Shadow AI : comment l'utilisation non contrôlée de l'IA par les employés élargit votre surface d'attaque

L'intérêt pour l'intelligence artificielle a depuis longtemps dépassé le stade de la simple curiosité. Les outils d'IA générative sont désormais intégrés aux processus de travail quotidiens dans presque tous les services, de l'ingénierie au marketing en passant par la finance, où les collaborateurs les utilisent pour rédiger des e-mails, analyser des données, générer du code et automatiser des tâches routinières. Les gains de productivité sont bien réels, mais le risque qui y est associé l'est tout autant.

Et une grande partie de ce risque est invisible. Une grande partie de l'utilisation de l'IA sur le lieu de travail aujourd'hui n'est pas documentée, n'est pas encadrée ou est totalement inconnue des personnes chargées d'assurer la sécurité de l'entreprise. C'est là tout le problème de l'« IA fantôme », c'est-à-dire les outils, plateformes et modèles d'IA utilisés par les collaborateurs à l'insu des équipes informatiques et de sécurité, et sans leur accord ni leur contrôle. Considérez cela comme l'évolution, à l'ère de l'IA, du « shadow IT », ce défi de longue date que représente l'utilisation par les employés de logiciels non autorisés. Mais l'IA « fantôme » comporte un risque bien plus important en raison de la nature même de ce dont ces outils se nourrissent : les données.

L'ampleur du fossé entre la prise de conscience et l'action est frappante. Le rapport « State of Human Risk 2026 » de Mimecast, qui s'appuie sur une enquête menée auprès de 2 500 responsables de la sécurité informatique et décideurs informatiques dans neuf pays, révèle que, bien que 80% des organisations s'inquiètent des fuites de données sensibles via les outils d'IA générative, 60% ne disposent toujours pas d'une stratégie spécifique pour faire face aux menaces liées à l'IA. Seuls 40 % d'entre eux se sentent parfaitement préparés. C'est précisément dans cet écart entre la prise de conscience de la menace et la préparation à y faire face que l'IA « de l'ombre » prospère.

Comment l'utilisation de l'IA par les employés élargit la surface d'attaque

On ne peut nier les opportunités qu'offre l'IA en matière de productivité, d'innovation et de croissance. Mais chaque fois qu'un collaborateur colle une liste de clients dans un chatbot gratuit, télécharge un rapport financier vers un outil de synthèse basé sur l'IA ou saisit du code propriétaire dans un assistant de programmation non approuvé, il expose potentiellement des informations sensibles à des systèmes tiers dont les politiques de conservation des données et de sécurité sont inconnues.

Confiez-vous vos secrets d'affaires ou vos modèles de tarification à un tiers qui n'a aucune obligation contractuelle de protéger ces données ? Une utilisation sans discernement des outils d'IA peut entraîner toute une série de risques cybernétiques pour les organisations, notamment :

Exposition et fuite de données. Les outils d'IA non approuvés ne disposent souvent pas de mesures de sécurité adaptées aux entreprises. Lorsque les collaborateurs saisissent des données confidentielles, telles que des dossiers clients, des secrets d'affaires ou des plans stratégiques, sur ces plateformes, ces informations peuvent être stockées, utilisées pour l'entraînement de modèles ou exposées à la suite d'une violation de sécurité. Les conséquences financières sont lourdes, les violations « cachées » liées à l'IA faisant grimper le coût moyen des incidents de plusieurs centaines de milliers de dollars.

Infractions aux règles de conformité. Les secteurs soumis à des réglementations telles que le RGPD, la loi HIPAA ou la norme SOC 2 sont particulièrement exposés. Lorsque des données transitent par des systèmes d'IA non contrôlés, les organisations risquent, à leur insu, d'enfreindre les exigences en matière de localisation des données, de consentement ou de traitement, s'exposant ainsi à des sanctions réglementaires et à une responsabilité juridique.

Une nouvelle surface d'attaque basée sur des agents. La perte de données en entreprise n'est plus uniquement un problème lié au facteur humain. Les agents d'IA et les flux de travail automatisés se développent rapidement dans l'ensemble de l'entreprise et accèdent à des données sensibles par des voies que les outils de sécurité traditionnels n'ont jamais été conçus pour surveiller, telles que les flux de travail connectés au MCP, les agents commerciaux, les automatisations créées par les utilisateurs et les outils d'IA « fantômes ». L'adoption progresse à un rythme bien plus rapide que la mise en place des mesures d'encadrement. De nombreuses organisations exploitent désormais des agents d'IA actifs, mais seule une petite partie d'entre elles leur a accordé une homologation de sécurité complète.

Perte de gouvernance et de responsabilité. Lorsque l'IA influence les décisions commerciales sans contrôle dans des domaines tels que le recrutement, l'analyse financière ou la communication avec la clientèle, les organisations perdent la capacité de vérifier, d'expliquer ou de justifier ces résultats. Cela crée un vide en matière de responsabilité, d'autant plus que la surveillance réglementaire des processus décisionnels fondés sur l'IA s'intensifie.

Les menaces internes. À mesure que l'IA s'intègre davantage dans les opérations, les personnes au sein d'une organisation disposent de plus d'occasions d'utiliser leurs droits d'accès pour manipuler des modèles ou des données à des fins malveillantes ou pour leur profit personnel. Le tableau général des risques liés au facteur humain vient étayer ce constat : seule une infime partie des employés est à l'origine de la grande majorité des incidents de sécurité.

De nouvelles mesures de contrôle face aux nouvelles menaces

L'IA « Shadow » n'est pas près de disparaître. Les employés continueront à rechercher les outils les plus efficaces à leur disposition, qu'ils aient ou non reçu l'autorisation. La solution ne consiste pas à interdire l'IA : pour la plupart des organisations, cela n'est ni viable ni souhaitable. La solution consiste à le réguler. Les dirigeants d'entreprise peuvent élaborer une stratégie d'adoption de l'IA adaptée à leur propre profil de risque en suivant les étapes suivantes :

Mettez en place un comité de pilotage dédié à l'IA. Mettez en place un groupe composé de représentants des services informatiques, de la cybersécurité, des données et de l'analyse, ainsi que des principales parties prenantes de l'entreprise. Ce comité peut examiner les pratiques et les politiques en matière d'IA, notamment l'utilisation des outils, le partage des données, ainsi que les paramètres relatifs au stockage et à la suppression des données, et les aligner sur la tolérance au risque de l'entreprise.

Réalisez une évaluation initiale des risques liés à l'IA. Identifiez les outils et les systèmes déjà mis en place, ainsi que les vulnérabilités spécifiques que leur utilisation pourrait engendrer, puis hiérarchisez les mesures d'atténuation en fonction d'une analyse coûts-bénéfices. Des cadres de référence établis, tels que le cadre de gestion des risques liés à l'IA du NIST, peuvent aider les dirigeants à analyser les risques liés à la cybersécurité et à la protection de la vie privée que présentent les systèmes d'IA.

Mettez en place des solutions alternatives sécurisées et une politique d'entreprise en matière d'IA. Les employés ont recours à des outils non autorisés lorsque ceux qui sont autorisés ne sont pas disponibles ou ne sont pas suffisamment performants. Proposez des alternatives sécurisées et adaptées aux entreprises, et accompagnez-les de règles claires et bien communiquées concernant les outils autorisés, les données pouvant être partagées et les obligations d'information requises pour les tâches assistées par l'IA.

Définir des normes de cybersécurité pour les outils d'IA. Comme les outils d'IA traitent d'énormes quantités de données, ils constituent des cibles de choix pour les cybercriminels. Examinez minutieusement les contrôles et les pratiques de sécurité d'un fournisseur avant de l'adopter, notamment pour vérifier si la plateforme est sécurisée dès sa conception et quelles vulnérabilités elle pourrait présenter.

Communiquer et sensibiliser. Communiquez clairement les politiques relatives à l'IA à l'ensemble des salariés et des prestataires, et intégrez ce sujet dans les formations régulières de sensibilisation à la sécurité afin que chacun reste informé des menaces émergentes et des meilleures pratiques. Il convient notamment de noter que seule une minorité d'organisations associe aujourd'hui des formations régulières de sensibilisation à un suivi continu, ces deux pratiques étant les plus à même de détecter une utilisation non autorisée de l'IA avant qu'elle ne cause des préjudices.

Écran doté de commandes adaptatives. Les règles statiques ne peuvent pas s'adapter au rythme des interactions en temps réel entre les employés et les outils d'IA. Mettez en place des contrôles d'accès, surveillez les anomalies dans le comportement des utilisateurs et déployez des contrôles adaptatifs ainsi qu'une sécurité des données en temps réel qui offrent une visibilité unified sur l'activité des utilisateurs et des agents, depuis les terminaux et les navigateurs jusqu'aux applications SaaS, à la messagerie électronique et aux outils d'IA.

Le bilan

Les organisations disposent d'un potentiel extraordinaire pour exploiter l'IA générative afin de stimuler leur productivité, mais ce potentiel n'est pas sans risque, et le délai entre la prise de conscience des menaces liées à l'IA et la mise en place des mesures nécessaires pour y faire face constitue une véritable vulnérabilité. Les organisations doivent évaluer et gérer de manière proactive les risques liés à l'IA avancée et aux flux de travail autonomes. Grâce à une meilleure visibilité et à la mise en place de contrôles adaptatifs adaptés, une entreprise et son personnel peuvent adopter ces nouvelles fonctionnalités en toute confiance, tout en garantissant la sécurité des données de l'entreprise et de ses clients.