IA ne sont pas identiques. Toutefois, celles qui parviennent à réduire les risques partagent souvent plusieurs de ces huit bonnes pratiques.

• Recensez tous les usages de l’IA : Avant de pouvoir gouverner les données, vous devez savoir où et comment elles sont utilisées par l’IA dans l’ensemble de votre entreprise. Répertoriez non seulement les applications et les agents approuvés, mais aussi les outils non autorisés, afin d’identifier tous les circuits par lesquels les données pourraient transiter.
• Classifiez les données lors des interactions : En plus de classifier les données au repos, vous devez classifier celles qui figurent dans les requêtes, les réponses et les appels d’outils. Pour ce faire, vous devez disposer de fonctionnalités capables de comprendre le contexte conversationnel, et pas seulement les modèles structurés.
• Appliquer les politiques à la volée : Les politiques de gouvernance des données doivent être appliquées pendant que les données circulent, avant qu’elles n’atteignent leur destination. Par exemple, le masquage des données sensibles au moment où elles sont saisies dans une invite permet aux employés de continuer à travailler tout en empêchant l’intégration de ces données dans la base de connaissances d’un modèle, qu’elle soit interne ou externe.
• Appliquez le principe du moindre privilège : Les modèles, les agents et les outils RAG ne doivent pas pouvoir accéder aux données sensibles. Mettez en place des garde-fous pour les systèmes d’IA afin que les modèles et les agents d’IA puissent accéder uniquement aux ressources qui leur sont strictement nécessaires, et examinez les autorisations des systèmes à la même fréquence que celles des utilisateurs humains.
• Produisez une piste d’audit : Pour améliorer la réponse aux incidents et respecter les réglementations, conservez une piste d’audit contenant les requêtes, les réponses, les politiques appliquées et les décisions d’application. Vous pouvez utiliser ces informations pour affiner les politiques et démontrer votre conformité.
• Effectuez des tests en continu : Les menaces évoluent rapidement. Une politique qui protège efficacement les données sensibles aujourd’hui pourrait ne plus être aussi efficace dans six mois. La mise en place d’exercices de red teaming et de tests automatisés peut aider à détecter les failles et à mettre à jour les politiques.
• Contrôlez la chaîne d’approvisionnement des données : Une gouvernance complète exige une visibilité sur chaque composant d’un système d’IA qui interagit avec les données. Lorsque vous utilisez des modèles externes, par exemple, examinez les conditions du fournisseur concernant le refus de l’utilisation des données à des fins d’entraînement, les durées de conservation, les lieux de traitement et le recours à des sous-traitants ultérieurs.
• Attribuez les responsabilités : La gouvernance des données d’IA peut mobiliser les équipes chargées de la sécurité, de la confidentialité, des affaires juridiques, de la science des données et des applications. Désignez les responsables de la gouvernance des données et effectuez des contrôles réguliers afin de vous assurer que les systèmes déployés ne s’écartent pas des politiques établies.

Appliquer la gouvernance là où l’IA s’exécute

La plupart des pratiques de gouvernance des données ne sont efficaces que si elles sont appliquées directement sur le chemin du trafic lié à l’IA. C’est le principe qui sous-tend l’approche de F5 en matière de gouvernance et de sécurité des données pour l’IA.

La F5 AI Security Platform réunit la découverte, la gouvernance, les tests et la protection à l’exécution pour l’ensemble de l’IA d’entreprise. F5 Workforce AI Security offre une visibilité sur les usages autorisés et non autorisés de l’IA, notamment sur les modèles, les outils, les prompts et les données utilisés par les collaborateurs. F5 AI Gateway fournit un point de contrôle permettant de régir l’accès aux modèles, agents et outils d’IA. F5 AI Red Team s’appuie sur des tests adversariaux pour détecter les vulnérabilités et les faiblesses des systèmes d’IA, tandis que F5 AI Guardrails applique des politiques lors des interactions avec l’IA afin de contribuer à prévenir les fuites de données sensibles, les activités malveillantes et les violations des politiques.

Les données ne doivent pas nécessairement constituer une vulnérabilité. Avec une gouvernance des données adaptée, vous pouvez poursuivre l’adoption de l’IA de manière sécurisée et en toute confiance.

Questions fréquentes

Quelle est la différence entre la gouvernance des données pour l’IA et la gouvernance traditionnelle des données ?

La gouvernance traditionnelle des données porte principalement sur les données structurées stockées dans des référentiels. La gouvernance des données d’IA doit également couvrir les données non structurées en transit, telles que les textes saisis par les utilisateurs dans les outils d’IA et les réponses générées par l’IA qu’ils reçoivent. Ces données étant en transit, la gouvernance doit être appliquée en temps réel, aux points d’interaction.

Quel est le lien entre la gouvernance des données d’IA et la gouvernance des modèles d’IA ?

La gouvernance des modèles d’IA encadre les modèles et les agents. Par exemple, les organisations doivent inventorier les modèles, gérer les autorisations des agents et surveiller leur comportement. La gouvernance des données d’IA porte sur les données qui entrent dans ces modèles et agents et qui en sortent. En pratique, la gouvernance des données et celle des modèles doivent fonctionner de concert, car si l’une échoue, l’autre échoue également.

Pourquoi les solutions de sécurité traditionnelles, telles que les outils DLP et DSPM, ne suffisent-elles pas à assurer la gouvernance des données d’IA ?

Bien que les outils de prévention des pertes de données (DLP) et de gestion de la posture de sécurité des données (DSPM) soient essentiels à la protection des données, leur utilité reste limitée pour la gouvernance des données liées à l’IA. La plupart ne permettent pas d’assurer une visibilité en temps réel sur les données, de classifier les données non structurées, d’appliquer des règles de gouvernance pendant l’inférence ni de générer des pistes d’audit pour les systèmes d’IA.

Comment F5 aide-t-il les organisations à élaborer des stratégies efficaces de gouvernance des données ?

La F5 AI Security Platform permet aux organisations d’identifier les usages de l’IA dans toute l’entreprise, d’élaborer des politiques de gouvernance des données et de les appliquer pendant que les données transitent par les systèmes d’IA. Les organisations peuvent également utiliser les fonctionnalités de F5 pour générer des registres prêts à être audités afin de se conformer aux lois, aux cadres de référence et aux normes relatifs aux données et aux systèmes d’IA.

En savoir plus sur la plateforme F5 AI Security Platform.

À propos de l’auteur

F5 Newsroom Staff

Autres articles de F5 Newsroom Staff