Shadow AI en France : les RSSI alertent, mais la gouvernance des agents IA reste à la traîne

Shadow AI : la France en tête des usages non autorisés

La France affiche le niveau de confiance le plus faible concernant la supervision des agents IA. Dans le même temps, le Shadow AI s’installe durablement : 88% des répondants français constatent au moins une utilisation non autorisée de l’IA par leurs collaborateurs. Quand un usage est détecté, 24% se contentent de notifier les utilisateurs et de compter sur le respect des politiques internes, illustrant un décalage entre gouvernance et usages.

Moins d’un RSSI sur deux maîtrise ses agents IA

À l’échelle mondiale, la visibilité reste limitée : seuls 47% des CISO peuvent identifier tous les agents IA présents dans leur environnement, 46% contrôler ce à quoi leurs agents peuvent accéder et 45% déterminer précisément les actions autorisées. L’absence de visibilité complète sur les identités IA demeure la première barrière à la sécurité (48%), particulièrement critique aux États-Unis où 74% des CISO la citent comme obstacle majeur.

De plus, 81% se disent inquiets des accès excessifs accordés à l’IA. Les menaces les plus redoutées : le phishing alimenté par l’IA (61%), les agents malveillants (49%) et le contournement d’authentification par deepfake (45%).

Des agents IA encore gérés comme des identités humaines

La gouvernance reste fragmentée. 21% des organisations utilisent des identifiants partagés ou des comptes de service aux larges permissions pour gérer les accès des agents IA, tandis que 20% confient leur gestion aux équipes qui les ont déployés, sur une base ad hoc. A noter qu’un CISO sur quatre traite les agents IA exactement comme les identités humaines, alors même que ces agents interagissent de manière autonome avec plusieurs applications.

Les priorités critiques identifiées par les CISO : maintenir le contrôle total sur qui a accès aux agents (29%), la découverte des agents (20%) et la gestion des credentials (20%). Parallèlement, les contraintes budgétaires et d’effectifs (39%) et les silos entre équipes IA et sécurité (33%) compliquent la mise en place des contrôles nécessaires.

Des approches très différentes selon les pays

L’étude révèle des niveaux de maturité contrastés. Le Royaume-Uni semble comme le plus avancé : 36% déclarent disposer d’une gouvernance avancée et entièrement automatisée des agents IA. Aux États-Unis, la compromission inquiète : 84% des CISO se disent très ou extrêmement préoccupés par les attaques facilitées par l’IA, mais seuls 12% sont totalement alignés avec leur direction et leur conseil d’administration sur le niveau de risque IA acceptable.

Au Japon, le point de fragilité concerne la gouvernance des identités : 12% des CISO ne disposent d’aucune approche cohérente pour gouverner les identités des agents IA, soit deux fois la moyenne mondiale. En Allemagne, 58% des organisations restent dans les catégories « developing » ou « reactive », malgré une confiance déclarée élevée. Enfin, au Canada, 65% des CISO identifient l’absence de standards industriels comme le principal obstacle à la sécurisation de l’entreprise agentique.

Maturité et exposition au Shadow AI : un lien direct

Le niveau de maturité en gouvernance semble directement corrélé à l’exposition au Shadow AI : 25% des organisations classées « réactives » déclarent un niveau important de Shadow AI, contre 13% en moyenne. Les organisations les plus avancées disposent de capacités de réponse plus rapides : 50% peuvent révoquer l’accès d’un agent compromis en quelques minutes, contre 26% en moyenne.

Plus préoccupant, 18% en phase réactive ne peuvent pas identifier ou arrêter les agents malveillants du tout, une situation qui ne se rencontre dans aucune organisation de niveau avancé.

L’identité, nouveau périmètre de sécurité

La sécurité de l’IA agentique ne peut plus reposer uniquement sur des politiques d’usage ou la détection d’outils non autorisés : elle doit intégrer une gouvernance spécifique des identités, des permissions et du cycle de vie des agents.

À l’échelle mondiale, seuls 31% des CISO sont totalement alignés avec leur direction et leur conseil d’administration sur le niveau acceptable de risque IA.

Pour les entreprises françaises, le défi est donc double : accompagner l’adoption de l’IA tout en construisant les mécanismes permettant de contrôler les agents qui agissent au nom de l’entreprise.

Source : Rapport Global CISO Insights 2026 OKTA – Auprès de 306 CISO, responsables de la cybersécurité et dirigeants chargés de la gestion des risques cyber. Royaume-Uni (33 %), Japon (24,8 %), États-Unis (14,1 %), France (11,1 %), Canada (8,5 %) et Allemagne (8,5 %). Données recueillies et finalisées en juin 2026 avec le cabinet de recherche Apprize360 Intelligence.

Ressources complémentaires sur iTPro.fr

La visibilité des données, rempart ultime aux dérives du « Shadow AI »

Communication d’entreprise à l’ère de l’IA : fragmentation, Shadow AI et perte de contrôle