Consentements OAuth, logs DNS, relevés de carte, scans de dépôts : les méthodes qui font vraiment apparaître l'IA non déclarée, leurs angles morts, leur ordre.
Il y a un moment précis que j'ai appris à guetter en réunion de cadrage. Quelqu'un d'assez haut placé annonce que l'entreprise « évalue encore l'IA, rien n'est en production ». Puis la finance exporte douze mois de transactions par carte, et des fournisseurs d'IA apparaissent sur le relevé. Puis l'administrateur des identités ouvre la liste des applications d'entreprise, et on y trouve des consentements OAuth accordés à des applications que personne dans la salle ne sait nommer. Cet écart n'est pas un problème de discipline. C'est un problème de mesure, et il a un prix. Le Cost of a Data Breach Report 2025 d'IBM établit que 20 % des organisations victimes d'une violation dans l'échantillon avaient subi un incident de sécurité impliquant du shadow AI, et que 11 % de plus ne savaient pas si c'était le cas. Le shadow AI entre pour la première fois dans le trio…