Véritable révolution technologique, l’intelligence artificielle va indiscutablement se positionner au centre des plans de transformation des entreprises. Pour autant, force est de constater que son adoption s’opère encore progressivement et que les grands comptes sont les principales structures qui expérimentent l’IA à grande échelle pour différents usages. Mais comment expliquer ce décalage entre la promesse d’une utilisation pour tous et un usage encore très timide de l’IA au sein des petites structures ?

Une recherche d’approche très opérationnelle et efficace

Utiliser l’IA dans un contexte professionnel diffère de notre usage personnel et doit permettre de simplifier le travail des équipes. En ce sens, il est important d’encadrer la démarche, de définir des cas d’usages concrets et de bénéficier d’apports tangibles qui permettent de mesurer un réel retour sur investissement. Sur ce point, les notions d’expérimentation de l’IA souvent réalisées par les grands comptes ne sont pas adaptées aux PME et TPE qui n’ont pas le temps de tester ces outils, mais qui attendent des réponses opérationnelles immédiates.

Utiliser des technologies de confiance

Dans un contexte professionnel, il est important d’utiliser des technologies IA de confiance qui diffèrent de celles que nous utilisons dans notre quotidien personnel (ces dernières étant souvent « gratuites » et assez opaques sur l’utilisation de nos données). Ainsi, l’un des enjeux des entreprises est de se prémunir du Shadow IA qui peut engendrer de véritables brèches de sécurité.

Un coût d’utilisation dissuasif pour les petites entreprises

On note que les premières solutions d’IA dédiées aux professionnels étaient proposées à des coûts souvent trop importants pour les PME. Si certaines technologies restent encore hors de portée des petites entreprises, on constate que les grands éditeurs du marché sont aujourd’hui en phase de faire évoluer leur modèle économique pour diffuser à très grande échelle leurs technologies sur le Small et Midd Market.  Nous pourrions par exemple évoquer Microsoft qui vient d’annoncer une baisse de prix importante pour sa solution Copilot. Ce type d’initiative portée par les principaux éditeurs du marché devrait créer un appel d’air conséquent et diffuser la culture de l’IA dans toutes les organisations.

Au regard de ces éléments, il parait évident que l’IA va continuer à se positionner comme un véritable Game Changer en 2026 auprès des grands comptes, mais aussi des PME et TPE qui devraient tirer fortement le marché vers le haut. À n’en pas douter, nous sommes sur un point de bascule qui marque l’avènement d’une nouvelle ère où l’IA deviendra un outil incontournable pour accompagner tous les collaborateurs des petites structures dans la bonne conduite de leurs opérations.

Bertrand DUMÉNIL, Directeur Marketing chez Provectio

68% des employés qui utilisent des outils comme ChatGPT ou d’autres IA génératives le font à l’insu de leurs responsables directs ou sans en informer leur DSI. Tout comme le shadow IT, le shadow IA consiste à utiliser des outils technologiques sans l’approbation de la DSI. En se passant des processus internes d’approbation et de validation, ces collaborateurs introduisent des risques significatifs pour la sécurité de l’entreprise et la gestion du SI. Tandis que les départements IT s’efforcent d’établir des règles de sécurité claires et rigoureuses, le shadow IA gagne de l’ampleur et menace de devenir un défi de taille.

Quelles sont les causes de l’émergence du shadow IA

Facilité d’accès aux technologies

Si le shadow IA se développe si rapidement, c’est en partie grâce à la facilité d’accès aux technologies. Aujourd’hui, il suffit de quelques clics pour que vos employés accèdent à des outils SaaS en ligne. Et ce, sans avoir besoin de passer par les départements IT. Cela facilite non seulement l’usage de ces technologies, mais également l’émergence d’une IA invisible à vos yeux – ceux de la DSI.  La démocratisation de l’IA et des outils open source joue également un rôle clé. De nombreuses plateformes offrent des solutions d’IA génératives accessibles gratuitement ou presque, ce qui permet à tout employé de créer et déployer ses propres IA. Sans contrôle ni supervision, ces initiatives sont là encore susceptibles d’échapper totalement à la gouvernance de la DSI, amplifiant les risques cyber.

Besoin de flexibilité et de rapidité

Le shadow IA est alimenté par le besoin croissant de flexibilité et de rapidité dans les entreprises. Les déploiements des solutions peuvent être lents, les employés partent à la chasse aux outils rapidement déployables, quitte à choisir des options non encadrées.En parallèle, on assiste à l’essor du BYOIA (Bring Your Own Intelligence Artificielle), un phénomène qui voit les collaborateurs introduire leurs propres solutions d’IA génératives au sein de l’entreprise. Cette pratique peut accélérer l’innovation, mais elle présente surtout des risques majeurs pour la sécurité du système d’information.

Manque d’investissement et facteur coût

Reste à considérer que le coût des solutions IA peut représenter un obstacle majeur pour de nombreuses entreprises. Venant s’ajouter au coût des licences utilisateurs, le développement et le déploiement de solutions IA robustes et sécurisées nécessitent des investissements conséquents, qui peuvent s’avérer dissuasifs. Résultat, les collaborateurs comblent le vide avec des outils gratuits, qui passent souvent sous le radar de la DSI. Le manque de visibilité sur le retour sur investissement (ROI) de l’IA générative vient également aggraver cette situation. Beaucoup d’entreprises hésitent à investir dans des solutions IA structurées sans avoir de garantie claire quant aux bénéfices qu’elles en tireront. Ces réticences viennent ainsi retarder leur transformation IA et laissent le champ libre à l’apparition de solutions non contrôlées, et donc au shadow IA.

Manque de sensibilisation et de formation

Le manque de sensibilisation des collaborateurs est sans conteste l’un des talons d’Achille des entreprises. Et de fait, de nombreux collaborateurs n’ont pas connaissance des risques sécuritaires et juridiques que l’usage de solutions d’IAG non contrôlées fait courir à leur entreprise.

S’ajoute l’absence de communication claire autour des politiques de sécurité sur l’utilisation de l’intelligence artificielle. Si les employés ne sont pas correctement informés des règles en vigueur, ils risquent de prendre des initiatives dangereuses, et ainsi de compromettre la sécurité de l’ensemble du système.

Quels sont les risques du shadow IA ?

Risques de sécurité

Ce qui vous préoccupe probablement le plus ? Les risques de sécurité. Avec l’utilisation de l’IA générative, les informations sensibles – données employés, clients, propriété intellectuelle et données confidentielles – peuvent être exposées et provoquer une fuite de données. Les employés compromettent la confidentialité du SI, et la réputation et la crédibilité de l’entreprise peuvent être impactées. Lorsque les employés utilisent des outils d’IA génératives non approuvés par le service IT, ces applications ne sont pas soumises aux mêmes mesures de sécuritéque les systèmes officiellement déployés. Ces outils peuvent représenter des failles de sécurité ou ne pas bénéficier pas de mises à jour régulières et nécessaires à la correction de potentielles vulnérabilités. Ces solutions d’IA peuvent alors devenir des points d’entrée pour des cybercriminels qui cherchent à exploiter des faiblesses dans le réseau.

Risques de conformité

Les risques de conformité sont également considérables, puisque l’utilisation d’outils non autorisés peut facilement entraîner des violations réglementaires. À titre d’exemple, certaines de ces solutions d’IA pourraient ne pas respecter les règles du RGPD et entraîner de lourdes sanctions pour l’entreprise.

Risques opérationnels

Sur le plan opérationnel, l’un des risques les plus immédiats est celui des interférences et redondances. Les IA non intégrées au SI existant peuvent créer des doublons de données, ralentir les processus internes et, in fine, augmenter les coûts. Ces inefficacités opérationnelles représentent des obstacles à la productivité globale de l’entreprise. Les problématiques de gouvernance deviennent plus complexes avec le shadow IA. Le manque de contrôle et de suivi des outils utilisés complique la gestion du SI et peut conduire à un éparpillement des données, voire à une perte de contrôle sur les processus internes.

Comment identifier le shadow IA

Surveillance proactive des réseaux et systèmes

Pour ne pas être pris au dépourvu, la première chose à faire est de surveiller vos réseaux et systèmes. Des solutions de monitoring avancées permettent de suivre les flux de données et ainsi d’identifier les applications non autorisées qui pourraient être utilisées par vos collaborateurs. Une autre méthode efficace consiste à effectuer une analyse des journaux d’activité. En examinant les logs générés par les différents systèmes, vous pouvez déceler des anomalies ou des actions suspectes. L’analyse approfondie de ces journaux peut vous permettre de prendre des mesures correctives avant qu’une faille de sécurité ne devienne critique.

Audits réguliers de sécurité et de conformité

Ensuite, misez sur des audits de sécurité réguliers pour vérifier que vos configurations respectent bien les politiques de sécurité internes. En procédant à des inspections approfondies, vous vous assurez que les systèmes sont correctement protégés contre les intrusions et l’utilisation d’applications non autorisées.Le renforcement du contrôle des identités et des accès permet également de limiter les failles de sécurité et donc de réduire les risques pesant sur votre SI. En surveillant attentivement les droits d’accès, vous réduisez le risque que des applications non sécurisées soient utilisées dans votre environnement (et donc le phénomène de shadow IA).

Utilisation de l’intelligence artificielle pour la détection

À armes égales… L’IA elle-même peut être un outil puissant. En utilisant des modèles prédictifs, vous pouvez identifier les patterns anormaux dans l’utilisation des ressources informatiques afin de mitiger les risques informatiques. Ces modèles sont capables de repérer des anomalies subtiles que les systèmes de surveillance traditionnels pourraient manquer, et vous pouvez ainsi prendre des mesures proactives. Par exemple, si votre outil d’IA générative détecte l’usage d’une API externe d’un outil d’IA non validé par la DSI, elle peut déclencher une alerte.

Shadow IA : mieux vaut prévenir que guérir

Instaurer une gouvernance et des politiques claires

Comme dans toute lutte contre les pratiques non-autorisées, le combat contre le shadow IA et ses risques associés commence par la formalisation et la communication d’une gouvernance stricte et une politique de sécurité claire. Pour cela, renforcez les politiques existantes avec des règles spécifiques à l’usage de l’intelligence artificielle générative. Par exemple, vous pouvez définir des protocoles de validation des nouveaux outils d’IA, assurer que chaque nouvelle technologie respecte les normes de sécurité et de conformité avant son intégration, et établir un suivi continu de ces technologies. Un cadre de conformité robuste est également primordial. La mise en place de protocoles de conformité garantira que toutes les applications utilisées respectent les normes légales et réglementaires. À titre d’illustration : les Opérateurs de Services Essentiels sont par exemple soumis à des normes strictes en matière de cybersécurité. Encouragez une transparence totale autour de l’utilisation des outils IA et centralisez la gestion afin de garantir une supervision adéquate.

Ne pas oublier la sensibilisation et la formation

Au-delà des politiques, la sensibilisation des employés reste un élément clé pour prévenir le shadow IA. En instaurant des programmes de sensibilisation réguliers, vous pouvez éduquer vos équipes sur les risques liés à l’utilisation de l’IA et partager les bonnes pratiques de sécurité.

Mauvaise nouvelle : les menaces évoluent rapidement, et les technologies IA également. Vos équipes doivent avoir les connaissances nécessaires pour gérer ces nouvelles menaces et s’adapter aux dernières innovations. Cela implique des formations régulières sur les nouvelles technologies, mais aussi sur les méthodes de détection de la shadow IA.

Vous en conviendrez : même si l’utilisation de l’intelligence artificielle peut offrir des avantages considérables en termes de productivité et d’efficacité, elle ne doit pas se faire au détriment de la sécurité. ChatGPT, Midjourney, Bard… ces intelligences artificielles génératives sont néanmoins de plus en plus utilisées dans leurs versions non-encadrées par des collaborateurs, qui ne perçoivent pas toujours les risques. Puisqu’il est difficile d’interdire purement et simplement son utilisation, le meilleur moyen de contrôler et sécuriser l’IA générative reste la mise en place d’une politique pour contrôler les usages ; ainsi que des actions visant à sensibiliser les utilisateurs aux différents risques que des usages non-tracés pourraient faire courir à leur organisation.

Par MARCHE Sébastien chez Experteam 

Au regard des nombreux services délivrés aux citoyens, le secteur public est aujourd’hui fortement exposé au risque Cyber. Dans ce contexte, au sein des collectivités, et plus particulièrement dans les services sensibles comme la police municipale, les menaces cyber ne viennent pas toujours de là où on les attend.

Ainsi, une simple clé USB peut devenir un cheval de Troie numérique et impacter le fonctionnement des services et contribuer à exfiltrer des données sensibles. C’est précisément dans ce contexte que la mise en œuvre d’une gouvernance cyber reposant sur des dispositifs industriels doit être une priorité absolue.

Vers une généralisation de l’usage des stations blanches

Au regard de ces éléments, les stations blanches de décontamination USB qui étaient utilisées à la marge par certaines collectivités avant-gardistes sont aujourd’hui au centre de toutes les attentions et commencent à devenir une priorité d’achat pour les collectivités. Cette forte demande des collectivités s’explique par leur approche très opérationnelle qui permet d’accéder à une série de bénéfices tangibles :

– scanner et désinfecter les supports amovibles avant qu’ils n’accèdent au réseau interne,

– bloquer les malwares qui se propagent « hors ligne »,

– protéger les postes de travail critiques, souvent non connectés à Internet, mais vulnérables aux attaques physiques.

Il devient alors possible d’utiliser sereinement les périphériques USB et de travailler dans une sphère de confiance. Si l’on reprend notre exemple de la police municipale, cette dernière pourra par exemple sécuriser des opérations sensibles : protéger les systèmes de vidéo-surveillance, sécuriser les échanges avec les partenaires extérieurs (justice, sécurité civile, etc.) ou encore garantir l’intégrité des données sensibles.

Une politique de cybersécurité ne peut pas faire l’impasse sur les points d’entrée physiques et les stations blanches sont un maillon indispensable de cette chaîne de confiance. Pour autant, attention également à faire un choix éclairé sur les dispositifs à déployer. Ces derniers doivent convenir et être adaptés aux usages tant sur le fond (type et nombre d’antivirus intégrés, etc.) que sur la forme (type de stations blanches proposées : totem, etc.). Ces points sont importants et permettront d’avoir une expérience utilisateur de qualité.

Au regard de ces éléments, nous allons continuer de voir les stations blanches se développer à grande échelle dans les structures publiques. Complémentaires aux autres solutions cyber déployées, ces dispositifs contribueront donc activement à protéger les infrastructures IT contre les risques invisibles et pourtant bien réels.

Par Christophe Bourel Tyrex Cyber

Dans l’imaginaire collectif, la cybersécurité évoque encore des salles obscures remplies de serveurs, des lignes de code à perte de vue et des ingénieurs penchés sur des écrans clignotants. En réalité, le danger se trouve souvent bien plus près, parfois à un simple clic. Et les PME, longtemps persuadées d’être trop modestes pour attirer les cybercriminels, représentent désormais des cibles privilégiées. Leur taille, leur dépendance à leurs outils numériques et l’absence de politiques de sécurité structurées en font des proies idéales.

Une attaque n’a pas besoin d’être sophistiquée pour être dévastatrice. Un mot de passe réutilisé, un lien de phishing ouvert par mégarde, ou un collaborateur distrait suffisent à compromettre tout un système. L’impact dépasse le seul plan technique : il touche la continuité d’activité, la réputation et parfois même la survie économique de l’entreprise. Dans un environnement où les données constituent le cœur des opérations, chaque maillon de la chaîne humaine devient un facteur de risque… ou de protection.La cybersécurité ne se limite donc plus à une affaire de pare-feux ou d’antivirus. Elle repose sur un principe fondamental : la vigilance partagée.

Comprendre les enjeux de la cybersécurité pour les PME

Les PME sont aujourd’hui des cibles fréquentes, car elles concentrent des données précieuses et disposent souvent de moyens de défense limités. L’idée selon laquelle une petite structure serait moins intéressante pour un attaquant persiste encore, mais elle ne résiste pas aux faits. Une intrusion, une fuite de données ou un rançongiciel peut interrompre l’activité, générer des coûts importants et entamer la confiance des clients.

Le risque ne se matérialise pas uniquement par des techniques sophistiquées. Un mot de passe réutilisé, un lien de phishing ouvert par réflexe, une pièce jointe lancée sans vérification suffisent à compromettre un poste, puis l’ensemble du système d’information. L’impact dépasse la technique et touche la continuité d’activité, la conformité, l’image de marque et la relation commerciale.

La sécurité ne se résume pas à des outils. Elle repose d’abord sur une culture partagée.

Instaurer cette culture passe par une compréhension claire des menaces, par des règles simples mais appliquées, et par une organisation capable de réagir vite. C’est à cette condition qu’une PME améliore durablement sa résilience face aux attaques et protège son capital informationnel.

Les erreurs humaines, première faille de sécurité

La majorité des incidents de cybersécurité ne viennent pas d’une attaque d’envergure, mais d’un geste anodin. Un clic sur un lien suspect, un fichier ouvert sans méfiance, un mot de passe réutilisé pour plusieurs comptes : autant d’actions quotidiennes qui suffisent à compromettre un système. Dans de nombreux cas, les pirates n’ont même pas besoin de contourner les protections techniques. Il leur suffit d’exploiter la distraction ou la confiance des utilisateurs.

Cette dimension humaine du risque reste la plus difficile à maîtriser. Contrairement à un pare-feu ou un antivirus, on ne peut pas « configurer » un comportement. Chaque collaborateur interagit avec le système d’information à sa manière, souvent sans connaître l’étendue des conséquences d’une erreur. Le télétravail, la multiplication des terminaux personnels et la rapidité des échanges accentuent encore cette exposition.

Le manque de formation accentue le problème. Dans beaucoup de PME, la cybersécurité est perçue comme une contrainte technique, alors qu’elle relève d’un véritable réflexe professionnel. Comprendre qu’un mot de passe faible, une clé USB inconnue ou une pièce jointe suspecte peuvent mettre en péril des mois de travail change radicalement la perception du risque. Le rôle de la direction est donc crucial : elle doit transformer la sécurité en culture d’entreprise, non en série d’interdictions.

Certaines sociétés mettent déjà en place des tests d’hameçonnage internes ou des sessions de sensibilisation régulières. Ces initiatives permettent d’évaluer la réactivité des équipes et de corriger les réflexes à risque avant qu’une attaque réelle ne survienne. L’enjeu n’est pas de sanctionner, mais d’apprendre à reconnaître les signaux faibles. En créant un environnement où chacun se sent concerné, la PME réduit considérablement son exposition aux menaces.

Instaurer une culture de cybersécurité dans l’entreprise

Une stratégie de cybersécurité efficace ne peut reposer uniquement sur la technologie. Même les meilleures protections restent inutiles si les utilisateurs ne savent pas les utiliser ou s’ils les contournent par habitude. La véritable solidité d’un système vient de la cohérence entre l’outil et la manière dont les équipes s’en servent. C’est là qu’entre en jeu la culture de cybersécurité.

Développer cette culture commence par la formation. Il ne s’agit pas d’organiser un cours théorique une fois par an, mais de créer des moments réguliers de sensibilisation, sous des formes variées. Une campagne interne de courriels éducatifs, des tests d’hameçonnage simulés, des rappels visuels dans les bureaux ou des ateliers interactifs permettent d’ancrer les bons réflexes. L’objectif est de faire comprendre à chacun que la sécurité n’est pas une contrainte, mais un réflexe professionnel comparable au verrouillage d’une porte en quittant un bureau.La direction doit également donner l’exemple. Lorsque les dirigeants appliquent les règles de sécurité et en parlent de manière transparente, la sensibilisation devient crédible.

Enfin, une culture de cybersécurité se nourrit de communication. Partager les alertes, informer sur les tentatives d’intrusion déjouées, expliquer les incidents survenus ailleurs permet de maintenir une vigilance constante. L’entreprise apprend à reconnaître les signaux faibles avant qu’ils ne se transforment en crises. Une PME qui cultive cette vigilance collective devient naturellement plus résiliente face aux attaques, car elle repose sur un réseau humain conscient et impliqué.

La cybersécurité n’est pas une question d’échelle, mais de maturité. Les PME ne disposent pas toujours des mêmes ressources qu’un grand groupe, mais elles ont un atout majeur : leur agilité. Cette capacité à adapter rapidement leurs pratiques, à sensibiliser leurs équipes et à instaurer des processus clairs constitue une force considérable face à des menaces en constante évolution.Les menaces continueront d’évoluer, les attaques deviendront plus discrètes et plus ciblées, mais une organisation qui place la vigilance au cœur de son fonctionnement restera préparée. La cybersécurité n’est pas une destination, c’est un apprentissage continu. Pour une PME, il commence souvent par une prise de conscience simple : la sécurité, c’est l’affaire de tous.

 Par Sergio Ficara chez Eureka Solutions