La fonction de responsable de la sécurité des systèmes d’information (RSSI) ne consiste plus seulement à protéger, mais de plus en plus à hiérarchiser et arbitrer entre des chantiers tous jugés prioritaires.

C’est le principal enseignement tiré par le CESIN de ses « Instantanés » pour le premier semestre 2026, fondés sur 21 mini-sondages hebdomadaires menés auprès de ses membres

Une gouvernance de l’IA encore balbutiante

L’intelligence artificielle générative continue de s’installer dans les organisations, mais l’encadrement peine à suivre. Selon le CESIN, 27 % des répondants, plutôt issus d’organisations de taille intermédiaire, n’ont défini aucune politique d’usage de l’IA générative.

Le constat est similaire du côté des environnements de développement enrichis à l’IA : seuls 18 % des organisations disposent d’une politique spécifique pour les développeurs, tandis que 34 % en autorisent l’installation de manière générale et 34 % par exception.

Les outils de transcription et de synthèse de réunions soulèvent les mêmes interrogations, portant sur l’accès aux données, leur lieu de stockage et leur durée de conservation.

Quant à l’IA appliquée à la cyberdéfense, les organisations en sont majoritairement au stade du pilote ou du test, avec trois préoccupations dominantes : la fiabilité, la confidentialité et la souveraineté.

L’essor de l’IA générative s’accompagne aussi d’une hausse des usages malveillants.

54 % des grandes entreprises interrogées déclarent avoir déjà subi une attaque de type « deepfake » contre 19 % des ETI et 5 % des TPE/PME.  Une exposition qui progresse nettement avec la taille de l’organisation.

Post-quantique : un chantier encore à peine amorcé

La migration vers la cryptographie post-quantique demeure très en retrait.

D’après l’enquête, 69 % des répondants ne s’en sont pas encore préoccupés, 20 % en évaluent les impacts et les besoins, 3 % ont engagé des pilotes ou des tests, et seulement 1 % a débuté une migration opérationnelle.

Le CESIN souligne que ce chantier dépasse la seule dimension technique. Il implique d’identifier les usages cryptographiques et les données critiques, et de l’inscrire dans une gouvernance transverse.

La conformité, priorité numéro un pour les plus petites structures

La conformité réglementaire arrive en tête des priorités pour 2026 mais avec une intensité qui varie selon la taille des organisations.

Elle figure parmi les trois chantiers prioritaires pour 46 % des grandes entreprises, 61 % des ETI et 72 % des TPE/PME. Les grandes entreprises répartissent davantage leurs efforts entre plusieurs sujets ( IA, tiers, gouvernance), tandis que les structures plus petites concentrent leurs ressources sur la seule conformité.

Fournisseurs : un risque qui déborde le périmètre du SI

Les dépendances technologiques pèsent de plus en plus dans les préoccupations des RSSI.

Le règlement européen sur la cyber-résilience (Cyber Resilience Act) en est une illustration : 52 % des ETI interrogées estiment ne pas être directement concernées par ce texte, tout en étant clientes de fournisseurs qui, eux, le sont.

Les rachats d’entreprises dans le secteur cyber ont également des effets concrets sur les coûts.  69 % des grandes entreprises et 74 % des ETI ont constaté une explosion des coûts à la suite du rachat d’un de leurs fournisseurs, contre 38 % des TPE/PME. Par ailleurs, 41 % des répondants pointent un phénomène d’enfermement technologique.

Des carrières de RSSI sous tension

L’enquête revient aussi sur les perspectives de carrière des RSSI, deux ans après un premier sondage sur le sujet.

Sur 162 répondants, seuls 24 % estiment que les opportunités de postes de RSSI sont aussi nombreuses que par le passé, soit 17 points de moins qu’en 2024. Dans le même temps, 31 % envisagent de basculer vers le conseil, faute de pouvoir agir suffisamment au sein de leur organisation ( +16 %).

Une complexité croissante, pas un recul de la maturité

Pour le CESIN, ces résultats ne traduisent pas un recul de la maturité cyber des organisations, mais une complexification de la fonction.

« La mission du RSSI est en plein chamboulement. Les repères évoluent, les priorités aussi, et les réponses d’hier ne suffisent plus toujours. Les RSSI doivent aujourd’hui trouver leur propre voie pour accompagner cette transformation », résume Fabrice Bru, président du CESIN.

The post Les RSSI sommés d’arbitrer entre IA, conformité et dépendances fournisseurs appeared first on Silicon.fr.

« Je suis très heureux d’annoncer que j’ai rejoint récemment Salesforce en tant que RSSI France, au sein de l’Office of the CISO du groupe.» annonce Thomas Fillaud sur son compte LinkedIn.

Dans ce nouveau rôle, il indique qu’il accompagnera la filiale française et ses clients sur leurs enjeux de cybersécurité les plus stratégiques : le renforcement de la posture de sécurité, le conseil, la réponse aux exigences réglementaires et gestion des situations critiques.

Thomas Fillaud  souligne que sa nomination intervient dans un contexte stratégique pour Salesforce, qui vient d’annoncer Claudeforce, son partenariat avec Anthropic associant l’IA de Claude aux données, aux workflows et à la gouvernance de confiance de la plateforme.

Par ailleurs, à l’occasion de l’édition 2026 de Dreamforce (15-17 septembre), Salesforce présentera Trust 360, une nouvelle couche de confiance transverse pour l’entreprise agentique (Data 360, Agentforce, Salesforce Guardian).

Photo : © DR

The post Thomas Fillaud, nouveau RSSI de Salesforce France appeared first on Silicon.fr.

L’intelligence artificielle s’est imposée dans les entreprises à une vitesse sans commune mesure. Assistants conversationnels, automatisation documentaire, analyse prédictive et copilotes métiers se généralisent dans tous les secteurs, souvent plus vite que les capacités d’encadrement des organisations.

Dans ce contexte, la question n’est plus de savoir si l’IA sera utilisée, mais comment elle sera gouvernée, sécurisée et intégrée aux processus internes. Le RSSI se retrouve ainsi au centre des attentes et des responsabilités.

Pourtant, l’essor de l’IA dépasse largement le seul cadre de la cybersécurité. En transformant les usages, les modes de décision et la circulation des données, il rend de moins en moins réaliste l’idée que les RSSI puissent porter seuls les risques liés à l’IA.

Une transformation des risques qui redéfinit le rôle du RSSI

Historiquement, le rôle du Responsable de la Sécurité des Systèmes d’Information consistait à protéger les infrastructures, les accès et les données sensibles. Son périmètre était clairement identifié autour de la prévention des cyberattaques et de la maîtrise des risques techniques.

Mais avec l’essor de l’IA générative, le sujet change de dimension. L’intelligence artificielle ne crée pas seulement un nouveau risque cyber. Elle modifie les usages, accélère les flux de données et transforme parfois même les mécanismes de décision au sein des entreprises.

Cette évolution bouleverse également un pilier majeur de la cybersécurité moderne à savoir l’identité numérique. Aujourd’hui, l’identité est devenue la principale surface d’attaque des organisations. Comptes utilisateurs, accès cloud, API, assistants automatisés et agents IA multiplient les points d’entrée potentiels. Dans de nombreuses entreprises, les équipes sécurité peinent déjà à suivre le rythme de création et de gestion des privilèges.

Le phénomène est encore renforcé par l’apparition massive des identités non humaines. Les agents IA, bots et systèmes automatisés obtiennent des accès à des ressources sensibles à une cadence que les équipes de sécurité ne parviennent plus toujours à contrôler efficacement. Cette multiplication des identités techniques crée un nouveau déséquilibre entre la vitesse d’adoption des usages et la capacité réelle des organisations à les gouverner.

Le RSSI devient ainsi bien plus qu’un expert technique. Il est désormais attendu comme un coordinateur de la confiance numérique capable d’évaluer les risques liés à l’IA, de prévenir les fuites de données, de superviser les usages internes et de contribuer à la conformité réglementaire notamment dans le cadre des nouvelles exigences européennes.

Une gouvernance de l’IA qui doit devenir collective

Le principal paradoxe est que les entreprises continuent souvent de traiter l’IA comme un simple sujet technologique ou cyber alors qu’il s’agit avant tout d’une transformation globale de l’organisation.

La gouvernance de l’IA concerne autant les directions métiers que les fonctions juridiques, les ressources humaines, la conformité, la DSI ou encore les instances dirigeantes. Les enjeux touchent à la confidentialité des données, à la propriété intellectuelle, à la responsabilité des décisions automatisées mais aussi à l’éthique et à la réputation des entreprises.

Dans ce contexte, le RSSI ne peut plus être considéré comme l’unique rempart face aux risques liés à l’IA. Aucun responsable sécurité ne peut à lui seul définir les usages acceptables , arbitrer les impacts organisationnels de l’automatisation ou porter l’ensemble des obligations réglementaires qui émergent aujourd’hui.

Cette absence de gouvernance claire favorise déjà l’émergence d’un phénomène comparable au shadow IT que beaucoup qualifient désormais de « shadow AI ». Des collaborateurs utilisent des outils d’IA sans validation interne et parfois avec des données sensibles dans une logique de gain de productivité immédiat. Ces usages sont rarement malveillants, mais ils révèlent un écart croissant entre la rapidité d’adoption des technologies et la maturité des organisations pour les encadrer.

Interdire les outils d’IA serait illusoire. Les entreprises qui choisiraient une approche uniquement restrictive prendraient le risque de voir les usages se déplacer hors de tout cadre officiel. L’enjeu n’est donc plus de bloquer mais d’organiser. Cela suppose de mettre en place des politiques claires, de sensibiliser les collaborateurs, de classifier les données exploitables et surtout de partager la responsabilité de la gouvernance entre l’ensemble des fonctions de l’entreprise.

L’arrivée de l’intelligence artificielle est en train de transformer en profondeur la fonction sécurité. Le RSSI ne doit plus seulement protéger le système d’information, mais contribuer à la confiance numérique et au dialogue entre les directions métiers, juridiques, RH et stratégiques.

Cette évolution suppose une gouvernance collective de l’IA, car ses risques dépassent largement le seul périmètre cyber. Plus qu’une technologie à sécuriser, l’IA transforme les modes de production, de collaboration et de décision des entreprises.

*Bruno Durand est Vice-président Europe du Sud chez Sophos

The post IA en entreprise : pourquoi les RSSI ne peuvent plus porter seuls le risque appeared first on Silicon.fr.