Mis à jour le 5 min de lecture
Sébastien Nobour
Fondateur de DEVEDANOS
Un tableur partagé qui gère une activité entière. Un compte personnel de stockage en ligne pour échanger des fichiers avec un client. Un outil d’IA à qui l’on colle un document pour en tirer un résumé. Aucun de ces outils n’a été choisi par l’entreprise, et pourtant le travail en dépend.
On appelle cela le shadow IT. Le NCSC, le centre national de cybersécurité du Royaume-Uni (l’équivalent britannique de l’ANSSI, l’Agence nationale de la sécurité des systèmes d’information), s’intéresse d’abord à la raison pour laquelle il apparaît. Sa réponse ne se limite pas à le bloquer.
Le NCSC en a donné une définition en 2023. Le shadow IT désigne « les ressources informatiques inconnues utilisées au sein d’une organisation pour son activité ». En français, on parle parfois d’informatique fantôme, ou d’informatique parallèle.
Selon le NCSC, le shadow IT apparaît « en général parce que le personnel a du mal à utiliser les outils ou les procédures approuvés pour accomplir une tâche précise ».
Le phénomène est répandu. Gartner, un cabinet d’études spécialisé dans les technologies de l’information, l’a chiffré dans ses prévisions de mars 2023 sur la cybersécurité. Selon Gartner, en 2022, 41 % des salariés se procuraient, modifiaient ou créaient des outils technologiques hors de la vue de leur service informatique. Le cabinet prévoyait 75 % en 2027. Ces chiffres portent sur les entreprises en général, pas sur les PME en particulier.
Le NCSC cite deux exemples : des données sensibles de l’entreprise stockées dans des comptes personnels de stockage en ligne, et des services de messagerie ou de visioconférence que l’entreprise n’a pas approuvés, utilisés sans surveillance. Le tableur et l’outil d’IA en sont deux autres, plus proches du quotidien d’une PME.
Le tableur ne demande ni achat ni installation : il est déjà sur chaque poste. Quand l’outil de l’entreprise ne fait pas ce dont l’équipe a besoin, quelqu’un construit un tableur pour combler le manque. Le fichier rend service, puis il devient indispensable.
L’activité repose alors sur un fichier que personne n’a choisi, avec les erreurs qu’un tableur ne signale pas. Quand il est devenu l’outil de toute une équipe, mieux vaut le transformer en application web que l’interdire.
Le shadow AI est le même phénomène avec des outils d’IA : un assistant d’IA que l’entreprise n’a pas choisi sert à rédiger, résumer ou traduire.
À notre avis, le risque tient aux documents que l’on y colle. S’ils contiennent des données personnelles, celles d’un client ou d’un salarié, l’entreprise ne sait plus à qui elles ont été confiées.
Le RGPD encadre cette question pour les prestataires. Selon son article 28, un sous-traitant ne fait pas appel à un autre sous-traitant, comme le fournisseur d’un modèle d’IA, sans l’autorisation écrite préalable, spécifique ou générale, du responsable du traitement. Cet article porte sur la relation entre l’entreprise et ses sous-traitants, pas sur l’usage qu’un salarié fait lui-même d’un outil.
Pour le NCSC, quand le shadow IT est répandu, la gestion des risques devient très difficile, et l’entreprise a encore moins de visibilité sur les risques possibles. À notre avis, un outil que le service informatique ne connaît pas n’est ni mis à jour, ni sauvegardé, ni surveillé par lui.
Le deuxième risque touche les données. Des données de l’entreprise se retrouvent dans des comptes personnels, chez des éditeurs avec qui elle n’a pas de contrat. À notre avis, le jour où le salarié quitte l’entreprise, ces comptes partent avec lui.
Le troisième est moins visible. Un outil construit à côté de l’outil officiel montre un besoin que ce dernier ne couvre pas. Tant qu’il reste dans l’ombre, personne ne sait que ce besoin existe, et l’outil officiel ne change pas.
Le NCSC recommande des mesures d’organisation et des solutions techniques, comme l’inventaire des ressources informatiques et le contrôle des accès au réseau. Il ajoute deux conseils. Quand on découvre du shadow IT, il est important de ne pas réprimander le personnel. Et quand des salariés utilisent des outils non approuvés, il conseille de leur fournir un service approuvé et pris en charge, qui répond à ce besoin.
À notre avis, c’est là que se trouve la réponse durable. Bloquer un outil ne supprime pas le besoin qui l’a fait naître : l’équipe en trouvera un autre. Demandez plutôt à l’équipe ce qu’elle fait avec cet outil, et ce que l’outil officiel ne lui permet pas de faire. Si un logiciel du marché couvre ce besoin, il reste le choix le plus simple. Si aucun ne suit votre façon de travailler, c’est à l’outil de s’adapter à vous.
Chez DEVEDANOS, nous développons votre logiciel sur mesure, utilisable en un mois, pour un budget mensuel fixe, et l’ajustons en continu à l’évolution de votre activité. Le budget se construit avec vous, à partir de vos chiffres et de vos objectifs : nous fixons ensemble le montant et le problème que votre application doit résoudre.
Nous commençons par échanger avec les utilisateurs de votre application, pour comprendre leurs besoins. Les utilisateurs de votre application s’en servent dès le premier mois de développement, et c’est leur usage qui définit la ou les fonctionnalités suivantes. Notre approche part de cet usage : un outil que ses utilisateurs n’ont pas besoin de contourner.
Et pour que ce qui fonctionnait hier fonctionne encore demain, nous appliquons une garantie zéro régression : chaque régression est corrigée et couverte par un test automatisé, pour qu’elle ne revienne pas, et sans surcoût.
Le code source, l’infrastructure, le pipeline de déploiement et la documentation sont votre propriété intellectuelle dès le règlement de la première mensualité.
Logiciel du marché ou sur mesure ? Notre article sur le choix d’un progiciel aide à repérer les activités où vos équipes s’adaptent à l’outil, et celles où l’outil doit s’adapter à vous.
Vos équipes ont construit leurs propres outils à côté de ceux de l’entreprise ? On en parle ?
Protéger une application web, quel qu'en soit le langage : limiter ce qu'une faille permet d'atteindre, être alerté immédiatement, vérifier ses dépendances, appliquer chaque correctif critique le jour même de sa publication.
Faut-il activer ou désactiver la mise à jour automatique de WordPress ? Nous déconseillons celle que WordPress applique seul aux plugins et aux thèmes, sans aucun test. Un hébergeur qui teste chaque mise à jour avant de l'appliquer peut s'en charger ; sans lui, mettez à jour un plugin à la fois, puis vérifiez le site.
Le 21 octobre 2026, PHP a corrigé deux failles critiques, le même jour que GitLab et Node.js. Qui est concerné, que faire le jour même, et comment limiter les dégâts d'une faille.