Il y a une question que tout responsable informatique finit par se poser un jour : combien d’outils tournent dans mon entreprise sans que je le sache ? La réponse est rarement rassurante. Le shadow IT — littéralement « informatique de l’ombre » — désigne l’ensemble des outils, services et applications utilisés par les collaborateurs sans l’accord, ni même parfois la connaissance, du service informatique. Ce n’est pas un phénomène marginal ni une indiscipline : c’est devenu une façon normale de travailler, et l’arrivée des outils d’intelligence artificielle l’a accéléré.
Contenu
Définition : ce que recouvre exactement le shadow IT
Un tableur partagé sur un compte personnel, un service de signature électronique souscrit avec une carte bancaire de service, une extension de navigateur qui résume des réunions, un outil de gestion de projet essayé par une équipe puis adopté par trois autres : tous ces cas relèvent du shadow IT. La définition est large, parce que le phénomène l’est aussi. Dès qu’une ressource informatique est utilisée hors du périmètre validé, avec des données de l’entreprise, on est dedans.
Depuis deux ans, une catégorie particulière a pris de l’ampleur : le shadow AI. Un collaborateur ouvre un compte personnel sur un assistant conversationnel, y colle un contrat, un extrait de code ou une liste de clients, et obtient en trente secondes ce qui aurait demandé une réunion. Aucune validation, aucune trace, aucun contrôle sur ce que devient le texte envoyé. C’est le même mécanisme que le shadow IT classique, avec une différence de taille : la donnée sort sous forme de texte brut, souvent sans que personne n’y pense.
Pourquoi les collaborateurs contournent l’informatique
Il serait confortable de n’y voir qu’un problème de discipline. C’est faux. Le shadow IT apparaît presque toujours là où la demande légitime rencontre un délai. Un service a besoin d’un outil pour livrer dans trois semaines ; le processus interne demande deux mois et un comité. La personne tranche, paie avec sa carte, et livre. Le mécanisme se répète à chaque fois que l’informatique est perçue comme un ralentisseur plutôt qu’un accélérateur.
S’y ajoutent trois accélérateurs : le paiement à l’usage, qui rend la souscription invisible dans les budgets ; le télétravail, qui brouille la frontière entre l’ordinateur personnel et professionnel ; et l’essor des outils sans installation, accessibles depuis un simple navigateur.
Les implications réelles, au-delà du principe
Sécurité et données. Un outil non validé n’est pas couvert par les engagements de l’entreprise : ni chiffrement négocié, ni clause de localisation, ni engagement de non-entraînement sur vos données. Ce dernier point est décisif avec les IA grand public : selon les conditions d’utilisation, vos textes peuvent servir à améliorer le modèle. Vous avez confié votre propriété intellectuelle sans le savoir.
Conformité. Le RGPD ne s’arrête pas à la porte du service informatique. Un outil qui traite des données personnelles crée un sous-traitant de fait, sans contrat de sous-traitance, sans registre, sans analyse d’impact. Le règlement européen sur l’IA ajoute une couche : un système d’IA utilisé pour qualifier des candidats ou des clients n’a pas le même statut qu’un correcteur orthographique.
Coût. Les licences se multiplient sans consolidation. Il n’est pas rare de découvrir trois outils payants qui font la même chose, dans trois services différents, chacun persuadé d’avoir trouvé la solution.
Dépendance. Une automatisation construite par un collaborateur sur un outil no-code s’arrête le jour où il quitte l’entreprise. Personne ne sait ce qu’elle faisait, ni comment la reconstruire. C’est le coût le plus souvent sous-estimé : la connaissance part avec la personne.
Angle mort. Ce qui n’est pas connu ne peut être ni sauvegardé, ni supervisé, ni corrigé. Le vrai risque du shadow IT n’est pas l’outil lui-même : c’est l’absence de visibilité.
Comment adresser le problème : quatre étapes
1. Découvrir avant d’interdire. On ne gouverne pas ce qu’on ignore. Les sources d’information sont multiples : journaux des passerelles web, journaux d’authentification unique, notes de frais, extensions installées sur les navigateurs, inventaire des boîtes mail. L’objectif n’est pas de dresser une liste de coupables, mais une cartographie.
2. Qualifier le risque. Tous les outils ne se valent pas. Une grille simple suffit : quelles données circulent, quelle serait la conséquence d’une fuite, et que se passe-t-il si l’outil disparaît demain. Un éditeur de polices n’a rien à voir avec un outil qui stocke des dossiers clients.
3. Canaliser plutôt qu’interdire. Une interdiction déplace le problème vers des canaux encore moins visibles. La méthode qui fonctionne est inverse : proposer un chemin validé plus rapide que le chemin sauvage. Un catalogue d’outils approuvés, une procédure de validation en quelques jours, un budget d’expérimentation encadré. Si l’alternative officielle est plus lente, le shadow IT reviendra — c’est mécanique.
4. Encadrer l’usage de l’IA explicitement. Une charte d’usage qui dit ce qu’on peut mettre dans un assistant, ce qu’on ne peut pas, et vers quel outil se tourner. Sans cette clarté, chacun improvise, et l’improvisation est toujours plus risquée que la règle.
Ce que l’IA change dans la façon de traiter le sujet
L’intelligence artificielle est d’abord le problème. Elle devient aussi une partie de la réponse, à condition de l’utiliser sur des tâches précises.
Cartographier et classer. Un modèle lit des centaines de domaines ou de noms de services et les classe par fonction : gestion de projet, traduction, signature, support. Ce qui prenait des semaines de recoupement manuel devient une après-midi, et les doublons apparaissent immédiatement.
Lire les conditions générales. Les contrats des éditeurs font quarante pages. Un modèle les parcourt et remonte les points qui comptent : où sont hébergées les données, sont-elles utilisées pour entraîner le modèle, combien de temps sont-elles conservées, quelles sont les modalités de résiliation. C’est exactement le travail qu’aucune équipe informatique n’a le temps de faire pour chaque outil.
Rendre la règle interrogeable. Une charte rangée dans un intranet ne sert à rien. La même charte, indexée et interrogeable en langage naturel, répond à la question réelle du collaborateur : « puis-je envoyer ce document à cet outil ? ». La réponse arrive en dix secondes, au moment où la décision se prend.
Détecter les sorties sensibles. Les outils de prévention de fuite de données classent désormais les contenus sortants avec des modèles : données personnelles, code source, contrats, coordonnées bancaires. On passe d’une liste de mots-clés à une compréhension du contexte.
Le paradoxe à garder en tête. On ne traite pas le shadow IT avec du shadow AI. Si l’entreprise déploie un assistant interne sans validation, sans clause de confidentialité et sans contrôle, elle reproduit exactement le problème qu’elle prétend résoudre.
Ce qu’il faut retenir
Le shadow IT n’est pas un accident de parcours, c’est le symptôme d’un écart entre ce que les équipes attendent de l’informatique et ce qu’elle parvient à fournir dans les délais. L’objectif n’est pas d’atteindre zéro outil non validé — cet objectif est inatteignable et pousserait le phénomène sous terre. L’objectif est de savoir ce qui existe, de qualifier ce qui compte, et de rendre le chemin officiel plus rapide que le chemin sauvage.
L’IA ne remplace pas cette gouvernance. Elle la rend praticable à une échelle où l’analyse manuelle ne suffit plus : classer, lire, répondre, détecter. Encore faut-il décider de regarder.