Shadow IT 2.0 : La création de solutions d’IA en dehors du service informatique révèle les faiblesses de la gouvernance des données des entreprises

Panorama Vibe Coding Brasil indique que les principaux goulots d'étranglement sont la dispersion des données, les systèmes hérités et l'envoi d'informations à des serveurs externes

La popularisation de l'intelligence artificielle générative permet aux professionnels de différents secteurs de créer des automatisations, des applications, des tableaux de bord et des intégrations au sein des entreprises. Cependant, une grande partie de cette évolution se déroule en dehors des processus technologiques formels et sans règles claires concernant les données d'entreprise pouvant circuler dans ces outils. C'est ce que révèle l'étude Panorama Vibe Coding Brasil, menée par Skyone, une entreprise brésilienne spécialisée dans le cloud, les données, l'IA et la cybersécurité, en partenariat avec le groupe TNS. Les résultats ont été présentés le mardi 6 octobre lors d'un événement au siège de Skyone à São Paulo.

Sur les 1 971 participants, 50 % ont déclaré avoir déjà développé, à titre personnel ou au sein de leur entreprise, une solution de ce type sans projet informatique formel. Cette tendance est récente : 43 % des personnes interrogées affirment que cela s’est produit au cours des six derniers mois. Parmi ceux qui ont déjà créé une solution, 85,2 % l’ont fait sans intervention formelle du service informatique. Sur ce total, 51,1 % ont développé la solution seuls et 34,1 % avec leur équipe. Seuls 14,8 % ont bénéficié d’un soutien ponctuel du service informatique.

L'étude qualifie ce phénomène de « Shadow IT 2.0 », une extension du concept traditionnel de Shadow IT, lié à la sous-traitance de logiciels sans connaissance du domaine technique concerné. Avec le vibe coding, pratique consistant à créer des systèmes à partir d'instructions en langage naturel pour un outil d'IA, ce qui échappe désormais au contrôle informatique inclut également les applications développées par les employés eux-mêmes.

La présentation des résultats a été assurée par Julia Travaioli, Marcela Lahoz et Gabriella Busse, du département commercial et partenariats de Skyone. Julia Travaioli a rappelé que le terme « vibe coding » avait été élu mot de l'année 2025 par le dictionnaire Collins. Selon elle, la recherche appréhende ce terme comme un comportement, et non comme une technologie spécifique : le professionnel décrit le problème, l'IA écrit la majeure partie du code, et l'utilisateur teste et ajuste le résultat. D'après Julia, ce modèle rompt avec le schéma traditionnel où une demande se transforme en requête et reste bloquée dans la file d'attente du service technique. Ce qui prenait auparavant des semaines peut désormais être transformé en prototype en un après-midi.

D'après les données présentées, le marché mondial du codage vibratoire devrait atteindre environ 7 milliards de dollars américains en 2026 et 15 milliards de dollars américains en 2031, ce qui représente une croissance projetée de 17 % par an.

Marcela Lahoz a souligné que, pour près de la moitié des personnes interrogées, l'IA est déjà le principal outil de recherche d'informations au travail, devançant les moteurs de recherche traditionnels. Selon elle, ceux qui ont déjà développé leur propre solution sont deux fois plus susceptibles de consulter directement un modèle de langage à grande échelle (LLM).

Marcela a également remis en question l'idée que ce profil se concentre chez les jeunes du secteur technologique. Le taux de ceux qui ont déjà créé des solutions en dehors du service informatique atteint 62,7 % parmi les cadres dirigeants du secteur technologique, 57 % parmi les analystes et spécialistes, 55,1 % parmi les gestionnaires et coordinateurs, 51,8 % parmi les développeurs et 50,5 % parmi les dirigeants d'entreprise. Cette pratique est également plus fréquente dans les grandes organisations : 58,9 % des professionnels travaillant dans des entreprises de plus de mille employés ont déjà créé quelque chose de leur propre initiative, contre 40 % dans les entreprises de moins de 50 employés. Selon Marcela, cela rend les grandes entreprises plus susceptibles d'héberger des solutions non validées par le service informatique. L'étude n'explique pas les causes de cette différence.

Parmi ceux qui ont déjà développé des solutions, 52 % ont créé des automatisations de processus, 47,6 % des applications ou systèmes internes, 33 % des agents ou assistants IA, 18,7 % des intégrations de systèmes et 14,4 % des chatbots. La question autorisait plusieurs réponses.

Les recherches montrent que les règles d'utilisation des données d'IA en entreprise restent mal définies. 42,9 % des répondants indiquent que leur entreprise ne dispose d'aucune directive quant aux données utilisables par ces outils. 26,3 % font état de règles claires et formalisées, 18,6 % affirment que des directives existent mais sont mal communiquées, et 12,2 % ne savaient pas répondre.

L'adoption est également fragmentée. Pour 26,8 % des personnes interrogées, l'utilisation des outils est individuelle, sans directives officielles. 24,2 % indiquent que chaque service choisit ses propres solutions, sans standardisation, et 18,8 % travaillent dans des entreprises qui encouragent l'IA, mais sans lignes directrices définies. Seuls 25,1 % font état d'un encouragement formel assorti de règles claires.

Le profil d'adoption le plus important des trois identifiés, intitulé « création avec un accompagnement fragmenté », représente 42,7 % de l'échantillon. Dans ce groupe, 59,2 % ont déjà créé une solution, 60,9 % signalent un manque de directives concernant les données et 86,4 % des créations ont eu lieu sans intervention formelle du service informatique.

Selon Gabriella Busse, qui a animé la dernière partie de la présentation, l'agilité est bien réelle, mais sa rapidité rend difficile l'identification des autres personnes au sein de l'entreprise qui maîtrisent la solution et les informations saisies dans les outils d'IA. Elle s'est interrogée sur le devenir de ces applications et des données associées lorsque le professionnel qui les a créées quitte l'entreprise. Pour Gabriella, ce scénario complexifie et renchérit la gouvernance et la sécurité des informations. Elle a établi un lien entre cette évolution et les délais de réponse informatique : les personnes interrogées font état de délais de traitement des demandes allant de moins d'un jour à plus de deux semaines.

Felipe Wasserman, directeur marketing et croissance chez Skyone, estime que l'IA a abaissé les barrières à l'entrée pour le développement de solutions, permettant aux applications d'émerger et de se déployer à grande échelle avant même d'être soumises aux contrôles internes. Selon lui, lorsqu'un outil commence à accéder aux données de l'entreprise, à être utilisé par plusieurs personnes ou à prendre en charge un processus critique, le manque de visibilité devient un problème de gouvernance. Pour la direction, le risque ne réside pas dans l'expérimentation elle-même, mais dans le manque de visibilité sur les solutions déjà créées, leurs utilisateurs, les données qui circulent et les responsabilités en cas de dysfonctionnement.

Lors du débat qui a suivi la présentation, Rennan Sanchez, directeur technique de Skyone, a affirmé que l'organisation et la gouvernance des données constituent actuellement les principaux défis pour transformer l'expérimentation en IA en résultats concrets pour l'entreprise. Selon lui, la création de solutions par les différents services de l'entreprise représente un premier pas positif, car elle rapproche le développement des personnes qui comprennent les problématiques. L'étape suivante, cependant, concerne la sécurité, la gouvernance et la connexion aux sources primaires de données transactionnelles, et c'est là, d'après le dirigeant, que les difficultés commencent.

Selon Sanchez, la matière première de l'IA appliquée aux entreprises est constituée de données privées et transactionnelles organisées et structurées. Sans cela, les applications se limitent généralement à des usages tels que la recherche et l'exploration. Il cite le secteur de la distribution alimentaire comme exemple de silos de données : les informations des points de vente (PDV) transitent par le système de gestion d'entrepôt (WMS), puis par d'autres outils de contrôle, avant d'atteindre le progiciel de gestion intégré (PGI). Chaque système concentre des données à forte valeur ajoutée, mais ces données sont généralement dispersées et mal intégrées.

Selon le directeur technique, le déploiement de l'IA commence par l'accès aux données, suivi d'une migration vers le cloud pour garantir l'évolutivité et la sécurité. Vient ensuite la centralisation des différentes sources, puis la connexion des agents et autres applications. Il a souligné que les systèmes existants constituent l'un des principaux obstacles à l'évolutivité de l'IA, les anciens logiciels transactionnels présentant souvent une connectivité médiocre, une faible exposition des API et des bases de données volumineuses.

Sanchez a également évoqué le concept d’« usine à IA », utilisé par le marché pour décrire la chaîne qui va de la puce et de l’énergie aux modèles génératifs, aux agents et aux cadres qui parviennent à l’utilisateur final.

Interrogé sur le risque de fuites de données, le directeur technique a indiqué que des professionnels transmettaient régulièrement des rapports, des comptes de résultat, des données de facturation et des listes de clients aux outils d'IA. Selon lui, lorsque les modèles en périphérie sont utilisés directement, les données quittent l'entreprise. Outre le traitement, des fichiers tels que des tableurs, des PDF et des images sont stockés sur des serveurs externes et peuvent, conformément aux conditions d'utilisation de chaque fournisseur, servir à l'entraînement des modèles.

En guise d'alternatives, Sanchez a évoqué des règles claires concernant le contenu des outils d'IA, l'adoption de garde-fous et, de préférence, le stockage de ces fichiers sur des serveurs privés et dédiés. Pour les grandes entreprises ou celles soumises à des obligations de conformité, il a suggéré l'inférence privée, avec des modèles open source exécutés sur leur propre infrastructure, comme moyen de maîtriser le traitement et les fichiers.

Le dirigeant a indiqué que les DSI, les responsables informatiques et les spécialistes des données subissaient des pressions concernant ces problèmes, mais n'avaient pas encore trouvé de solutions. Il s'est dit surpris par la fréquence des créations en dehors du service informatique dans les grandes entreprises.

Selon Sanchez, les dirigeants sont confrontés à un dilemme : bloquer l’utilisation de l’IA, ce qui réduit la productivité et l’innovation, ou autoriser son adoption et mettre en place des contrôles a posteriori. Il compare la situation actuelle à l’évolution de la cybersécurité dans les entreprises qui, initialement dotées de réseaux mal protégés, ne s’attaquent au problème qu’à mesure qu’elles se développent. Les marchés plus réglementés, en raison des exigences de protection et de certification, ont moins de marge de manœuvre pour étendre son utilisation.

Concernant le retour sur investissement, le directeur technique a indiqué que de nombreuses entreprises sont encore en phase d'expérimentation. Il a comparé le coût de l'inférence à celui de l'électricité, difficilement corrélable directement à la valeur générée. Plutôt que d'acquérir des licences individuelles, dont une part importante reste inutilisée selon lui, il a évoqué la création de pools de crédits permettant de suivre l'utilisation des outils.

Skyone propose un cadre en six étapes : cartographier ce qui a déjà été créé ; définir les limites des données et de la sécurité ; responsabiliser les professionnels ; offrir des environnements d’expérimentation contrôlés, tels que des bacs à sable qui n’impliquent pas de données de production ; combler le fossé entre les métiers et l’informatique ; et établir des critères pour qu’un prototype soit traité comme une solution d’entreprise.

Pour Wasserman, la question n'est plus de savoir si l'IA sera utilisée pour concevoir des solutions, car c'est déjà le cas. Selon lui, l'enjeu est de transformer cette expérimentation en une innovation durable, avec des limites claires en matière de données, de sécurité et de gouvernance. Le rôle de l'informatique évolue également : d'un service recevant les demandes, elle devient une couche d'assistance permettant à l'entreprise de transformer les expérimentations en solutions sécurisées et évolutives.

Hernane Ferreira, PDG de The News, a déclaré que le nombre de participants était surprenant pour un sujet aussi pointu et a attribué cet intérêt à la popularité du terme « vibe coding », encore mal compris du grand public. Selon lui, la production de données primaires tend à accroître l'importance des médias.

L'enquête a été menée par The News, à la demande de Skyone, du 10 au 25 septembre 2026, en ligne et de manière anonyme, auprès des abonnés de la publication. 1 971 réponses complètes et 1 539 réponses partielles ont été enregistrées. S'agissant d'une enquête auprès d'un public spécifique, les résultats ne sont pas nécessairement représentatifs de l'ensemble des professionnels brésiliens. Les questions relatives à la création et à la méthode de création ont recueilli 986 réponses.

Écrit par Skyone