Pourquoi le shadow IT prospère quand la gouvernance DSI se fige
Le tandem entre shadow IT et gouvernance DSI devient explosif dès que les circuits officiels se grippent. Quand les métiers multiplient les outils numériques non référencés, ces usages parallèles deviennent moins un simple problème de sécurité qu’un thermomètre de la frustration interne, révélant une gouvernance des systèmes d’information qui ne suit plus le rythme des usages. Dans chaque entreprise, ce signal faible se transforme vite en bruit de fond si la direction des systèmes d’information laisse s’installer un décalage durable entre promesses et services rendus.
Les collaborateurs n’installent pas des applications SaaS ou des services cloud par goût du risque, mais parce que les processus de gestion de la demande sont trop lents, trop opaques ou trop centrés sur la conformité au détriment de la valeur métier. Là où le service informatique impose des formulaires complexes, des comités d’architecture interminables et des politiques de sécurité déconnectées du terrain, les équipes opérationnelles se tournent vers des solutions prêtes à l’emploi qui promettent des résultats en quelques heures plutôt qu’en plusieurs mois. Le recours à ces outils non homologués, du simple tableur partagé à l’application critique de gestion de projet, devient alors la voie par défaut pour contourner un système d’information perçu comme un frein.
Dans ce contexte, parler uniquement de risques ou de sécurité informatique revient à traiter la fièvre sans regarder l’infection sous-jacente. Les risques liés aux usages non contrôlés sont bien réels, qu’il s’agisse de fuite de données personnelles, de perte de contrôle sur les actifs numériques ou de non-respect du règlement européen sur la protection des données. Mais tant que la gouvernance DSI ne s’attaque pas aux causes structurelles — délais, rigidité, manque de transparence — chaque outil interdit sera remplacé par un autre, plus discret, plus difficile à tracer.
La première erreur consiste à réduire le shadow IT à un problème purement technique, alors qu’il s’agit d’un symptôme organisationnel. Quand un département marketing souscrit un outil SaaS de gestion de campagnes sans passer par les canaux officiels, il envoie un message clair sur la valeur perçue du service informatique. Quand une équipe projet stocke des données sensibles dans un service cloud grand public, elle signale que les solutions internes de stockage du système d’information sont jugées inadaptées, trop complexes ou mal documentées.
Ce décalage se lit aussi dans la gouvernance des données, souvent pensée comme un sujet de conformité plutôt que comme un levier de performance. Les politiques de sécurité et de protection des données sont rédigées pour cocher les cases du règlement européen, mais rarement traduites en services concrets, simples à consommer, pour les métiers. Résultat prévisible : les collaborateurs privilégient des applications SaaS qui offrent une expérience fluide, même si les risques de sécurité des données et de conformité explosent en arrière-plan.
Traiter les dérives numériques hors contrôle comme un sujet de répression revient donc à confondre symptôme et cause. La DSI qui se contente de bloquer des applications au niveau du proxy ou de filtrer des services cloud au niveau du pare-feu déplace le problème sans le résoudre, car les usages se reconfigurent aussitôt via d’autres canaux. Une gouvernance moderne des systèmes d’information doit au contraire considérer chaque initiative non officielle comme une opportunité d’apprentissage sur les besoins réels, les irritants et les angles morts du système d’information existant.
Inventorier, comprendre, arbitrer : la gouvernance plutôt que la répression
La seule stratégie crédible face au shadow IT dans une DSI consiste à industrialiser trois gestes : inventorier, comprendre, arbitrer. Inventorier signifie d’abord accepter que le système d’information réel dépasse largement le périmètre des outils officiels, et que les actifs numériques incluent aussi bien les applications SaaS souscrites par carte bancaire que les fichiers partagés sur des services cloud non référencés. Pour un DSI d’ETI ou de grand groupe, cette cartographie élargie devient la base d’un dialogue adulte avec les métiers, pas un prétexte à la sanction.
Les solutions de gestion des accès, les sondes réseau et les outils de sécurité informatique permettent aujourd’hui de détecter une grande partie des applications cloud et des services tiers utilisés dans l’entreprise. Mais l’inventaire technique ne suffit pas, car il ne dit rien des processus métiers que ces applications viennent soutenir, ni des données personnelles ou des données sensibles qu’elles manipulent. La DSI doit donc compléter cette vision par des entretiens structurés avec les directions métiers, pour qualifier les risques, comprendre les arbitrages implicites entre rapidité et sécurité, puis évaluer la criticité de chaque outil au regard du système d’information global.
Une fois ce diagnostic posé, l’arbitrage ne peut pas se limiter à un oui ou non binaire sur chaque outil informatique non référencé. Pour certains services cloud à faible impact sur la sécurité des données, une tolérance encadrée est possible, assortie de garde-fous clairs sur la protection des données et la gouvernance des données. Pour d’autres applications SaaS manipulant des données personnelles ou des informations stratégiques, le blocage immédiat s’impose, mais il doit s’accompagner d’une alternative crédible, proposée rapidement par le service informatique.
Cette logique d’arbitrage suppose de revisiter les politiques de sécurité pour les rendre lisibles, compréhensibles et actionnables par des non-spécialistes. Un référentiel de sécurité et de conformité qui reste cantonné à un PDF de cent pages ne protège ni le système d’information ni les collaborateurs, car il ne se traduit pas en choix concrets sur les outils à utiliser. À l’inverse, une grille simple de classification des données, couplée à des catalogues de solutions cloud validées, permet aux métiers de choisir des applications en connaissance de cause, tout en respectant le règlement européen sur les données personnelles.
Le rôle de la DSI change alors de nature, passant du contrôle a priori à la gestion du risque en continu. Plutôt que de bloquer systématiquement chaque application SaaS détectée, le service informatique définit des zones de tolérance, des périmètres d’usage et des exigences minimales de sécurité des données pour les fournisseurs tiers. En cas d’incident, cette approche facilite aussi la réponse coordonnée avec la direction de la cybersécurité, en s’appuyant sur des procédures éprouvées de réponse à incident cyber structurée sur les premières 72 heures.
Pour rendre cette démarche opérationnelle, une mini-checklist peut être partagée avec les métiers : identifier les données manipulées (personnelles, sensibles, stratégiques), vérifier l’hébergement et la localisation du fournisseur, contrôler les options de chiffrement et de sauvegarde, valider les modalités de suppression des données, puis documenter l’usage dans un registre accessible à la DSI. Cette gouvernance pragmatique ne signifie pas tout laisser faire, mais accepter que le système d’information soit un écosystème vivant. Les collaborateurs continueront à tester de nouveaux outils, à explorer des solutions SaaS de niche, à connecter des services cloud entre eux via des API, parce que c’est ainsi que l’innovation se diffuse dans l’entreprise. La question clé pour la DSI n’est donc pas de savoir comment éradiquer le shadow IT, mais comment canaliser cette énergie dans un cadre de gestion des risques clair, partagé et mesurable.
Shadow AI : quand l’intelligence artificielle devient le nouveau front de la gouvernance
Les pratiques de shadow IT ont trouvé leur accélérateur avec l’irruption massive de l’intelligence artificielle grand public dans les usages quotidiens. En quelques mois, des milliers de collaborateurs ont commencé à coller des extraits de documents, des données clients ou des fragments de code dans des assistants conversationnels externes, sans toujours mesurer les risques pour la sécurité informatique. Ce shadow AI ne relève plus seulement de l’usage d’outils non référencés, mais d’un transfert direct de savoir-faire et de données de l’entreprise vers des services cloud opérés par des acteurs tiers.
Pour un DSI, la tentation est forte de traiter ces usages comme un problème purement sécuritaire, en bloquant l’accès aux principaux outils d’IA via le proxy ou les politiques de sécurité réseau. Cette approche peut se justifier pour certains services cloud qui réutilisent les données personnelles ou les données sensibles à des fins d’entraînement de modèles, en contradiction avec la protection des données exigée par le règlement européen. Mais elle reste insuffisante si l’entreprise ne propose pas, en parallèle, des solutions internes crédibles d’applications SaaS d’IA, alignées sur la gouvernance des données et les politiques de sécurité existantes.
Les organisations qui avancent sur ce sujet traitent l’intelligence artificielle comme un nouveau pan du système d’information, et non comme un gadget expérimental. Elles déploient des applications cloud d’IA hébergées dans des environnements maîtrisés, où la sécurité des données et la conformité réglementaire sont garanties par le service informatique et la direction de la cybersécurité. Elles définissent aussi des processus clairs pour l’anonymisation des données, la gestion des droits d’accès et la traçabilité des usages, afin de limiter les risques liés aux fuites d’informations stratégiques.
Dans ce modèle, la gouvernance des données devient le socle de toute initiative d’IA, qu’elle soit officielle ou non. Les outils officiels d’IA sont intégrés au système d’information, connectés aux référentiels de données de l’entreprise, soumis aux mêmes politiques de sécurité que les autres applications critiques. Les collaborateurs disposent ainsi d’un outil informatique puissant, validé par la DSI, qui réduit l’attrait des services tiers non contrôlés, tout en offrant une expérience utilisateur comparable à celle des solutions grand public.
Le défi reste de taille, car les usages d’IA évoluent plus vite que les cadres de gouvernance traditionnels. Les DSI doivent accepter une part de flexibilité, en autorisant par exemple certains outils SaaS d’IA pour des cas d’usage à faible risque, tout en interdisant strictement l’export de données personnelles ou de secrets industriels vers des services cloud non maîtrisés. La clé réside dans une pédagogie active auprès des métiers, expliquant concrètement les risques associés à l’IA, plutôt que dans des injonctions abstraites sur la cybersécurité.
Cette pédagogie doit s’appuyer sur des exemples concrets d’incidents, sur des retours d’expérience partagés en comité de direction, et sur une articulation claire entre innovation et maîtrise des risques. En traitant le shadow AI comme un révélateur des attentes métiers en matière d’outils d’IA, la DSI peut transformer une menace apparente en levier de modernisation du système d’information. La vraie question n’est plus « comment bloquer ces applications d’IA ? », mais « quel service informatique voulons-nous offrir pour que nos équipes n’aient plus besoin d’aller chercher ailleurs ce qu’elles ne trouvent pas en interne ? ».
Dans cette perspective, la sécurisation de l’infrastructure, des ports réseau et des points d’accès devient un prérequis, mais pas une fin en soi. Des approches comme la sécurisation avancée des ports réseau comme rempart stratégique pour le système d’information complètent la gouvernance, sans s’y substituer. La maturité réelle se mesure à la capacité de la DSI à articuler sécurité, performance et agilité, plutôt qu’à multiplier les interdictions techniques.
Refonder le contrat entre DSI, métiers et sécurité autour de la valeur
La montée du shadow IT oblige à reposer une question simple, souvent éludée dans les comités de pilotage. Quel est le contrat implicite entre la DSI, les métiers et les fonctions de sécurité, et comment ce contrat se traduit-il dans les outils, les services et les processus quotidiens ? Tant que ce contrat reste flou, chaque nouvelle application SaaS ou chaque nouveau service cloud non référencé sera perçu comme une transgression, plutôt que comme un signal utile pour ajuster la trajectoire du système d’information.
Refonder ce contrat suppose d’abord de clarifier la place de la DSI dans l’entreprise, non plus comme un centre de coûts, mais comme un orchestrateur de valeur et de risques. Cela implique d’assumer des arbitrages explicites entre rapidité de mise à disposition des outils, exigences de sécurité informatique et contraintes budgétaires, en les partageant avec les directions métiers et la direction financière. Dans ce cadre, la gouvernance des données devient un actif stratégique, au même titre que l’infrastructure réseau ou les applications métiers historiques.
Concrètement, cette refondation passe par la mise en place de catalogues de services clairs, où chaque service informatique est décrit en termes de niveau de sécurité, de délai de mise en œuvre et de coût estimatif. Les collaborateurs peuvent ainsi comparer une solution interne à une solution cloud externe, en comprenant les risques associés à chaque option, plutôt que de choisir à l’aveugle. Des initiatives d’optimisation de l’infrastructure, comme l’usage de plateformes intégrées pour optimiser l’infrastructure réseau de l’entreprise autour d’équipements unifiés, illustrent comment une DSI peut gagner en lisibilité tout en renforçant la sécurité des données.
Cette transparence doit s’accompagner d’indicateurs partagés sur les incidents, les quasi-incidents et les gains de productivité liés aux nouveaux outils. Plutôt que de brandir uniquement le spectre des risques, la DSI peut montrer comment une meilleure gestion des applications cloud et des applications SaaS réduit les interruptions de service, améliore la protection des données et simplifie les audits de conformité. Les politiques de sécurité cessent alors d’être perçues comme des contraintes abstraites, pour devenir des garde-fous concrets au service de la continuité d’activité.
Enfin, la DSI doit accepter de se comparer à ses « concurrents internes » que sont les fournisseurs de solutions cloud grand public. Si les métiers préfèrent un outil tiers à un outil informatique interne, la question n’est pas de savoir comment bloquer ce choix, mais pourquoi l’offre officielle n’est pas jugée à la hauteur. La vraie maturité consiste à traiter chaque cas de shadow IT comme un retour client, parfois brutal, mais précieux pour ajuster la feuille de route, réduire la dette technique et réaligner le système d’information sur les priorités du Comex.
Au fond, le shadow IT et le shadow AI rappellent que la gouvernance DSI ne se joue pas dans les seuls comités de sécurité, mais dans chaque interaction quotidienne entre un collaborateur et un service numérique. La question à poser en comité n’est pas « comment bloquer ? », mais « pourquoi nos équipes préfèrent-elles nos concurrents internes ? ». Tant que cette question restera sans réponse, les usages non maîtrisés continueront de prospérer, et la sécurité des données restera un combat défensif, au lieu d’être un avantage compétitif assumé.
Chiffres clés sur le shadow IT, la gouvernance et la cybersécurité
- Plusieurs études de grands acteurs du secteur (Cisco, entre autres) estiment que la majorité des collaborateurs utilisent au moins une application cloud non approuvée par leur DSI, ce qui illustre l’ampleur structurelle du shadow IT dans les grandes organisations.
- Des analyses publiées par des cabinets comme Gartner indiquent qu’une part significative des incidents de sécurité majeurs dans les entreprises est déjà liée directement ou indirectement à des services cloud ou des applications SaaS non gérés, ce qui renforce l’urgence d’une gouvernance adaptée plutôt qu’exclusivement répressive.
- Les enquêtes de l’ANSSI sur les incidents déclarés montrent que de nombreuses fuites de données personnelles proviennent de mauvaises configurations d’outils cloud, confirmant que la protection des données dépend autant de la gouvernance que de la technologie.
- Des recherches menées par Forrester observent que les entreprises ayant mis en place un catalogue de services cloud validés par la DSI réduisent nettement le nombre d’applications non officielles en quelques années, tout en améliorant la satisfaction des métiers sur les délais de mise à disposition des outils.
- Les rapports de grands éditeurs de solutions de sécurité informatique soulignent que l’usage non contrôlé d’outils d’intelligence artificielle en mode SaaS peut multiplier le volume de données sensibles exposées, ce qui confirme la nécessité d’intégrer le shadow AI dans la gouvernance globale du système d’information.