Le Shadow AI échappe au contrôle des RSSI selon Okta
Selon le rapport Global CISO Insights 2026 d’Okta, 88 % des Responsables de la Sécurité des Systèmes d’Information (RSSI) ont détecté un usage non autorisé de l’intelligence artificielle (IA) au sein de leur entreprise. Ce constat met en lumière la difficulté des organisations à superviser les agents d’IA et à faire évoluer leur gouvernance en adéquation avec les nouvelles pratiques.
Le phénomène de Shadow AI est omniprésent en entreprise. En effet, 88 % des RSSI rapportent avoir constaté au moins une utilisation non autorisée de l’IA par des employés. Toutefois, il est préoccupant de noter que 24 % des RSSI concernés ne notifient pas les utilisateurs impliqués, se contentant de leur rappeler les politiques internes.
D’après Okta, ce décalage souligne la difficulté à adapter les dispositifs de gouvernance. En matière de supervision des identités IA, seuls 47 % des RSSI affirment pouvoir identifier les agents IA dans leur environnement, 46 % contrôlent leur accès, et 45 % déterminent les actions autorisées. Ce manque de supervision représente un risque direct pour les entreprises, un constat partagé par 81 % des RSSI, qui s’inquiètent des accès excessifs accordés à ces agents. Les menaces les plus redoutées incluent les tentatives de phishing alimentées par l’IA (61 %), les agents malveillants (49 %) et le contournement d’authentification par deepfake (45 %).
Okta alerte sur le fait que les agents d’IA sont souvent gérés comme des identités traditionnelles, alors qu’ils peuvent interagir avec plusieurs applications et exécuter des actions de manière autonome. Les priorités critiques des CISO incluent le maintien du contrôle sur l’accès aux agents (29 %), la découverte des agents (20 %) et la gestion des identifiants (20 %), des fonctionnalités souvent absentes des outils hérités. Les contraintes budgétaires, citées par 39 % des répondants, et les silos entre les équipes IA et sécurité (33 %) compliquent davantage la mise en œuvre des mes de contrôle nécessaires.
L’étude souligne également que le niveau de maturité en matière de gouvernance est étroitement lié à l’exposition au Shadow AI. Les organisations les plus avancées sont capables de révoquer l’accès d’un agent d’IA compromis en quelques minutes, un chiffre qui atteint 50 % pour ces entités, contre 26 % en moyenne. Cependant, une part significative doit encore attendre plusieurs heures pour révoquer les accès, une durée jugée problématique face à la rapidité d’exécution des systèmes IA.
Enfin, Okta insiste sur l’importance pour les entreprises et leurs directions générales de s’emparer de ce sujet crucial, en intégrant une meilleure gouvernance des identités, des permissions et du cycle de vie des agents. Actuellement, seuls 31 % des CISO estiment être « totalement alignés » avec leur direction sur le niveau de risque acceptable lié à l’IA.
Source : Okta, Global CISO Insights 2026
