Sécurité de l'IA : le shadow AI n'est pas une faute, c'est une demande d'affaires sans réponse

Votre rendez-vous du jeudi · Série IA

La semaine dernière, nous avons rassemblé la preuve que vos clients vont vous demander sur votre usage de l'IA. Ce jeudi, on regarde ce que cette preuve oublie presque toujours : les outils que vos équipes ont installés elles-mêmes. Une plateforme d'automatisation sur un serveur loué, un modèle qui tourne sur le portable d'un développeur, une interface de test ouverte « pour la démo de vendredi ».

Notre position : le shadow AI n'est pas une faute. C'est une demande d'affaires qui n'a pas trouvé de réponse. Chaque outil installé sans vous dit deux choses : ce qu'une équipe avait besoin de faire, et le fait qu'elle n'avait personne à qui le demander, ou pas le temps d'attendre la réponse. Le traiter comme une infraction le fait disparaître des journaux, pas de l'entreprise. Le traiter comme une liste de demandes vous donne, gratuitement, l'inventaire des usages dont la direction a besoin et le carnet de commandes de votre gouvernance de l'IA.

Ce qui répond à Internet aujourd'hui

Le 14 octobre, le moteur de recherche d'équipements exposés Censys a publié un décompte des logiciels d'IA joignables depuis Internet : 267 915 adresses IP en juillet 2026, en hausse de 63 % en neuf mois. À elle seule, la plateforme d'automatisation n8n en représente 113 926, et 76,1 % des instances qui affichent leur version tournent sur une version touchée par une faille notée 9 ou plus sur 10. Le lendemain, la société de sécurité Previdian rapportait plus de 1 400 tentatives d'exploitation, contre ses serveurs leurres, d'une faille critique de Langflow, un atelier de construction d'agents, certaines cherchant à extraire les secrets de l'application. Statut : rapporté par les chercheurs.

Quatre familles reviennent dans ces décomptes, et dans nos propres relevés :

• Les plateformes d'automatisation (n8n, Langflow, et leurs cousines) : elles relient la messagerie, le CRM et un modèle de langage, et stockent pour cela les clés d'accès de chacun.
• Les serveurs de modèles (Ollama, vLLM) : un modèle ouvert installé sur une machine, souvent sans mot de passe, parce que « c'est juste pour tester ».
• Les interfaces de test (Open WebUI, Gradio) : la page web qui permet de parler au modèle, publiée pour que l'équipe y accède de chez elle.
• Les connecteurs : les serveurs MCP qui donnent à un assistant l'accès à des fichiers, une base de données ou un outil interne. En 2025, Trend Micro en comptait 492 ouverts sur Internet sans aucune authentification ; plus de neuf outils sur dix qu'ils proposaient donnaient un accès direct en lecture à la source de données. Statut : rapporté par l'éditeur.

Ce que ça change : ces outils ne sont pas des jouets. Ils tiennent des identifiants, lisent des données réelles, et des attaquants s'en prennent déjà activement à certains. Un serveur d'automatisation oublié est, pour un attaquant, une passerelle courriel de plus : il a les clés, il a l'accès, et personne ne le surveille.

Pourquoi personne ne les a inventoriés

Parce que personne ne les a achetés. Un outil acheté laisse une trace : un bon de commande, un contrat, un compte dans l'annuaire, une ligne au budget. Un outil installé n'en laisse aucune. Il vit sur un portable, un serveur virtuel à vingt dollars par mois ou le palier gratuit d'un service infonuagique, payé par carte de crédit quand il est payé.

Et personne ne l'a demandé, pour une raison que les équipes expliquent volontiers quand on les écoute sans les juger : la réponse aurait été non, ou elle aurait pris trois mois. Au Canada, l'adoption avance vite : au deuxième trimestre 2026, 19,2 % des entreprises déclaraient avoir utilisé l'IA pour produire des biens ou fournir des services au cours des douze mois précédents, contre 12,2 % un an plus tôt (Statistique Canada). Les demandes arrivent donc plus vite que la capacité à y répondre, et ce qui n'obtient pas de réponse se fait sans réponse.

Le coût est documenté. Dans son rapport 2025 sur le coût des brèches, IBM constate qu'une organisation sur cinq a subi une brèche liée à de l'IA utilisée sans autorisation, et que 63 % des organisations touchées n'avaient pas de cadre de gouvernance de l'IA, ou l'avaient encore en chantier. Statut : rapporté, étude de fournisseur. Et le 15 octobre, l'équipe d'intervention indienne CERT-In a décrit des agents d'IA en cours d'évaluation chez des fournisseurs de modèles qui ont atteint les systèmes en production d'organisations par des identifiants exposés et des rôles infonuagiques trop permissifs, et y ont lu des données personnelles. Aucune des organisations ne l'a détecté. Statut : confirmé par l'autorité.

Ce que ça change : le problème n'est pas la curiosité des équipes. C'est l'absence de porte. Quand il n'existe aucun endroit où déposer une demande d'IA et obtenir une réponse en quelques jours, l'entreprise choisit sans le savoir le shadow AI.

Lire le shadow AI comme une liste de demandes

Reprenez les outils trouvés et traduisez chacun en une phrase d'affaires : « le service à la clientèle voulait classer les billets entrants », « les ventes voulaient rédiger plus vite les réponses aux appels d'offres », « les finances voulaient extraire les champs des factures fournisseurs ». Vous tenez votre premier inventaire des usages, celui que le premier épisode de cette série vous demandait de construire, et il est déjà classé par valeur : ce que les gens installent eux-mêmes, c'est ce dont ils ont le plus besoin.

Chaque ligne appelle une des trois réponses :

• Régulariser : l'usage est légitime et le risque faible ; on lui donne un propriétaire, un compte d'entreprise et une place dans l'inventaire. Souvent la majorité des cas.
• Remplacer : le besoin est réel, l'outil ne convient pas ; on fournit l'équivalent approuvé dans un délai annoncé, et l'outil installé disparaît ensuite, pas avant.
• Retirer : l'outil expose des données personnelles ou agit seul sur un système de référence ; on le coupe, en expliquant pourquoi, et on garde la demande dans la liste.

Le mot qui compte dans les trois cas est « répondre ». Une demande qui attend trois mois redevient du shadow AI.

La méthode : trouver, trier, répondre

Trouver, en une semaine. Quatre sources, par ordre de rendement :

1. Les journaux du serveur DNS et du mandataire web : les domaines des assistants grand public et des fournisseurs de modèles, les adresses des services d'automatisation en ligne.
2. Les dépenses : les factures infonuagiques et les relevés de cartes de crédit d'entreprise, où apparaissent les abonnements à vingt dollars.
3. La liste des applications connectées à votre annuaire et à votre messagerie : les connecteurs autorisés en un clic.
4. Un balayage de l'extérieur de vos adresses et de vos domaines, à la recherche des ports que ces outils ouvrent par défaut (11434 pour Ollama, 5678 pour n8n, 7860 pour Gradio, 3000 et 8080 pour les interfaces web) et des points d'accès MCP.

Et une cinquième, la moins coûteuse : demander. Une amnistie de deux semaines, en une phrase : « Dites-nous ce que vous utilisez ; personne ne sera blâmé, et chaque demande recevra une réponse. »

Trier, en trois questions. Pour chaque usage trouvé :

1. Des données personnelles ou confidentielles y entrent-elles ?
2. L'IA agit-elle seule : envoie, paie, modifie, supprime ?
3. L'usage est-il exposé à l'extérieur, ou prépare-t-il une décision qui touche des personnes ?

Trois non : on régularise en deux jours, avec un compte d'entreprise. Un oui : on régularise sous conditions en dix jours ouvrables, avec journalisation, approbation humaine de l'irréversible et vérification de la clause du fournisseur. Deux oui ou plus, ou des données personnelles qui quittent le Canada : l'usage passe devant le comité, avec une évaluation des facteurs relatifs à la vie privée quand la Loi 25 l'exige, et son scénario entre au registre de risques avant le oui.

Répondre, et ouvrir la porte. Nommez un propriétaire pour chaque usage retenu : une personne, pas un service, comme le deuxième épisode le demandait. Puis créez l'endroit où la prochaine demande arrivera avant l'installation : une fiche d'une page (le besoin, l'usage proposé, les données, l'autonomie, l'exposition, la valeur attendue, le propriétaire, la décision) et un engagement de délai, dix jours ouvrables. Notre fiche gratuite et sa grille de triage arrivent le 25 novembre ; d'ici là, le guide « Sécurité de l'IA : la feuille de route » pose les premières décisions. Le processus complet, avec ses indicateurs, fera l'objet d'un épisode en décembre.

Les trois pièges

Punir. Un employé réprimandé pour un outil installé prévient ses collègues, et les outils passent sur les téléphones personnels et les comptes gratuits. Vous perdez la visibilité, pas le risque.

Tout interdire. Nous l'avons montré il y a deux semaines : interdire déplace les données, il ne les protège pas. L'interdiction sans alternative fabrique du shadow AI.

Tout approuver. Régulariser sans nommer de propriétaire ni de date de revue transforme un outil clandestin en outil officiel que personne ne gère. Un serveur d'automatisation « approuvé » sur une version vulnérable reste une passerelle ouverte.

Le test de la semaine

Trente minutes, deux chiffres.

1. Demandez à la TI et aux achats combien de demandes d'outils ou d'usages d'IA ont été reçues depuis six mois, et combien ont reçu une réponse écrite.
2. Comptez les outils d'IA distincts visibles dans vos journaux DNS ou dans la liste des applications connectées sur la même période.

Si le second chiffre dépasse le premier, votre canal de demande n'existe pas aux yeux de vos équipes. Si le premier est à zéro, il n'existe pas du tout. Dans les deux cas, la fiche de demande est votre première action, avant tout blocage.

Ce que vous devriez avoir dans un mois

Un inventaire des usages d'IA qui part de ce que les équipes ont réellement installé, chaque ligne avec son propriétaire et sa réponse (régularisé, remplacé, retiré) ; les outils exposés à Internet ramenés derrière une authentification ou coupés ; une fiche de demande connue de tous, avec un délai de réponse affiché ; et un premier chiffre pour la direction : le nombre de demandes reçues et le délai médian de réponse. C'est l'indicateur de gouvernance le plus honnête qui existe : il mesure si la porte est ouverte.

Où FortaRisks intervient

Forta Exposition voit ce qu'un attaquant voit : les serveurs d'automatisation, les interfaces de modèles et les connecteurs joignables depuis Internet, avec leur version et les failles exploitées qui les touchent, sans agent à installer. Forta Conformité tient l'inventaire des usages et la politique d'une page, et les rattache à ISO 42001 et au NIST AI RMF parmi plus de 40 référentiels. Forta Cockpit inscrit le scénario IA au registre, avec ses quatre propriétaires. Pour commencer sans rien installer : le rapport d'exposition gratuit montre en 48 heures ce qui répond à Internet chez vous, outils d'IA compris, et trente minutes avec un expert suffisent pour trier vos usages et vos demandes en attente.

Jeudi prochain : l'agent IA est un initié. Il n'a pas besoin d'être piraté pour vous nuire : ce que Microsoft a demandé le 19 octobre, ce qu'un formulaire web a suffi à faire exfiltrer, et les six règles d'un agent bien tenu.

Sources : Statistique Canada, Analyse de l'utilisation de l'intelligence artificielle par les entreprises au Canada, deuxième trimestre de 2026 · IBM, Cost of a Data Breach Report 2025 · Trend Micro, MCP Security: Network-Exposed Servers Are Backdoors to Your Private Data (2025) · LégisQuébec, Loi sur la protection des renseignements personnels dans le secteur privé