L’intelligence artificielle est en train de bouleverser un modèle établi de longue date au sein de nombreuses organisations.
L’IA n’arrive pas par le biais de projets IT soigneusement planifiés ou de longs cycles d’achat. Elle s’impose de manière organique, dans chaque département, chaque navigateur, chaque plateforme SaaS et, de plus en plus, auprès de chaque collaborateur.
Cette évolution a créé l’un des principaux angles morts de la cybersécurité d’entreprise aujourd’hui : la visibilité sur l’IA en interne.
Le rapport Bitdefender Cybersecurity Assessment 2026 a demandé à 1 200 professionnels de l’IT et de la cybersécurité quel niveau de visibilité ils avaient sur l’utilisation de l’IA dans leur organisation. Plus de quatre sur dix (44,8 %) reconnaissent n’avoir qu’une visibilité partielle sur l’utilisation de l’IA par les collaborateurs : ils peuvent surveiller les LLM d’entreprise approuvés, mais n’ont pas de visibilité sur les comptes d’IA personnels et les abonnements de Shadow AI utilisés dans le cadre professionnel. Et si 51,8 % déclarent disposer d’une visibilité complète sur toutes les utilisations de l’IA dans leur organisation, ce chiffre paraît optimiste et mérite d’être examiné de près.
Nous avons récemment abordé ce sujet lors d’un webinar consacré aux benchmarks de cybersécurité et aux angles morts, et mon collègue Martin Zugec a soulevé un point essentiel concernant la visibilité de l’IA : « Nous avons organisé une table ronde avec des RSSI pour en discuter. Il s’avère que vous utilisez de nombreux outils que vous avez approuvés et employés depuis un certain temps, qui se dotent soudainement de fonctionnalités LLM, sans que vous en ayez probablement même conscience. »
De nombreuses organisations pensent comprendre leur exposition à l’IA parce qu’elles peuvent recenser les plateformes d’IA d’entreprise qu’elles ont approuvées. Ces outils autorisés ne représentent pourtant qu’une fraction de l’écosystème d’IA avec lequel les collaborateurs interagissent chaque jour.
Lorsque les dirigeants pensent à la gouvernance de l’IA, beaucoup imaginent encore des collaborateurs ouvrant ChatGPT dans un navigateur.
C’était le sujet de discussion il y a douze mois.
La réalité actuelle est bien plus complexe. L’IA est désormais intégrée dans toute l’entreprise moderne. Les suites de productivité résument automatiquement les réunions. Les plateformes CRM rédigent des communications destinées aux clients. Les environnements de développement génèrent du code. Les navigateurs proposent des assistants IA. Les logiciels de conception créent des images. Les produits de sécurité analysent les menaces à l’aide de l’IA générative. Les collaborateurs ne se rendent parfois même pas compte qu’ils interagissent avec de l’IA.
Cela signifie que les organisations ne cherchent plus simplement à inventorier les applications d’IA : elles tentent de comprendre les capacités d’IA intégrées à des centaines d’outils métier existants.
La question a évolué de : « Quels outils d’IA les collaborateurs utilisent-ils ? » à « Où l’IA est-elle présente dans notre stack technologique ? »
La Shadow AI est peut-être la nouvelle Shadow IT, mais les risques sont bien plus importants que les problèmes classiques que nous avons connus par le passé.
Lorsque l’adoption du cloud était la grande nouveauté, certains départements créaient parfois leurs propres buckets S3, ou des collaborateurs stockaient des fichiers dans divers services et applications cloud non autorisés. C’était la Shadow IT. Mais avec la Shadow AI, vos collaborateurs demandent probablement à l’IA de résumer des contrats, de reformuler des communications destinées aux clients, d’analyser des données financières, de générer du code source, d’interpréter des documents juridiques et de répondre à des questions métier sensibles.
Dans de nombreux cas, des informations sensibles de l’entreprise font désormais partie de ces conversations.
Et les collaborateurs accordent de plus en plus aux plateformes d’IA un accès à leurs e-mails professionnels, leurs calendriers et même à des réunions privées, lorsqu’ils utilisent des outils d’IA pour enregistrer chaque mot et résumer les prochaines étapes. Votre organisation saurait-elle même si de telles interactions avaient eu lieu ?
La Shadow AI constitue une surface d’attaque nettement plus dynamique que celles auxquelles nous avons été confrontés jusqu’à présent.
De récentes recherches Bitdefender montrent que plus de la moitié des professionnels de l’IT et de la cybersécurité estiment disposer d’une « visibilité complète » sur l’utilisation de l’IA, mais je pense que de nombreuses organisations définissent cette notion différemment de ce que la réalité exige.
Le paysage de l’IA évolue presque chaque semaine. De nouvelles fonctionnalités apparaissent via des mises à jour logicielles que les organisations n’ont pas demandées et qu’elles ne remarquent parfois pas. Dans cet environnement, la visibilité est moins une destination qu’une discipline opérationnelle continue.
Et dans mon travail quotidien avec des organisations du monde entier, je constate que beaucoup ont besoin d’aide pour poser les bonnes questions sur l’utilisation de l’IA, afin d’établir un niveau de référence en matière de visibilité et de décider des prochaines étapes.
En matière de gouvernance de l’IA, la technologie seule ne résoudra pas ce problème.
De nombreuses organisations cherchent, à juste titre, des outils de surveillance pour améliorer leur visibilité. Mais la technologie ne répond qu’à une partie du défi.
Le principal enjeu est la gouvernance.
Les organisations devraient se poser les questions suivantes :
La gouvernance ne peut pas être entièrement déléguée aux équipes IT ou sécurité.L’IA est désormais une capacité métier à l’échelle de l’entreprise, et sa gestion nécessite souvent une responsabilité à cette même échelle.
Les capacités d’IA sont intégrées aux logiciels d’entreprise plus rapidement que les modèles traditionnels de gouvernance n’ont jamais été conçus pour l’absorber. Et les responsables de la sécurité ne doivent pas supposer que l’absence d’incident signifie l’absence de risque.
Le défi de la visibilité de l’IA ne se résume pas à un problème technologique. C’est aussi un défi de leadership qui exige d’évaluer avec précision la manière dont l’intelligence elle-même s’intègre progressivement dans toute l’organisation. Plus tôt les organisations reconnaîtront cette distinction, plus tôt elles commenceront à gérer les risques liés à l’IA qu’elles ne voient pas encore.
Découvrez les autres benchmarks et angles morts liés à l’IA : Téléchargez le rapport Bitdefender Cybersecurity Assessment 2026.