Le second baromètre des dirigeants de la tech, réalisé par Hiscox avec OpinionWay et dévoilé à VivaTech, se lit d'abord comme une confirmation. L'IA générative est passée de moins de 50% d'utilisation en 2024 à 77% des entreprises du secteur, soit une augmentation de trente et un points en deux ans. Quatorze pour cent de plus déclarent vouloir l'adopter prochainement, ce qui porte le taux potentiel au-delà de quatre-vingt-dix. Soixante-dix pour cent des dirigeants la jugent indispensable à la croissance de leur entreprise, dix-neuf points de plus qu'en 2024, et 84% anticipent une transformation profonde de leur organisation d'ici trois ans.
Puis arrive le chiffre qui ne colle pas. Sur quatorze risques identifiés, l'IA se classe douzième dans la perception des dirigeants. Seuls 24% la considèrent comme un risque très important.
La lecture réflexe est écrite dans le titre de l'article qui rapporte l'étude : ils sous-estiment. C'est possible. C'est aussi, à mon avis, l'explication la moins intéressante et la moins probable, parce que la population interrogée est la plus équipée qui soit pour comprendre ce dont il s'agit. Ce ne sont pas des dirigeants qui découvrent la technologie. Ce sont ceux qui la vendent.
Ce que le baromètre mesure, et ce qu'il ne dit pas
Avant d'aller plus loin, disons ce que vaut la mesure. Il s'agit d'un baromètre sectoriel, réalisé pour un assureur : Hiscox vend de la couverture cyber, et un baromètre qui conclut à une sous-estimation du risque numérique sert ses intérêts commerciaux. Ça ne rend pas les chiffres faux — ils sont cohérents entre eux et l'écart avec l'édition 2024 est mesuré sur la même méthode — mais ça invite à lire les conclusions autrement que les données. L'article ne publie ni la taille de l'échantillon ni la période de collecte : je ne les invente pas.
Victorine Bailleul, responsable de l'offre cyber chez Hiscox, résume le constat d'une phrase qui mérite d'être citée telle quelle : « On a plus vite adopté l'IA qu'on a écrit les règles d'usage. » C'est exact, et c'est le point de départ. Ce n'est pas encore une explication.
Une erreur de catégorie, pas un défaut d'attention
Un registre des risques est une liste de lignes comparables. On y trouve la cyberattaque, la perte de données, la rupture d'approvisionnement, la défaillance d'un fournisseur, le risque réglementaire, le risque de réputation. Chaque ligne porte une probabilité, un impact, un responsable et un plan. C'est ce qui permet de les classer les unes par rapport aux autres.
L'« IA » telle qu'elle figure dans ces listes n'en est pas une ligne. Ce n'est pas un événement redouté, c'est un vecteur qui traverse les treize autres. Elle change la probabilité de la fuite de données, parce qu'un prompt est une copie sortante. Elle change l'échelle de la cyberattaque, ce que Victorine Bailleul dit explicitement en rappelant que les attaquants industrialisent déjà leurs attaques avec elle. Elle change la détectabilité de la non-conformité, parce qu'un traitement qui n'a pas de ticket n'a pas de registre. Demander à un dirigeant de classer l'IA entre la rupture d'approvisionnement et le risque de change, c'est lui demander de comparer deux choses qui ne sont pas sur le même axe.
Placée devant cet exercice, une personne raisonnable fait exactement ce que le baromètre observe : elle range le vecteur en bas, parce qu'aucun sinistre ne s'appelle IA, et elle garde ses points hauts pour les événements qu'elle sait nommer.
La preuve est dans le sondage lui-même
Cette hypothèse a un avantage sur celle de la négligence : elle est vérifiable dans les données publiées, et la vérification tient en deux chiffres.
Vingt-quatre pour cent des dirigeants considèrent l'IA comme un risque très important. Mais 73% reconnaissent que la perte de données par erreur humaine ou la non-conformité au RGPD constituent des freins réels et, dans le même baromètre, 68% déclarent utiliser ChatGPT au sein de leur entreprise, avec des données financières, humaines et opérationnelles qui transitent par des outils grand public sans cadre défini.
Autrement dit : les mêmes dirigeants notent 24% la cause et 73% sa conséquence directe. Ce n'est pas une contradiction dans leur tête. C'est une contradiction dans l'instrument, qui compte deux fois le même risque sur deux lignes différentes et empêche de voir qu'elles n'en font qu'une. Un dirigeant qui aurait parfaitement compris le sujet remplirait le formulaire exactement pareil.
C'est aussi ce qui distingue cette étude d'un simple constat d'immaturité. Nous avions traité l'angle voisin avec les chiffres de Cisco, seules 14 % des entreprises prêtes à déployer l'IA agentique à grande échelle, mais la préparation et la perception sont deux problèmes différents. On peut combler un retard de préparation avec un budget. On ne comble pas un angle mort avec un budget : on change d'instrument.
La souveraineté déclarée bute sur le même défaut
Le baromètre contient un second écart, plus commenté, et il est du même ordre. Soixante-six pour cent des dirigeants jugent la souveraineté nationale ou européenne cruciale pour leur entreprise; 89% s'appuient sur au moins un outil d'IA générative d'origine américaine. ChatGPT, Claude et Gemini occupent le podium, loin devant Mistral AI, seul acteur européen du classement.
La lecture facile est l'hypocrisie. Elle ne résiste pas non plus. Victorine Bailleul propose une explication de trajectoire : « Ce n'est pas un regret, c'est un constat. Les outils américains ont été développés en premier, les habitudes ont été prises. », et elle est juste. J'ajouterais une raison mécanique.
La souveraineté est une propriété qui ne s'exerce qu'à un moment précis : celui du choix. Une politique souveraine s'applique à un appel d'offres, à un renouvellement de contrat, à une décision d'architecture. Or les 68% d'usage de ChatGPT en entreprise décrivent, pour une bonne partie, des outils qui ne sont passés par aucun de ces moments. Ils sont arrivés par l'usage individuel, un onglet à la fois. Aucune politique, aussi bien écrite soit-elle, ne peut s'appliquer à un choix qui n'a jamais eu lieu.
C'est très exactement le mécanisme que nous décrivions à propos du shadow IA dans les collectivités : l'usage précède la décision, donc la décision n'a plus rien à arbitrer. Le baromètre montre que le secteur qui produit ces outils n'y échappe pas davantage que ses clients.
Ce qui marche à la place : réécrire les treize lignes
Si le diagnostic est un défaut d'instrument, le remède n'est pas d'ajouter une quinzième ligne intelligence artificielle au registre. C'est de reprendre les treize existantes et de se demander, pour chacune, ce que l'IA change à trois propriétés :
- sa probabilité : la fuite de données n'a pas la même fréquence quand chaque collaborateur dispose d'un canal d'export sans friction ;
- sa détectabilité : un traitement déclenché depuis un compte personnel ne laisse pas la même trace qu'un traitement passé par le système d'information, et c'est souvent le vrai changement : le sinistre n'est pas plus probable, il est moins visible ;
- sa réversibilité : une action automatisée qui s'exécute sans validation intermédiaire se répare-t-elle, et par qui ?
Cet exercice a une vertu que le classement n'a pas : il produit des lignes actionnables, avec un responsable, au lieu d'une note globale sur un objet qui n'appartient à personne. Il a aussi un coût honnête à annoncer : c'est plus long que de cocher une case, et le résultat est moins présentable en comité qu'un chiffre unique.
Ce que ça change quand on construit du logiciel avec des agents
Dans notre périmètre des produits développés par des agents sous gouvernance humaine, cette distinction entre le vecteur et l'événement n'est pas théorique. C'est même la raison pour laquelle les règles de l'organisation ne vivent pas dans un document à côté, mais sont injectées au début de chaque session d'agent et journalisées telles qu'elles ont été reçues.
La raison tient à ce que le baromètre décrit. Une règle qui vit dans un registre est une ligne qu'on relit une fois par trimestre ; une règle injectée est une contrainte qui s'applique au moment où le risque se produit, c'est-à-dire pendant l'exécution. Et une règle dont on garde la trace figée est la seule qu'on puisse opposer ensuite : sans elle, l'agent a respecté nos contraintes est une affirmation invérifiable, exactement comme nous considérons l'IA comme un risque l'est aujourd'hui pour 24% des dirigeants interrogés.
Je ne prétends pas que ça règle la question de la souveraineté, qui se joue à un autre étage. Mais ça règle la partie que le baromètre montre du doigt : l'écart entre ce qu'une organisation déclare et ce qu'elle peut établir.
Le chiffre à surveiller n'est pas celui-là
La prochaine édition du baromètre est annoncée pour 2028. Si l'IA y remonte dans le classement des risques, ce ne sera pas nécessairement une bonne nouvelle : ça voudra probablement dire qu'un sinistre assez spectaculaire aura donné un nom à l'événement, et qu'il aura enfin une ligne.
Le chiffre utile à surveiller est ailleurs, et il est déjà dans l'étude : les 63% de dirigeants membres d'un réseau d'entreprises, dont 23% l'ont rejoint depuis 2024. C'est le seul indicateur du lot qui mesure une recherche active de repères plutôt qu'une opinion. Les règles d'usage que personne n'a écrites s'écriront là, ou ne s'écriront pas.
Sources
- « Adoption massive de l'IA : les dirigeants de la tech sous-estiment encore largement les risques », Maddyness, 29 juin 2026. Compte rendu du second baromètre des dirigeants de la tech Hiscox × OpinionWay, dévoilé à VivaTech, avec les citations de Victorine Bailleul, responsable de l'offre cyber chez Hiscox. Tous les chiffres de cet article en proviennent. Hiscox est un assureur et commercialise de la couverture cyber.
