Par Olivia Dubois
·
20 mars 2026
Le Shadow IT (ou « informatique fantôme ») désigne l'ensemble des technologies, logiciels, applications et services informatiques utilisés au sein d'une organisation sans l'approbation, la connaissance ou la supervision du département informatique (DSI).
Le terme englobe aussi bien les applications SaaS souscrites directement par les métiers (sans passer par les achats IT), que les outils gratuits utilisés par les collaborateurs à titre individuel, ou encore les ressources cloud provisionnées en dehors des processus officiels.
Le Shadow IT prend de nombreuses formes au quotidien :
Le Shadow IT n'est pas un acte de malveillance. Il naît de besoins légitimes :
Les données sensibles (clients, contrats, code source, données financières) circulent sur des plateformes non auditées, hors du périmètre de sécurité de l'entreprise. En cas de faille, l'entreprise n'a aucun levier de réponse.
Le RGPD impose de connaître et de documenter tous les traitements de données personnelles. Les réglementations NIS2 et DORA exigent une cartographie complète des fournisseurs TIC. Le Shadow IT rend ces obligations impossibles à respecter.
Les abonnements SaaS non centralisés génèrent des redondances (plusieurs outils pour le même usage), des licences inutilisées, et des négociations contractuelles sous-optimales. Selon les données d'Avanoo, les entreprises découvrent en moyenne 8,65 fois plus d'outils que ce qu'elles pensaient utiliser.
Les outils non gérés ne bénéficient pas des mises à jour de sécurité, des sauvegardes, ni du support IT. Un outil abandonné par son éditeur peut paralyser un processus métier critique.
La première étape est de rendre visible l'invisible. Des plateformes comme Avanoo combinent plusieurs sources de détection (SSO, proxy, extension navigateur, facturation) pour fournir un inventaire complet des applications utilisées.
Chaque application découverte doit être évaluée : type de données traitées, localisation de l'hébergement, politique de confidentialité, niveau de risque. La classification permet de prioriser les actions.
Plutôt qu'interdire, encadrer. Trois catégories : approuvé, encadré (usage limité avec restrictions), interdit (avec alternative proposée). La transparence des politiques réduit les contournements.
Si les collaborateurs contournent les outils officiels, c'est souvent parce qu'ils ne répondent pas à leurs besoins. Proposer des alternatives validées et adaptées réduit naturellement le Shadow IT.
Le Shadow IT n'est pas un problème qu'on résout une fois. De nouveaux outils apparaissent chaque semaine. Un suivi analytique continu est indispensable.
Le Shadow AI est une forme spécifique et émergente du Shadow IT qui concerne les outils d'intelligence artificielle. Il se distingue par sa vélocité d'adoption, la difficulté de détection (outils gratuits, web-based), et les risques spécifiques liés à l'entraînement des modèles sur les données saisies.
Shadow AI Expert & Chief AI Officer
Olivia Dubois est Shadow AI Expert et Chief AI Officer chez Avanoo. Diplômée d'HEC Paris et ancienne consultante chez BCG, elle accompagne les entreprises dans la détection et la gouvernance du Shadow AI et du Shadow IT.
Découvrez comment Avanoo peut cartographier votre paysage SaaS et IA, réduire les risques et optimiser les coûts. Une plateforme fiable avec un accompagnement humain dédié.
