Santé : les données réglementées au cœur de la majorité des fuites dans le cloud et l'IA générative

Dans un contexte où de plus en plus de personnels de santé adoptent et utilisent les applications d’IA générative, le risque de fuite d’informations confidentielles à travers des prompts ou des documents continue de croître. Les données réglementées, telles que les dossiers des patients et leurs résultats cliniques, sont particulièrement exposées à ce risque, représentant 89 % de toutes les infractions aux politiques internes attribuées aux applications d’IA générative, chiffre nettement supérieur à la moyenne intersectorielle de 31 %.

Ce problème est aggravé par l’utilisation de comptes personnels pour ce type d’application sur le lieu de travail. Bien que ce comportement ait fortement diminué au cours des treize derniers mois, 43 % des professionnels de santé continuent d’utiliser des outils personnels échappant à tout contrôle interne, ce qui rend certaines fuites de données impossibles à détecter. Afin de parer à ce risque, les organismes de santé déploient désormais leurs propres versions d’applications d’IA générative à un rythme soutenu et incitent leur personnel à les employer. La proportion de collaborateurs utilisant ces applications validées par leur organisation est passée de 18 % à 67 % au cours de la même période, dépassant ainsi les moyennes intersectorielles (26 % à 62 %).

Les organismes de santé sont toujours plus nombreux à chercher de nouvelles pistes pour mettre l’IA au service de leurs objectifs. Le rapport du Threat Labs montre déjà une accélération du déploiement et de l’utilisation d’outils IA internes dotés de systèmes de sécurité spécialement conçus. Toutefois, même lorsque des applications d’IA générative ou des agents IA sont déployés en interne, ils doivent souvent se connecter au système cloud sous-jacent afin d’être traités via une API dédiée. La surveillance du trafic des API peut donc être utilisée pour évaluer les déploiements locaux d’IA. Dans le secteur de la santé, près de deux organisations sur trois détectent du trafic API vers OpenAI et AssemblyAI (respectivement 63 % et 62 %), et plus d’un tiers (36 %) vers Anthropic. Cette forte dépendance à l’égard des intégrations basées sur des API souligne le rôle croissant des services d’IA intégrés dans les systèmes cliniques, administratifs et opérationnels, qui doivent également être sécurisés et gérés avec soin pour limiter les risques d’incidents.

L’utilisation d’applications cloud personnelles sur le lieu de travail reste néanmoins problématique en matière de sécurité des données, les collaborateurs pouvant y importer (intentionnellement ou non) des données sensibles. Ici encore, les données réglementées sont les plus exposées, cette catégorie représentant 82 % des infractions aux politiques internes sur l’utilisation de ce type d’application. Des solutions existent pour réduire ce risque, comme l’affichage automatisé en temps réel d’avertissements en vue de dissuader le partage d’informations sensibles avec des services externes, ou encore le blocage des téléchargements vers des applications personnelles. Au cours de l’année écoulée, plus de la moitié des organismes de santé (56 %) ayant mis en place de telles politiques ont empêché les utilisateurs de télécharger des fichiers vers des comptes Google Drive personnels, ce qui illustre bien la fréquence des risques d’exposition des données dans les applications cloud les plus répandues. Google Drive est d’ailleurs suivi par Google Gmail (39 %) et OneDrive (30 %).

La confiance aveugle que les employés accordent aux applications cloud et aux fichiers que ces applications peuvent héberger est largement mise à profit par les cybercriminels. Dans le secteur de la santé, Azure Static Web Apps, GitHub et Microsoft OneDrive ont été les plateformes les plus fréquemment exploitées pour distribuer des logiciels malveillants, avec respectivement 8,2 %, 8 % et 6,3 % des organisations ayant bloqué des tentatives de téléchargement de logiciels malveillants à partir de chacune de ces applications.

« La mise en place de défenses contre les menaces externes est certes essentielle pour les organismes de santé, qui ont toujours été les cibles privilégiées des cybercriminels, explique Ray Canzanese, directeur du Threat Labs de Netskope, mais il est tout aussi important de traiter les risques internes, en particulier dans un secteur aussi réglementé et dans un contexte d’adoption rapide du cloud et de l’IA. Notre rapport montre que les établissements qui opèrent sans mesures de sécurité régissant l’utilisation du cloud et de l’IA sont particulièrement exposés aux risques de fuites de données à caractère personnel et autres données cliniques, avec des sanctions réglementaires potentiellement élevées. Pour parvenir à un juste équilibre entre modernisation et sécurité, les organismes de santé doivent impérativement valider et déployer des applications répondant aux besoins de leurs collaborateurs en matière de facilité d’utilisation et de productivité, en association avec des outils de sécurité offrant une visibilité et un contrôle complets sur l’utilisation et les mouvements de données. »

Méthodologie : Les informations présentées dans ce rapport sont basées sur des données d’utilisation anonymisées portant sur un groupe de clients Netskope du secteur de la santé à travers le monde, collectées avec autorisation préalable entre le 1er décembre 2024 et le 31 décembre 2025.