Comment détecter le Shadow AI dans votre équipe

Tout le monde utilise des outils d’IA aujourd’hui, surtout au travail. Et les entreprises mettent en place des politiques d’utilisation de l’IA pour s’assurer que les employés ne partagent pas les données de l’entreprise avec des outils non autorisés. Mais avant de décider quels outils votre équipe a le droit d’utiliser, il vous faut la liste des outils qu’elle utilise déjà, et le temps passé sur chacun d’eux.

Obtenir cette liste, c’est ce que la plupart des gens veulent dire quand ils demandent comment détecter le shadow AI. Cela a très peu à voir avec la mise en place d’un programme de sécurité et beaucoup à voir avec le fait de bien lire vos propres données d’utilisation.

Nous avons fait exactement ça pour notre propre espace de travail la semaine dernière. Ces chiffres se trouvent plus bas, et ils sont bien réels.

Qu’est-ce que le Shadow AI ?

Le shadow AI, c’est n’importe quel outil d’IA que votre équipe utilise pour le travail sans approbation ni supervision. Les employés pourraient, sans le savoir, partager des dossiers clients, des clauses de contrats, des données financières non publiées ou du code source. Ils pourraient même le faire via un compte personnel, ce qui signifie que vous n’aurez aucune trace de ce qui a été partagé ni aucun moyen de l’auditer plus tard.

ChatGPT dans un onglet de navigateur. Un assistant de codage que quelqu’un a installé pour un essai et a gardé. Une extension d’IA pour le navigateur. Une fonctionnalité d’IA activée dans un logiciel que vous payez déjà.

Un outil est utilisé parce qu’il est là et qu’il fait le job. Quand l’option approuvée arrive six mois plus tard, ou arrive et gère mal le travail, c’est celle qui n’est pas approuvée qui prend le dessus. Le shadow AI est généralement un problème d’offre qui se manifeste comme un problème de sécurité.

Pourquoi le Shadow AI est difficile à repérer

Les gens se connectent avec des comptes personnels

Le Verizon Data Breach Investigations Report 2026 a révélé que 45 % des employés utilisent désormais l’IA régulièrement au travail, contre 15 % l’année précédente, et que 67 % de ceux qui accèdent à des services d’IA sur des appareils professionnels étaient connectés avec des comptes non professionnels. C’est pour ça que la console d’administration de votre Google Workspace pourrait ne pas vous montrer une connexion ChatGPT personnelle. 

L’IA arrive à l’intérieur de logiciels que vous avez déjà approuvés

Votre outil de gestion de projet, votre CRM et votre outil de design ont très probablement déjà leurs propres outils d’IA. C’est pour ça que vous pourriez ne pas être en mesure de les détecter, puisque l’outil principal est déjà approuvé. 

C’est aussi pour ça que bloquer ne fonctionne pas comme première approche. Si vous bloquez un outil au niveau du réseau, les employés pourraient passer sur leur téléphone, un ordinateur portable personnel ou un compte personnel sur la même machine. 

Comment détecter le shadow AI dans votre équipe : quatre endroits où regarder

1. Vos données d’utilisation des applications et sites web

Utilisez des outils de détection d’IA et de suivi du temps dotés de capacités de monitoring. Ceux-ci peuvent vous fournir la liste des applications et sites web que les gens utilisent pendant leurs sessions de travail. Et quand vous les triez, vous pouvez repérer les outils d’IA : cursor, claude.ai, chatgpt.com, gemini.google.com, perplexity.ai, ainsi qu’une longue liste d’outils plus petits.

2. Le détail du navigateur, pas seulement « Chrome »

Si votre rapport d’utilisation ne montre que le temps passé dans Chrome, forcément, vous ne verrez pas le shadow AI. Il vous faut les noms des sites web sous le navigateur, et idéalement les enregistrements au niveau des URL, pour que vous puissiez voir clairement l’utilisation de l’IA. 

3. Les fonctionnalités d’IA à l’intérieur des logiciels que vous utilisez et payez déjà

Les outils de détection pourraient passer à côté d’outils qui ne sont pas intrinsèquement de l’IA, puisque vous les avez déjà approuvés pour leur fonctionnalité principale. Cette partie, vous devez la vérifier manuellement. Passez en revue les outils de votre liste d’abonnements, ouvrez les paramètres d’administration et notez quelles fonctionnalités d’IA sont activées, qui les a activées et à quelles de vos données elles peuvent accéder.

4. Demandez directement à votre équipe

Demandez ce que les gens utilisent et à quoi ils s’en servent. Ça fonctionne bien mieux quand vous dites ce que vous comptez faire de la réponse, ce qui devrait être d’en approuver la majeure partie.

C’est une bonne idée de poser cette question avant d’avoir les données d’utilisation sous les yeux, sinon ça pourrait passer pour une accusation. Mais même si vous avez déjà la liste des outils et que vous savez qu’il y en a des non autorisés parmi eux, allez-y et discutez avec votre équipe. 

Deux types d’outils de détection du Shadow AI

Ces outils se répartissent en deux catégories : les outils de sécurité et les outils de gestion des équipes.

Plateformes de sécurité et de gouvernance SaaS

Les outils de détection du shadow AI de la catégorie sécurité peuvent détecter, bloquer et faire respecter les règles. Ce sont généralement les équipes de sécurité ou informatiques qui les achètent. 

Teramind fonctionne au niveau du endpoint. Il détecte les outils d’IA non autorisés, les navigateurs natifs à l’IA, les extensions de navigateur, les applications d’IA de bureau et les modèles locaux qui n’atteignent jamais un pare-feu réseau, capture les transcriptions complètes des prompts et des réponses, et bloque la saisie ou le collage de code source ou de données personnelles (PII) dans les prompts d’IA. C’est aussi un produit complet de monitoring des employés et de DLP, il est donc livré avec l’enregistrement d’écran et tout ce que cela implique pour votre équipe. 

Reco couvre le côté SaaS. Il fonctionne sans agent et en lecture seule, s’intègre à votre fournisseur d’identité pour obtenir la liste des applications connues et analyse les métadonnées des e-mails à la recherche de signes d’inscriptions à des outils non autorisés. Il détecte aussi les outils d’IA et les copilotes qui accèdent à vos données via des autorisations OAuth et des intégrations tierces. Comme il fonctionne en lecture seule, il ne peut empêcher personne de saisir des données sensibles dans un outil d’IA. 

Knostic vise les assistants d’IA d’entreprise plutôt que les chatbots publics. Il fournit des contrôles d’accès basés sur le besoin d’en connaître pour des assistants comme Microsoft Copilot, Glean et Gemini, détecte l’utilisation du shadow AI et produit des journaux d’audit indiquant qui a accédé à quelles données via quel système d’IA. Il est aussi positionné comme un complément à Microsoft Purview pour la détection du surpartage. Pertinent si votre inquiétude concerne des données internes qui atteignent le mauvais collègue via un copilote. 

Auvik est le plus orienté opérations IT des cinq. Il déploie des collecteurs légers sur les endpoints et des extensions de navigateur qui surveillent l’activité web, compare ce qu’il voit à une base de données de plus de 125 000 applications, signale les applications consultées plusieurs fois par semaine comme activement utilisées et vous notifie lorsque quelqu’un visite une plateforme d’IA nouvellement découverte. Il suit aussi le gaspillage de licences et les dépenses SaaS, ce qui est souvent l’argument le plus facile à faire valoir en interne. 

Outils d’analyse des équipes et de suivi du temps

Les outils de détection de la catégorie logiciel d’analyse du personnel se concentrent sur l’affichage de l’utilisation des outils d’IA. Ils ne bloquent rien, et ce sont généralement les managers d’équipe qui les achètent, plutôt que le département de sécurité. 

Pour le travail de détection, ce qui compte, c’est de savoir si l’outil vous donne les noms au niveau des sites web, le temps par outil, une répartition par personne et par équipe, et suffisamment d’historique pour que vous puissiez comparer ce mois-ci au mois dernier. De nombreux outils de suivi du temps ont un rapport sur les applications et sites web. Mais tous ne vous donnent pas les rapports détaillés dont vous avez besoin pour une détection précise des outils d’IA. 

WebWork fait partie de cette catégorie. Il vous donne un rapport sur les applications et sites web détaillé au millimètre, incluant le temps par outil par personne et par équipe, ainsi que les URL. Il se connecte aussi aux outils d’IA via MCP, ce qui signifie que vous pouvez obtenir des réponses sur le shadow AI dans votre équipe en interrogeant directement votre modèle d’IA. La section suivante correspond à ce rapport, exécuté sur notre propre espace de travail.

À quoi ressemblait une semaine d’utilisation de l’IA dans notre propre espace de travail

Nous utilisons WebWork sur notre propre équipe, alors nous avons sorti les chiffres plutôt que de les décrire de manière abstraite. Il s’agit d’un espace de travail sur une semaine, celle du 17 au 23 août 2026, et c’est un exemple de ce à quoi ressemble le rapport.

Sur l’ensemble de l’espace de travail, nous avons suivi 36 721 minutes. Les outils d’IA représentaient 15,6 % de ce temps, soit 95,3 heures.

Par équipe, l’ingénierie représentait 48,3 heures d’IA, presque toutes sur Cursor. La production web arrivait ensuite avec 27,1 heures, principalement Claude. Le management a enregistré 12,8 heures, le marketing produit 10,8, le design produit 4,5, l’assurance qualité 3,7 et la gestion de la réussite client 3,5, où c’était ChatGPT plutôt que Claude qui était l’outil dominant.

Le rapport sur les applications et sites web enregistre quelles applications et sites web les gens utilisent pendant les sessions suivies, avec le temps passé par outil, réparti par membre et par équipe. Notez que le détail au niveau des URL est disponible à partir du plan Plus.

De plus, lorsque vous connectez WebWork aux outils d’IA via MCP, il vous donne la répartition ci-dessus en pourcentages — l’utilisation des outils d’IA au sein de l’équipe, répartie entre outils autorisés et non autorisés, avec la fréquence d’utilisation de chacun.

Une chose à dire clairement : WebWork vous offre de la visibilité, pas de l’application des règles. Nous ne bloquons pas d’outils, n’inspectons pas les prompts et ne détectons pas les données copiées-collées. Si ce sont ces capacités dont vous avez besoin, choisissez parmi les plateformes de sécurité de la section ci-dessus. 

Ce que nous pouvons vous dire, c’est quels outils d’IA votre équipe utilise, qui les utilise et combien de temps est consacré à chacun.

Si vous voulez voir ce rapport pour votre propre équipe, WebWork est gratuit pendant 14 jours, sans carte bancaire. Accordez-lui une semaine de suivi et obtenez la liste des outils d’IA.

Que faire des données une fois que vous les avez

Approuvez les outils que les gens utilisent déjà

Si votre équipe utilise déjà un outil et qu’il n’y a pas d’objection sérieuse à son sujet, ajoutez-le à la liste des outils approuvés et achetez des comptes d’équipe. Un compte d’équipe est visible, encadré et généralement moins cher que les abonnements individuels que les gens se font rembourser un par un. Cela déplace aussi l’utilisation hors des comptes personnels, ce qui était le véritable problème.

Nommez des outils précis dans la politique

Nommez les outils qui sont approuvés, nommez ceux qui ne le sont pas et dites pourquoi, et indiquez quelles catégories de données ne doivent jamais y être saisies. Il peut s’agir des dossiers clients, des identifiants, des données financières non publiées et du code source dont vous n’êtes pas propriétaire.

Dites ce que vous ferez d’un outil qui n’est pas encore sur la liste

Donnez aux gens un moyen de poser la question, et répondez dans la semaine. De cette façon, vous créez de la transparence et construisez la confiance, pour que les membres de l’équipe se sentent libres de poser toutes les questions qu’ils ont sur les outils qu’ils utilisent. 

Revérifiez les chiffres

Réexécutez le même rapport dans un mois, puis dans un trimestre, car de nouveaux outils apparaissent en permanence. En revérifiant, vous verrez si la politique a fonctionné ou si l’utilisation s’est simplement déplacée ailleurs.

Commencez par ce que votre équipe fait déjà

La détection est l’étape la moins coûteuse de tout programme d’IA, et c’est celle qui rend chaque décision ultérieure plus facile. Pour rédiger une politique sensée, il vous faut des données réelles sur les outils que les gens de votre équipe utilisent déjà. 

Nous réexécuterons ce rapport le trimestre prochain pour voir ce qui a changé. Peut-être que de nouveaux outils apparaîtront, ou peut-être que différentes équipes commenceront à utiliser différents outils. 

Si vous voulez la même vision de votre équipe, essayez WebWork gratuitement pendant 14 jours ou réservez une démo et nous vous accompagnerons à travers les rapports basés sur vos propres données. Dans tous les cas, commencez par la liste. La politique devient bien plus facile à rédiger une fois que vous l’avez.