Le shadow IT désigne des systèmes, outils ou services utilisés dans une organisation sans approbation de la DSI, et cette réalité couvre autant les appareils non gérés que les services cloud employés pour le travail hors cadre officiel. Avec la généralisation de l’IA générative, ce phénomène s’étend désormais à des usages quotidiens depuis le navigateur, souvent via des comptes personnels, ce qui accroît l’exposition des données sensibles et réduit la visibilité de l’entreprise sur ses propres traitements.
Le shadow IT est devenu un sujet de gouvernance
Le shadow IT apparaît rarement par volonté de contourner la sécurité. Le NCSC souligne qu’il provient le plus souvent d’équipes qui cherchent simplement à accomplir une tâche avec des outils ou des processus jugés insuffisants, trop lents ou peu adaptés à leur besoin réel. Cette lecture change la posture de l’entreprise, car le sujet touche autant à l’expérience utilisateur, à l’organisation du travail et à la gouvernance qu’à la seule sécurité technique.
Dans une PME, le phénomène prend une forme très concrète. Un espace cloud personnel utilisé pour partager un dossier client, une messagerie non validée pour accélérer un échange sensible, un outil SaaS payé sur budget métier, ou un assistant IA utilisé en direct pour rédiger un appel d’offres relèvent de la même logique de fond : un besoin immédiat trouve une solution hors radar. Dès que ces usages deviennent habituels, la cartographie réelle du système d’information s’écarte de la cartographie officielle, et la gestion du risque devient beaucoup plus difficile faute de visibilité complète sur ce qu’il faut protéger.
L’IA a fait entrer le shadow IT dans une nouvelle phase
L’essor de l’IA générative a changé l’échelle du phénomène. Menlo Security indique qu’en janvier 2025, le trafic vers les sites de GenAI a atteint 10,53 milliards de visites, en hausse de 50 pour cent par rapport à février 2024, avec 80 pour cent des accès réalisés via le navigateur. Le même rapport indique que 68 pour cent des employés utilisent des outils d’IA en version gratuite via des comptes personnels et que 57 pour cent y saisissent des données sensibles, ce qui crée un risque direct de fuite d’information, de réutilisation non maîtrisée des contenus et de perte de traçabilité.
Le shadow AI est donc une extension naturelle du shadow IT. Il repose sur les mêmes ressorts humains, avec un effet d’accélération beaucoup plus fort, car l’accès est immédiat, l’usage semble anodin et l’utilisateur obtient un bénéfice visible en quelques secondes. Menlo relève aussi l’existence de plus de 6 500 domaines GenAI et de 3 000 applications observées, ce qui élargit fortement la surface d’exposition et rend les choix des collaborateurs plus difficiles à encadrer sans politique claire.
Les risques dépassent largement la seule question informatique
Le premier risque concerne la confidentialité. L’ANSSI la définit comme la propriété d’une information à laquelle seuls ses destinataires autorisés peuvent accéder, et cette exigence est fragilisée dès qu’un document, un prompt, un export ou une base de travail quitte le périmètre maîtrisé par l’entreprise. Le deuxième risque concerne l’intégrité, que l’ANSSI décrit comme la garantie que le système et l’information traitée ne sont modifiés que par une action volontaire et légitime, ce qui devient plus difficile à assurer lorsque plusieurs outils non homologués participent à une même chaîne de traitement.
Le troisième risque touche la capacité d’investigation et d’audit. Le NCSC rappelle que le shadow IT complique la gestion des risques parce qu’il prive l’organisation d’une compréhension complète de ses actifs, de ses usages et de ses dépendances, ce qui affaiblit la supervision, la preuve et la remédiation en cas d’incident. Le quatrième risque est opérationnel, car un outil non validé peut devenir indispensable sans support, sans engagement contractuel solide, sans cadre de sauvegarde et sans garanties de sécurité adaptées à la sensibilité des données manipulées.
Cette réalité a aussi un impact juridique et managérial. Lorsqu’un collaborateur injecte des données sensibles dans un outil d’IA externe depuis un compte personnel, l’entreprise perd une partie de sa maîtrise sur les flux, la conservation et la journalisation, alors même que ces éléments deviennent centraux dans toute démarche de conformité et de responsabilité. Le sujet concerne donc la cybersécurité, la conformité, les achats, les RH et la direction générale dans un même mouvement.
La bonne réponse repose sur la confiance organisée
Le NCSC recommande explicitement de ne pas réprimander les équipes lorsque du shadow IT est découvert, car une culture du blâme réduit la remontée d’information et aggrave l’angle mort de l’organisation. Cette recommandation est essentielle, car la visibilité dépend de la qualité du dialogue entre les métiers, la DSI, la sécurité, les fonctions support et la direction. Une entreprise qui veut reprendre le contrôle doit créer un cadre où un collaborateur peut dire qu’il utilise un outil non référencé sans craindre une sanction immédiate, afin de permettre une mise sous contrôle rapide et pragmatique.
Cette logique de confiance ne signifie pas relâcher l’exigence. Le NCSC explique que les contrôles techniques restent indispensables, en particulier la gestion des actifs, les contrôles d’accès réseau et les outils capables d’identifier les services ou équipements inconnus dans l’environnement de travail. La différence tient à la méthode : l’entreprise cherche d’abord à comprendre le besoin métier réel, puis elle fournit une solution approuvée, soutenue et proportionnée au niveau de risque.
Pour les données sensibles hébergées dans le cloud, l’ANSSI rappelle d’ailleurs que la qualification SecNumCloud permet d’identifier des offres de confiance dont l’usage est préconisé pour leur protection.
Comment embarquer les équipes dans la durée ?
L’adhésion progresse lorsque l’entreprise relie la règle à un usage concret. Un commercial comprend plus facilement l’intérêt d’un outil validé si la solution proposée lui permet de partager vite, de retrouver un document partout et de signer proprement un dossier sans multiplier les contournements. Un cadre RH adopte plus volontiers une pratique encadrée si elle reste simple, rapide et compatible avec son niveau de pression opérationnelle.
La pédagogie gagne aussi en efficacité lorsqu’elle part des gestes réels. Dans le cas de l’IA, l’enjeu n’est pas seulement de dire aux équipes de faire attention ; il faut expliquer quels types de données ne doivent pas être saisis, comment utiliser un service approuvé, comment vérifier un résultat généré et à quel moment une relecture humaine devient obligatoire. Cette approche développe une culture de discernement, beaucoup plus robuste qu’une charte purement théorique.
La maturité se construit avec des règles simples et visibles
Le sujet avance lorsqu’une entreprise formalise une doctrine claire, courte et applicable. Elle doit préciser quels outils sont autorisés, quelles données peuvent sortir du périmètre interne, quels usages de l’IA sont admis, quelles validations sont nécessaires et qui décide en cas d’urgence métier. Sans ce socle, les collaborateurs arbitrent seuls au fil de l’eau, et l’organisation découvre les écarts trop tard.
Une gouvernance utile repose ensuite sur quelques mécanismes concrets. Il faut un circuit rapide de validation, une revue régulière des outils réellement utilisés, une capacité technique de découverte des services non référencés et un point de contact reconnu pour les demandes métiers sensibles. Cette combinaison permet de faire remonter les besoins, de réduire les usages cachés et de replacer la sécurité dans une logique de service plutôt que de blocage.
| Situation fréquente | Lecture de risque | Réponse efficace |
|---|---|---|
| Un collaborateur partage des fichiers métier via un cloud personnel | Le NCSC considère que le stockage de données d’entreprise dans des comptes cloud personnels relève du shadow IT et réduit la visibilité de l’organisation sur les actifs à protéger | Proposer un service approuvé, simple d’usage et adapté au besoin métier récurrent, avec un cadre d’accès et de support clair |
| Une équipe utilise un outil d’IA grand public depuis un compte personnel | On observe que 68 pour cent des employés utilisent des outils d’IA via des comptes personnels, et que 57 pour cent y saisissent des données sensibles | Déployer des usages d’IA approuvés, fixer des règles de saisie et de relecture, puis suivre les usages via le navigateur et les services autorisés menlosecurity+1 |
| La direction découvre un outil non référencé lors d’un audit ou d’un incident | Le NCSC recommande d’éviter la réprimande, car elle réduit la capacité des équipes à signaler les pratiques non encadrées | Traiter d’abord le besoin métier, mettre l’outil sous contrôle ou le remplacer, puis instaurer un dialogue de confiance durable |
| Des données sensibles partent vers un fournisseur cloud peu qualifié | L’ANSSI recommande l’usage d’offres de confiance qualifiées SecNumCloud pour la protection des données sensibles | Revoir les fournisseurs, qualifier les données et orienter les usages sensibles vers des services de confiance |
Le shadow IT révèle la manière dont votre entreprise travaille réellement, et cette photographie devient encore plus sensible avec l’IA générative, les services cloud et les usages portés directement par les métiers. Chez Cyberstrat, nous aidons les PME à transformer ce sujet en démarche maîtrisée, avec une gouvernance simple, une cartographie des usages réels, un cadre d’usage de l’IA et une remise en conformité opérationnelle au service de votre sécurité et de votre performance.
