Shadow AI : les RSSI français en retard sur la gouvernance de l’IA agentique

Okta publie les résultats français de son rapport Global CISO Insights 2026, mené auprès de 306 CISO et responsables cybersécurité dans six marchés. En France, 88 % des répondants ont détecté au moins un usage non autorisé de l’IA (Shadow AI) au sein de leur organisation, tandis que le pays affiche, parmi les marchés étudiés, le niveau de confiance le plus faible quant à la capacité à superviser ses agents IA. L’étude documente un décalage croissant entre la vitesse d’adoption de l’IA agentique en entreprise et la maturité des dispositifs de gouvernance censés l’encadrer.

À l’échelle mondiale, moins d’un CISO sur deux affirme disposer d’une vue complète sur son environnement IA : 47 % déclarent pouvoir identifier tous les agents IA déployés, 46 % contrôler ce à quoi ils accèdent, et 45 % déterminer précisément les actions que chaque agent est autorisé à effectuer. Cette absence de visibilité est identifiée comme le premier obstacle à la sécurité (48 % des répondants), un chiffre qui grimpe à 74 % aux États-Unis. Les conséquences de ce déficit de contrôle se traduisent concrètement en France. Ainsi, lorsqu’un usage non autorisé de l’IA est détecté, 24 % des organisations se limitent à notifier l’utilisateur concerné et à compter sur le respect des politiques internes — une réponse qui relève davantage de la sensibilisation que du contrôle technique.

Les menaces les plus redoutées par les CISO restent centrées sur l’exploitation malveillante de l’IA elle-même : phishing généré par IA (61 %), agents IA malveillants (49 %) et contournement d’authentification par deepfake (45 %). Ce classement traduit une inquiétude qui dépasse le seul cadre du Shadow AI pour englober l’usage de l’IA comme vecteur d’attaque à part entière.

Des agents IA encore gérés avec les outils conçus pour les identités humaines

L’étude pointe par ailleurs un problème structurel. En effet, un CISO sur quatre traite ses agents IA exactement comme des identités humaines, alors que ces agents interagissent avec plusieurs applications, accèdent à des données et exécutent des actions de façon autonome, un profil de risque que les outils traditionnels de gestion des identités et des accès (IAM) ne sont pas conçus pour couvrir. Dans la pratique, 21 % des organisations gèrent encore les accès de leurs agents via des identifiants partagés ou des comptes de service aux permissions larges, et 20 % en confient la gestion aux équipes qui les déploient, sur une base ad hoc plutôt que centralisée.

Les priorités identifiées par les CISO pour combler ce vide (contrôle total sur les accès aux agents, découverte automatisée des agents, gestion des credentials) correspondent précisément aux fonctionnalités que les solutions IAM héritées ne couvrent généralement pas. Deux freins organisationnels ralentissent la mise en place de ces contrôles : les contraintes budgétaires et d’effectifs (39 %) et les silos persistants entre équipes IA et équipes sécurité (33 %).

La maturité de gouvernance conditionne directement le temps de réaction

L’étude établit une corrélation claire entre niveau de maturité et exposition au risque. Les organisations classées en phase « réactive » déclarent un niveau important de Shadow AI dans 25 % des cas, contre 13 % en moyenne. À l’inverse, les organisations les plus avancées peuvent révoquer l’accès d’un agent compromis en quelques minutes dans 50 % des cas, contre 26 % en moyenne, un écart significatif face à des systèmes IA capables d’agir à grande vitesse. Plus préoccupant, 18 % des organisations en phase réactive ne peuvent tout simplement pas identifier ou arrêter un agent malveillant, une situation absente chez les organisations les plus matures.

Les comparaisons internationales confirment des trajectoires très inégales : le Royaume-Uni se distingue avec 36 % d’organisations disposant d’une gouvernance avancée et automatisée des agents IA, quand l’Allemagne affiche un paradoxe inverse, à savoir une confiance élevée des CISO dans leur capacité de supervision, mais 58 % des organisations classées dans les catégories « developing » ou « reactive » et une vulnérabilité déclarée au phishing IA de 81 %.

Pour Okta, ce décalage entre confiance et maturité réelle, également visible en France, signale que la sécurisation de l’IA agentique ne peut plus reposer sur des politiques d’usage : elle nécessite une gouvernance dédiée des identités, des permissions et du cycle de vie des agents, un chantier qui, à l’échelle mondiale, ne fait l’objet d’un alignement complet entre CISO et direction générale que dans 31 % des organisations.

Source: InfoDSI