Qu’est-ce que la Shadow AI ? Définition, risques et exemples - LastPass

GUIDE

Shadow AI : l’IA non autorisée qui existe déjà dans les systèmes

Seules 27 % des entreprises disposent d’un programme de gouvernance appliqué, alors que 92 % d’entre elles utilisent déjà l’IA. Découvrez dans le guide pratique comment les petites équipes informatiques peuvent résoudre ce décalage.

Télécharger le rapport gratuit

Plus de 100 000 entreprises dans le monde nous font confiance · Certification SOC 2 Type II, ISO 27001 et ISO 27701 · Note de 4,5/5 sur G2

Chiffres clés : les révélations des données

Source : Rapport d’étude LastPass 2026 sur l’état de la sécurité de l’IA et du SaaS. Conclusions basées sur les réponses à une enquête menée auprès de 412 responsables informatiques, les habitudes de connexion de 450 784 utilisateurs issus de 20 631 organisations, ainsi que l’utilisation des applications au sein de 15 907 organisations.

92 % des responsables informatiques affirment que l’IA est activement utilisée au sein de leur entreprise.

Pourquoi c’est important : les données de l’étude menée par LastPass montrent que l’adoption de l’IA est pratiquement généralisée, mais que la gouvernance demeure insuffisante. Cette étude analyse dans quelle mesure cette insuffisance varie en fonction de la taille des organisations et de leur degré d’adoption. 

46 % des entreprises estiment que leur vulnérabilité face à la Shadow AI est modérée à élevée.

Pourquoi c’est important : près de la moitié des entreprises estiment que leur vulnérabilité face à la Shadow AI est modérée à élevée, mais seules 22 % d’entre elles disposent d’outils permettant de surveiller activement ou de journaliser l’utilisation de l’IA. L’organisation est consciente des risques, mais ne dispose d’aucun mécanisme pour y remédier.

56 % des responsables informatiques s’inquiètent des identifiants saisis dans les prompts d’IA.

Pourquoi c’est important : si des identifiants sont saisis dans le prompt d’une IA au cours d’une session non surveillée et que cette session est piratée, un attaquant peut réutiliser ces identifiants et éventuellement accéder à des systèmes connectés.

Pourquoi la Shadow AI est structurellement plus difficile à gouverner que le Shadow IT

Le Shadow IT classique laisse des traces. Un employé installe un logiciel non autorisé, et le système de détection des terminaux le signale. Ou bien un périphérique non reconnu est connecté, et la surveillance du réseau le détecte.  

La Shadow AI ne fonctionne pas ainsi. Les outils qui affichent les taux d’adoption les plus élevés, comme ChatGPT (utilisé dans 64 % des entreprises) et Claude (utilisé dans 39 % d’entre elles), sont accessibles via un navigateur. 

La seule preuve disponible est une connexion établie dans le navigateur, à l’aide d’identifiants personnels ou professionnels. 

C’est là tout le problème. Les connexions peuvent passer pour des activités autorisées et dissimuler ainsi une utilisation clandestine.  

Ce manque de visibilité entraîne des répercussions en aval :

  • Les données sensibles saisies dans les outils d’IA sont l’une des principales préoccupations de 68 % des responsables informatiques interrogés par LastPass. 
  • Les mots de passe et identifiants de connexion saisis dans les invites d’IA constituent une autre préoccupation majeure pour 56 % des responsables informatiques interrogés pour l’étude de LastPass. 
  • Les outils d’IA accédant aux systèmes d’entreprise sont signalés par 61 % des responsables informatiques interrogés par LastPass, qui s’inquiètent des actions non autorisées. 

Étant donné que la Shadow AI peut se produire lors de connexions normales dans le cadre de sessions de navigation courantes, la gouvernance de l’IA doit commencer par assurer une bonne visibilité partout où des accès ont lieu. Sans cette visibilité, l’entreprise est moins bien armée pour faire face aux risques de fuites de données et aux menaces croissantes telles que les injections de prompts. 

Vous souhaitez découvrir les tendances de gouvernance de l’IA au sein d’entreprises réelles en 2026 ? L’ensemble des données concernant la gouvernance est disponible dans le rapport d’étude LastPass 2026 sur l’état de la sécurité de l’IA et du SaaS.  

Découvrir toutes les conclusions

Télécharger le rapport

Comment fonctionne la détection de la Shadow AI et pourquoi la plupart des approches sont inefficaces

Les méthodes auxquelles recourent la plupart des équipes informatiques lorsqu’elles tentent de détecter la Shadow AI ont un point commun : elles peinent à identifier l’utilisation de l’IA via les navigateurs.

  • Les enquêtes auprès des salariés invitent ces derniers à indiquer eux-mêmes quels outils d’IA ils utilisent. Les résultats ont tendance à sous-estimer la réalité, car les collaborateurs ne considèrent pas toujours que la fonctionnalité de réécriture par IA de Grammarly ou les fonctionnalités de questions-réponses de Notion AI sont une « utilisation d’un outil d’IA ».
  • La surveillance du réseau et la gestion des terminaux sont conçues pour détecter le Shadow IT classique, qui génère généralement des traces techniques identifiables, telles que des installations de logiciels ou des transferts de fichiers. 
  • Les listes d’outils bloqués fonctionnent de la même manière et concernent des outils déjà identifiés. Elles ne permettent guère d’identifier ceux qui n’ont pas encore été repérés.

Les organisations qui parviennent à améliorer la visibilité se concentrent souvent sur l’enregistrement des activités de connexion, quel que soit le type d’identifiants.

LastPass Business Max intervient au niveau de l’authentification, qui est le seul niveau où les outils d’IA basés sur un navigateur sont systématiquement visibles, quels que soient les identifiants utilisés par les employés pour y accéder.

Lorsqu’un employé se connecte à ChatGPT, Claude ou Grammarly à l’aide d’une adresse e-mail personnelle, d’un compte gratuit ou de ses identifiants professionnels, l’événement d’authentification est enregistré via l’extension de navigateur LastPass.

C’est ce qui différencie LastPass des outils de gestion des terminaux et de surveillance du réseau : ces derniers recherchent les installations de logiciels et les anomalies de trafic, mais la Shadow AI ne génère ni l’un ni l’autre. Elle génère un identifiant de connexion, et c’est cet identifiant que LastPass enregistre.

 
Essayer LastPass Business Max gratuitement Demander une démo

Les nouvelle perspectives ouvertes par la visibilité sur la Shadow AI

La visibilité sur la Shadow AI n’élimine pas l’IA. Mais ce n’est pas le but. L’objectif est de faire passer l’adoption non contrôlée à un cadre géré, grâce auquel le service informatique pourra prendre des décisions éclairées concernant son utilisation. 

La visibilité sur la Shadow AI au niveau des accès présente plusieurs avantages :

  • Elle permet de voir quels outils d’IA les employés utilisent avec leurs identifiants personnels, un comportement d’accès qui, selon 56 % des responsables informatiques interrogés par LastPass, les préoccupe mais qu’ils ne peuvent pas surveiller pour l’instant. 
  • Des contrôles peuvent être mis en place à plusieurs niveaux, en fonction des obligations de sécurité de l’entreprise ou lorsque les risques justifient une intervention. 
  • La Shadow AI cesse de se développer en secret. Les collaborateurs qui voient s’afficher des alertes d’accès dans leur navigateur comprennent que l’entreprise dispose d’une visibilité sur leurs activités, ce qui peut les inciter à faire preuve de plus de prudence et d’attention quant aux applications auxquelles ils accèdent. 
  • Il est ainsi possible de démontrer, lorsque les auditeurs ou les assureurs le demandent, que des contrôles régissent l’accès aux outils d’IA et que l’inventaire correspond à l’utilisation réelle, et non à des estimations fournies par les utilisateurs eux-mêmes. 

Le point de départ est toujours le même : identifier les outils d’IA utilisés par les collaborateurs. 

Les données complètes sur l’utilisation des applications d’IA et le manque de gouvernance

L’étude LastPass 2026 sur l’état de la sécurité de l’IA et du SaaS associe des données de télémétrie comportementale à des données d’enquête. Elle montre comment l’exposition des identifiants varie en fonction de la taille de l’entreprise et présente les insuffisances internes de la gouvernance de l’IA. 

Télécharger le rapport d’étude LastPass 2026 sur l’état de la sécurité de l’IA et du SaaS

Télécharger le rapport

En savoir plus sur la série consacrée à la sécurité de l’IA et du SaaS

GUIDE

Combien d’entreprises utilisent l’IA ?

Lire le guide
GUIDE

Conformité de la gouvernance de l’IA : politiques, contrôles et insuffisances

Lire le guide

Consulter tous les guides sur la sécurité de l’IA et du SaaS

FAQ : Qu’est-ce que la Shadow AI ?

Les trois risques de sécurité de la Shadow AI les plus souvent cités dans l’étude LastPass 2026 sur l’état de la sécurité de l’IA et du SaaS sont les suivants :

  • L’entrée sans contrôle de données sensibles dans des outils d’IA, citée par 68 % des personnes interrogées comme leur principale préoccupation. 
  • Des outils d’IA accédant sans autorisation aux systèmes d’entreprise, signalés par 61 % des personnes interrogées. 
  • La saisie directe d’identifiants dans les prompts d’IA préoccupe 56 % des personnes interrogées. 

Souvent, ces interactions se produisent dans le navigateur, et il n’existe aucun contrôle d’accès permettant de faire respecter a posteriori les obligations de traitement des données. 

La Shadow AI et l’IA non autorisée sont étroitement liées, mais ne sont pas identiques.

On entend par « IA non autorisée » les outils qui n’ont pas été officiellement approuvés par le service informatique. L’organisation sait que cette catégorie d’outils existe, mais n’en a pas autorisé l’utilisation.  

À l’inverse, la Shadow AI n’est ni approuvée ni connue. Ce terme désigne l’utilisation de l’IA par les employés :

  • Accès à des outils d’IA grand public gratuits à l’aide d’adresses e-mail personnelles 
  • Partage des données d’entreprise avec des chatbots basés sur l’IA via des API ou des connecteurs MCP 
  • Utilisation des fonctionnalités d’IA au sein d’applications SaaS existantes et déjà approuvées 

Le rapport d’étude LastPass 2026 sur l’état de la sécurité de l’IA et du SaaS révèle que 46 % des entreprises estiment que leur vulnérabilité à la Shadow AI est modérée à élevée, mais seules 22 % d’entre elles disposent d’outils permettant de réguler l’utilisation de l’IA. 

C’est là que les formules LastPass telles que Business Max apportent le plus de valeur ajoutée : elles offrent une visibilité sur l’utilisation des outils d’IA non autorisés et permettent de réguler cette utilisation en appliquant des règles d’autorisation, d’alerte ou de blocage. 

La détection de la Shadow AI constitue une première étape fondamentale dans la gouvernance de l’IA. Grâce à cette visibilité, chaque outil peut être évalué au regard des risques de sécurité, des obligations réglementaires et de la protection des données. 

Sur la base de cette évaluation, il est possible de mettre en place les mesures de contrôle appropriées.

Pour les petites équipes ou de taille moyenne, LastPass rend la gouvernance de l’IA pratique et facile à déployer :

LastPass Business Max affiche les informations en temps réel. Il permet de savoir à quels outils d’IA, applications SaaS et sites web les employés accèdent, que ce soit avec leurs identifiants personnels ou professionnels.

Au-delà de la visibilité, LastPass permet également de contrôler toute l’activité. Grâce à Business Max :

  • Informez les utilisateurs qu’ils tentent d’accéder à un outil suspect. 
  • Bloquez simultanément des catégories entières de sites à haut risque, plutôt que de le faire application par application. 
  • Utilisez la fonctionnalité de conseils d’utilisation de l’IA pour avertir les employés qui tentent de partager des données sensibles avec un outil d’IA. 

Ces contrôles permettent de réguler l’utilisation de l’IA en adaptant les mesures de contrôle au niveau de risque de l’application ou du site. Ils constituent un moyen pratique pour détecter la Shadow AI et gérer sans ajouter de complexité ni de surcoût propres aux entreprises. 

Vous ne trouvez pas de réponses à vos questions ? Consultez notre Centre d’assistance.

Démarrer avec LastPass pour les entreprises

Essayer LastPass gratuitement Contacter le service commercial
Aucune carte bancaire nécessaire pour l’essai de 14 jours.