Rapport d’enquête OneTrust 2026 sur la gouvernance adaptée à l’IA
L’adoption de l’IA est en train de créer un écart de gouvernance.
Les organisations intègrent l’IA dans les fonctions métier tandis que les employés continuent d’adopter de nouveaux outils et agents. La gouvernance a progressé parallèlement à cette adoption, mais pas au même rythme ni avec la constance dont les organisations ont besoin.
Plus de la moitié des dirigeants d’entreprise déclarent que la gouvernance de l’IA est intégrée dans le cycle de vie de l’IA, mais 47 % décrivent leurs programmes comme réactifs, fragmentés, lents ou manuels. Seulement 17 % disent que la gouvernance est intégrée par conception.
De nouvelles études montrent où la gouvernance de l’IA progresse et où une exécution déconnectée crée un risque.
Dans la plupart des organisations, l’adoption de l’IA ne consiste plus en la mise en place de pilotes isolés. Près de trois quarts (74 %) des personnes interrogées déclarent que l’IA est adoptée au niveau des départements ou à grande échelle, et 52 % que l’IA est utilisée dans plusieurs fonctions métier ou intégrée dans les processus métier et les opérations.
La gouvernance a également progressé. Mais seulement 5 % des sondés indiquent que la coordination et la responsabilité sont clairement établies tout au long du cycle de vie de l’IA.
L’adoption des agents révèle le prochain déficit de gouvernance
Dans l’enquête, ce sont les agents IA qui mettent le mieux en évidence la différence entre adoption et niveau de préparation à la gouvernance.
87 % des personnes interrogées déclarent que leurs organisations encouragent l’utilisation des agents, tandis que seulement 47 % affirment que cette utilisation est accompagnée d’une gouvernance, d’une supervision et de mesures de contrôle claires. 40 % déclarent que l’utilisation est encouragée alors que la gouvernance et les mesures sont en cours de développement.
Les organisations ouvrent l’accès aux agents tout en continuant à définir les règles qui encadrent leur activité.
Les agents ont le vent en poupe mais la gouvernance ne suit pas
Shadow AI et écarts de coordination créent des risques opérationnels
Le shadow AI pose un véritable problème de visibilité pour la gouvernance de l’IA dans les entreprises. La plupart des organisations voient leur IA validée. Mais très peu voient réellement l’intégralité de leur IA.
Près de la moitié (48 %) déclarent avoir une visibilité claire sur les utilisations respectivement autorisée et non autorisée de l’IA. 46 % ont une bonne visibilité sur l’IA validée, mais une visibilité limitée sur l’utilisation directement par les employés ou non autorisée.
Cet écart pose un risque opérationnel. Un tiers des employés expérimentés qui utilisent des outils d’IA non validés le font parce que les options ou processus validés n’étaient pas disponibles assez rapidement. 31 % des personnes interrogées ont déclaré certains cas d’usage devant être passés en revue alors qu’ils étaient déjà utilisés.
Les organisations font leur travail, mais la responsabilité, le contexte, les mesures de contrôle et les preuves ne sont pas toujours mis en place de manière cohérente depuis la prise en charge jusqu’au déploiement et à l’utilisation en continu.
Les organisations voient leur IA validée
Le shadow Ai constitue un risque opérationnel
Les incidents liés à l’IA ne sont plus des cas marginaux. La question n’est plus de savoir « si », mais « quand » ils se produiront.
86 % des organisations ont connu au moins un incident lié à l’IA au cours de l’année passée. 99 % d’entre elles ont pris des mesures concrètes.
Près de la moitié (45 %) ont mis en place des processus formalisés de revue et de validation de l’IA, et 43 % ont renforcé leurs contrôles de surveillance ou de gouvernance.
La réponse consiste à renforcer les capacités de gouvernance, et non simplement à ralentir le développement de l’IA.
La gouvernance de l’IA commence à s’intégrer dans les opérations, mais un écart important subsiste. Les organisations ont mis en place des activités et des mesures de gouvernance, mais ces efforts ne sont pas systématiquement coordonnés entre les différentes fonctions métier, les tiers et les agents à mesure que l’IA se développe.
Voir où l’IA est utilisée et comment cette utilisation évolue dans le temps.
Garantir que les revues suivent le rythme de l’adoption.
Appliquer les décisions de gouvernance dans les workflows d’IA actifs.
Attribuer aux équipes des responsabilités claires sur tout le cycle de vie de l’IA.
Le rapport complet de l’enquête sur la gouvernance adaptée à l’IA 2026 vous donne toutes les informations nécessaires pour évaluer votre organisation et planifier la prochaine phase de gouvernance.
Découvrez tous les résultats d’enquête sur :
Ce rapport est destiné aux RSSI et autres cadres supérieurs responsables de la sécurité, du risque, de la confidentialité, des données, de l’IA et de la gouvernance d’entreprise.
Les organisations ont mis en place de nombreuses activités de gouvernance de l’IA, mais qui ne sont pas encore systématiquement connectées entre les équipes, les systèmes, les fournisseurs et les étapes du cycle de vie.
Le shadow AI (ou « IA fantôme ») désigne les outils et agents d’IA adoptés par les employés ou les équipes en dehors des processus officiels de validation et de surveillance. C’est l’équivalent pour l’IA du shadow IT.
Le risque ne réside pas tant dans les outils eux-mêmes, mais plutôt dans le manque de visibilité, de maîtrise et de responsabilité concernant leur utilisation. Lorsque les équipes de sécurité et de risque ne voient pas l’activité IA non validée, elles ne peuvent pas évaluer l’exposition, appliquer les politiques ni répondre aux incidents.
Pour être adaptée, ou prête à l’IA, la gouvernance doit avoir de la visibilité, des processus, des mesures de contrôle et des structures de responsabilité dans toute l’entreprise pour gérer l’IA dans les temps et le périmètre adapté.
Elle exige une surveillance continue de l’utilisation de l’IA dans les différentes fonctions, pour tous les fournisseurs et agents, ainsi que la capacité à s’adapter à l’évolution de l’adoption.
Les agents d’IA introduisent des défis de gouvernance particuliers car ils peuvent agir de manière autonome, initier des processus et interagir avec des systèmes tiers de façons plus difficiles à surveiller que l’utilisation traditionnelle de l’IA.
Les programmes de gouvernance nécessitent des politiques claires pour l’utilisation des agents, des workflows de validation avant la mise en œuvre et une surveillance continue après la mise en œuvre. L’écart entre le taux d’adoption des agents (87 %) et celui des dispositifs de gouvernance et de contrôle clairement définis (47 %) montre à quelle vitesse les organisations ouvrent l’accès sans avoir préalablement défini les règles qui devraient l’encadrer.
OneTrust et Sapio Research ont interrogé 1 200 cadres décideurs en juin et en juillet 2026 dans huit pays : Australie, Canada, France, Allemagne, Singapour, Espagne, Royaume-Uni et États-Unis.
L’échantillon comprenait une représentation équilibrée de CPO, CDO, RSSI et CMO. Tous les répondants travaillaient dans des organisations enregistrant un chiffre d’affaires annuel d’au moins 100 millions de dollars.