83 % des RSSI n'ont pas encore intégré ce risque à leur dispositif de gestion des tiers : une étude inédite menée auprès de 111 RSSI et croisée avec 652 évaluations tierces sur preuves dans 49 pays met au jour un angle mort partagé entre donneurs d'ordre et fournisseurs.

Paris, 21 septembre 2026 – CyberVadis, plateforme SaaS d'évaluation du risque cyber des tiers, et le CESIN, association des experts de la sécurité de l'information et du numérique, publient aujourd'hui « IA et risque cyber tiers 2026 », une étude qui croise pour la première fois la perception des RSSI français avec des données de terrain issues d'évaluations conduites sur preuves documentaires.
Le constat dépasse le seul périmètre de la sécurité : l'IA se diffuse dans les usages des fournisseurs plus vite que les organisations, donneurs d'ordre comme tiers, n'arrivent à en cadrer l'usage. Il ne s'agit pas d'une impréparation des RSSI, mais d'un nouvel angle mort qui se développe à grande vitesse dans l'écosystème des tiers, un sujet qui engage autant la cybersécurité que les achats, le juridique et la gouvernance des organisations.

Les chiffres clés de l'étude
— 83 % des RSSI n'ont pas couvert dans leur TPRM les risques liés à l'usage de l'IA par leurs tiers, et 68 % ne vérifi ent aucun contrôle IA spécifi que lors des évaluations.
— 84 % n'ont pas de clause contractuelle encadrant l'usage de l'IA par leurs fournisseurs.
— 48 % des RSSI n'ont aucune visibilité sur l'usage de l'IA par leurs tiers ; 89 % n'en ont aucune sur les sous-traitants de leurs tiers (rang N+2).
— Côté preuve : seuls 4 % des tiers évalués par CyberVadis démontrent tenir un inventaire de leurs outils IA, alors que 65 % le déclarent. En moyenne, seul 1,5 contrôle IA sur 6 est effectivement démontré sur les 652 évaluations analysées.
— Seulement 6 % des RSSI ont pleinement engagé la prise en compte de l'IA dans leur TPRM : un critère de criticité IA, des contrôles IA dans les évaluations, et des clauses IA dans les contrats.

Un angle mort partagé, qui commence dès le premier rang de sous-traitance
Menée entre mai et juin 2026 auprès de 111 RSSI membres du CESIN, l'enquête est mise en regard des évaluations cyber tierces conduites par CyberVadis depuis janvier 2025 : 652 évaluations dans 49 pays, incluant six contrôles IA spécifi ques vérifi és sur preuves documentaires. Cette double lecture, déclarative et vérifi ée, permet de mesurer l'écart entre ce que les fournisseurs affi rment et ce qu'ils démontrent réellement.

L'étude documente notamment le phénomène du « Shadow AI Supplier » : une IA que le tiers déploie ouvertement pour traiter les données de ses clients, mais dont ces derniers n'ont aucune visibilité faute de canal formel pour en être informés. Elle consacre également une section aux agents IA autonomes déployés par les tiers, qui posent des enjeux spécifi ques de traçabilité, de périmètre d'accès et d'imputabilité en cas d'incident.

Une étude, quatre leviers d'action
Au-delà du diagnostic, l'étude détaille en conclusion quatre leviers, qui ne relèvent pas de la seule cybersécurité : un critère IA dans la grille de criticité, des contrôles IA vérifi és sur preuves dans les évaluations, des clauses IA dans les contrats, et une gouvernance transverse pour piloter l'ensemble, associant cybersécurité, juridique et achats. Aucun de ces leviers n'exige de remise en cause en profondeur du TPRM, il s’agit juste de mettre à jour le dispositif existant.

« Les fondations du TPRM sont solides, la couche IA doit désormais s'y intégrer, ce n'est pas une refonte mais une mise à jour. »
Thibault Lapédagne, VP Research, CyberVadis, co-auteur de l'étude

« Le risque IA ne s'arrête pas aux frontières de l'entreprise. Il s'étend à toute la chaîne de fournisseurs, alors même que la visibilité diminue à chaque niveau de sous-traitance.»
Alain Bouillé, Délégué Général du CESIN

Le communiqué est disponible en intégralité et en téléchargement ci-dessous.

L'étude est téléchargeable en intégralité pour nos membres ici.