Les usages cachés de l’IA compliquent la gouvernance

L’utilisation de l’IA fantôme pose des problèmes de sécurité persistants dans les entreprises

Près de la moitié de votre équipe pourrait utiliser des outils d’IA hors de votre contrôle. Selon les données de Netskope (octobre 2024-octobre 2025), 47 % des employés qui utilisent des outils d’IA générative comme ChatGPT, Google Gemini et Copilot le font par le biais de comptes personnels, déconnectés des systèmes de votre organisation. Il ne s’agit pas d’une simple infraction mineure. Il s’agit d’une faille béante dans le périmètre de sécurité de votre entreprise.

Le problème n’est pas que les gens utilisent l’IA. C’est qu’ils le font par le biais de canaux non sécurisés et non surveillés. Lorsque les employés se connectent à des plateformes d’IA en utilisant leurs identifiants personnels, vous perdez toute visibilité. Vous ne savez pas quelles données ils saisissent, ce qui est généré et ce qui est exposé. Ce type d’angle mort est un terrain propice aux cybermenaces.

Si votre entreprise ne dispose pas d’un contrôle centralisé de l’accès à l’IA, la surface d’attaque s’accroît. Il ne s’agit pas d’empêcher l’innovation, mais de la sécuriser. Vous ne pouvez pas réparer ce que vous ne pouvez pas voir. L’IA fantôme sape votre capacité à appliquer des politiques d’utilisation, à surveiller les anomalies ou à veiller à ce que les données sensibles ne soient pas divulguées dans des domaines publics.

Il ne s’agit pas d’un risque théorique. Il est actif et permanent. Les pirates n’attendent pas que vos équipes construisent des barrières parfaites, ils sont déjà à la recherche de points d’entrée faibles, et le trafic d’IA non géré leur fournit exactement cela.

La conclusion est simple. La visibilité est importante. Le contrôle est nécessaire. Et l’innovation doit fonctionner sur des rails sécurisés. Si vous autorisez l’IA générative dans vos flux de travail, verrouillez-la. Assurez-vous que l’accès passe uniquement par des comptes approuvés et passez d’une sécurité réactive à une sécurité proactive. Les outils sont puissants, mais sans une gouvernance claire, vous ne permettez pas seulement l’innovation, vous permettez aussi le risque.

Les améliorations de la gestion des comptes d’IA sont évidentes, mais les lacunes en matière de gouvernance organisationnelle persistent.

Il y a de bonnes nouvelles, mais il y a un hic. De plus en plus d’employés utilisent l’IA par l’intermédiaire de comptes approuvés par l’entreprise. Selon les derniers chiffres de Netskope, l’accès à l’IA générative autorisé par l’entreprise est passé de 25 % à 62 % en un an seulement. Dans le même temps, l’utilisation de comptes personnels non autorisés a considérablement diminué, passant de 78 % à 47 %.

Cela nous indique que les organisations commencent à s’approprier l’utilisation de l’IA. Elles fournissent des outils de manière plus ouverte, déploient un accès interne et mettent en place un certain niveau de supervision. C’est un progrès. Mais les données révèlent également une incohérence : de plus en plus de personnes passent d’un compte personnel à un compte d’entreprise. Ce groupe est passé de 4 % à 9 % en un an.

Ce double comportement envoie un signal clair. Même s’ils ont accès à des outils d’IA approuvés par l’entreprise, certains utilisateurs continuent de se tourner vers leurs comptes privés lorsque les outils approuvés ne répondent pas à leurs besoins. La version entreprise est peut-être plus lente. Peut-être manque-t-elle de fonctionnalités. Il peut aussi s’agir d’une question de commodité : moins de restrictions, moins de clics. Quoi qu’il en soit, le chemin de moindre résistance existe toujours en dehors de votre périmètre de contrôle.

Pour les dirigeants, cela signifie une chose : il ne s’agit pas seulement d’un problème de conformité, mais aussi d’un problème d’expérience produit. Si vos équipes passent outre les systèmes internes, ce n’est pas parce qu’elles veulent contourner les règles ; c’est probablement parce qu’elles essaient d’obtenir des résultats plus rapidement et que vos systèmes les ralentissent.

Désormais, il ne suffit plus de dire « Utilisez l’option sécurisée ». Ce message doit être accompagné de rapidité et de convivialité. Vous devez vous assurer que vos outils d’IA internes offrent une expérience utilisateur qui n’encourage pas les raccourcis. C’est ainsi que vous fermerez la boucle : en réduisant la motivation des employés à sortir du système en premier lieu.

La prochaine étape de la gouvernance n’est pas une plus grande restriction, mais une meilleure habilitation. Rencontrez les utilisateurs là où ils se trouvent, mais ne renoncez pas au contrôle. Donnez-leur des outils performants, bien intégrés dans leurs flux de travail, et conservez la surveillance qui donne à votre organisation une agilité sans compromis.

L’utilisation non réglementée d’outils d’IA personnels augmente les risques liés à la conformité réglementaire et à la fuite de données.

Lorsque les employés utilisent des outils d’IA hors du contrôle de l’entreprise, le risque n’est pas seulement technique, il est aussi juridique et opérationnel. Sans surveillance structurée, l’utilisation personnelle de l’IA générative introduit une forte probabilité de divulgation involontaire de données et de manquement à la réglementation. Il ne s’agit pas d’incidents isolés. Selon Netskope, le volume de données sensibles envoyées aux applications d’IA par les employés a doublé d’une année sur l’autre. L’entreprise moyenne est désormais confrontée à 223 incidents de ce type par mois.

Ce chiffre reflète les risques encourus par l’ensemble des services, les équipes de marketing saisissant le contenu stratégique, les ingénieurs collant le code source, les services financiers partageant les modèles opérationnels. Ces plateformes ne font pas toujours la distinction entre ce qui est confidentiel et ce qui ne l’est pas. Et la plupart du temps, les utilisateurs ne le font pas non plus. Une fois que ces données entrent dans le modèle d’IA, elles ne sont plus entièrement sous votre contrôle. Dans certains cas, il est impossible de les rappeler ou de les effacer. Cela crée un risque, tant du point de vue de la cybersécurité que de la conformité.

L’architecture de sécurité ne peut à elle seule résoudre ce problème. Ces incidents se produisent parce que le comportement des employés est en avance sur les politiques. Les équipes expérimentent l’IA pour atteindre leurs objectifs, souvent sans être conscientes des implications de l’envoi de données sensibles ou réglementées hors plate-forme. Ce comportement n’est pas malveillant, mais il a des conséquences. Il déclenche des violations de conformité, rompt la confiance et, dans de nombreux secteurs, met en jeu des licences ou des certifications.

Pour les dirigeants, il s’agit de gérer l’exposition au risque. Vous ne pouvez pas éliminer le risque, mais vous pouvez le mesurer et le réduire. Cela signifie qu’il faut mettre des limites à la façon dont l’IA est utilisée et à l’endroit où elle est utilisée, en particulier les API tierces qui relient directement les systèmes internes à des services externes sans cryptage ni audit. La gouvernance doit s’étendre à la classification des données, à la surveillance en temps réel et à l’application des règles d’utilisation, non seulement au niveau du réseau, mais aussi au niveau de l’utilisateur individuel.

Vous n’avez pas besoin de bloquer l’innovation. Mais vous devez mettre en œuvre des règles claires et appliquées sur les données qui peuvent et ne peuvent pas être partagées avec les outils d’IA. Les entreprises qui seront les premières à agir dans ce domaine éviteront les amendes, maintiendront la confiance et resteront saines sur le plan opérationnel à mesure que l’IA s’immiscera dans leurs flux de travail.

La mise en place d’une gouvernance robuste de l’IA est cruciale pour atténuer les risques associés à l’IA fantôme

L’orientation est claire : l’IA est en train de devenir un élément fondamental des flux de travail des entreprises. Mais sans gouvernance, cette base est vulnérable. Les entreprises ont besoin de plus que des déclarations sur l’utilisation responsable. Elles ont besoin de cadres applicables qui définissent les modalités d’accès à l’IA, les données avec lesquelles elle peut interagir et la manière dont son utilisation est suivie dans le temps.

Netskope reconnaît ce changement de comportement, en notant une forte augmentation de l’utilisation des comptes IA gérés par les entreprises. C’est un indicateur positif, mais il souligne également un autre problème : le comportement des employés évolue plus rapidement que la gouvernance elle-même. Les outils sont en place, mais la structure ne suit pas. Ce décalage permet au risque d’évoluer parallèlement à l’adoption.

On ne résout pas ce problème avec des politiques isolées. Il faut un programme coordonné avec un provisionnement clair des comptes, une formation régulière des employés et une visibilité permanente sur l’utilisation des outils. Sans visibilité, vous ne faites que deviner. Et pour l’IA, deviner crée un risque, réglementaire, technique et de réputation. Il ne suffit pas de savoir qui a accès aux outils ; vous devez savoir comment ils les utilisent, quand ils les utilisent et s’ils introduisent des risques sans s’en rendre compte.

Pour les dirigeants, la réussite passe par la cohérence. La gouvernance n’est pas l’apanage de l’informatique. Les services juridiques, la conformité, la sécurité, les ressources humaines ont tous un intérêt à définir la manière dont ces systèmes sont intégrés dans l’entreprise. Cet alignement doit devenir opérationnel et non théorique.

Les organisations qui considèrent la gouvernance de l’IA comme une stratégie vivante, et non comme une solution ponctuelle, seront en mesure de l’adopter plus rapidement, de l’adapter en toute confiance et de prendre de l’avance sur leurs concurrents qui se heurtent à des préoccupations en matière de risques. La création de politiques que les gens suivent réellement, parce qu’elles sont appliquées, contrôlées et alignées sur la façon dont les gens veulent travailler, définira le véritable avantage opérationnel à l’ère de l’IA.

Principaux enseignements pour les dirigeants

• L’activité de l’IA fantôme reste une menace réelle : Près de la moitié des employés utilisent des outils d’IA tels que ChatGPT et Copilot via des comptes personnels, contournant ainsi la surveillance de l’entreprise et créant d’importantes vulnérabilités en matière de sécurité et de conformité.
• L’accès à l’IA en entreprise augmente mais reste insuffisant : Les comptes d’IA approuvés par l’entreprise sont passés de 25 % à 62 %, mais 9 % des utilisateurs basculent encore entre l’accès personnel et l’accès à l’entreprise, ce qui met en évidence les lacunes en matière de convivialité et d’expérience utilisateur que les dirigeants doivent combler de toute urgence.
• L’utilisation incontrôlée de l’IA augmente les risques d’exposition aux données : Les incidents liés aux données sensibles impliquant des outils d’IA ont doublé d’une année sur l’autre, les entreprises enregistrant désormais une moyenne de 223 cas par mois.
• La gouvernance est la voie vers une adoption sécurisée : Les dirigeants doivent mettre en œuvre des politiques claires d’utilisation de l’IA, fournir des comptes gérés et maintenir une surveillance continue de l’activité des outils pour aligner les comportements, renforcer les défenses et assurer l’évolutivité de l’adoption.