Pour pratiquement toutes les entreprises, l’IA est une réalité quotidienne.

La grande majorité (92 %) des cadres interrogés indiquent que les agents d'IA autonomes sont déjà largement (58 %) ou modérément (35 %) utilisés au sein de leur entreprise.

De plus, près de deux tiers (64 %) des personnes exerçant des métiers de la connaissance déclarent utiliser un outil d’IA au moins une fois par jour, et une proportion similaire (65 %) s’attend à utiliser davantage d’outils d’IA au cours des 6 prochains mois.

Si les outils d’IA actuels prennent de nombreuses formes, les agents d’IA (utilisés par 68 % des personnes salariées) et les LLM/chatbots (62 %) sont ceux qui connaissent l’adoption la plus large. De nombreux autres outils, notamment des assistants à la rédaction, des assistants de programmation, des extensions de navigateur et des utilitaires spécialisés par secteur, sont également très répandus.

Ce qui unit tous ces outils, c’est leur besoin de données et, dans de nombreux cas, l’accès aux systèmes internes d’une organisation.

Remettre les clés du royaume : les utilisateurs et utilisatrices partagent régulièrement des données sensibles avec des outils d’IA

Pour accomplir leurs tâches, les collaborateurs saisissent des données sensibles de l’entreprise ainsi que des données à caractère personnel dans une grande variété d’outils d’IA, notamment des agents, des chatbots et des assistants rédactionnels.

Nos données montrent que les employés partagent régulièrement :

Le risque ne concerne pas uniquement les données. Les personnes salariées accordent également aux outils d’IA un accès direct à des systèmes internes essentiels, notamment l'e-mail, le stockage cloud, les outils de collaboration et les bases de données CRM, ce qui accroît considérablement l’ampleur potentielle d’un incident de sécurité.

Ce partage de données et cet accès aux systèmes ne sont pas intrinsèquement négatifs ; ils contribuent souvent à des gains de productivité importants. Cependant, cela met en évidence la nécessité de surveiller les outils et systèmes d’IA avec une vigilance extrême.

À peine la moitié des entreprises disposent d’une stratégie de gestion de l’IA, et les politiques d’utilisation ne sont pas aussi claires que le pense la direction.

Une conclusion majeure de l’enquête de l’an dernier concerne la rupture préoccupante entre l’adoption de l’IA et la gouvernance de l’IA : alors que 91 % des entreprises utilisaient déjà des agents d’IA, à peine 10 % d’entre elles disposaient d’une stratégie ou d’une roadmap bien structurée pour la gestion des identités non humaines (NHI).

L’année écoulée a été marquée par des avancées significatives, puisque plus de la moitié (53 %) des cadres dirigeants indiquent que leur entreprise dispose d’une stratégie établie pour orienter le déploiement de l’IA. Bien entendu, cela signifie que près de la moitié n’a toujours pas mis en place une telle stratégie.

Et d’autres lacunes préoccupantes subsistent. Par exemple, 65 % des cadres dirigeants indiquent que les politiques d’utilisation de l’IA de leur entreprise sont très claires, tandis que seulement 43 % des personnes travaillant dans la gestion des connaissances partagent cet avis. 

Angle mort des cadres dirigeants : les responsables sous-estiment largement la prévalence de l’IA clandestine

Les cadres dirigeants ignorent ce qu'ils ne savent pas. Les données montrent que les cadres interrogés sous-estiment l’ampleur de la shadow IA au sein de leur organisation.

La grande majorité des cadres dirigeants (90 %) se disent confiants quant à la visibilité de leur entreprise sur les outils d’IA, mais les habitudes réelles des collaborateurs du savoir montrent que cette confiance est mal placée : plus de la moitié (52 %) des collaborateurs utilisent des outils d’IA non autorisés au travail, et près d’un quart (24 %) reconnaissent le faire régulièrement.

Les professionnels et professionnelles du savoir qui utilisent des outils d’IA non approuvés sont plus susceptibles de partager des informations sensibles. Parmi les personnes utilisant des outils d’IA non approuvés, les trois types d’informations les plus fréquemment partagés étaient les messages et e-mails internes (54 %), les informations liées aux ressources humaines (45 %) et les documents confidentiels de l’entreprise, y compris les données financières et les contrats (39 %). Plus de 20 % des personnes utilisant des outils non approuvés partagent également des identifiants de connexion et des mots de passe, et 28 % partagent des informations bancaires et de paiement.

La grande majorité (95 %) des cadres dirigeants partent du principe que leurs collaborateurs et collaboratrices utilisent l’IA de manière responsable. Compte tenu du grand nombre de personnes salariées qui utilisent des outils non approuvés et saisissent des informations sensibles, telles que des identifiants de connexion, cette confiance est probablement mal placée.

Questions de l’enquête : Parmi les types d’informations suivants, lesquels avez-vous saisis, téléchargés ou partagés avec un outil ou un agent d’IA au cours des 6 derniers mois ? Sélectionnez toutes les réponses pertinentes. (Réponses limitées aux personnes qui utilisent des outils d’IA non approuvés.) 

Si la lacune entre la visibilité des cadres dirigeants et l’adoption par les collaborateurs et collaboratrices d’outils d’IA non approuvés est un phénomène mondial, son ampleur varie selon les pays, révélant des approches différentes en matière de gouvernance de l’IA.

La faille est la plus marquée au Royaume-Uni et en Australie : 

• Les cadres dirigeants au Royaume-Uni affichent le niveau de confiance le plus élevé concernant la visibilité sur l’IA (96 %), mais plus de la moitié de leurs collaboratrices et collaborateurs (55 %) utilisent des outils d’IA non approuvés. 

• Les cadres dirigeants australiens font preuve d’une confiance excessive similaire (94 %), tandis que près de 60 % des membres de leur personnel utilisent des outils non approuvés. 

Les États-Unis arrivent en tête des pays étudiés en matière d’utilisation de Shadow AI, où deux tiers des personnes salariées (67 %) utilisent une IA non approuvée.

Les cadres dirigeants au Canada et au Japon ont exprimé les niveaux de confiance les plus faibles quant à la visibilité de leur organisation sur l’IA clandestine, avec respectivement 82 % et 85 %. Environ la moitié des travailleurs dans les deux pays utilisent l’IA fantôme : 50 % au Canada et 48 % au Japon.

En France et en Allemagne, les collaboratrices et collaborateurs sont les moins susceptibles d’utiliser des outils d’IA non approuvés, avec seulement 31 % et 32 % respectivement, ce qui laisse penser que la forte confiance des cadres dirigeants dans ces pays est mieux fondée. 

La facilité d’utilisation et l’autorisation sociale favorisent l’IA clandestine

Pourquoi les collaborateurs contournent-ils les outils d’IA approuvés par l’entreprise ? Pour la plupart, tout se résume à la rapidité et aux normes sociales. La grande majorité des employés ont indiqué utiliser des outils non approuvés, car il est plus simple d’utiliser leurs propres comptes (80 %) ou parce que leur équipe les utilise déjà et que cela est perçu comme normal (78 %). 

La complexité des processus officiels joue également un rôle, 57 % des réponses indiquent que le processus d’approbation est trop lent ou difficile, et 49 % déclarent que les outils validés ne répondent tout simplement pas à leurs besoins spécifiques. Seule une faible proportion des réponses (6 %) citent un manque de sensibilisation à la nécessité d’obtenir une approbation.

L’enquête de l’an dernier a révélé que 85 % des leaders considèrent l’IAM comme essentielle à l’adoption et à l’intégration réussies de l’IA au sein de leur entreprise.

Cette année, les cadres dirigeants continuent d’exprimer leur confiance dans l’IAM en tant que couche essentielle de l’ensemble du dispositif de sécurité :

L’enquête nous invite une nouvelle fois à nuancer cette confiance, puisque à peine un tiers (34 %) des cadres dirigeants indiquent que leur entreprise applique systématiquement les mêmes contrôles de sécurité à la main-d’œuvre numérique qu’à la main-d’œuvre humaine.

Lorsqu’un seul agent compromis peut enchaîner les accès dans votre environnement à la vitesse des machines, appliquer aux agents d’IA les mêmes contrôles que ceux appliqués aux employés humains devrait être une évidence.

Les données révèlent une déconnexion majeure entre la confiance des cadres dirigeants et la réalité vécue par les équipes. Pour combler cette lacune et protéger votre entreprise, voici quatre étapes fondées sur les résultats de cette enquête :

1. Partir du principe que la Shadow IA existe et faire de la découverte une priorité.
   Les données montrent que 52 % des employés utilisent des outils d’IA non approuvés. Votre première étape consiste à partir du principe que la Shadow IA est déjà présente dans votre environnement. Utilisez des outils tels que Découverte des agents de la Shadow AI pour obtenir une visibilité complète sur l’ensemble des agents d’IA, et pas seulement sur ceux validés par votre équipe technique.
   
   
2. Faire du parcours sécurisé le parcours le plus simple.
   Les employés choisissent des outils non autorisés parce qu’ils sont plus rapides et plus faciles à utiliser. Ce n’est pas avec une politique plus stricte que l’on résout ce problème ; tout ce qui freine la productivité est ignoré. Il vaut mieux se concentrer sur la suppression des points de friction dans vos outils d’IA approuvés et vos workflows en déployant des protocoles standard tels que Cross App Access. Lorsque la méthode officielle et sécurisée d’utilisation de l’IA est également la plus efficace, les collaborateurs l’adoptent.
   
   
3. Définir votre stratégie de gouvernance de l’IA dès maintenant.
   La majorité des cadres interrogés ont signalé des incidents liés à l’IA ou des situations à risque, alors n’attendez pas qu’une crise survienne pour définir votre stratégie de gouvernance. Utilisez le plan d’action pour une entreprise agentique sécurisée afin d’établir la visibilité critique, les contrôles des accès et la responsabilité nécessaires pour développer l’IA en toute sécurité. L’outil de planification agentique d’Okta peut vous aider à évaluer l’architecture de sécurité de vos agents et à identifier les failles de sécurité.
   
   
4. Considérer les agents d’IA comme des menaces internes à privilèges.
   Près de deux tiers des entreprises appliquent des contrôles de sécurité moins stricts aux agents d’IA qu’aux personnes employées, un paradoxe risqué. Chaque agent d’IA doit être considéré comme une identité à part entière, disposant de son propre cycle de vie et d’autorisations granulaires. Envisagez des solutions d’identité conçues pour la gestion des agents d’IA, telles que Okta for AI Agents.

En suivant ces étapes, vous pouvez commencer à combler la lacune en matière de gouvernance de l’IA, gérer les risques concrets liés à une main-d’œuvre autonome et libérer en toute sécurité tout le potentiel de l’IA.