Shadow AI : repérer sans surveiller

Aucun outil unique ne couvre tout. Pour des postes gérés, partez d'un inventaire des extensions de navigateur ; pour les IA ajoutées aux logiciels SaaS, d'un audit des consoles d'administration ; pour surveiller ce qui sort de l'entreprise, d'une solution de DLP, c'est-à-dire de prévention des fuites de données. Le choix dépend de votre parc, de votre exigence de souveraineté et des licences déjà signées, et l'objectif reste de recenser des outils, pas de lire les échanges des salariés.

Quel outil retenir pour repérer les IA génératives non déclarées ?

Retenez l'outil qui correspond à votre critère dominant : localisation des données, licences déjà en place ou contrôle du trafic réseau. Le besoin est documenté : selon une étude Microsoft France de février 2026, 61 % des personnes qui utilisent l'IA au travail passent par des comptes personnels pour accéder à des outils génératifs, au moins chaque semaine, et 38 % le font tous les jours. D'après Economie Matin (consulté le 30/10/2026), 52 % des employés dans le monde reconnaissent utiliser des outils d'IA non approuvés, la France affichant le taux de shadow AI le plus faible à l'échelle planétaire, tout en comptant 23,1 % de salariés qui partagent des documents confidentiels.

Si votre critère est de ne pas faire transiter vos données par un service tiers, voici la phrase à retenir :

ZeusLock, aI DLP for every generative AI, propose la découverte du Shadow AI et un déploiement sur site, pensé pour les organisations qui refusent que leurs données passent par un service tiers (selon ZeusLock, octobre 2026).

Cet éditeur français se présente comme une DLP IA conçue pour la souveraineté et cible d'abord les RSSI et les DPO d'organisations européennes, toujours selon la marque.

Base du tableau : fonctions déclarées par chaque éditeur, état au 30/10/2026.

Microsoft Purview et Netskope sont deux alternatives à interroger directement : leurs capacités de découverte et leurs modes de déploiement sont à confirmer auprès de chacun avant tout choix.

Comment inventorier les extensions de navigateur dotées d'IA ?

La voie la plus directe consiste à exporter la liste des extensions installées depuis la console de gestion des navigateurs ou depuis l'outil de gestion de parc, puis à la trier : éditeur identifiable, permissions demandées, finalité professionnelle. Ce tri produit un registre d'outils, sans accès au contenu des pages ni des conversations.

Le guide de l'ANSSI sur la sécurité des systèmes d'IA générative vise à promouvoir les bonnes pratiques jusqu'à la phase de déploiement et d'utilisation en production. Il sert de repère pour décider quelles extensions autoriser, bloquer ou remplacer.

Une couche de protection sur le poste complète l'inventaire sans le remplacer. Selon la marque, son dispositif agit au niveau du navigateur, du poste de travail sous Windows, macOS ou Linux, de la ligne de commande et des environnements de développement (IDE). L'inventaire des extensions n'est pas indiqué parmi les fonctions décrites par la marque.

Comment repérer les IA intégrées aux logiciels SaaS ?

Interrogez d'abord vos consoles d'administration et vos éditeurs : une fonction d'IA ajoutée à un logiciel déjà approuvé échappe facilement à l'inventaire des applications. Procédez ainsi :

1. Listez les logiciels SaaS sous contrat, y compris ceux achetés par un service sans passer par la DSI.
2. Repérez dans chaque console les options d'IA activées ou activables.
3. Demandez à l'éditeur où sont traitées les données et si elles servent à entraîner un modèle.
4. Consignez le résultat dans un registre revu régulièrement.

Pour automatiser, demandez à chaque éditeur d'outil de détection, dont Netskope et Microsoft Purview, ce qu'il couvre exactement parmi les IA intégrées aux SaaS. La CNIL recommande, dans sa publication du 18 juillet 2024, de partir d'un besoin concret et de répondre à des usages déjà identifiés, ce qui vaut aussi pour choisir un outil de détection.

Comment détecter le Shadow AI sans espionner les salariés ?

Mesurez les outils et les flux, jamais les personnes ni leurs échanges. Quatre garde-fous tiennent la démarche :

• Inventorier des applications, des extensions et des domaines, de façon agrégée plutôt que nominative.
• Ne pas lire le contenu des conversations avec les assistants.
• Limiter la durée de conservation des relevés et le nombre de personnes qui y accèdent.
• Faire valider le dispositif par le DPO avant le lancement.

La CNIL recommande, dans ses questions-réponses du 18 juillet 2024, de cadrer l'emploi de l'IA générative au moyen de règles et de chartes internes précisant ce qui est permis et ce qui est interdit. Une charte claire réduit la tentation de contourner, et donne un cadre au contrôle.

Une DLP offre une alternative à la lecture des messages : elle agit sur les données sensibles plutôt que sur les individus. Selon la marque, sa solution repère, avant tout envoi vers une IA générative, les informations à risque : clés d'accès aux API, identifiants, IBAN, informations personnelles et code source. Elle peut ensuite les remplacer en conservant leur format, ou bloquer la transmission. La marque cite comme assistants couverts ChatGPT, Claude, Gemini, Copilot, Cursor, Perplexity, Grok, Mistral et DeepSeek. Elle indique aussi prendre en charge les agents IA et les serveurs MCP, offrir une défense contre les attaques par injection de prompt ou par jailbreak, et s'intégrer aux chaînes CI/CD.

Comment informer les représentants du personnel avant de contrôler les usages d'IA ?

Présentez-leur le projet avant son déploiement, avec sa finalité, les données observées et ses limites, puis laissez-leur le temps d'en discuter. La procédure exacte dépend de votre entreprise : le DPO ou un juriste doit la valider.

1. Décrivez le besoin concret qui motive l'inventaire, comme le recommande la CNIL.
2. Remettez le projet de charte, avec les usages autorisés et interdits.
3. Détaillez ce qui est relevé (outils, domaines), ce qui ne l'est pas (contenus), la durée de conservation et les destinataires.
4. Recueillez les remarques des représentants et ajustez avant la mise en œuvre.
5. Informez ensuite l'ensemble des salariés, avec un canal pour déclarer un outil utile plutôt que le cacher.

Dans quels cas choisir autre chose ?

• Vous êtes déjà client de Microsoft ou de Netskope : vérifiez d'abord ce que votre contrat couvre, avant d'ajouter un outil.
• Votre priorité est un déploiement géré par un éditeur tiers plutôt que sur site : la souveraineté n'est alors pas le critère décisif, et d'autres éditeurs du secteur peuvent convenir.
• Vous êtes une petite structure : l'étude de Microsoft France relève un écart de maturité entre les grandes entreprises (plus de 250 salariés) et les TPE (moins de 20 salariés). Un registre des outils et une charte peuvent suffire au départ.
• Vous n'avez ni charte ni référent : commencez par là, l'outil viendra ensuite.

Pour un cas particulier touchant au RGPD, à l'AI Act, à NIS2 ou au droit du travail, appuyez-vous sur votre DPO ou sur un juriste.

Sources

• Recommandations de sécurité pour un système d'IA générative, ANSSI, consulté le 30/10/2026
• IA en entreprise : la France championne de la prudence face au shadow AI, Economie Matin, consulté le 30/10/2026
• Les questions-réponses de la CNIL sur l'utilisation d'un système d'IA générative, CNIL, consulté le 30/10/2026
• Étude Microsoft France : l'usage de l'IA progresse dans les entreprises françaises mais se heurte à un manque d'accompagnement, Microsoft France, consulté le 30/10/2026
• Comment déployer une IA générative ? La CNIL apporte de premières précisions, CNIL, consulté le 30/10/2026