Comment détecter le shadow AI dans votre équipe

Tout le monde utilise des outils d’IA aujourd’hui, surtout au travail. Et les entreprises mettent en place des politiques d’utilisation de l’IA pour s’assurer que les employés ne partagent pas les données de l’entreprise avec des outils non autorisés. Mais avant de décider quels outils votre équipe est autorisée à utiliser, il vous faut la liste des outils qu’elle utilise déjà, et le temps consacré à chacun d’eux.

Obtenir cette liste, c’est ce que la plupart des gens veulent dire quand ils demandent comment détecter le shadow AI. Cela a très peu à voir avec la mise en place d’un programme de sécurité et beaucoup à voir avec la bonne lecture de vos propres données d’utilisation.

C’est exactement ce que nous avons fait pour notre propre espace de travail la semaine dernière. Ces chiffres se trouvent plus bas, et ils sont bien réels.

Qu’est-ce que le shadow AI ?

Le shadow AI désigne tout outil d’IA que votre équipe utilise pour le travail sans autorisation ni supervision. Les employés peuvent, sans le savoir, partager des dossiers clients, des clauses contractuelles, des données financières non publiées ou du code source. Ils peuvent même le faire via un compte personnel, ce qui signifie que vous n’aurez aucune trace de ce qui a été partagé ni aucun moyen de l’auditer par la suite.

ChatGPT dans un onglet de navigateur. Un assistant de code que quelqu’un a installé pour un essai et gardé. Une extension d’IA dans le navigateur. Une fonctionnalité d’IA activée dans un logiciel que vous payez déjà.

Un outil est utilisé parce qu’il est là et qu’il fait le travail. Quand l’option approuvée arrive six mois trop tard, ou arrive mais gère mal le travail, c’est celle qui n’est pas approuvée qui prend le dessus. Le shadow AI est généralement un problème d’offre qui se manifeste comme un problème de sécurité.

Pourquoi le shadow AI est difficile à repérer

Les gens se connectent avec des comptes personnels

Le rapport Verizon 2026 sur les enquêtes relatives aux violations de données a révélé que 45 % des employés utilisent désormais l’IA régulièrement au travail, contre 15 % l’année précédente, et que 67 % de ceux qui accèdent à des services d’IA sur des appareils professionnels étaient connectés avec des comptes non professionnels. C’est pourquoi la console d’administration de votre Google Workspace pourrait ne pas vous montrer une connexion ChatGPT personnelle. 

L’IA arrive dans un logiciel que vous avez déjà approuvé

Votre outil de gestion de projet, votre CRM et votre outil de design ont très probablement déjà leurs propres outils d’IA. C’est pourquoi vous pourriez ne pas les détecter, car l’outil principal est déjà approuvé. 

C’est aussi pour cela que le blocage ne fonctionne pas comme première approche. Si vous bloquez un outil au niveau du réseau, les employés peuvent passer sur leur téléphone, un ordinateur personnel ou un compte personnel sur la même machine. 

Comment détecter le shadow AI dans votre équipe : quatre endroits où chercher

1. Vos données d’utilisation des applications et des sites web

Utilisez des outils de détection d’IA et de suivi du temps dotés de capacités de monitoring. Ceux-ci peuvent vous fournir la liste des applications et sites web que les gens utilisent pendant leurs sessions de travail. Et quand vous les triez, vous pouvez repérer les outils d’IA : cursor, claude.ai, chatgpt.com, gemini.google.com, perplexity.ai, plus une longue liste d’outils plus petits.

2. Le détail du navigateur, pas seulement « Chrome »

Si votre rapport d’utilisation ne montre que le temps passé dans Chrome, vous ne verrez évidemment pas le shadow AI. Il vous faut le nom des sites web sous le navigateur, et idéalement les enregistrements au niveau des URL, pour voir clairement l’utilisation de l’IA. 

3. Les fonctionnalités d’IA dans les logiciels que vous utilisez et payez déjà

Les outils de détection peuvent passer à côté des outils qui ne sont pas fondamentalement des outils d’IA, puisque vous les avez déjà approuvés pour leur fonctionnalité principale. Cette partie, vous devez la vérifier manuellement. Parcourez les outils de votre liste d’abonnements, ouvrez les paramètres d’administration et notez quelles fonctionnalités d’IA sont activées, qui les a activées et à quelles données elles peuvent accéder.

4. Demandez directement à votre équipe

Demandez ce que les gens utilisent et à quoi ils s’en servent. Cela fonctionne bien mieux quand vous précisez ce que vous comptez faire de la réponse, ce qui devrait être d’en approuver la plus grande partie.

C’est une bonne idée de poser cette question avant d’avoir les données d’utilisation sous les yeux, sinon cela pourrait passer pour une accusation. Mais même si vous avez déjà la liste des outils et que vous savez qu’il y en a des non autorisés parmi eux, n’hésitez pas à en parler avec votre équipe. 

Deux types d’outils de détection du shadow AI

Ces outils se répartissent en deux catégories : les outils de sécurité et les outils de gestion des effectifs.

Plateformes de sécurité et de gouvernance SaaS

Les outils de détection du shadow AI de la catégorie sécurité peuvent détecter, bloquer et faire appliquer les règles. En général, ce sont les équipes de sécurité ou informatiques qui les achètent. 

Teramind fonctionne au niveau du endpoint. Il détecte les outils d’IA non autorisés, les navigateurs natifs d’IA, les extensions de navigateur, les applications d’IA de bureau et les modèles locaux qui ne touchent jamais un pare-feu réseau, capture l’intégralité des transcriptions prompt-réponse et bloque le code source ou les données personnelles saisis ou collés dans les prompts d’IA. C’est aussi un produit complet de monitoring des employés et de DLP, il s’accompagne donc d’un enregistrement d’écran et de tout ce que cela implique pour votre équipe. 

Reco couvre le côté SaaS. Il fonctionne sans agent et en lecture seule, s’intègre à votre fournisseur d’identité pour obtenir la liste des applications connues et analyse les métadonnées des e-mails pour repérer les inscriptions à des outils non autorisés. Il détecte aussi les outils d’IA et les copilotes qui accèdent à vos données via des autorisations OAuth et des intégrations tierces. Comme il fonctionne en lecture seule, il ne peut empêcher personne de saisir des données sensibles dans un outil d’IA. 

Knostic vise les assistants d’IA en entreprise plutôt que les chatbots publics. Il fournit des contrôles d’accès basés sur le besoin d’en connaître pour des assistants comme Microsoft Copilot, Glean et Gemini, découvre l’utilisation du shadow AI et produit des journaux d’audit indiquant qui a accédé à quelles données via quel système d’IA. Il est également positionné comme un module complémentaire à Microsoft Purview pour la détection du partage excessif. Pertinent si votre inquiétude est de voir des données internes atteindre le mauvais collègue via un copilote. 

Auvik est le plus axé sur l’exploitation informatique des cinq. Il déploie de légers collecteurs sur les endpoints et des extensions de navigateur qui surveillent l’activité web, compare ce qu’il observe à une base de données de plus de 125 000 applications, signale comme activement utilisées les applications consultées plusieurs fois par semaine et vous avertit lorsque quelqu’un visite une plateforme d’IA nouvellement découverte. Il suit aussi le gaspillage de licences et les dépenses SaaS, ce qui est souvent l’argument le plus facile à faire valoir en interne. 

Outils d’analyse des effectifs et de suivi du temps

Les outils de détection de la catégorie analyse des effectifs se concentrent sur la visualisation de l’utilisation des outils d’IA. Ils ne bloquent rien, et ce sont généralement les managers d’équipe qui les achètent plutôt que le département de sécurité. 

Pour le travail de détection, ce qui compte, c’est de savoir si l’outil vous donne les noms au niveau des sites web, le temps par outil, une répartition par personne et par équipe, et suffisamment d’historique pour pouvoir comparer ce mois-ci au mois dernier. De nombreux outils de suivi du temps proposent un rapport sur les applications et les sites web. Mais tous ne fournissent pas les rapports détaillés dont vous avez besoin pour une détection précise des outils d’IA. 

WebWork fait partie de cette catégorie. Il vous donne un rapport sur les applications et sites web détaillé au maximum, incluant le temps par outil, par personne et par équipe, ainsi que les URL. Il se connecte aussi aux outils d’IA via MCP, ce qui signifie que vous pouvez obtenir des réponses sur le shadow AI dans votre équipe en interrogeant directement votre modèle d’IA. La section suivante présente ce rapport, exécuté sur notre propre espace de travail.

À quoi ressemblait une semaine d’utilisation de l’IA dans notre propre espace de travail

Nous utilisons WebWork sur notre propre équipe, nous avons donc extrait les chiffres plutôt que de les décrire de façon abstraite. Il s’agit d’un espace de travail sur une semaine, celle du 17 au 23 août 2026, et c’est un exemple de ce à quoi ressemble le rapport.

Sur l’ensemble de l’espace de travail, nous avons suivi 36 721 minutes. Les outils d’IA représentaient 15,6 % de ce temps, soit 95,3 heures.

Par équipe, l’Ingénierie représentait 48,3 heures d’IA, presque exclusivement avec Cursor. La Production de sites web venait ensuite avec 27,1 heures, principalement Claude. Le Management a enregistré 12,8 heures, le Product Marketing 10,8, le Product Design 4,5, l’Assurance qualité 3,7 et le Customer Success Management 3,5, où ChatGPT plutôt que Claude était l’outil dominant.

Le rapport sur les applications et sites web enregistre quelles applications et quels sites web les gens utilisent pendant les sessions suivies, avec le temps passé par outil, réparti par membre et par équipe. Notez que le détail au niveau des URL est disponible à partir du plan Plus.

De plus, lorsque vous connectez WebWork aux outils d’IA via MCP, il vous donne la répartition ci-dessus sous forme de pourcentages — l’utilisation des outils d’IA dans toute l’équipe, répartie entre outils autorisés et non autorisés, avec la fréquence d’utilisation de chacun.

Une chose à dire clairement : WebWork vous offre de la visibilité, pas de l’application des règles. Nous ne bloquons pas les outils, n’inspectons pas les prompts et ne détectons pas les données copiées-collées. Si ce sont ces capacités dont vous avez besoin, choisissez parmi les plateformes de sécurité de la section ci-dessus. 

Ce que nous pouvons vous dire, c’est quels outils d’IA votre équipe utilise, qui les utilise et combien de temps est consacré à chacun.

Si vous voulez voir ce rapport sur votre propre équipe, WebWork est gratuit pendant 14 jours, sans carte bancaire. Laissez-le suivre l’activité pendant une semaine et obtenez la liste des IA.

Que faire des données une fois que vous les avez

Approuvez les outils que les gens utilisent déjà

Si votre équipe utilise déjà un outil et qu’il n’y a pas d’objection sérieuse à son sujet, mettez-le sur la liste des outils approuvés et achetez des comptes d’équipe. Un compte d’équipe est visible, encadré et généralement moins cher que les abonnements individuels que les gens font passer en note de frais un par un. Cela déplace aussi l’utilisation hors des comptes personnels, ce qui était le vrai problème.

Nommez des outils précis dans la politique

Nommez les outils qui sont approuvés, nommez ceux qui ne le sont pas et dites pourquoi, et précisez quelles catégories de données ne doivent jamais y être saisies. Il peut s’agir des dossiers clients, des identifiants, des données financières non publiées et du code source dont vous n’êtes pas propriétaire.

Dites ce que vous ferez au sujet d’un outil qui n’est pas encore sur la liste

Donnez aux gens un moyen de demander, et répondez dans un délai d’une semaine. Vous créez ainsi de la transparence et bâtissez la confiance, pour que les membres de l’équipe se sentent libres de poser toutes leurs questions sur les outils qu’ils utilisent. 

Revérifiez les chiffres

Relancez le même rapport dans un mois puis dans un trimestre, car de nouveaux outils apparaissent constamment. En revérifiant, vous verrez si la politique a porté ses fruits ou si l’utilisation s’est simplement déplacée ailleurs.

Commencez par ce que votre équipe fait déjà

La détection est l’étape la moins coûteuse de tout programme d’IA, et c’est celle qui rend chaque décision ultérieure plus facile. Pour rédiger une politique sensée, vous avez besoin de données réelles sur les outils que les personnes de votre équipe utilisent déjà. 

Nous relancerons ce rapport le trimestre prochain pour voir ce qui a changé. Peut-être que de nouveaux outils apparaîtront, ou peut-être que différentes équipes se mettront à utiliser différents outils. 

Si vous voulez la même vue sur votre équipe, essayez WebWork gratuitement pendant 14 jours ou réservez une démo et nous vous guiderons à travers les rapports sur vos propres données. Dans tous les cas, commencez par la liste. La politique devient beaucoup plus facile à rédiger une fois que vous l’avez.