L’IA ombre émerge souvent de la gouvernance elle-même

Le Shadow AI est une réalité – et souvent généré par la gouvernance elle-même. Dans un entretien accordé à SecurityToday, Patricia Leppert, responsable de l’équipe Customer Trust & Safety chez TeamViewer, explique comment les obstacles à l’approbation poussent les employés à recourir à des outils d’IA non officiels. Selon une enquête de TeamViewer, environ 40 % des employés contournent les règles parce que les technologies autorisées sur leur lieu de travail ne fonctionnent pas.

Articles apparentés : Cinq postes à privilégier avant le budget SIEM · Ce que la direction doit documenter selon la directive NIS2

Qu’est-ce que l’IA fantôme (Shadow AI) ?

Qu’est-ce que l’IA fantôme (Shadow AI) ? L’IA fantôme désigne l’utilisation d’outils ou de services d’IA non autorisés en tant que solution de contournement – par exemple sur un appareil personnel ou via des plateformes accessibles au public – lorsque les technologies officiellement mises à disposition ne correspondent pas aux besoins, sont difficiles à utiliser ou restent méconnues. La sécurité perd alors le contrôle sur le traitement, le stockage et la réutilisation des données. Dans cet entretien, Patricia Leppert analyse ce mécanisme et met en lumière les obstacles de gouvernance qui poussent à emprunter ce raccourci.

Pour Leppert, l’IA fantôme relève davantage de la réalité du travail que d’un comportement malveillant. Les échéances serrées, les réponses à apporter aux clients et la pression des projets poussent les employés à recourir à des services publics, souvent sans intention de compromettre les données.

Solution de contournement plutôt que violation des politiques

SecurityToday : Madame Leppert, à quoi ressemble concrètement le Shadow AI dans le quotidien professionnel d’une entreprise ?

Patricia Leppert : La plupart des grandes entreprises disposent aujourd’hui d’une politique définissant les outils d’IA officiellement autorisés pour les collaborateurs. Cependant, si ces outils approuvés ne correspondent pas parfaitement aux tâches à accomplir, s’avèrent complexes à utiliser ou tout simplement méconnus, les employés se tournent vers d’autres solutions en guise de contournement. Ils peuvent alors recourir à leur appareil personnel ou utiliser des plateformes ou services d’IA disponibles gratuitement sur Internet. C’est ce qu’on appelle le Shadow AI. Dans une enquête mondiale menée par TeamViewer, 40 % des salariés ont indiqué avoir déjà eu recours à de telles solutions de contournement parce que la technologie mise à disposition sur leur lieu de travail ne fonctionnait pas.

SecurityToday : Comment une équipe sécurité peut-elle détecter que les collaborateurs utilisent des outils d’IA en contournant les canaux officiels ?

Patricia Leppert : Ma conviction est que le Shadow AI est aujourd’hui une réalité dans la plupart des entreprises, même si son ampleur peut varier. Cette affirmation est d’ailleurs corroborée par l’enquête mentionnée. Je ne suis cependant pas favorable aux pratiques de surveillance en entreprise. Notre rôle en tant qu’équipe sécurité consiste plutôt, d’une part, à sensibiliser les collaborateurs aux risques associés au Shadow IT. Les employés adhèrent davantage aux consignes de sécurité lorsqu’ils en comprennent les raisons. D’autre part, nous devons contribuer à ce que les outils d’IA autorisés soient pratiques, accessibles et faciles à utiliser. Pour les équipes sécurité, cela signifie avant tout que la cybersécurité ne doit pas constituer un frein à l’utilisation des outils d’IA.

Quand la gouvernance devient un détour

SecurityToday : Le Shadow AI émerge souvent précisément à cause de la gouvernance elle-même. Quelles sont les obstacles qui poussent les services métiers à recourir à des outils non officiels ?

Patricia Leppert : La mission de la sécurité informatique consiste à protéger une entreprise. Mais si elle génère trop d’interruptions dans le travail, elle est perçue comme un frein, pousse les collaborateurs à quitter l’environnement sécurisé et, au final, rend l’entreprise encore plus vulnérable. Les obstacles typiques incluent par exemple une réinitialisation de mot de passe ou des correctifs imposés au mauvais moment, des processus de validation trop complexes, des boucles d’authentification interminables ou une plateforme bloquée qui transforme une tâche simple en parcours du combattant. Lorsqu’il s’agit de projets critiques en termes de délais, la tentation est alors grande de se tourner vers un outil d’IA en libre accès sur Internet. Cela ne relève pas d’une mauvaise intention, bien au contraire. Les employés veulent respecter une échéance, répondre à un client ou faire avancer un projet.

Fuites de données, IA frauduleuse et résultats non vérifiés

SecurityToday : Que se passe-t-il lorsque des employés saisissent des contenus sensibles dans des services d’IA non approuvés ?

Patricia Leppert : L’entreprise perd alors le contrôle sur la manière dont ces données sont traitées, stockées ou réutilisées. La situation devient particulièrement critique pour les données financières et clients, le code source ou les feuilles de route internes. Un phénomène frauduleux répandu est celui des IA frauduleuses, c’est-à-dire des sites web ou applications qui prétendent être des outils d’IA performants ou des générateurs d’images, mais qui, en réalité, volent des données. Il est essentiel que les équipes de sécurité informent clairement les employés sur ces risques.

SecurityToday : Dans quels cas l’IA fantôme devient-elle vraiment dangereuse – des fuites de données à la conformité, en passant par les hallucinations ?

Patricia Leppert : Tous ces risques sont dangereux pour l’entreprise à leur manière. Si des informations confidentielles fuient, cela porte atteinte à mon activité. Peut-être même que l’entreprise s’expose à des poursuites pénales, par exemple si des données clients sont rendues publiques. Les manquements à la conformité concernent surtout les employés qui utilisent l’IA fantôme. En revanche, pour les problèmes de résultats erronés ou d’hallucinations, les entreprises peuvent agir en formant leurs collaborateurs. Les résultats issus de l’IA générative ne doivent jamais être utilisés sans vérification préalable. Cela s’applique également aux résultats obtenus via des outils d’IA approuvés. Par ailleurs, l’utilisation de services d’IA non approuvés peut entraîner des violations réglementaires ou contractuelles, notamment si le traitement ou le stockage des données n’est pas traçable.

Une sécurité qui s’intègre naturellement au flux de travail

SecurityToday : À quoi ressemble une alternative sécurisée et utilisable dans le quotidien professionnel ?

Patricia Leppert : Les mécanismes de contrôle doivent s’intégrer naturellement aux processus de travail. Ils doivent permettre de maintenir la productivité tout en restant dans le flux opérationnel. Si la sécurité est intuitive, les employés seront bien plus enclins à l’adopter. L’authentification en est un bon exemple. Les mots de passe frustrent les employés depuis longtemps et constituent une faille connue, souvent exploitée par les cyberattaques. Des approches comme le Zero Trust ou l’authentification biométrique peuvent renforcer la protection tout en améliorant l’expérience utilisateur. Les contrôles les plus efficaces sont souvent ceux qui restent quasi invisibles pour les utilisateurs, car ils bénéficient alors d’une adoption massive.

La voie la plus sûre doit aussi être la plus simple.

La gouvernance comme mission collective

SecurityToday : Comment organiser la gouvernance de l’IA de manière à ce que les équipes sécurité, informatique et métiers s’impliquent activement ?

Patricia Leppert : Une approche *Security-by-Design* permet d’intégrer de nombreux processus, comme l’authentification, de manière fluide dans les flux de travail liés à l’IA. Pour cela, les équipes sécurité doivent être associées dès le départ. Cependant, d’autres services jouent également un rôle clé dans la gouvernance de l’IA. Chez TeamViewer, par exemple, cela implique, en plus de notre équipe sécurité, des départements tels que les services juridiques, la protection des données ou la formation. Par ailleurs, chaque équipe compte un ou plusieurs *AI-Ambassador*, désignés comme interlocuteurs directs pour les collaborateurs et collaboratrices. Une vue d’ensemble centralisée recense les outils d’IA approuvés et les équipes autorisées à les utiliser. Nous organisons également régulièrement des formations sur l’utilisation responsable de l’IA pour veiller à ce que tous les employés soient à jour sur ce sujet. Notre objectif est de permettre une utilisation sécurisée et responsable de l’IA dans l’ensemble de l’entreprise. La seule mise en place de contrôles ne suffit pas.

SecurityToday : Qui doit être autour de la table – et quels sont les obstacles les plus fréquents ?

Patricia Leppert : Outre les implications pour la cybersécurité, l’utilisation de l’IA *Shadow* (non autorisée) signale aussi à la direction que les outils mis à disposition sont inadaptés, mal adaptés aux tâches, trop complexes ou méconnus. L’accent doit donc être mis sur l’identification et la suppression de ces freins. Il s’agit d’une mission collective impliquant les équipes sécurité, informatique, métiers et la direction.

SecurityToday : Comment évolue le rôle des équipes sécurité lorsque l’IA devient une partie intégrante du quotidien professionnel ?

Patricia Leppert : Le rôle des équipes sécurité passe d’une fonction principalement axée sur le contrôle à un rôle de conseil et d’accompagnement. Elles doivent comprendre comment les employés utilisent concrètement l’IA, détecter précocement les risques et proposer des solutions sécurisées qui s’intègrent naturellement dans le flux de travail. L’accent est moins mis sur les interdictions que sur la capacité à favoriser l’innovation de manière sûre.

SecurityToday : Si un RSSI devait retenir une seule chose de cet entretien, laquelle serait-ce ?

Patricia Leppert : Pour réduire les risques liés à l’IA, il est essentiel de s’assurer que les employés puissent effectivement utiliser des alternatives sécurisées et approuvées. La gouvernance de l’IA la plus efficace repose sur des solutions qui allient sécurité et productivité, sans créer de barrières supplémentaires. La voie la plus sûre doit également être la plus simple.

L’entretien met en lumière des leviers concrets que les équipes sécurité peuvent actionner sans avoir à déployer un nouveau portefeuille d’outils. La liste de vérification ci-dessous synthétise les points opérationnels issus des réponses de Leppert, à destination du prochain *stand-up* d’un RSSI.

Cette liste ne remplace pas un programme de gouvernance, mais elle révèle où des frictions inutiles poussent les employés à se tourner vers des services d’IA non officiels – et où une approche *Security-by-Design* permet de concilier productivité et contrôle.

Foire aux questions

Chaque question est verrouillée. Un clic déverrouille la réponse.

Qu’est-ce que l’IA fantôme et en quoi diffère-t-elle de l’IT fantôme ?

Le Shadow AI désigne l’utilisation d’outils ou de services d’IA non autorisés comme solution de contournement – souvent sur des appareils personnels ou des plateformes publiques. Ce mécanisme rappelle le Shadow IT : comme les canaux officiels ne suffisent pas, des solutions alternatives émergent.

Pourquoi l’IA fantôme (Shadow AI) persiste-t-elle malgré les directives en place ?

Parce que les outils mis à disposition ne correspondent pas aux tâches à accomplir, sont difficiles à utiliser ou inconnus des utilisateurs. À cela s’ajoutent les goulots d’étranglement liés aux validations, les boucles d’authentification interminables et les interruptions mal placées qui poussent les employés à recourir à des solutions de contournement.

Quels types de données sont particulièrement critiques lorsqu’il s’agit de services d’IA non officiels ?

Données financières et clients, code source et feuilles de route internes. L’entreprise perd le contrôle sur la manière dont ces données sont traitées, stockées ou réutilisées.

Les interdictions et la surveillance suffisent-elles comme réponse ?

Patricia Leppert rejette les pratiques de surveillance en milieu professionnel. Une approche plus efficace consiste à sensibiliser aux risques tout en proposant des alternatives approuvées, pratiques et faciles à utiliser.

Quelle devrait être la première étape pour les RSSI (Responsables de la Sécurité des Systèmes d’Information) ?

Veiller à ce que les alternatives sûres et approuvées soient effectivement utilisables. La gouvernance de l’IA la plus efficace allie sécurité et productivité : la voie la plus sûre doit être la plus simple.

Les choix de la rédaction

À lireCinq postes qui nécessitent un budget avant le SIEMÀ lireCe que la direction générale doit documenter au titre de NIS2À lireContournement de BitLocker en cas d’accès physique

Plus du réseau MBF Media

cloudmagazinInterdire l’IA fantôme coûte cher à la cybersécuritéMyBusinessFutureLa surveillance de l’IA en Allemagne a maintenant une adresseDigital ChiefsLa facture pour dix ans de solutions insulaires