Rapport Proofpoint 2026 : 88 % des RSSI français voient l’IA générative comme un risque de sécurité

Les responsables de la sécurité informatique en France n'ont jamais été aussi préoccupés par l'intelligence artificielle. Selon le rapport 2026 Voice of the CISO publié par Proofpoint le 11 novembre 2026, 88 % des RSSI français considèrent la sécurité de l'IA générative comme un risque pour leur organisation, soit une hausse de 36 points en un an. Le rapport repose sur une enquête mondiale auprès de 1 600 responsables de la sécurité dans 16 pays, dont la France.

Un rapport qui tombe à un moment charnière

Proofpoint publie chaque année son étude Voice of the CISO, qui prend le pouls des directeurs de la sécurité des systèmes d'information, les RSSI. L'édition 2026 arrive alors que les assistants IA, les copilotes et les agents autonomes sont entrés dans le quotidien des entreprises françaises, souvent plus vite que les règles qui encadrent leur usage.

Le rapport décrit une fonction en pleine mutation. Le RSSI ne se contente plus de protéger les systèmes contre les attaques extérieures. Il doit accompagner l'adoption de l'IA, tout en protégeant les données sensibles et les accès privilégiés. Patrick Joyce, RSSI mondial chez Proofpoint, résume la situation : l'IA transforme fondamentalement le rôle du RSSI, qui doit protéger l'entreprise tout en l'aidant à adopter ces technologies de façon sécurisée et rapide.

Les chiffres qui concernent la France

Les résultats pour la France sont frappants. La préoccupation liée à la sécurité de l'IA générative a bondi de 36 points en un an pour atteindre 88 % des RSSI interrogés. Et 93 % font de l'usage sécurisé des assistants IA et des automatisations une priorité majeure pour les deux prochaines années, tandis que 91 % doivent gérer les risques liés à l'IA sans moyens supplémentaires.

La perception du risque global reste élevée. En France, la part des RSSI qui anticipent une cyberattaque majeure contre leur organisation dans les douze prochains mois est passée de 56 % en 2025 à 63 % en 2026. À l'échelle mondiale, ce chiffre est tombé de 76 % à 61 %.

Un indicateur va dans le bon sens : la proportion d'organisations françaises ayant subi une perte de données significative a reculé, de 43 % en 2025 à 36 % en 2026. Au niveau mondial, elle est passée de 66 % à 53 %, mais 60 % des RSSI français estiment que leur organisation n'est toujours pas préparée à une cyberattaque ciblée.

Les inquiétudes se concentrent sur les outils du quotidien : plateformes de collaboration (37 %), outils publics d'IA générative (35 %), stockage cloud et partage de fichiers (33 %), assistants IA et agents autonomes (32 %), API et automatisation (31 %).

Le facteur humain, première vulnérabilité

Le point le plus net du rapport concerne le comportement des salariés. En France, 95 % des RSSI identifient le risque humain comme la principale vulnérabilité cyber de leur organisation, contre 56 % en 2025. À l'échelle mondiale, ce chiffre atteint 79 %, contre 66 % l'an dernier.

Les pertes de données confirment ce constat. Parmi les organisations françaises ayant subi une perte de données significative, les employés négligents constituent la première cause, citée par 47 % des RSSI. Les employés malveillants ou criminels sont cités par 39 % d'entre eux, et les employés compromis par 31 %. Fait notable, 100 % des RSSI français dans ces organisations affirment que des employés sortants ont joué un rôle dans l'incident.

Pourtant, 90 % des RSSI français estiment que leurs contrôles atténuent efficacement les risques introduits par l'IA, mais 92 % pensent que les employés sont susceptibles d'utiliser l'IA de manière à exposer des données sensibles, et 91 % s'inquiètent de la perte de données clients via les outils publics d'IA générative. En réponse, 95 % bloquent ou limitent l'utilisation de ces outils par les salariés.

Des pertes moins fréquentes, mais plus coûteuses

Le rapport montre aussi que les pertes de données deviennent plus graves quand elles surviennent. En France, les sanctions réglementaires touchant les organisations victimes sont passées de 30 % à 47 % en un an, les pertes financières de 23 % à 36 %, et les atteintes à la réputation de 21 % à 31 %. Seuls les coûts de reprise ont légèrement reculé, de 28 % à 25 %.

Les règles sur la protection des données se durcissent, les autorités sanctionnent davantage, et une fuite coûte aujourd'hui plus cher qu'il y a deux ans, même si elle survient moins souvent. Pour les directions financières, investir dans la prévention coûte moins cher que subir les conséquences d'un incident.

Les conseils d'administration écoutent davantage

Un dernier enseignement concerne la relation entre les RSSI et leurs conseils d'administration. En France, 94 % des RSSI déclarent être en phase avec leur conseil sur la cybersécurité, contre 56 % en 2025. La sécurité est devenue un sujet de direction générale, et les conseils évaluent le risque cyber à travers un prisme commercial : valeur de l'entreprise, temps d'arrêt, réputation et perte de données sensibles.

Cet alignement n'allège pas la pression : 89 % des RSSI français estiment que des attentes excessives pèsent sur eux, et 93 % pensent qu'une expertise en cybersécurité devrait être requise au niveau des administrateurs, contre 51 % en 2025.

Le message du rapport est double : la résilience s'améliore et les directions écoutent leurs experts, mais le risque se déplace vers les usages quotidiens de l'IA et les comportements humains. Le chantier est clair : encadrer l'usage de l'IA générative sans freiner son adoption, former les salariés, et surveiller les accès des employés qui partent.

Frequently Asked Questions

Qu'est-ce que le rapport Voice of the CISO de Proofpoint ?

Étude annuelle de Proofpoint, entreprise spécialisée dans la cybersécurité. L'édition 2026 repose sur une enquête mondiale auprès de 1 600 responsables de la sécurité dans 16 pays.

Pourquoi les RSSI français s'inquiètent-ils autant de l'IA générative ?

Parce que les salariés peuvent y coller des données sensibles ou des données clients sans toujours s'en rendre compte. En France, 88 % des RSSI considèrent ce sujet comme un risque, contre 52 % un an plus tôt, et la plupart des entreprises bloquent ou limitent ces outils en attendant des règles d'usage claires.

Que peuvent faire les entreprises françaises face à ce risque ?

Définir une politique claire sur l'usage des outils d'IA générative, former les salariés aux bons réflexes, surveiller les accès aux données sensibles, et revoir les accès lors des départs d'employés. Les entreprises peuvent aussi déployer des outils d'IA approuvés par leur service informatique, plutôt que de laisser chacun utiliser des services publics non contrôlés.