Shadow IT : ce que votre système d’information contient sans que vous le sachiez

Qu’est-ce que le Shadow IT, exactement ?

Le terme Shadow IT désigne l’ensemble des technologies numériques utilisées au sein d’une organisation sans autorisation ou connaissance formelle du service informatique. Cette définition recouvre des réalités très diverses selon le contexte. Il peut s’agir d’une application SaaS installée en quelques clics par un commercial qui voulait organiser son pipeline différemment de ce que propose l’outil officiel. D’une version personnelle de Google Drive utilisée pour partager un document lourd trop rapidement. D’un groupe WhatsApp créé entre collègues pour éviter les délais d’une messagerie d’entreprise perçue comme trop lente. D’un outil de transcription en ligne utilisé pour résumer une réunion confidentielle.

Ce que ces exemples ont en commun, ce n’est pas la mauvaise intention. C’est l’efficacité immédiate. Dans chaque cas, le collaborateur a trouvé un outil qui répondait à son besoin plus vite que le circuit officiel. Et dans chaque cas, des données professionnelles ont quitté le périmètre contrôlé de l’organisation pour transiter vers un service dont personne n’a évalué les conditions de sécurité, les politiques de conservation des données, ou la conformité au RGPD.

Pourquoi le Shadow IT s’est-il autant développé ?

Il y a vingt ans, installer un logiciel sur un poste professionnel nécessitait des droits administrateurs, souvent un passage physique du technicien IT, et une démarche délibérée. Le Shadow IT existait déjà, mais il se heurtait à des frictions techniques réelles. L’explosion du SaaS a fait disparaître ces frictions. N’importe quel collaborateur peut aujourd’hui accéder à un outil professionnel performant avec une adresse email et une carte bancaire personnelle, sans aucune intervention de la DSI.

La généralisation du télétravail à partir de 2020 a encore amplifié ce phénomène. Séparés physiquement de leurs collègues et de l’équipe IT, les collaborateurs ont multiplié les solutions de contournement pour maintenir leur productivité, en dehors du cadre défini par l’entreprise. S’y ajoute une dimension propre aux PME et ETI : dans une structure où l’IT est géré par une équipe réduite, souvent débordée par les demandes courantes, les délais de validation d’un nouvel outil peuvent décourager les plus patients. Le collaborateur qui attend trois semaines une réponse sur l’autorisation d’un outil gratuit finit par l’utiliser sans attendre, parce que son travail l’exige.

Ce que le Shadow IT représente vraiment comme risque

Des données qui quittent le périmètre sans laisser de trace. Quand un collaborateur copie un document confidentiel dans son Google Drive personnel pour y accéder depuis chez lui, ce document existe désormais sur un service que l’entreprise ne contrôle pas, soumis aux conditions d’utilisation d’un tiers, et potentiellement accessible depuis n’importe quel appareil connecté à ce compte personnel. Si ce compte est compromis, la donnée professionnelle l’est aussi, sans que personne dans l’organisation en soit informé.

Une surface d’attaque que personne ne surveille. Les applications non autorisées ne sont pas intégrées dans les outils de supervision de sécurité. Elles ne remontent pas dans le SIEM. Elles ne sont pas couvertes par la politique de mises à jour. Si l’une d’elles est compromise, l’organisation n’en saura rien avant que les conséquences ne soient visibles, parfois longtemps après.

Une conformité RGPD fragilisée. Le RGPD impose aux organisations de savoir où sont leurs données personnelles et de pouvoir justifier les transferts vers des tiers. Un outil SaaS non validé qui stocke des données clients ou des données RH représente une violation potentielle de cette obligation, indépendamment de la qualité de l’outil lui-même.

Des dépendances invisibles dans la chaîne logicielle. Quand un outil Shadow IT s’intègre avec d’autres applications de l’organisation via une API, il crée une dépendance que personne n’a cartographiée. Si ce service est victime d’une attaque, il devient un vecteur d’entrée dans le système d’information, comme nous le détaillons dans notre article sur les supply chain attacks.

Le Shadow IT est-il vraiment grave pour une PME ?

Oui, et souvent plus que pour une grande entreprise, pour une raison simple : les ressources pour détecter et traiter les incidents liés au Shadow IT sont proportionnellement plus faibles. Une grande organisation dispose d’équipes de sécurité dédiées capables d’identifier des anomalies dans le trafic réseau ou des connexions vers des services non répertoriés. Une PME de 50 personnes avec un prestataire IT à temps partiel n’a généralement aucune visibilité sur ces flux. Le Shadow IT peut y prospérer pendant des années sans que personne ne s’en aperçoive, jusqu’au jour où un incident révèle ce que les données de l’organisation ont alimenté, à qui, et depuis combien de temps.

Shadow AI : la nouvelle frontière du Shadow IT

L’émergence des outils d’intelligence artificielle générative depuis 2022 a ouvert un nouveau chapitre du Shadow IT, suffisamment distinct pour qu’on lui donne un nom propre : le Shadow AI. Le principe est le même : des collaborateurs utilisent des outils d’IA non validés par l’organisation pour des tâches professionnelles, en y saisissant des informations confidentielles.

Selon une étude CybSafe publiée en 2024, 38 % des salariés reconnaissent avoir partagé des informations professionnelles sensibles avec des outils d’IA sans l’autorisation de leur employeur. Contrats, données RH, prévisions financières, bases clients, code source propriétaire : des catégories de données qui, une fois saisies dans un outil grand public, peuvent alimenter les données d’entraînement d’un modèle ou être conservées sur des serveurs hors du contrôle de l’organisation.

Pour une PME ou une ETI française, le risque est moins spectaculaire mais tout aussi réel. Un commercial qui demande à un outil d’IA de rédiger une proposition commerciale en y collant un bon de commande client, une assistante RH qui soumet une grille salariale pour en extraire des statistiques, un dirigeant qui résume un compte rendu de conseil d’administration avec un outil grand public : chacune de ces actions transfère des données sensibles vers un service dont les conditions de traitement ne correspondent généralement pas aux exigences du RGPD.

La directive NIS 2, dans son volet sur la gestion des risques liés aux prestataires et aux outils numériques, impose aux entités concernées de cartographier leurs dépendances et de maîtriser les accès à leurs systèmes d’information. Le Shadow AI entre directement dans ce périmètre pour les organisations soumises à cette réglementation.

L’idée reçue à corriger : interdire ne suffit pas

C’est le point de vigilance que les organisations ont souvent du mal à entendre : la réponse la plus naturelle au Shadow IT est l’interdiction, et c’est aussi la moins efficace à elle seule. Amazon, JP Morgan et plusieurs grandes banques européennes ont bloqué l’accès à ChatGPT sur leurs réseaux d’entreprise, constatant ensuite que leurs collaborateurs continuaient à y accéder via leurs téléphones personnels ou depuis leur connexion domestique. Le blocage technique n’a pas supprimé le besoin. Il l’a simplement rendu invisible.

La même logique s’applique au Shadow IT au sens large. Bloquer un service n’efface pas le besoin opérationnel qui l’a fait naître. Ce que le Shadow IT révèle, en creux, c’est souvent une liste de besoins que le système d’information officiel ne couvre pas suffisamment. La démarche efficace consiste à identifier ce qui existe réellement, à distinguer ce qui présente un risque acceptable de ce qui en présente un inacceptable, et à traiter en priorité ce dernier, souvent en proposant une alternative officielle qui réponde au même besoin.

Un point de blocage fréquent dans cette démarche est que personne dans l’organisation ne sait vraiment ce qui existe. Ni le dirigeant, ni la DSI, ni le prestataire IT. On a une liste de ce qu’on a validé. On n’a pas de liste de ce qu’on n’a pas validé.

Cartographier ce qu’on ne sait pas qu’on a

La question que le Shadow IT pose au dirigeant n’est pas "comment contrôler ce que font mes collaborateurs ?" mais "qu’est-ce que mon organisation expose, vers qui, sans le savoir ?"

Cette question ressemble à celle qu’un audit de sécurité pose sur les systèmes exposés à l’extérieur. Lors d’une mission de test d’intrusion, nos équipes effectuent régulièrement une reconnaissance externe de l’organisation avant même de recevoir quoi que ce soit du client. Il arrive que cette phase révèle des services, des sous-domaines ou des applications exposées sur internet dont le client lui-même n’avait pas connaissance. Ces actifs non inventoriés sont précisément ce que le Shadow IT produit : une surface d’exposition plus large que ce que l’organisation croit gérer. La surveillance de l’Active Directory permet de détecter certains de ces angles morts côté authentification et accès ; mais pour les applications cloud et les services SaaS non validés, la visibilité nécessite une démarche spécifique.

Ce qui fait la différence dans un premier temps, c’est souvent un exercice simple : demander à chaque équipe de lister les outils numériques qu’elle utilise réellement, en dehors du catalogue officiel. La liste qui en résulte est presque toujours une surprise.