Shadow IT en entreprise : détecter et reprendre la main

Le shadow IT désigne les logiciels, services en ligne et comptes utilisés dans une entreprise sans validation de la personne qui gère l’informatique. Rien d’exotique : un tableur partagé, un convertisseur de fichiers, un assistant d’intelligence artificielle. Le problème ne vient pas de l’outil, il vient de l’absence de trace, de contrat et de porte de sortie.

Le phénomène n’a rien de marginal. Le 11e baromètre de la cybersécurité des entreprises françaises, réalisé par OpinionWay pour le CESIN auprès de 397 responsables interrogés en décembre 2025, relève que 75 % des répondants jugent risqué l’usage de services d’intelligence artificielle non approuvés, et que 35 % des attaques réussies ont transité par un tiers. Ces deux chiffres décrivent la même faille : des dépendances que personne n’a inscrites nulle part.

Ce que recouvre vraiment le terme

Le shadow IT rassemble trois familles distinctes, et les confondre fait rater la moitié du sujet.

• Les services en ligne ouverts par un salarié avec son adresse professionnelle, le plus souvent en version gratuite
• Les abonnements réglés sur une carte bancaire puis passés en note de frais, donc absents du budget informatique
• Les automatisations maison : macros de tableur, scripts, chaînes de tâches montées par un utilisateur avancé que personne d’autre ne sait reprendre

La troisième famille est la plus discrète et la plus coûteuse. Un fichier de suivi commercial truffé de formules, construit par une seule personne, arrête un service entier dès que cette personne s’absente trois semaines.

À l’inverse, un outil validé mais mal paramétré ne relève pas du sujet : c’est un défaut de configuration, qui se traite autrement. Et le phénomène ne touche pas que les structures sans direction informatique. Le baromètre CESIN indique que 81 % des organisations interrogées, en majorité des grandes entreprises et des ETI, déclarent disposer d’une vision complète de leurs actifs numériques. Près d’une sur cinq reconnaît donc l’inverse, avec des moyens sans commune mesure avec ceux d’une PME de trente personnes.

Pourquoi vos équipes contournent l’outil officiel

Le contournement naît rarement d’une intention de nuire. Il naît d’un délai. Un commercial doit faire signer un devis vendredi, sa demande d’outil part le mardi, la réponse arrive quinze jours plus tard : la version gratuite trouvée en trois minutes gagne à chaque fois.

Quatre déclencheurs reviennent :

• L’outil officiel n’existe pas pour le besoin exprimé
• Il existe, mais reste trop lent ou trop lourd pour l’usage quotidien
• Un client ou un partenaire impose son propre espace de travail
• Personne ne sait à qui adresser la demande, faute de guichet identifié

Le manque de moyens entretient le cercle. Toujours selon le baromètre CESIN, 70 % des organisations estiment ne pas disposer des ressources humaines et financières suffisantes face à leur charge de sécurité. Une PME qui confie son informatique à un prestataire externe et à un salarié volontaire vit cette tension chaque semaine.

Traiter le symptôme sans traiter la cause donne toujours le même résultat : l’outil bloqué le lundi réapparaît le jeudi sous un autre nom. La question utile porte donc sur la lenteur du circuit officiel, pas sur la discipline des équipes. Une PME correctement dotée en outils collaboratifs réduit mécaniquement la tentation, à condition que ces outils couvrent les usages réels et pas seulement ceux du comité de direction.

L’intelligence artificielle a changé l’échelle

Ouvrir un compte non déclaré demandait jusqu’ici une inscription, un mot de passe, parfois un moyen de paiement. Une interface d’IA générative demande une adresse et rien d’autre. Le shadow IA s’installe donc plus vite que tout ce qui l’a précédé.

Les chiffres cadrent le décalage. L’Observatoire de l’IA responsable en entreprise, édition 2026, mené par Impact AI avec KPMG France et Bouygues auprès d’un échantillon représentatif de 1 000 salariés du secteur privé interrogés en février 2026, établit que 47 % des collaborateurs utilisent l’IA générative dans leur travail, quand 23 % seulement déclarent avoir été formés à un usage responsable. Deux salariés utilisateurs sur trois avancent donc sans aucune règle d’emploi.

Le risque concret tient à une manipulation banale : coller un extrait de contrat client, un fichier de paie ou un plan de charge dans une interface grand public. Les données quittent l’entreprise, atterrissent chez un éditeur souvent établi hors de l’Union européenne, et peuvent alimenter l’entraînement du modèle selon les conditions acceptées d’un clic.

Le cadre juridique a suivi. L’article 4 du règlement européen sur l’intelligence artificielle, le règlement (UE) 2024/1689, impose depuis le 2 février 2025 aux organisations qui déploient des systèmes d’IA d’assurer un niveau suffisant de maîtrise de l’IA à leur personnel. Le texte ne fixe aucun seuil d’effectif : une entreprise de cinq personnes qui rédige ses propositions commerciales avec un assistant en ligne entre dans le champ, au même titre qu’un groupe industriel. Le sujet rejoint la réflexion plus large sur l’usage de l’intelligence artificielle en PME, qui se pose désormais en termes de gouvernance avant de se poser en termes d’outils.

Quatre risques qui se matérialisent sans bruit

Le premier risque est de sécurité. Le rapport Cost of a Data Breach 2024 d’IBM relève que 35 % des violations analysées impliquaient des données stockées hors du périmètre connu des équipes, avec un coût supérieur de 16 % à la moyenne. Ces incidents s’étalaient sur 291 jours entre l’intrusion et la remédiation, contre 234 jours pour les autres. Ce que personne ne surveille met presque deux mois de plus à être détecté.

Le deuxième est réglementaire. Chaque service en ligne qui traite des données personnelles agit comme sous-traitant au sens de l’article 28 du RGPD, ce qui suppose un contrat écrit, des garanties vérifiées et une localisation des données connue. Le registre des traitements de l’article 30 devient inexact dès qu’un outil non déclaré manipule un fichier clients. Quant à la notification d’une violation dans les 72 heures prévue par l’article 33, elle relève de l’impossible : vous ne notifiez pas une fuite survenue sur un service dont vous ignorez l’existence.

Le troisième touche la continuité. Un compte ouvert au nom d’une personne disparaît avec son départ. Ni la direction ni le prestataire informatique ne détiennent les identifiants, aucune sauvegarde ne couvre le contenu, et l’export dépend parfois d’une adresse électronique désactivée depuis des mois.

Le quatrième est financier, et souvent le seul qui déclenche l’action. Trois équipes paient trois abonnements distincts pour la même fonction, chacun sous les trente euros mensuels, donc sous le radar comptable. Additionnés sur douze mois, ces montants dépassent régulièrement le prix d’un outil unique correctement négocié.

Cartographier sans surveiller les personnes

Un inventaire mené comme une enquête interne produit deux effets : il rate la moitié des outils et détruit la confiance qui rendrait les déclarations sincères. Le droit impose la même retenue. L’article L1222-4 du Code du travail interdit de collecter une information concernant personnellement un salarié par un dispositif qui ne lui a pas été porté préalablement à sa connaissance. Cette information préalable conditionne l’usage de tout journal technique à des fins de contrôle individuel.

La jurisprudence fixe l’autre borne. Dans son arrêt du 18 octobre 2006, la chambre sociale de la Cour de cassation a posé que les fichiers créés par un salarié sur l’outil informatique mis à sa disposition sont présumés professionnels, sauf s’il les identifie comme personnels, auquel cas l’employeur ne peut les ouvrir qu’en sa présence ou après l’avoir dûment appelé. Un inventaire d’outils n’a de toute façon aucun besoin de descendre au niveau du fichier individuel : il travaille sur des agrégats.

Commencez par les deux premières lignes : elles ne réclament aucun outil supplémentaire et livrent souvent la majorité du résultat. Les journaux techniques viennent ensuite, à condition que le réseau de l’entreprise les produise déjà. L’entretien reste la source la plus riche, parce qu’il donne la raison du contournement en même temps que le nom de l’outil.

Trier : adopter, encadrer, remplacer, fermer

L’inventaire terminé, résistez à la tentation du grand ménage. Fermer d’un coup vingt comptes actifs arrête du travail réel et repousse les usages plus loin dans l’ombre. Quatre décisions suffisent, appliquées outil par outil.

Aucune fermeture sans export. Cette règle unique évite la perte sèche et oblige à vérifier la réversibilité avant qu’elle devienne urgente. Un service incapable de restituer vos données dans un format ouvert vous apprend, à cet instant précis, ce qu’il vaut vraiment. Les fichiers récupérés rejoignent ensuite le circuit documentaire de l’entreprise, avec les durées de conservation qui s’appliquent à toute pièce issue de la dématérialisation.

Écrire la règle, puis ouvrir une porte d’entrée

Une interdiction sans alternative ne tient pas trois mois. La règle fonctionne quand elle s’accompagne d’un chemin plus rapide que le contournement.

La charte informatique porte la partie normative. Annexée au règlement intérieur, elle acquiert la même valeur opposable : l’article L1321-5 du Code du travail place les notes de service portant prescriptions générales et permanentes sur le même plan que le règlement lui-même. Au-delà de cinquante salariés, elle suit donc la procédure complète, avec consultation du comité social et économique, transmission à l’inspection du travail et dépôt au greffe du conseil de prud’hommes. En deçà, elle garde toute son utilité, et sa portée disciplinaire suppose qu’elle ait été diffusée et signée.

Trois pièces la complètent :

• Un catalogue d’outils validés, tenu à jour, consultable sans demander d’autorisation
• Un guichet unique, une adresse ou un canal, avec un délai d’instruction annoncé et respecté
• Une consigne courte sur l’IA générative : ce qui peut être collé dans une interface externe, ce qui ne le peut jamais

Le délai annoncé fait la différence. Une réponse sous cinq jours ouvrés, même négative et motivée, éteint le contournement mieux que n’importe quel blocage technique. Rattachez enfin chaque outil adopté à votre politique de mots de passe, avec un compte nominatif et un second facteur dès que le service le propose.

Ce qui fait rechuter une PME

Cinq écueils reviennent d’un dossier à l’autre :

• Lancer l’inventaire comme une chasse aux coupables, ce qui garantit des déclarations incomplètes
• Fermer des comptes avant d’avoir exporté leur contenu, puis découvrir que l’export n’existait pas
• Traiter le sujet une seule fois, sans revue périodique, alors qu’un nouvel outil apparaît à chaque recrutement
• Oublier les prestataires et les indépendants, qui manipulent parfois plus de données que les salariés
• Rédiger une charte de quinze pages que personne ne lit, au lieu d’une page affichée et remise à l’arrivée

Un sixième écueil mérite attention : confondre l’inventaire des outils et l’inventaire des données. Savoir qu’une équipe utilise un service de transfert de fichiers ne dit rien de ce qui y transite. La revue annuelle porte sur les deux, sous peine de rassurer sans protéger.

Prochaine étape : sortez les douze derniers mois de relevés de la carte bancaire d’entreprise, surlignez chaque prélèvement récurrent inférieur à cinquante euros, puis demandez à qui appartient chaque ligne. Cette liste vous donnera votre premier périmètre réel en une heure, sans outil et sans annonce.