{"id":4166,"date":"2026-05-12T14:47:08","date_gmt":"2026-05-12T12:47:08","guid":{"rendered":"https:\/\/staging.ekinops.com\/blog\/cybersecurity\/shadow-ai-in-the-workplace-how-cios-can-regain-control-with-sse"},"modified":"2026-11-14T15:50:48","modified_gmt":"2026-11-14T14:50:48","slug":"shadow-ia-en-entreprise-comment-les-dsi-peuvent-reprendre-le-controle-avec-le-sse","status":"publish","type":"post","link":"https:\/\/www.ekinops.com\/fr\/blog\/cybersecurity\/shadow-ai-in-the-workplace-how-cios-can-regain-control-with-sse","title":{"rendered":"Shadow IA en entreprise : comment les DSI peuvent reprendre le contr\u00f4le avec le SSE"},"content":{"rendered":"<h2 class=\"wp-block-heading\">Le Shadow IA en entreprise : le nouveau d\u00e9fi strat\u00e9gique des DSI<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>La mont\u00e9e en puissance de l\u2019utilisation de l\u2019intelligence artificielle dans les environnements de travail marque une rupture nette dans les usages num\u00e9riques. En quelques mois, ces outils se sont diffus\u00e9s \u00e0 grande \u00e9chelle dans les organisations, souvent sans validation ni supervision des \u00e9quipes IT.<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Ce ph\u00e9nom\u00e8ne, d\u00e9sormais identifi\u00e9 comme le Shadow IA, s\u2019inscrit dans la continuit\u00e9 du Shadow IT, mais avec une intensit\u00e9 et une vitesse in\u00e9dites. L\u00e0 o\u00f9 le Shadow IT reposait sur des applications identifiables, <strong>le Shadow IA s\u2019infiltre dans les usages quotidiens<\/strong> , via des services accessibles instantan\u00e9ment, quel que soit l\u2019endroit o\u00f9 se trouve l\u2019utilisateur.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Pour les DSI, <strong>l\u2019enjeu est double<\/strong>: ma\u00eetriser un risque diffus et \u00e9volutif tout en accompagnant une transformation in\u00e9vitable des usages m\u00e9tiers.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Qu\u2019est-ce que le Shadow IA ?<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Le <dfn><strong>Shadow IA<\/strong><\/dfn> d\u00e9signe l\u2019utilisation d\u2019outils d\u2019intelligence artificielle sans cadre d\u00e9fini par la DSI. Ces usages \u00e9chappent aux processus de validation, de s\u00e9curisation et de gouvernance habituellement en place.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Ils prennent des formes vari\u00e9es, souvent difficiles \u00e0 d\u00e9tecter :<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Utilisation de chatbots publics pour traiter ou reformuler des contenus internes.<\/li>\n\n\n\n<li>Int\u00e9gration d\u2019outils d\u2019IA dans des workflows m\u00e9tiers sans validation du service IT.<\/li>\n\n\n\n<li>Installation d\u2019extensions ou de plugins IA dans les navigateurs professionnels.<\/li>\n\n\n\n<li>Envoi de documents sensibles vers des plateformes d\u2019IA externes.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Contrairement aux applications classiques, <strong>ces services ne n\u00e9cessitent ni d\u00e9ploiement ni int\u00e9gration technique<\/strong>. Ils sont <strong>accessibles en quelques secondes<\/strong>, ce qui les rend particuli\u00e8rement difficiles \u00e0 inventorier.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Reformuler une pr\u00e9sentation dans ChatGPT\u2026 Traduire un contrat dans DeepL\u2026. Demander \u00e0 une IA de r\u00e9sumer une r\u00e9union\u2026 Trois gestes de productivit\u00e9. Trois fuites de donn\u00e9es hors p\u00e9rim\u00e8tre.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Votre outil EDR ne peut pas les d\u00e9tecter. Ni votre fournisseur d\u2019acc\u00e8s \u00e0 Internet.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Tout copier-coller dans un champ texte web, ou encore tout clic de souris vers un lien qui vous est propos\u00e9 par une IA g\u00e9n\u00e9rative, repr\u00e9sente du trafic HTTPS vers un domaine potentiellement non autoris\u00e9. Et pourtant, rien ne se d\u00e9clenche au niveau des SOC. Pas d&#8217;alerte. Pas de log. Rien.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Le Shadow IA se caract\u00e9rise ainsi par trois \u00e9l\u00e9ments : i<strong>nvisibilit\u00e9, instantan\u00e9it\u00e9 et dispersion des usages.<\/strong><\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Pourquoi le Shadow IA s\u2019impose aussi rapidement ?<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">L\u2019adoption du Shadow IA repose sur un facteur d\u00e9terminant : <strong>la valeur imm\u00e9diate<\/strong>. L\u00e0 o\u00f9 certaines technologies n\u00e9cessitent un effort d\u2019apprentissage ou d\u2019int\u00e9gration, l\u2019IA g\u00e9n\u00e9rative produit des r\u00e9sultats exploitables d\u00e8s les premi\u00e8res minutes.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Plusieurs dynamiques expliquent cette <strong>adoption massive<\/strong>:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Une accessibilit\u00e9 sans friction, via des outils souvent gratuits ou freemium.<\/li>\n\n\n\n<li>Des gains de productivit\u00e9 imm\u00e9diats sur des t\u00e2ches \u00e0 forte valeur ajout\u00e9e (r\u00e9daction, analyse, code, correction).<\/li>\n\n\n\n<li>Une pression croissante sur la performance op\u00e9rationnelle.<\/li>\n\n\n\n<li>Un d\u00e9calage structurel entre la vitesse d\u2019innovation m\u00e9tier et les cycles de validation IT.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Dans ce contexte, les collaborateurs ne contournent pas volontairement les r\u00e8gles : <strong>ils cherchent \u00e0 \u00eatre plus efficaces en utilisant les outils les plus performants<\/strong> et imm\u00e9diatement disponibles.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Ce d\u00e9calage cr\u00e9e un angle mort que la DSI ne peut plus ignorer.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Les risques concrets du Shadow IA pour les DSI<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Le Shadow IA ne constitue pas seulement un manque de gouvernance. <strong>Il expose directement l\u2019entreprise \u00e0 des risques op\u00e9rationnels, s\u00e9curitaires et r\u00e9glementaires.<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Un important groupe cor\u00e9en en a \u00e9t\u00e9 t\u00e9moin en 2023. Trois incidents en moins de trois semaines : un code source propri\u00e9taire, des donn\u00e9es sur le rendement de la production et le transcript d\u2019une r\u00e9union strat\u00e9gique \u2013 tous soumis \u00e0 ChatGPT par des ing\u00e9nieurs qui cherchaient \u00e0 acc\u00e9l\u00e9rer leurs travaux. La soci\u00e9t\u00e9 a d\u2019abord limit\u00e9 la taille des requ\u00eates. Puis elle a interdit tout. Les donn\u00e9es \u00e9taient d\u00e9j\u00e0 perdues (Le Monde, 2023).<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Ce n&#8217;est pas une exception. C&#8217;est la r\u00e8gle.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>34,8 % des donn\u00e9es soumises aux outils d&#8217;IA en entreprise sont sensibles contre 10,7 % il y a deux ans<\/strong> (Cyberhaven Labs, 2025). Cela inclut le code source, les donn\u00e9es de R&amp;D, les dossiers m\u00e9dicaux et les notes de service des clients. Et 82 % de ces transferts passent par des comptes personnels, hors du contr\u00f4le de toute autorit\u00e9 (LayerX, 2025).<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Exposition des donn\u00e9es sensibles<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Le premier risque concerne <strong>la fuite d\u2019informations critiques<\/strong>. Lorsqu\u2019un utilisateur soumet une donn\u00e9e \u00e0 un service d\u2019IA externe, il peut involontairement exposer :<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Des donn\u00e9es personnelles, clients ou confidentielles.<\/li>\n\n\n\n<li>Des informations financi\u00e8res et strat\u00e9giques.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">M\u00eame lorsque les fournisseurs proposent des garanties, dans la pratique, le service informatique perd le contr\u00f4le du cycle de vie des donn\u00e9es, ce qui conduit \u00e0 ce qui suit.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Perte de visibilit\u00e9 sur les flux<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Le Shadow IA introduit de nouveaux flux sortants, souvent chiffr\u00e9s et dynamiques, qui \u00e9chappent aux outils traditionnels. Cela entra\u00eene <strong>C\u2019est difficile<\/strong> Pour les CIO <strong>identifier ces flux de donn\u00e9es sortants<\/strong>, avec souvent une incapacit\u00e9 \u00e0 les ma\u00eetriser.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Cette opacit\u00e9 complique toute strat\u00e9gie de s\u00e9curit\u00e9 coh\u00e9rente.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Risques r\u00e9glementaires et conformit\u00e9<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Les usages non encadr\u00e9s de l\u2019IA peuvent rapidement <strong>entrer en conflit avec les exigences r\u00e9glementaires<\/strong>. De plus, le manque de tra\u00e7abilit\u00e9 de ces outils entra\u00eene immanquablement des manquements aux exigences d\u2019audit et de respect des r\u00e9glementations (RGPD, DORA, NIS2).<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Le Shadow IA devient ainsi un risque juridique \u00e0 part enti\u00e8re.<\/strong><\/p>\n\n\n\n<h3 class=\"wp-block-heading\">D\u00e9rives d\u2019usage et gouvernance<\/h3>\n\n\n\n<p class=\"wp-block-paragraph\">Enfin, <strong>l\u2019absence de cadre favorise des usages non ma\u00eetris\u00e9s<\/strong>:<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>Automatisation de certaines d\u00e9cisions sans supervision.<\/li>\n\n\n\n<li>Production de contenus biais\u00e9s ou inexacts pouvant mettre l\u2019entreprise en difficult\u00e9.<\/li>\n\n\n\n<li>D\u00e9pendance \u00e0 des outils externes non valid\u00e9s.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">Ces d\u00e9rives posent des questions directes de responsabilit\u00e9 et de gouvernance.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Pourquoi les mod\u00e8les de s\u00e9curit\u00e9 traditionnels sont d\u00e9pass\u00e9s<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Les architectures de s\u00e9curit\u00e9 historiques reposent sur une vision p\u00e9rim\u00e9trique du syst\u00e8me d\u2019information. Elles supposent une connaissance des applications et une relative stabilit\u00e9 des flux.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Le Shadow IA remet en cause ces hypoth\u00e8ses.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Les outils traditionnels montrent leurs limites<\/strong>: ils identifient mal les services d\u2019IA, de plus en plus souvent int\u00e9gr\u00e9s dans des plateformes et services tiers l\u00e9gitimes (CRM, outils de d\u00e9veloppement, outils de PAO\u2026). Dans ces interfaces, ils ne permettent pas d\u2019analyser finement les contenus ni d\u2019adapter les politiques de s\u00e9curit\u00e9 en fonction du contexte.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Le SSE : un levier cl\u00e9 pour reprendre le contr\u00f4le<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\"><a href=\"https:\/\/www.olfeo.com\/en\/mieux-comprendre-le-security-service-edge\/\" target=\"_blank\" rel=\"noopener\">Security Service Edge (SSE)<\/a> Il rapproche les contr\u00f4les de s\u00e9curit\u00e9 de leur zone d\u2019application. Il offre une vue unifi\u00e9e de l\u2019acc\u00e8s, du trafic et du comportement, tout en appliquant des politiques coh\u00e9rentes quelle que soit la connexion des utilisateurs, sans cr\u00e9er de contraintes rigides.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong><\/strong>La strat\u00e9gie d\u2019Ekinops repose sur des \u00e9l\u00e9ments compl\u00e9mentaires.<a href=\"https:\/\/www.olfeo.com\/en\/tout-comprendre-sur-le-secure-web-gateway\/\" target=\"_blank\" rel=\"noopener\">SWG (Secure Web Gateway<\/a>) <strong><\/strong>Il contr\u00f4le l\u2019acc\u00e8s au web, filtre le contenu et inspecte les demandes afin de d\u00e9tecter et autoriser uniquement ceux reconnus comme l\u00e9gitimes par le syst\u00e8me. <a href=\"https:\/\/www.olfeo.com\/en\/ressources\/glossaire\/mieux-comprendre-le-ztna-zero-trust-network-access\/\" target=\"_blank\" rel=\"noopener\">Zero Trust Internet Access (ZTIA)<\/a>. Le <strong>CASB<\/strong> \u00e9tend cette visibilit\u00e9 aux applications cloud.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\"><strong>Universal ZTNA<\/strong> compl\u00e8te l\u2019ensemble en n\u2019autorisant que les acc\u00e8s aux applications n\u00e9cessaires au travail des utilisateurs, quel que soit leur mode de connexion (bureau, mobilit\u00e9, t\u00e9l\u00e9travail\u2026).<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Cette combinaison permet un pilotage fin et dynamique des usages, conciliant s\u00e9curit\u00e9, conformit\u00e9 et exp\u00e9rience utilisateur, et fait du SSE une r\u00e9ponse strat\u00e9gique face au Shadow IA.<\/p>\n\n\n\n<h2 class=\"wp-block-heading\">Mettre en place une gouvernance efficace du Shadow IA<\/h2>\n\n\n\n<p class=\"wp-block-paragraph\">Le Shadow IA ne peut \u00eatre trait\u00e9 uniquement par des mesures techniques. Il n\u00e9cessite <strong>une approche globale, combinant gouvernance, sensibilisation et outillage.<\/strong><\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Une strat\u00e9gie efficace repose sur plusieurs piliers :<\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li>D\u00e9finir une politique claire d\u2019usage de l\u2019IA en entreprise.<\/li>\n\n\n\n<li>Sensibiliser les collaborateurs aux risques li\u00e9s aux donn\u00e9es.<\/li>\n\n\n\n<li>Proposer des alternatives s\u00e9curis\u00e9es et valid\u00e9es.<\/li>\n\n\n\n<li>S\u2019appuyer sur des solutions offrant visibilit\u00e9 et contr\u00f4le en continu.<\/li>\n<\/ul>\n\n\n\n<p class=\"wp-block-paragraph\">L\u2019objectif est de <strong>transformer un usage subi en un usage ma\u00eetris\u00e9<\/strong> et align\u00e9 avec les besoins des utilisateurs comme des organisations.<\/p>\n\n\n\n<p class=\"wp-block-paragraph\">Pour plus d'informations, veuillez nous contacter. <a href=\"https:\/\/info.ekinops.com\/fr\/book-a-demo\" target=\"_blank\" rel=\"noopener\">Demandez une d\u00e9monstration<\/a>.<\/p>","protected":false},"excerpt":{"rendered":"<p>La mont\u00e9e en puissance de l\u2019utilisation de l\u2019intelligence artificielle dans les environnements de travail marque une rupture nette dans les usages num\u00e9riques. En quelques mois, ces outils se sont diffus\u00e9s \u00e0 grande \u00e9chelle dans les organisations, souvent sans validation ni supervision des \u00e9quipes IT.<\/p>","protected":false},"author":10,"featured_media":5021,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[82],"tags":[],"class_list":["post-4166","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-cybersecurity"],"_links":{"self":[{"href":"https:\/\/www.ekinops.com\/fr\/wp-json\/wp\/v2\/posts\/4166","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ekinops.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ekinops.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ekinops.com\/fr\/wp-json\/wp\/v2\/users\/10"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ekinops.com\/fr\/wp-json\/wp\/v2\/comments?post=4166"}],"version-history":[{"count":6,"href":"https:\/\/www.ekinops.com\/fr\/wp-json\/wp\/v2\/posts\/4166\/revisions"}],"predecessor-version":[{"id":5332,"href":"https:\/\/www.ekinops.com\/fr\/wp-json\/wp\/v2\/posts\/4166\/revisions\/5332"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ekinops.com\/fr\/wp-json\/wp\/v2\/media\/5021"}],"wp:attachment":[{"href":"https:\/\/www.ekinops.com\/fr\/wp-json\/wp\/v2\/media?parent=4166"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ekinops.com\/fr\/wp-json\/wp\/v2\/categories?post=4166"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ekinops.com\/fr\/wp-json\/wp\/v2\/tags?post=4166"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}