Shadow IT : les risques cachés des logiciels et outils d'IA non autorisés

Shadow IT : les risques cachés des logiciels et outils d'IA non autorisés

Vos collaborateurs utilisent plus de logiciels que vous ne le pensez. Les études montrent qu'une PME utilise en moyenne 3 à 5 fois plus d'applications que n'en connaît le service informatique. Des outils gratuits de partage de fichiers aux chatbots d'IA dans lesquels on saisit des secrets d'entreprise : la shadow IT connaît une croissance explosive et entraîne des risques impossibles à sécuriser tant qu'on ne les connaît pas. Dans cet article, découvrez ce qu'est la shadow IT, pourquoi elle pose en 2026 un problème plus important que jamais et comment la maîtriser sans freiner l'innovation.

L'essentiel (TL;DR)

• 80 % des collaborateurs utilisent des logiciels non approuvés par l'informatique. C'est cela, la shadow IT.
• Une organisation moyenne utilise 3 à 5 fois plus d'applications que ce que l'informatique a identifié.
• Les outils d'IA sont le nouveau foyer de shadow IT : 65 % des collaborateurs qui utilisent l'IA le font sans l'autorisation de l'informatique.
• La shadow IT accroît le risque de fuite de données, car des données d'entreprise sont traitées en dehors de l'environnement sécurisé.
• NIS2 et le RGPD rendent les organisations responsables des données qui fuient via la shadow IT, même si l'informatique n'en savait rien.
• Une interdiction ne fonctionne pas : la solution passe par une politique claire, des alternatives approuvées et la sensibilisation.
• La visibilité est la première étape : on ne peut pas sécuriser ce que l'on ne voit pas.

Qu'est-ce que la shadow IT ?

La shadow IT (ou « informatique fantôme ») désigne l'ensemble du matériel, des logiciels et des services cloud que les collaborateurs utilisent sans l'approbation ni la connaissance du service informatique ou du prestataire IT. Il s'agit d'outils qui échappent à la politique informatique officielle et qui ne sont donc ni gérés, ni supervisés, ni sécurisés.

Exemples de shadow IT que l'on retrouve dans presque toutes les entreprises :

• Partage de fichiers : WeTransfer, Dropbox ou Google Drive en parallèle de l'environnement Microsoft 365 officiel
• Communication : groupes WhatsApp pour les échanges professionnels au lieu de Teams
• Outils d'IA : ChatGPT, Gemini ou d'autres outils d'IA dans lesquels on saisit des données d'entreprise
• Gestion de projet : Trello, Notion ou Asana en parallèle des outils de projet officiels
• Appareils personnels : ordinateurs portables et téléphones privés sans gestion des terminaux

Pourquoi la shadow IT prend plus d'ampleur que jamais en 2026

La shadow IT n'est pas nouvelle, mais trois facteurs en font en 2026 un risque plus grand que jamais.

L'explosion de l'IA

L'essor des outils d'IA a créé une nouvelle vague de shadow IT. Les collaborateurs découvrent que ChatGPT, Claude, Gemini et d'autres outils d'IA rendent leur travail plus rapide et plus simple. Ils commencent à les utiliser sans réfléchir aux risques pour les données.

Le problème : les outils d'IA gratuits traitent tout ce que vous y saisissez. Business plans, données clients, données financières, informations RH : tout disparaît dans des modèles dont vous ignorez qui y a accès.

La prolifération du SaaS

L'offre d'outils SaaS gratuits et freemium est sans précédent. Pour chaque tâche, il existe des dizaines d'outils auxquels les collaborateurs peuvent s'inscrire et qu'ils peuvent utiliser en quelques minutes. Aucune installation nécessaire, aucune validation de l'informatique demandée.

La facilité du cloud

Tout fonctionne dans le navigateur. Les collaborateurs n'ont rien à installer sur leur poste de travail, si bien que les contrôles logiciels traditionnels sont inopérants. Un collaborateur ouvre un onglet, se connecte avec un compte personnel et se met au travail.

Les 5 principaux risques de la shadow IT

1. Perte et fuite de données

Le risque majeur de la shadow IT, ce sont les flux de données incontrôlés. Lorsque des données d'entreprise sont stockées dans des outils non gérés par l'informatique, vous perdez le contrôle sur qui y a accès, où elles sont stockées et s'il existe des sauvegardes adéquates.

Un exemple concret : un collaborateur téléverse une liste de clients dans un outil cloud gratuit pour préparer un e-mailing. Cet outil est piraté. L'entreprise subit une fuite de données sans le savoir, jusqu'à ce que des clients se plaignent de recevoir du spam.

2. Non-conformité réglementaire

Le RGPD impose des exigences claires en matière de traitement des données personnelles. Vous devez savoir où les données sont stockées, qui y a accès et si un contrat de sous-traitance est en place. Avec la shadow IT, la réponse à toutes ces questions est : « aucune idée ».

Avec l'arrivée de NIS2, les exigences se durcissent encore. Les organisations doivent démontrer qu'elles maîtrisent leur environnement informatique, y compris les outils utilisés par les collaborateurs.

3. Failles de sécurité

Les outils de shadow IT ne sont pas couverts par la politique de sécurité de l'organisation. Ils échappent au pare-feu, n'ont pas de MFA, ne sont pas supervisés et ne reçoivent pas de correctifs via la plateforme de gestion.

Chaque outil non autorisé est une porte d'entrée potentielle pour les attaquants. Un compte sur un outil gratuit avec le même mot de passe que le compte professionnel : c'est un vecteur d'attaque que les outils de sécurité ne peuvent pas voir.

4. Problèmes d'intégration et de collaboration

Lorsque les équipes utilisent des outils différents, des silos de données se forment. L'information est éparpillée sur des plateformes qui ne communiquent pas entre elles. Les gains d'efficacité recherchés par les collaborateurs se perdent dans le chaos de processus fragmentés.

5. Hausse des coûts

La shadow IT coûte de l'argent. Licences en double, utilisation inefficace des outils existants et coûts de remise en ordre quand les choses tournent mal. Vous payez en outre indirectement les avantages de consolidation manqués : si la moitié de l'entreprise utilise Dropbox en plus de OneDrive, vous payez deux fois.

L'IA comme shadow IT : le nouveau risque

L'IA mérite une attention particulière en tant que risque de shadow IT. Là où la shadow IT traditionnelle concernait surtout le stockage et la communication, l'IA touche au cœur de vos informations d'entreprise.

Ce que les collaborateurs font avec les outils d'IA :

• Saisir des demandes de clients pour générer des réponses
• Faire analyser des rapports financiers
• Faire réécrire des documents RH
• Faire évaluer des plans stratégiques
• Faire écrire du code en fournissant des données d'entreprise comme contexte

Pourquoi c'est problématique :

• Les outils d'IA gratuits peuvent utiliser les données saisies pour entraîner leurs modèles
• Les données peuvent être stockées sur des serveurs situés hors de l'UE
• Il n'existe aucun contrat de sous-traitance
• Vous n'avez aucun contrôle sur qui accède aux résultats produits
• L'AI Act impose des exigences supplémentaires à l'usage de l'IA

La solution n'est pas d'interdire l'IA : cela ne fonctionne pas et freine l'innovation. La solution consiste à proposer des outils d'IA approuvés dotés d'une sécurité de niveau entreprise, comme Microsoft 365 Copilot.

Comment s'attaquer à la shadow IT ?

Une approche efficace de la shadow IT combine politique, technologie et culture. Voici un plan d'action concret.

Étape 1 : faire l'inventaire

On ne peut pas sécuriser ce que l'on ne connaît pas. Dressez l'inventaire de tous les logiciels utilisés dans l'organisation.

Comment :

• Analysez le trafic réseau à la recherche de services cloud inconnus
• Menez une enquête anonyme auprès des collaborateurs
• Contrôlez les extensions de navigateur et les applications installées via vos outils MDM
• Passez en revue les relevés de carte bancaire à la recherche d'abonnements SaaS

Attendez-vous à des surprises. Dans la plupart des inventaires, le nombre d'outils s'avère 3 à 5 fois plus élevé que prévu.

Étape 2 : évaluer et classer

Toute la shadow IT n'est pas mauvaise. Certains outils apportent une réelle valeur ajoutée. Évaluez chaque outil identifié selon ces critères :

• Sécurité : l'outil respecte-t-il vos standards de sécurité ?
• Conformité : existe-t-il un contrat de sous-traitance ? Les données sont-elles stockées dans l'UE ?
• Doublon : existe-t-il déjà un outil approuvé offrant les mêmes fonctionnalités ?
• Valeur : l'outil résout-il un vrai problème ?

Classez ensuite chaque outil : approuver, remplacer par une alternative approuvée ou bloquer.

Étape 3 : proposer des alternatives approuvées

La principale raison pour laquelle les collaborateurs recourent à la shadow IT, c'est que les outils officiels ne répondent pas à leurs besoins. Réglez ce problème.

• Vos collaborateurs utilisent WeTransfer ? Faites en sorte que le partage via OneDrive soit simple.
• Vos collaborateurs utilisent ChatGPT gratuit ? Proposez Copilot ou un outil d'IA de niveau entreprise.
• Vos collaborateurs utilisent WhatsApp pour le travail ? Faites de Teams l'outil standard, avec une bonne expérience mobile.

Étape 4 : établir une politique claire

Rédigez une charte d'utilisation acceptable (Acceptable Use Policy) qui précise clairement :

• Quels outils sont approuvés et pour quels usages
• Comment demander et faire évaluer de nouveaux outils
• Quelles données peuvent ou non être saisies dans des outils externes
• Quelles sont les conséquences en cas de non-respect de la politique

Restez bref, concret et compréhensible. Personne ne lit un document de politique de 50 pages.

Étape 5 : former et communiquer

Les collaborateurs n'utilisent généralement pas la shadow IT avec de mauvaises intentions. Ils veulent bien faire leur travail et cherchent le chemin le plus efficace. Sensibilisez-les aux risques sans les accuser.

Une bonne formation de sensibilisation à la sécurité aborde explicitement la shadow IT, ses risques et les alternatives approuvées.

Étape 6 : surveiller en continu

La lutte contre la shadow IT n'est pas un projet ponctuel. De nouveaux outils apparaissent chaque jour, et les collaborateurs continueront à chercher de meilleures solutions. Mettez en place une surveillance continue et vérifiez régulièrement si votre parc d'outils répond toujours aux besoins.

Le bon équilibre : sécurité et innovation

Le plus grand piège, lorsqu'on s'attaque à la shadow IT, est de basculer dans l'interdiction totale. Si vous bloquez tout, vous frustrez vos collaborateurs et freinez l'innovation. Ils chercheront des contournements encore plus difficiles à détecter.

Le bon équilibre consiste à :

• Rester ouvert aux nouveaux outils et technologies
• Mettre en place des processus d'évaluation rapides pour que les bons outils soient vite approuvés
• Fixer un cadre clair au sein duquel les collaborateurs peuvent faire leurs propres choix
• Communiquer en toute transparence sur les raisons pour lesquelles certains outils sont autorisés ou non

L'objectif n'est pas de stopper l'innovation, mais de la canaliser en toute sécurité.

Questions fréquentes

La shadow IT est-elle toujours une mauvaise chose ?

Non. La shadow IT est souvent le signe que les outils officiels ne suffisent pas. Elle montre que les collaborateurs cherchent activement des solutions. Le risque ne réside pas dans l'envie d'innover, mais dans l'absence de visibilité et de sécurité. La solution n'est pas d'interdire, mais de maîtriser.

Comment découvrir quelle shadow IT est utilisée dans mon entreprise ?

La méthode la plus efficace combine analyse du réseau, enquête anonyme auprès des collaborateurs et contrôle via vos outils de gestion des terminaux. L'analyse du réseau révèle les services cloud consultés ; l'enquête met au jour les outils utilisés depuis des appareils personnels.

En tant qu'employeur, ai-je le droit de surveiller le trafic Internet de mes collaborateurs ?

Oui, à condition de l'annoncer à l'avance et de le consigner dans votre politique de confidentialité interne. Vous pouvez surveiller le trafic Internet professionnel pour détecter les menaces et les infractions à la politique, mais vous devez être transparent sur ce que vous surveillez et pourquoi. Aux Pays-Bas, l'autorité de protection des données (Autoriteit Persoonsgegevens) fixe un cadre clair en la matière.

Comment éviter que les outils d'IA ne deviennent de la shadow IT ?

En proposant des outils d'IA approuvés qui répondent à vos exigences de sécurité. Les versions entreprise d'outils comme Microsoft Copilot ou ChatGPT Enterprise offrent une isolation des données et des garanties de conformité. Associez-les à une politique claire sur ce que l'on peut ou non saisir dans les outils d'IA.

Combien coûte la lutte contre la shadow IT ?

L'inventaire et l'élaboration de la politique demandent 2 à 4 jours de travail. La surveillance continue peut être intégrée à votre infogérance existante. L'investissement est minime comparé au risque d'une fuite de données causée par un outil non géré.

Comment concilier shadow IT et travail hybride ?

Le travail hybride accroît le risque de shadow IT, car les collaborateurs travaillent en dehors du réseau de l'entreprise et utilisent plus facilement leurs propres outils. L'approche reste la même : visibilité, politique, alternatives approuvées et sensibilisation. La gestion des terminaux et la sécurité dans le cloud sont ici essentielles.

Reprenez le contrôle de la shadow IT

La shadow IT ne disparaît pas quand on l'ignore. Elle grandit. Et avec l'explosion des outils d'IA, elle ne fera que s'étendre. Les organisations qui réussissent ne sont pas celles qui interdisent tout, mais celles qui la rendent maîtrisable.

Chez TRON Group, nous aidons les PME à identifier et à maîtriser la shadow IT. De l'inventaire à la politique, de la gestion des terminaux à la surveillance. Nous veillons à ce que votre équipe travaille efficacement avec les bons outils, dans un cadre sécurisé.

Vous voulez savoir quelle part de shadow IT se cache dans votre organisation ? Contactez-nous pour un échange sans engagement ou appelez-nous directement au +31 85 303 5869. Ensemble, nous en dressons l'état des lieux et la rendons maîtrisable.