Le Shadow AI échappe encore largement au contrôle des RSSI
Selon le rapport Global CISO Insights 2026 d’Okta, 88 % des RSSI (Responsables de la Sécurité des Systèmes d’Information) ont détecté un usage non autorisé de l’intelligence artificielle (IA) au sein de leur entreprise. Cette situation illustre les difficultés des organisations à superviser les agents IA et à adapter leur gouvernance en fonction des usages croissants.
Le phénomène du Shadow AI, bien que souvent invisible, est omniprésent dans les entreprises. En effet, 88 % des RSSI ont constaté au moins une utilisation non autorisée de l’IA par des employés. Cependant, les mes de notification à l’égard des utilisateurs concernés sont insuffisantes, car 24 % des RSSI se contentent de rappeler les politiques internes sans prendre d’autres mes.
En matière de supervision des identités IA, le bilan est préoccupant. Seuls 47 % des RSSI affirment pouvoir identifier les agents IA dans leur environnement, 46 % contrôlent leurs accès, et 45 % déterminent les actions qu’ils sont autorisés à effectuer. Ce manque de supervision représente un risque direct pour les entreprises, comme le souligne le fait que 81 % des RSSI s’inquiètent des accès excessifs accordés à ces agents. Parmi les menaces les plus redoutées, les tentatives de phishing alimentées par l’IA arrivent en tête (61 %), suivies des agents malveillants (49 %) et du contournement d’authentification par deepfake (45 %).
Okta met en garde contre la gestion des agents IA comme des identités traditionnelles, alors que ces derniers peuvent interagir avec plusieurs applications, accéder aux données et exécuter des actions en autonomie. Les priorités identifiées par les CISO incluent le maintien du contrôle total sur les accès aux agents (29 %), la découverte des agents (20 %) et la gestion des credentials (20 %). Les contraintes budgétaires, mentionnées par 39 % des répondants, ainsi que les silos entre les équipes IA et sécurité (33 %), compliquent la mise en place des mes de contrôle nécessaires.
L’étude souligne également que le niveau de maturité en matière de gouvernance est directement lié à l’exposition au Shadow AI. Les organisations les plus avancées disposent de capacités de réponse plus rapides ; 50 % d’entre elles peuvent révoquer l’accès d’un agent d’IA compromis en quelques minutes, contre 26 % en moyenne. Toutefois, une part significative nécessite encore plusieurs heures pour révoquer les accès, une durée problématique face à la rapidité des systèmes IA.
Enfin, Okta insiste sur la nécessité pour les entreprises et leurs directions générales d’intégrer une meilleure gouvernance des identités, des permissions et du cycle de vie des agents. Cependant, seuls 31 % des CISO se déclarent totalement alignés avec leur direction et leur conseil d’administration sur le niveau acceptable de risque lié à l’IA.
Source : Okta, Global CISO Insights 2026.
