Depuis quelques semaines, un changement majeur est en train de passer presque inaperçu : l’arrivée des aperçus IA directement dans les recherches Google. Jusqu’à présent, les entreprises pouvaient encore demander à leurs utilisateurs de ne pas utiliser d’outils d’IA pour limiter les risques liés aux données. Mais cette stratégie atteint aujourd’hui ses limites : l’IA est désormais intégrée aux outils que les collaborateurs utilisent au quotidien.
Tribune par James Robinson, Responsable de la Sécurité des Systèmes d’Information chez Netskope – La question n’est donc plus de savoir comment empêcher les utilisateurs d’utiliser l’IA, mais plutôt à quel moment ces IA pourront accéder aux données de l’entreprise et comment les protéger. Le Shadow AI entre ainsi dans une nouvelle ère : les agents IA sont désormais partout, et l’évitement n’est plus une stratégie viable. Les organisations doivent apprendre à encadrer ces nouveaux usages et à sécuriser les données qui y sont exposées.
C’est justement cette évolution que souligne James Robinson. Il insiste sur les limites d’une approche fondée uniquement sur le blocage. Les entreprises doivent plutôt rendre les usages autorisés simples et sûrs, tout en mettant en place des contrôles capables de distinguer les usages professionnels et personnels et d’adapter les accès selon le contexte.
Les récentes révélations entourant OpenAI, Anthropic et Meta, dont les modèles et agents autonomes ont franchi par erreur le périmètre de leurs environnements de test, ont apporté la preuve d’une réalité que beaucoup d’organisations sous-estiment. En effet, l’étanchéité absolue des systèmes informatiques n’existe pas dès lors que les contrôles d’accès restent fondés sur des modèles traditionnels. Si les géants de la technologie peinent eux-mêmes à maintenir un cloisonnement hermétique lors de leurs propres simulations, la porosité au sein des entreprises représente un risque encore bien plus immédiat.
James Robinson, Responsable de la Sécurité des Systèmes d’Information chez Netskope, analyse comment le décalage entre les politiques de sécurité des entreprises et les usages quotidiens des collaborateurs crée une vulnérabilité critique à l’ère de l’intelligence artificielle :
« La très grande majorité des entreprises s’efforce d’intégrer l’intelligence artificielle dans son environnement de travail en toute sécurité. En apparence, la démarche paraît claire et repose sur le fait de valider des applications sûres, déployer des contrôles d’accès professionnels et accompagner les équipes. Sur le terrain, un obstacle majeur persiste avec la cohabitation entre les comptes d’entreprise gérés et les comptes personnels.
À mesure que les outils validés s’implantent dans le quotidien opérationnel, de nombreux collaborateurs continuent d’utiliser les versions personnelles non gérées des mêmes applications. Par simple réflexe d’efficacité, ils franchissent ainsi involontairement le cadre de sécurité de l’entreprise. Pour l’utilisateur, cette distinction semble anecdotique. Pour l’organisation, elle marque la frontière entre des données confidentielles protégées et des informations critiques copiées hors du périmètre de sécurité. C’est précisément dans cette zone grise, où l’entreprise perd la visibilité sur le contexte de l’usage, que le Shadow IT bascule vers le Shadow AI. Les fuites de données ne résultent plus forcément d’une intention malveillante, il suffit désormais qu’un contrat, un fichier client ou un document stratégique soit collé dans le mauvais prompt d’une application non gérée.
Face à ce constat, le blocage strict et unilatéral des comptes personnels s’avère souvent inefficace sur le long terme. Les collaborateurs ont besoin de ces technologies pour maintenir leur productivité. La priorité doit donc porter sur la simplification et la sécurisation des usages approuvés. Cela impose la mise en œuvre de contrôles d’accès contextuels capables de séparer les environnements personnels et professionnels, couplés à une politique claire de gouvernance des données.
Les incidents relevés chez les leaders de l’IA montrent que la sécurité ne peut plus reposer sur la simple confiance accordée à un outil ou à un paramétrage par défaut. Pour les entreprises, la réponse ne réside pas dans le bannissement aveugle de l’IA, mais dans la maîtrise pointue de ses accès. En adoptant une architecture fondée sur le contrôle continu des flux et le zero trust, les organisations se dotent d’un levier essentiel pour neutraliser la porosité des données. Elles instaurent ainsi une séparation claire et dynamique entre les usages privés et les actifs numériques de l’entreprise. »
