Le shadow AI progresse dans les équipes IT et les coûts s’alourdissent

Les incidents de sécurité liés à l’IA créent déjà une exposition financière de plusieurs millions de dollars

Plus de 40 % des décideurs d’entreprise ont déclaré que les incidents liés à l’IA avaient coûté au moins 2 millions de dollars à leur organisation au cours de l’année écoulée. Cela fait de la sécurité de l’IA un enjeu financier.

L’exposition est également généralisée. Dans une enquête de WitnessAI menée auprès de 300 décideurs d’entreprise, 86 % ont indiqué que leur organisation avait enquêté sur au moins un incident de sécurité ou opérationnel lié à l’IA au cours des 12 mois précédents. Par ailleurs, 91 % se sont dits préoccupés par le fait que les agents IA puissent accroître leur risque financier.

Le problème central est l’élargissement de l’accès sans contrôle équivalent. Les systèmes d’IA peuvent interagir avec les données de l’entreprise, traiter des informations sensibles et, de plus en plus, exécuter des tâches pour le compte des employés. Chaque connexion supplémentaire ou action autonome crée une activité de plus que les entreprises doivent identifier, autoriser, surveiller et auditer.

Pour les dirigeants, le coût des incidents ne représente qu’une partie de l’exposition. Une défaillance de l’IA peut interrompre les opérations, exposer des informations confidentielles, déclencher des coûts d’enquête et entraîner des conséquences juridiques ou réglementaires. L’impact exact dépendra de la manière et de l’endroit où l’IA est déployée, mais les résultats de l’enquête montrent que ces risques sont déjà significatifs pour de nombreuses entreprises.

La priorité doit donc être un contrôle mesurable. Les entreprises doivent savoir quels systèmes d’IA sont en fonctionnement, à quelles données ils peuvent accéder, quelles actions ils peuvent effectuer et qui est responsable en cas de problème. L’adoption de l’IA peut continuer à un rythme soutenu, mais les contrôles de sécurité doivent évoluer au même rythme.

L’adoption de l’IA s’accélère malgré la hausse du risque de sécurité

L’accès des employés à l’IA a augmenté de 50 % en 2025, selon le rapport « State of AI in the Enterprise » de Deloitte. Les entreprises élargissent l’accès à l’IA alors même que les incidents de sécurité deviennent plus fréquents et plus coûteux.

Cette combinaison est importante. Les déploiements technologiques conventionnels ralentissent souvent lorsque les équipes de sécurité identifient un risque important non résolu. L’adoption de l’IA se comporte différemment. Rick Caccia, PDG de WitnessAI, a déclaré à Channel Dive qu’il s’agissait du premier cas dont il se souvenait où le risque ne ralentissait pas l’adoption. Selon son analyse, soit les organisations n’appliquent pas les freins habituels, soit ces contrôles ne sont plus efficaces.

La raison est pratique. L’IA peut améliorer la manière dont les employés trouvent l’information, créent du contenu, analysent les données, écrivent du logiciel et automatisent le travail. Les employés peuvent aussi accéder à de nombreux services d’IA de manière indépendante, sans attendre un déploiement d’entreprise de grande ampleur. L’IT central a donc moins de capacité à contrôler l’adoption par le seul biais des achats.

Cela change la décision des dirigeants. Le choix n’est plus simplement de savoir s’il faut autoriser l’IA. Les employés et les unités métier l’adoptent déjà. La véritable contrainte est de savoir si la gouvernance peut suivre le rythme de cet usage.

Les entreprises doivent concevoir leurs contrôles en fonction de cette réalité opérationnelle. Cela signifie identifier les services d’IA utilisés, définir à quelles données de l’entreprise ils peuvent accéder, fixer des règles pour les modèles et agents approuvés, et surveiller les comportements en continu. Bloquer chaque nouvel outil a peu de chances d’être une stratégie durable. Une adoption non contrôlée n’est pas acceptable non plus.

L’opportunité consiste à accélérer l’adoption sécurisée. Les entreprises qui intègrent la gouvernance au déploiement peuvent étendre l’usage de l’IA tout en conservant visibilité et responsabilité. Compte tenu du rythme d’adoption et du niveau d’incidents signalé par WitnessAI, cette capacité devient une exigence centrale des programmes d’IA d’entreprise.

Les équipes IT et d’infrastructure sont la principale source d’activité de shadow AI

Le shadow AI est désormais un problème direct de sécurité pour les entreprises. Il se produit lorsque des employés utilisent des outils d’IA sans approbation formelle ou en dehors des politiques de l’entreprise. L’enquête de WitnessAI a révélé une source inattendue : les départements IT et infrastructure concentrent la plus grande part de l’activité de shadow AI.

C’est important, car ces équipes contribuent souvent à définir et à faire appliquer les contrôles technologiques. Leur usage non autorisé de l’IA montre que le problème ne peut pas être résolu uniquement par des politiques destinées aux employés. Les équipes techniques ont de fortes incitations à tester de nouveaux modèles, assistants de codage, outils d’automatisation et agents IA. Elles peuvent aussi disposer d’un accès plus large aux systèmes et données sensibles que les employés classiques.

Le risque sur les données commence avec ce que les utilisateurs envoient à des services d’IA externes. Les employés peuvent placer du code source, des dossiers clients, des documents internes, des identifiants ou d’autres informations confidentielles dans des prompts et des téléversements de fichiers. Les organisations peuvent alors avoir une visibilité limitée sur la manière dont le fournisseur stocke, traite ou réutilise ces informations, selon le service et les conditions contractuelles.

Aditya Patel, spécialiste de la sécurité cloud chez Amazon Web Services (AWS), a décrit le problème dans un billet de blog de la Cloud Security Alliance : « Every prompt, upload, or query is a potential breach. » Il a ajouté que la préoccupation ne tient pas seulement au volume d’activité, mais aussi à sa vitesse, estimant que les risques liés à l’IA peuvent se cumuler rapidement.

Les dirigeants doivent privilégier la visibilité avant l’interdiction. Les organisations ont besoin d’un inventaire précis des services, modèles et agents IA utilisés. Elles ont également besoin de règles claires concernant les données sensibles, les services approuvés, l’authentification, les droits d’accès et la journalisation. Les contrôles doivent s’appliquer de manière cohérente aux équipes IT, aux développeurs, aux dirigeants et aux autres employés.

Le constat concernant l’IT est particulièrement important pour la direction. Un programme de gouvernance a une valeur limitée lorsque les équipes chargées de le mettre en œuvre travaillent en dehors des mêmes règles. Les entreprises doivent examiner pourquoi cela se produit. Si les outils d’IA approuvés ne répondent pas aux besoins des équipes techniques, les employés auront une forte incitation à chercher des alternatives. Une gouvernance efficace exige donc des options approuvées et réellement utilisables, en plus de contrôles applicables.

Les entreprises investissent massivement dans la gouvernance de l’IA, mais la responsabilité reste floue

Plus de la moitié des répondants à l’enquête WitnessAI ont déclaré que leur organisation allouait entre 21 % et 45 % des dépenses liées à l’IA à la gouvernance et à la gestion des risques. C’est un engagement substantiel. Pourtant, un problème plus fondamental subsiste : de nombreuses organisations n’ont toujours pas de responsabilité clairement attribuée pour le risque lié à l’IA.

Rick Caccia, PDG de WitnessAI, a résumé directement cette incertitude : « Is it the CFO? Is it the CEO? Is it legal? Who the heck owns control of AI risk? » Cette question est importante, car l’IA traverse plusieurs fonctions de l’entreprise. La sécurité gère les menaces techniques. Les équipes juridiques et de conformité traitent l’exposition réglementaire et contractuelle. L’IT gère les systèmes et les accès. Les responsables métier décident où l’IA est déployée. La finance en gère finalement les conséquences économiques.

Une implication partagée est nécessaire, mais une responsabilité floue ne l’est pas. Quand personne ne détient l’autorité finale, les décisions peuvent devenir incohérentes. Une unité métier peut approuver un outil que la sécurité rejetterait. Les équipes juridiques peuvent définir des restrictions sur les données difficiles à faire respecter techniquement. La réponse aux incidents peut aussi devenir plus lente lorsque la responsabilité doit être négociée après la survenue d’un événement.

L’ampleur des dépenses de gouvernance en fait un sujet de direction. Allouer de 21 % à 45 % d’un budget IA à la gestion des risques ne garantit pas un meilleur contrôle. La direction doit savoir ce que cette dépense produit : visibilité sur l’usage de l’IA, politiques de données applicables, contrôles d’accès, surveillance, réponse aux incidents et preuves que ces mesures réduisent l’exposition.

Un modèle de gouvernance pratique doit désigner un dirigeant responsable tout en répartissant des missions précises entre les fonctions concernées. Le responsable exact dépendra de l’organisation. Ce qui compte, c’est une autorité explicite sur la politique, les exceptions, l’acceptation du risque et l’escalade.

La gouvernance doit aussi soutenir l’adoption plutôt que créer des retards évitables. Les équipes métier ont besoin d’une voie claire pour demander et déployer des services d’IA approuvés. Les équipes de sécurité ont besoin d’une visibilité suffisante pour évaluer ces services. Les fonctions juridiques et de conformité ont besoin d’informations fiables sur le traitement des données et les conditions contractuelles. Les dirigeants ont besoin d’indicateurs montrant à la fois l’adoption et le risque.

La contrainte centrale n’est donc pas la taille du budget de gouvernance. C’est la responsabilité. Les entreprises peuvent dépenser massivement pour les contrôles de l’IA et rester malgré tout exposées si l’autorité, les responsabilités et l’application des règles ne sont pas claires.

Les dirigeants peuvent avoir davantage confiance dans la supervision de l’IA que ce que leur organisation peut réellement soutenir

Un écart de 22 points de pourcentage sépare les membres de la direction générale et les vice-présidents en matière de visibilité sur l’IA. Dans l’enquête de WitnessAI, 68 % des répondants de la direction générale ont déclaré avoir confiance dans leur visibilité sur les outils, modèles et agents IA accédant aux données de l’entreprise. Seuls 46 % des répondants au niveau vice-président ont exprimé le même niveau de confiance.

Cette différence est importante, car les dirigeants de niveau vice-président sont souvent plus proches de la mise en œuvre et des opérations quotidiennes. Leur moindre confiance peut indiquer que les cadres dirigeants ont une vision incomplète de l’usage de l’IA dans l’ensemble de l’entreprise. L’enquête seule ne prouve pas que les évaluations de la direction générale sont erronées, mais l’ampleur de l’écart donne aux dirigeants une raison claire de vérifier leurs hypothèses.

La visibilité devient plus difficile à mesure que l’usage de l’IA s’étend. Une entreprise peut avoir besoin de suivre des plateformes d’entreprise approuvées, des services publics d’IA générative, des fonctionnalités d’IA intégrées dans des logiciels existants, des outils pour développeurs et des agents autonomes. Les seuls registres d’achats peuvent ne pas révéler toute cette activité, en particulier lorsque les employés peuvent accéder directement à des services externes.

Rick Caccia, PDG de WitnessAI, a identifié la visibilité comme la première exigence du contrôle. Le principe est pratique : une entreprise ne peut pas gouverner de manière cohérente des systèmes d’IA dont elle ignore l’usage. Une supervision efficace exige des informations sur les systèmes actifs, les personnes qui les utilisent, les données de l’entreprise auxquelles ils accèdent et la conformité de leur comportement avec la politique définie.

Pour les dirigeants de la direction générale, la priorité est de remplacer la confiance par des preuves. Les équipes sécurité et technologie doivent fournir des indicateurs mesurables sur l’usage de l’IA, les services non autorisés, les interactions avec des données sensibles, les droits d’accès et les violations de politique. Le reporting doit aussi réconcilier les écarts entre ce que les dirigeants pensent être déployé et ce que les équipes opérationnelles observent.

L’écart de confiance de 68 % contre 46 % doit donc être traité comme un signal de gouvernance plutôt que comme une simple divergence d’opinion. Un programme d’IA fiable a besoin d’une vision opérationnelle commune à tous les niveaux de direction. Une meilleure visibilité donne aux dirigeants les informations nécessaires pour prendre des décisions plus rapides sans accepter de risque inutile.

La sécurité de l’IA en entreprise crée une opportunité majeure pour les partenaires channel

Les entreprises investissent massivement dans la gouvernance de l’IA tout en continuant à lutter contre le manque de visibilité, le shadow AI, les incidents de sécurité et l’absence de responsabilité claire. Cette combinaison crée une demande d’expertise externe. Les partenaires channel peuvent aider les organisations à passer de politiques générales sur l’IA à des contrôles qui fonctionnent en production.

Rick Caccia, PDG de WitnessAI, a décrit cela comme une « opportunité générationnelle pour les partenaires channel », car les clients entreprises sont encore en train de déterminer comment gérer l’IA. Selon lui, les partenaires ont une ouverture pour fournir à la fois de la stratégie et des solutions pratiques.

L’opportunité va au-delà de la vente d’un produit de sécurité supplémentaire. Les entreprises ont besoin d’aide pour identifier les systèmes d’IA déjà utilisés, contrôler l’accès aux données sensibles, sélectionner des outils approuvés, surveiller les agents IA et intégrer ces contrôles aux systèmes existants d’identité et de sécurité. Les partenaires capables de relier les exigences de gouvernance à la mise en œuvre technique peuvent répondre à un besoin opérationnel clair.

La proposition la plus forte est une réduction mesurable du risque. Les clients doivent pouvoir voir ce qu’un partenaire découvre, quels contrôles il met en place et comment ces mesures modifient l’exposition. Les résultats utiles peuvent inclure une visibilité plus large sur l’usage de l’IA, moins d’outils non autorisés, des contrôles d’accès renforcés, une investigation plus rapide des incidents et un reporting plus clair pour la direction.

Les partenaires channel doivent aussi éviter de considérer que toutes les entreprises ont le même profil de risque lié à l’IA. Une institution financière, un éditeur de logiciels, un industriel et un acteur de la santé peuvent avoir des exigences de données, des obligations réglementaires et des niveaux de maturité IA différents. Des services efficaces doivent refléter les systèmes du client, la sensibilité des données, les exigences de conformité et les objectifs métier.

Pour les dirigeants d’entreprise, les partenaires externes peuvent apporter de la capacité et une expertise spécialisée, mais la responsabilité reste interne. Un fournisseur peut déployer une technologie et conseiller sur la gouvernance ; il ne peut pas décider du niveau de risque métier qu’une entreprise doit accepter. La direction doit toujours définir la responsabilité, approuver la politique et fixer les niveaux de risque acceptables.

Pour les partenaires channel, cela crée un rôle durable s’ils peuvent prouver les résultats. L’adoption de l’IA avance plus vite que les capacités de gouvernance de nombreuses entreprises. Combler cet écart avec des contrôles clairs, des résultats mesurables et une mise en œuvre pratique constitue l’opportunité commerciale identifiée par Caccia.

Points clés à retenir pour les dirigeants

• Les incidents liés à l’IA comportent un risque financier significatif : Plus de 40 % des entreprises interrogées ont signalé des coûts d’incidents liés à l’IA d’au moins 2 millions de dollars au cours de l’année écoulée. Les dirigeants doivent traiter la sécurité de l’IA comme un risque financier et opérationnel, et pas seulement comme un sujet IT.
• L’adoption progresse plus vite que les contrôles de sécurité : L’accès des employés à l’IA a augmenté de 50 % en 2025 alors même que les entreprises signalaient des incidents coûteux. Les dirigeants doivent intégrer la gouvernance au déploiement plutôt que de compter sur des revues de sécurité pour ralentir l’adoption.
• L’IT est la principale source de shadow AI : WitnessAI a identifié les équipes IT et infrastructure comme la principale source d’usage non autorisé de l’IA. Les dirigeants doivent appliquer de manière cohérente les politiques de données, d’accès et de surveillance, y compris aux équipes techniques chargées de les faire respecter.
• Les dépenses de gouvernance nécessitent une responsabilité claire : Plus de la moitié des organisations interrogées consacrent de 21 % à 45 % de leurs dépenses IA à la gouvernance et à la gestion des risques, mais la responsabilité reste floue. Désignez un dirigeant responsable avec une autorité explicite sur les décisions liées au risque IA et sur l’escalade.
• La visibilité sur l’IA révèle un écart au sein de la direction : 68 % des répondants de la direction générale ont exprimé leur confiance dans leur visibilité sur l’IA, contre 46 % des vice-présidents. Les dirigeants doivent vérifier la supervision à l’aide de données opérationnelles montrant quels systèmes d’IA sont utilisés, à quelles données ils accèdent et où se produisent les violations de politique.
• Les partenaires channel peuvent combler les écarts d’exécution : Les entreprises ont besoin d’une aide concrète pour transformer les politiques de gouvernance de l’IA en contrôles opérationnels. Les partenaires qui apportent des améliorations mesurables en matière de visibilité, de contrôle d’accès, de surveillance et de réponse aux incidents peuvent capter cette demande croissante.