Un phénomène qui commence toujours par une bonne intention
Personne ne crée un compte sur un service externe pour nuire à son entreprise. Le Shadow IT, c’est-à-dire l’usage d’outils numériques non validés par l’informatique, naît presque toujours d’un besoin réel mal couvert : un fichier trop volumineux pour la messagerie, un partage urgent avec un client, un tableau collaboratif plus pratique que celui imposé, un convertisseur de documents trouvé en trois clics.
C’est ce qui le rend difficile à traiter. Contrairement à une négligence évidente, le Shadow IT est le symptôme d’un manque, et il est souvent porté par les collaborateurs les plus impliqués, ceux qui cherchent à travailler mieux et plus vite. Aborder le sujet uniquement sous l’angle de la faute conduit à une seule chose : les usages se poursuivent, mais ils cessent d’être visibles.
Ce que cela recouvre concrètement en PME
Dans une entreprise sans DSI, le phénomène prend des formes bien identifiables, rarement spectaculaires.
Le stockage personnel est le cas le plus répandu. Un compte cloud grand public utilisé pour transporter des documents professionnels entre le bureau et le domicile, parfois créé avec une adresse personnelle, échappe totalement au contrôle de l’entreprise et lui survit lorsque le collaborateur part.
Les applications installées librement sur les postes viennent ensuite : utilitaires de compression, lecteurs de PDF, outils de capture, extensions de navigateur. Beaucoup sont légitimes, certaines embarquent de la publicité ou de la collecte de données, quelques-unes sont des versions détournées de logiciels commerciaux, avec les risques que cela implique.
Les abonnements payés sur note de frais constituent une troisième catégorie, la plus invisible financièrement. Un outil souscrit par un service, renouvelé automatiquement, jamais déclaré, dont le coût cumulé finit par dépasser celui d’une solution officielle qui aurait couvert le besoin pour toute l’entreprise.
Enfin, les services d’IA générative se sont ajoutés très rapidement à la liste. Un contrat déposé dans un assistant pour en obtenir un résumé, un extrait de base clients collé dans une interface pour être reformaté, du code interne soumis pour correction : ces gestes sortent des données de l’entreprise sans qu’aucun transfert de fichier ne soit perçu comme tel.
Le vrai risque n’est pas celui qu’on imagine
Le réflexe consiste à penser d’abord au virus ou au logiciel malveillant. Ce risque existe, mais il n’est ni le plus fréquent ni le plus coûteux.
La perte de maîtrise sur les données est plus sérieuse. Des documents professionnels hébergés sur des comptes personnels ne sont ni sauvegardés par l’entreprise, ni couverts par ses procédures, ni récupérables si le collaborateur quitte la société ou perd son accès. Une PME peut découvrir, au départ d’un salarié, qu’une partie de son historique commercial n’a jamais été stockée sur ses propres systèmes.
La conformité constitue le second angle mort. Dès lors que des données personnelles de clients, de salariés ou de clients potentiels transitent par un service non recensé, l’entreprise ne peut plus dire où elles sont, sous quel régime elles sont traitées, ni combien de temps elles sont conservées. Cette incapacité à cartographier ses traitements est en soi un manquement, indépendamment de tout incident.
La réutilisation des identifiants, enfin, transforme un service anodin en porte d’entrée. Un compte créé sur un outil gratuit avec le mot de passe professionnel devient exploitable dès que ce service subit une fuite. C’est un vecteur d’attaque banal, efficace, et qui ne nécessite aucune compétence particulière.
Interdire ne fonctionne pas
La réponse instinctive consiste à publier une charte d’interdiction et à bloquer ce qui peut l’être. L’expérience montre les limites de cette approche : les usages se déplacent vers ce qui n’est pas bloqué, ou vers les équipements personnels, où l’entreprise n’a plus aucune visibilité.
Une interdiction sans alternative crée une situation pire que le point de départ, parce qu’elle supprime la seule chose qui permettait encore d’agir : la connaissance des usages réels. Un collaborateur qui sait qu’il enfreint une règle ne signalera pas un incident survenu sur l’outil concerné.
La démarche efficace inverse la logique. Elle part du constat que si un outil non validé est utilisé, c’est qu’un besoin n’est pas couvert, et elle traite ce besoin.
Une méthode réaliste en quatre temps
Le premier temps est celui de l’inventaire, mené sans sanction. Un recensement déclaratif, annoncé comme tel, associé à une revue des dépenses et des applications installées sur les postes, suffit généralement à révéler l’essentiel. L’objectif est de savoir, pas de punir.
Le deuxième temps consiste à trier. Certains outils recensés sont parfaitement acceptables et méritent d’être officialisés, parfois avec un abonnement d’entreprise qui coûte moins cher que les abonnements individuels dispersés. D’autres couvrent un besoin déjà satisfait par un service existant que les utilisateurs ignoraient ou trouvaient impraticable. Quelques-uns doivent être remplacés, et c’est là que l’entreprise doit proposer une solution équivalente avant de retirer l’ancienne.
Le troisième temps porte sur les règles. Plutôt qu’une liste d’interdictions, une règle simple et compréhensible fonctionne mieux : quelles catégories de données ne doivent jamais sortir des systèmes de l’entreprise, et à qui s’adresser pour faire valider un besoin. Une procédure de validation légère, avec une réponse en quelques jours, décourage plus efficacement le contournement qu’un règlement sévère mais lent.
Le quatrième temps est technique. Les outils de gestion des identités et des postes permettent de connaître les applications présentes sur le parc, de recenser les services auxquels les comptes professionnels se connectent, et d’appliquer une politique cohérente. C’est précisément l’un des apports d’une gestion centralisée telle que décrite dans notre article sur Microsoft 365 et Intune sans DSI interne.
Ce que révèle l’inventaire, au-delà de la sécurité
L’exercice a un effet secondaire que les directions n’anticipent pas : il met en lumière des dysfonctionnements qui n’ont rien à voir avec la sécurité informatique.
Un outil de partage de fichiers utilisé massivement en dehors des canaux officiels signale généralement que la solution en place est trop lente, trop limitée en taille de pièce jointe, ou trop compliquée à utiliser avec des interlocuteurs externes. Un tableur partagé sur un service tiers pour suivre des commandes révèle souvent qu’un logiciel métier coûteux ne couvre pas un besoin élémentaire. Une messagerie instantanée grand public adoptée spontanément par une équipe traduit fréquemment un outil interne jugé inutilisable sur mobile.
Traité sous cet angle, le recensement devient une source d’information sur le fonctionnement réel de l’entreprise, bien plus fiable qu’un questionnaire de satisfaction sur les outils. Les usages parallèles indiquent précisément où l’équipement officiel échoue, et ils permettent d’orienter les prochains investissements sur des manques constatés plutôt que sur des priorités supposées.
Le cas particulier de l’IA générative
Ce point mérite un traitement distinct, parce qu’il progresse plus vite que les règles internes et parce qu’il ne ressemble pas aux usages habituels.
L’interdiction pure est ici particulièrement contre-productive : l’outil est accessible depuis n’importe quel navigateur ou téléphone, et son utilité est réelle. La position tenable consiste à définir ce qui peut être soumis et ce qui ne le peut pas, à orienter vers des offres professionnelles dont les conditions d’utilisation des données sont contractuellement claires, et à former les équipes sur ce point précis plutôt que de compter sur une charte que personne ne relit.
Un sujet de gouvernance, pas de police
Le Shadow IT ne se supprime pas, il se réduit et se canalise. Une entreprise qui a recensé ses usages, officialisé ce qui pouvait l’être et posé des règles compréhensibles conserve une visibilité suffisante pour piloter, même s’il subsistera toujours des usages non déclarés.
C’est un travail que nous intégrons aux missions de conseil sur les systèmes et logiciels, aux côtés de la sensibilisation à la cybersécurité qui traite le volet humain, et de l’accompagnement RGPD lorsque la cartographie des données est en jeu.