64% des salariés utilisent des outils d'IA non approuvés pour leurs tâches professionnelles*. Cette utilisation non validée et non surveillée par la DSI, appelée "Shadow AI", présente un risque de cybersécurité majeur pour l’entreprise. Pour s’en prémunir, dresser un inventaire des applications ne suffit plus.

Seule la capacité à croiser les signaux d'identité, d'usage et de réseau permet de distinguer l'adoption légitime de l'IA de l'exposition inutile. Le Shadow IT a longtemps été traité comme un problème de politique interne : les salariés utilisaient des applications, extensions ou services Cloud non validés par la DSI, mais ces usages laissaient des traces (scans, agents) que les analystes pouvaient examiner pour évaluer le risque et y répondre. Avec le SaaS puis l’IA, l’échelle a changé.

Un collaborateur peut désormais adopter une application en quelques secondes, sans installation ni ticket, y connecter son identité professionnelle, lui ouvrir l’accès à des données métier et y déposer des informations sensibles, le tout avant que la sécurité n’en ait connaissance. Les MSP, DSI et RSSI savent que le Shadow AI est déjà présent dans leurs environnements mais ce qui leur manque, c’est la capacité de découvrir les applications utilisées, de repérer celles qui présentent un risque et de réagir avant qu’un accès non autorisé ou une fuite de données ne devienne un incident. La plupart de ces applications entrent par des portes pourtant bien identifiées, chacune d’elle laissant des traces à un endroit différent et nécessitant donc une approche de détection spécifique.

Porte n° 1 : l’accès accordé par le salarié lui-même. Un simple clic sur "Se connecter avec Microsoft" ou "Continuer avec Google" suffit pour qu’une application d’IA ou SaaS accède à la messagerie, à l’agenda, aux fichiers ou aux contacts de l’entreprise, souvent bien après la fin du besoin initial. Les attaquants exploitent ce mécanisme avec ce que l’on appelle "consent phishing", en poussant l’utilisateur à accorder lui-même l’accès.

On ne peut pas gérer des applications dont on ignore l’existence : il faut d’abord identifier celles déjà connectées. Porte n° 2 : les comptes personnels. Beaucoup de salariés utilisent un service d’IA depuis leur navigateur avec un compte personnel et dans ce cas rien n’apparaît dans Microsoft 365 ou Google Workspace, et l’organisation ignore quelles informations sont déposées ou traitées.

Sans cette visibilité, le risque ne peut pas être évalué ni la gouvernance appliquée. Porte n° 3 : l’usage visible uniquement par le réseau. Depuis un poste géré, un salarié accède à un service d’IA sans créer d’autorisation d’application ni s’authentifier auprès du fournisseur d’identité.

La seule trace se trouve dans les journaux de logs réseau ou du pare-feu, noyée dans le trafic web ordinaire, ce qui rend très difficile la détection d’un usage risqué. Pourquoi la visibilité sur les trois points d’entrée est essentielle ? Chaque point d’entrée laisse des traces à un endroit différent : · Les plateformes d’identité révèlent les autorisations OAuth et l’accès aux applications tierces. · L’activité des utilisateurs met en évidence les services d’IA utilisés en dehors des identités d’entreprise. · Le trafic réseau permet d’identifier les services qui ne laissent aucune trace ailleurs.

C’est pourquoi les équipes de sécurité ont besoin de visibilité sur ces trois points d’entrée pour détecter l’activité de Shadow AI et y répondre de manière appropriée. Combler le déficit de visibilité sur le Shadow AI Combler ce déficit exige de croiser plusieurs sources de télémétrie plutôt que de s’appuyer sur un seul contrôle. Les identités et autorisations applicatives montrent quels services accèdent aux données de l’entreprise, mais pas les outils d’IA utilisés via des comptes personnels ni ceux qui ne demandent jamais d’autorisation.

À l’inverse, l’activité des terminaux et du réseau révèle d’autres usages, mais pas les accès accordés au sein d’un environnement SaaS. Une gouvernance efficace du Shadow AI doit donc répondre à trois questions : quelles applications sont utilisées ? A quelles données elles peuvent accéder et quelles activités justifient une action ?

Un simple inventaire d’outils d’IA a peu de valeur en soi : c’est la visibilité continue sur l’identité, les applications, les postes et le réseau qui permet de distinguer l’adoption légitime de l’IA des usages risqués, et de réagir de façon proportionnée. Détecter le Shadow AI avec les bonnes solutions de cybersécurité Pour maîtriser le Shadow AI, trois sources de visibilité peuvent être combinées : L’analyse des autorisations OAuth et des inscriptions SaaS révèle les applications connectées aux comptes Microsoft 365 ou Google Workspace, détecte les consentements suspects (consent phishing) et permet de révoquer les accès avant qu’ils ne causent un incident. Elle repère aussi les services créés avec une adresse e-mail professionnelle.

La télémétrie réseau des appareils gérés identifie les services Cloud et d’IA utilisés, quel que soit le mode d’authentification. La télémétrie du pare-feu permet de repérer les connexions vers des destinations d’IA connues, sans inspecter le contenu, et les signale pour revue. Le coût de l’ignorance Le Shadow AI a des conséquences bien au-delà du simple manque de visibilité.

Selon le rapport IBM Cost of a Data Breach 2026, les incidents qui l’impliquent coûtent en moyenne 5,39 millions de dollars, contre 4,99 millions pour une fuite de données moyenne dans le monde. Ces incidents naissent souvent de comportements courants : autoriser une application à accéder aux données de l’entreprise, utiliser un compte d’IA personnel sur un appareil professionnel ou passer par un service non approuvé dans un navigateur. Faute de visibilité, ces risques restent invisibles jusqu’à l’incident.

Les MSP et les équipes informatiques internes n’ont pas besoin de freiner l’adoption de l’IA. Elles doivent comprendre quelles applications les employés utilisent, comment elles ont été introduites dans l’environnement et à quelles données elles ont accès. Les organisations qui disposent de cette visibilité sont mieux placées pour gérer les risques, répondre aux exigences de conformité et réagir rapidement en cas de problème.

On ne peut pas gérer ce que l’on ne voit pas.