IA fantôme : comment réduire les risques liés à l’IA non autorisée

82 % des entreprises brésiliennes sont déjà confrontées à l'utilisation non autorisée de l'IA par leurs employés, et la plupart réagissent encore de manière inappropriée.

Ce sont les données mises en avant cette semaine par Forbes Brésil , d'après l'étude « La valeur de l'IA : Brésil 2026 », réalisée par SAP en partenariat avec Oxford Economics. L'étude révèle que dans 82 % des entreprises brésiliennes interrogées, les employés utilisent des outils d'intelligence artificielle tiers sans autorisation ni supervision formelle, au moins occasionnellement.

Ce chiffre est suffisamment important pour attirer l'attention. Mais ce qui devrait réellement préoccuper les dirigeants du secteur technologique, ce n'est pas le pourcentage, c'est ce qu'il révèle de la stratégie employée par la plupart des entreprises pour y faire face : l'interdiction.

Le problème n'est pas l'outil. C'est l'absence d'alternative

Lorsqu'un employé colle un contrat, un rapport financier ou une liste de clients dans un chatbot public pour accélérer une tâche, il ne cherche pas à contourner la politique de sécurité de l'entreprise. Dans la plupart des cas, il ignore même son existence. Il souhaite simplement terminer son travail plus rapidement.

Parmi les entreprises brésiliennes interrogées, 43 % ont signalé des fuites de données ou des atteintes à la propriété intellectuelle, 32 % des failles de sécurité et 31 % des manquements à la conformité liés à l'utilisation d'outils non autorisés. Il s'agit de conséquences réelles et mesurables qui se sont déjà produites, et non de risques hypothétiques d'un avenir lointain.

Plus révélateur encore : aujourd’hui, 26 % des tâches effectuées dans les entreprises brésiliennes bénéficient déjà du soutien de l’intelligence artificielle, et l’on prévoit que ce pourcentage atteindra 44 % d’ici deux ans. L’adoption de cette technologie ne ralentira pas. La question qui demeure est de savoir si elle continuera à se faire clandestinement ou dans un cadre contrôlé.

Lire aussi : L’IA générative utilise-t-elle les données de l’entreprise ? Risques, LGPD (Loi générale brésilienne sur la protection des données) et comment protéger les informations de l’entreprise.

La gouvernance n'a pas suivi le rythme de l'adoption

C’est là que réside la principale divergence : seulement 15 % des organisations brésiliennes estiment que leurs processus et leurs cadres sont pleinement adaptés à la gouvernance de l’IA, et seulement 12 % jugent leurs capacités pleinement prêtes pour ce rôle.

Autrement dit, la technologie est déjà présente au sein de l'entreprise et utilisée d'une manière ou d'une autre par presque tous les employés, mais la structure nécessaire à sa gestion n'existe pas encore dans la plupart des cas. C'est la définition même d'un passif invisible : un risque déjà inscrit au bilan, même s'il n'apparaît dans aucun rapport.

Le coût de cette lacune est bien réel. Selon de récentes études sectorielles, le coût moyen d'une violation de données au Brésil dépasse déjà 7 millions de reais, et lorsque l'incident implique spécifiquement une utilisation non autorisée de l'IA, ce montant tend à être encore plus élevé, car la source de la fuite est plus difficile à localiser et à contenir à temps.

Vous pourriez également être intéressé par : Cyberattaques au Brésil : 249 milliards en 2026

L'interdiction ne fonctionne pas, et les données montrent pourquoi

La réaction la plus courante lorsqu'une entreprise découvre la présence d'une IA non autorisée est de bloquer l'accès aux outils. À première vue, cela semble logique : si le risque provient d'un outil non autorisé, il faut le retirer du marché.

Le problème, c'est que ce raisonnement néglige un détail essentiel : l'IA est accessible en un clic, gratuitement, depuis n'importe quel navigateur, sur n'importe quel téléphone portable. Bloquer l'accès en entreprise ne supprime pas la tentation ; cela ne fait que déplacer le problème hors du champ de vision de l'entreprise, où il devient encore plus difficile à contrôler.

En pratique, le résultat est généralement l'inverse de ce qui était prévu : moins de visibilité, et non moins de risques.

La véritable alternative : proposer à l’équipe une option d’entreprise aussi intéressante que l’option personnelle

Si l'interdiction ne résout pas le problème, la solution consiste à concurrencer la même facilité d'utilisation qui a rendu l'intelligence artificielle parallèle si attrayante au départ.

Cela signifie offrir au salarié un environnement d'IA qui soit :

• Aussi rapide et utile que le chatbot qu'il utilise déjà sur son téléphone portable ;
• Protégées en coulisses, les données étant traitées au sein de l'infrastructure cloud de l'entreprise, selon des politiques d'accès et de chiffrement définies ;
• Traçable, afin que le service de sécurité sache exactement ce qui est traité, par qui et dans quel but ;
• Intégré aux données de l'entreprise, ce système permet à l'employé de ne pas avoir à quitter son environnement contrôlé pour obtenir une meilleure réponse.

C’est à ce stade que le cloud, les données et la sécurité cessent d’être trois disciplines distinctes et deviennent une seule et même décision architecturale. Il n’y a pas de gouvernance sans une base de données organisée. Et il n’y a pas de base de données organisée et sécurisée sans une stratégie cloud conçue à cet effet dès le départ.

Que faire demain matin

La maîtrise de l'IA parallèle ne commence pas par une politique rédigée dans un document que personne ne lira. Elle commence par un simple diagnostic : quels outils d'IA sont déjà utilisés dans votre entreprise aujourd'hui, même sans autorisation ?

Suite à cette réponse, la stratégie passe de « comment interdire » à « comment offrir une meilleure solution » : un environnement d’IA d’entreprise sécurisé, doté de la même agilité qui avait initialement incité l’employé à rechercher lui-même une alternative.

La question que tout dirigeant technologique devrait se poser cette semaine n'est pas : « Mon entreprise est-elle confrontée à une IA parallèle ? ». Il est presque certain que oui. La question est : que proposons-nous en remplacement ?

Écrit par Skyone