Un salarié teste un assistant IA avec son compte personnel, une équipe ouvre un espace de gestion de projet avec sa carte bancaire et un prestataire partage des fichiers dans son outil favori. Ces décisions répondent souvent à un besoin réel, mais elles créent un système parallèle que l’entreprise ne sait ni administrer ni fermer.
Le Shadow IT désigne des systèmes mis en œuvre sans l’approbation de la fonction informatique. Avec l’IA générative, le problème ajoute des historiques de conversation, des documents téléversés, des extensions de navigateur et parfois des agents capables d’agir dans d’autres applications.
Pourquoi l’interdiction générale échoue
Si la procédure officielle demande plusieurs semaines alors que le besoin est immédiat, l’usage se déplace vers un compte personnel. Une politique uniquement punitive réduit les signalements et prive l’organisation des informations nécessaires pour choisir une alternative.
Le contrôle efficace combine une liste claire, un canal d’essai rapide, des règles sur les données et une réponse proportionnée au risque.
Construire l’inventaire par plusieurs chemins
- interroger les équipes sur les tâches et outils réellement utilisés ;
- examiner les dépenses, cartes et notes de frais ;
- consulter les connexions SSO et autorisations OAuth ;
- identifier les extensions de navigateur et applications mobiles professionnelles ;
- analyser les domaines dans les journaux réseau lorsque le cadre le permet ;
- rechercher les automatisations et clés API sans propriétaire.
Ne transformez pas l’inventaire en surveillance cachée. Informez les personnes, limitez les données collectées et impliquez les fonctions compétentes. L’objectif est de connaître les services, pas de lire chaque contenu.
Classer l’usage plutôt que le nom de l’outil
Un même service peut être acceptable pour reformuler un texte public et interdit pour analyser un dossier médical. Pour chaque usage, notez la finalité, les utilisateurs, les données, les intégrations, la capacité d’action, le contrat et la possibilité de supprimer ou exporter.
- Vert : données publiques, tâche réversible, aucun accès connecté.
- Orange : données internes limitées, compte d’équipe et validation nécessaire.
- Rouge : secrets, données sensibles, décision à fort impact ou agent disposant de droits étendus.
Traiter les connexions et les agents
Une application OAuth peut conserver l’accès à la messagerie ou au stockage même après la fin d’un test. Révoquez les autorisations inutiles, limitez les périmètres et utilisez des comptes administrables. Pour un agent IA, accordez une identité distincte, des droits minimaux, un journal et une validation humaine avant les actions irréversibles.
Proposer une voie de régularisation
- Comprendre le besoin que l’outil a résolu.
- Vérifier si une solution approuvée couvre déjà la tâche.
- Évaluer rapidement le contrat, les données et les accès.
- Régulariser l’outil utile avec un propriétaire et des règles.
- Exporter les données puis fermer proprement l’outil refusé.
Une période d’essai encadrée peut être plus sûre qu’un usage clandestin durable. Utilisez des données fictives, interdisez les connexions sensibles et fixez une date de décision.
Installer un catalogue vivant
Publiez les outils autorisés, les usages possibles, les données interdites et le contact capable de répondre. Ajoutez une procédure légère pour demander un nouvel outil et un engagement de délai. Un catalogue obsolète recrée le Shadow SaaS qu’il devait réduire.
Mesurer la reprise de contrôle
Suivez le nombre d’outils sans propriétaire, les comptes personnels utilisés pour le travail, les autorisations OAuth critiques, les dépenses orphelines et le délai moyen de validation. L’objectif n’est pas zéro expérimentation, mais zéro usage important sans responsabilité identifiable.
Le Shadow AI est souvent le symptôme d’une demande métier non traitée. La gouvernance fonctionne lorsqu’elle rend la bonne voie plus simple que le contournement.
Prévoir aussi la fermeture
Lorsqu’un outil est abandonné, transférez la propriété des contenus utiles, exportez-les dans un format exploitable, révoquez les connexions et supprimez les comptes selon la politique prévue. Vérifiez ensuite les prélèvements et les jetons encore actifs. Sans cette dernière étape, l’inventaire se remplit de services fantômes qui conservent des données et continuent parfois d’être facturés.
Article informatif. Les outils, règles et pratiques peuvent évoluer : vérifiez les sources officielles et adaptez les recommandations aux risques de votre organisation.
