88% des RSSI français détectent des usages d'IA non autorisés dans leur entreprise

Le chiffre est sans appel : 88% des responsables de la cybersécurité en France constatent au moins une utilisation d'outils d'intelligence artificielle non autorisée par leurs collaborateurs. C'est ce que révèle le rapport Global CISO Insights 2026 d'Okta, publié cette semaine, une enquête menée en juin auprès de 306 responsables cybersécurité et dirigeants chargés des risques, répartis entre Royaume-Uni, Japon, États-Unis, France, Canada et Allemagne.

Un paradoxe français qui interroge

Parmi les six pays étudiés, la France affiche le niveau de confiance le plus faible concernant sa capacité à superviser les agents d'intelligence artificielle utilisés en interne. Le phénomène, connu sous le nom de "shadow AI", désigne l'usage d'outils d'IA par des salariés sans validation ni contrôle de la direction informatique, souvent pour gagner du temps sur des tâches courantes, sans que l'entreprise en ait pleinement conscience ni maîtrise des risques associés.

Une réponse qui reste souvent minimale

Quand un usage non autorisé est effectivement détecté, 24% des responsables interrogés se contentent de notifier les utilisateurs concernés et de compter sur le respect spontané des politiques internes, sans mesure de contrôle plus contraignante. Un décalage révélateur entre la prise de conscience du risque et les moyens réellement mis en œuvre pour le maîtriser.

Une visibilité limitée, même à l'échelle mondiale

Le problème ne se limite pas à la France. À l'échelle des six pays étudiés, seuls 47% des responsables cybersécurité affirment pouvoir identifier l'ensemble des agents d'IA présents dans leur environnement informatique, 46% peuvent contrôler précisément à quoi ces agents ont accès, et 45% seulement savent déterminer avec certitude les actions qu'ils réalisent. Autre signal de fond : seuls 31% des responsables cybersécurité se sentent pleinement alignés avec leur direction sur le niveau de risque IA jugé acceptable pour l'entreprise.

Ce que ce décalage implique concrètement

Pour une entreprise, cette situation signifie que des outils d'intelligence artificielle peuvent déjà manipuler des données internes, sans que la direction informatique ait ni validé leur usage, ni mesuré précisément ce à quoi ils accèdent. Le défi n'est plus seulement d'adopter l'IA, mais de construire, souvent après coup, les mécanismes de gouvernance capables d'encadrer ce qui se pratique déjà sur le terrain.

Données issues du rapport Global CISO Insights 2026, Okta, PARIS : Cybersécurité - 88% des entreprises françaises confrontées au "Shadow AI", Presse Agence, et de Shadow AI : la France en tête des usages non autorisés, les RSSI en quête de visibilité, IT Pro.