---
title: "Shadow AI en France : 88 % des entreprises dépassées par leurs agents IA"
url: "https://realmoon.ai/actualites/shadow-ai-france-entreprises-agents-autonomes"
date_published: "2026-09-05T16:26:32+00:00"
author: "Veille Moon AI"
category: "Sécurité"
publisher: "Moon AI (Stellarr Studio SAS)"
language: fr
license: "Citation autorisée avec lien vers la source. Réutilisation intégrale soumise à accord."
ai_generated: true
human_reviewed: false
editorial_policy: "https://realmoon.ai/actualites/methode"
sources:
  - "https://presseagence.fr/paris-cybersecurite-88-des-entreprises-francaises-confrontees-au-shadow-ai"
  - "https://presseagence.fr/paris-cybersecurite-88-des-entreprises-francaises-confrontees-au-shadow-ai/"
  - "https://www.globalsecuritymag.fr/ia-agentique-88-des-responsables-cybersecurite-francais-constatent-du-shadow-ai.html"
  - "https://www.coworking-clockwork.fr/enjeux-cybersecurite-entreprise-2026"
  - "https://www.lefilia.fr/article/6110696-shadow-ai-comment-reprendre-le-controle-a-l-ere-des-agents-autonomes"
  - "https://www.solutions-magazine.com/shadow-ai-defis/"
---

# Shadow AI en France : 88 % des entreprises dépassées par leurs agents IA

*Selon l'étude Global CISO Insights 2026 d'Okta, 88 % des responsables cybersécurité français constatent l'usage d'outils d'intelligence artificielle non autorisés par leurs collaborateurs, un niveau qui place la France en tête des inquiétudes parmi six pays étudiés.*

> Article produit par la veille automatisée de Moon AI, sans relecture humaine préalable, conformément à l'article 50 du règlement (UE) 2024/1689. Méthode et politique de correction : https://realmoon.ai/actualites/methode

L'intelligence artificielle générative et, plus récemment, les agents dits agentiques capables d'écrire du code ou d'accéder seuls à des bases de données, se sont installés dans les entreprises françaises plus vite que les dispositifs censés les encadrer. C'est le constat que dresse le rapport **Global CISO Insights 2026** publié par Okta, spécialiste de la gestion des identités, à partir d'une enquête menée en juin 2026 par le cabinet Apprize360 Intelligence auprès de 306 RSSI et dirigeants chargés des risques cyber au Royaume-Uni, au Japon, aux États-Unis, en France, au Canada et en Allemagne.

## Un phénomène qui touche neuf entreprises françaises sur dix

Parmi les six marchés interrogés, la France affiche le niveau de confiance le plus faible concernant la supervision des agents IA. Et le chiffre qui résume la situation est sans détour : 88 % des responsables de la cybersécurité en France constatent l'utilisation d'outils d'IA non autorisés par leurs collaborateurs, le fameux « Shadow AI ». Face à ces usages détectés, près d'un quart des entreprises françaises (24 %) se contentent de notifier les utilisateurs concernés et de compter sur le respect des politiques internes, sans mesure technique de blocage. Ce choix illustre moins un laxisme qu'une difficulté réelle à faire évoluer des dispositifs de gouvernance conçus pour des logiciels installés, à un rythme comparable à celui de l'adoption des outils d'IA par les équipes métiers.

## Moins d'un RSSI sur deux voit réellement ce qui tourne dans son système d'information

À l'échelle des six pays étudiés, la visibilité sur les agents IA reste structurellement limitée. Seuls 47 % des RSSI interrogés déclarent pouvoir identifier l'ensemble des agents présents dans leur environnement, 46 % affirment pouvoir contrôler leurs accès et 45 % disent pouvoir définir précisément les actions que chaque agent est autorisé à effectuer. Cette absence de visibilité complète constitue le premier frein à la sécurisation des identités IA pour 48 % des répondants, un obstacle jugé particulièrement critique aux États-Unis où 74 % des RSSI le citent en priorité.

Cette faiblesse structurelle nourrit une inquiétude large : 81 % des responsables se disent préoccupés par les accès excessifs accordés à l'intelligence artificielle. Les menaces les plus redoutées sont les tentatives de hameçonnage perfectionnées par l'IA (61 %), l'utilisation d'agents malveillants (49 %) et le contournement de l'authentification par deepfake (45 %). Au niveau mondial, 57 % des RSSI se disent par ailleurs extrêmement ou très inquiets des violations de données directement liées à l'IA, selon les données publiées par Solutions Magazine à partir du même rapport Okta.

## Des agents IA encore traités comme de simples comptes utilisateurs

Le rapport pointe une gouvernance des accès souvent inadaptée à la nature des agents IA. 21 % des organisations utilisent encore des identifiants partagés ou des comptes de service disposant de permissions étendues pour gérer les accès de leurs agents, et 20 % en confient la gestion, de façon ad hoc, aux équipes qui les ont déployés. Plus révélateur encore, un RSSI sur quatre continue de traiter un agent IA exactement comme une identité humaine traditionnelle, alors qu'un agent autonome peut interagir avec de multiples applications et manipuler des données sensibles sans intervention humaine directe.

Face à ce constat, les priorités déclarées par les RSSI sont le maintien d'un contrôle total sur les accès (29 %), la capacité à découvrir les agents effectivement en service (20 %) et la gestion de leurs identifiants (20 %). Mais deux freins ralentissent la mise en place de ces contrôles : les contraintes budgétaires et d'effectifs (39 %) et les silos organisationnels entre les équipes IA et les équipes sécurité (33 %). Cette fragmentation est cohérente avec un constat plus général relevé par le blog Coworking Clockwork : une organisation compte en moyenne 144 identités machines, clés API, bots et automatisations comprises, pour une seule identité humaine, et trois quarts des responsables sécurité considèrent déjà le Shadow IA comme un risque majeur pour leur structure.

## Des niveaux de maturité très inégaux selon les pays

L'étude Okta met en évidence des écarts marqués entre les six marchés interrogés, résumés dans le tableau suivant.

| Pays | Indicateur clé | Détail rapporté par Okta |
| --- | --- | --- |
| Royaume-Uni | Gouvernance la plus avancée | 36 % des organisations disposent d'une gouvernance avancée et entièrement automatisée des agents IA |
| Japon | Absence de gouvernance cohérente | 12 % des entreprises n'ont aucune approche pour gouverner les identités IA, soit le double de la moyenne mondiale |
| Allemagne | Confiance élevée, maturité faible | 58 % des organisations restent « en développement » ou « réactives », malgré une confiance déclarée forte des RSSI ; 81 % se disent vulnérables au phishing par IA |
| Canada | Absence de standards industriels | 65 % des RSSI citent le manque de normes sectorielles comme principal obstacle à la sécurisation de l'IA agentique |
| États-Unis | Inquiétude maximale, alignement faible | 84 % très ou extrêmement préoccupés par les attaques facilitées par l'IA, mais seulement 12 % alignés avec leur direction sur le risque acceptable |
| France | Confiance la plus faible | 88 % détectent du Shadow AI, 24 % se contentent de notifier les utilisateurs plutôt que de bloquer les usages |

## La rapidité de réaction, le vrai marqueur de maturité

L'étude établit une corrélation directe entre le niveau de maturité de la gouvernance et l'exposition au risque. Les organisations classées « réactives » rapportent un niveau important de Shadow AI dans 25 % des cas, contre 13 % en moyenne sur l'ensemble des répondants. À l'inverse, les organisations les plus avancées démontrent une capacité de réponse nettement plus rapide : la moitié d'entre elles peuvent révoquer l'accès d'un agent compromis en quelques minutes, contre 26 % pour l'ensemble des sondés. Ce chiffre a son revers : 55 % des organisations ne peuvent révoquer un accès que dans les heures suivant une détection, une durée qualifiée par Okta de « problématique face à la vitesse d'exécution des systèmes IA ». Plus préoccupant encore, 18 % des organisations en phase réactive avouent ne pas être en mesure d'identifier ou de stopper un agent malveillant du tout, une situation qui ne se rencontre dans aucune organisation de niveau avancé.

Cet enjeu technique devient aussi un sujet de gouvernance au sommet des entreprises : seuls 31 % des RSSI à l'échelle mondiale se sentent pleinement alignés avec leur direction générale sur le niveau de risque IA jugé acceptable, et moins de la moitié estiment que leur conseil d'administration considère la sécurité de l'IA comme un atout plutôt que comme un frein à la croissance.

## Quand cybersécurité et éditeurs de modèles rapprochent leurs outils

Cette tension entre adoption rapide et supervision insuffisante pousse certains acteurs à agir sur le terrain de l'exécution des agents plutôt que sur le seul accès aux applications. Le média Le Fil IA rapporte, en citant Le Big Data, que CrowdStrike et OpenAI ont annoncé le 2 septembre 2026 l'extension de leur partenariat pour sécuriser l'exécution des modèles Codex directement au sein de la plateforme Falcon. CrowdStrike y déploie une solution nommée Falcon Guardian, censée superviser en temps réel l'activité de ces agents capables d'écrire du code, d'exécuter des scripts ou d'accéder à des bases de données au sein des réseaux d'entreprise. Le dispositif combinerait la télémétrie de Falcon avec les capacités de raisonnement du modèle GPT-5.6 Cyber d'OpenAI, autour de trois mécanismes : un inventaire dynamique des instances Codex actives, une mise en relation de leur activité avec les données de l'entreprise pour repérer un comportement anormal, et des contrôles bloquant les actions non autorisées avant qu'elles n'atteignent les terminaux, le cloud ou les environnements SaaS. Selon ce même compte rendu, Daniel Bernard, directeur commercial de CrowdStrike, présente cette annonce comme une réponse directe à la montée du Shadow AI. Cette information reposant sur une seule source de second niveau, elle doit être lue comme un rapport de partenariat industriel et non comme un fait vérifié de façon indépendante.

## Quels leviers pour les entreprises françaises, sans freiner l'adoption

Le cadre réglementaire français et européen se densifie en parallèle : la directive NIS2 élargit les obligations de sécurité à de nouveaux secteurs jugés critiques, le règlement DORA impose des exigences de résilience numérique aux acteurs financiers, et le RGPD reste le socle de la protection des données personnelles, y compris lorsque ces données transitent par un agent IA. La certification ISO 27001 et le Label France Cybersécurité offrent des repères pour crédibiliser une démarche auprès de clients et de partenaires, et un audit de maturité, qu'il soit organisationnel ou technique, reste selon Coworking Clockwork le point de départ le plus fiable pour objectiver son niveau d'exposition avant d'investir dans des contrôles plus poussés. Le modèle Zero Trust, qui consiste à vérifier systématiquement chaque accès plutôt qu'à faire confiance par défaut à ce qui se trouve dans le réseau, s'impose logiquement comme référence pour des identités qui, à la différence d'un salarié, peuvent agir sur plusieurs systèmes en quelques secondes.

Une partie du Shadow AI recouvre toutefois un usage plus simple : des collaborateurs qui recourent à des chatbots ou assistants grand public non validés pour gagner en productivité, faute d'alternative fournie par leur entreprise. Sur ce périmètre précis, canaliser les usages vers une offre sous contrat plutôt que de les interdire est une option. Moon AI, éditée par Stellarr Studio SAS (Pont-Audemer, SIREN 101 691 103), propose par exemple un abonnement unique donnant accès à plus de 70 modèles, dont GPT, Claude, Gemini, Mistral, DeepSeek, Llama, Grok, Qwen et le modèle maison Moon 6, avec des paliers tarifaires publics allant de 9,90 euros TTC par poste et par mois à 249,90 euros, et une offre gratuite sans carte bancaire. La plateforme intègre un mécanisme nommé Moon Blur, qui remplace les données personnelles par des jetons avant leur envoi aux modèles tiers puis les rétablit au retour : le procédé étant réversible, il s'agit d'une pseudonymisation au sens de l'article 4-5 du RGPD, et non d'une anonymisation. L'application et le stockage sont hébergés chez OVHcloud, à Strasbourg et à Roubaix, mais les requêtes adressées aux modèles tiers partent bien chez leurs fournisseurs respectifs, une fois pseudonymisées. Ce type de solution répond à la partie « outils non validés » du Shadow AI décrite par Okta ; elle ne se substitue pas à une gouvernance des identités et des permissions des agents autonomes capables d'agir seuls sur un système d'information, qui reste un chantier distinct pour les équipes sécurité.

## Questions fréquentes

### Le Shadow AI, est-ce la même chose que le Shadow IT ?

Non. Le Shadow IT désignait des logiciels non approuvés installés par les collaborateurs, sans capacité d'action autonome. Le Shadow AI, tel que décrit par Okta et par Le Fil IA à propos des agents Codex, implique des programmes capables d'écrire du code, d'exécuter des scripts ou d'accéder directement à des bases de données et à des environnements SaaS, avec un potentiel de propagation plus rapide en cas de compromission.

### Pourquoi les entreprises françaises se distinguent-elles dans cette étude ?

Le rapport Okta indique que la France affiche, parmi les six pays interrogés, le niveau de confiance le plus faible concernant la supervision des agents IA, avec 88 % de RSSI ayant détecté du Shadow AI et 24 % qui se limitent à une simple notification des utilisateurs plutôt qu'à un contrôle technique des accès.

### Un agent IA doit-il être géré comme un compte utilisateur classique ?

Non selon Okta : un agent autonome peut interagir avec plusieurs applications et manipuler des données sensibles sans intervention humaine constante, ce qui exige une gestion des identifiants, des permissions et du cycle de vie propre à ces identités machines, distincte des comptes humains.

### Que change la réglementation européenne pour les agents IA en entreprise ?

La directive NIS2, le règlement DORA pour le secteur financier et le RGPD s'appliquent aux traitements réalisés par des agents IA, notamment lorsqu'ils manipulent des données personnelles. Les sources mobilisées ici ne détaillent pas de régime spécifique aux agents autonomes au-delà de ces textes existants.

> **Transparence.** Cet article a été rédigé par un système d'intelligence artificielle à partir des sources listées ci-dessous, puis vérifié fait par fait par un second système avant publication. Il n'a pas fait l'objet d'une relecture humaine préalable. Les chiffres et citations proviennent des sources ; en cas d'écart, la source fait foi. Notre [méthode, ses limites et notre politique de correction](https://realmoon.ai/actualites/methode).

> **Sources.** Article rédigé à partir des publications suivantes, consultées le 05/09/2026. En cas d'écart, la source fait foi. Signalez toute inexactitude à [contact@stellarrstudio.com](https://realmoon.ai/mailto:contact@stellarrstudio.com).
>
> - [https://presseagence.fr/paris-cybersecurite-88-des-entreprises-francaises-confrontees-au-shadow-ai](https://presseagence.fr/paris-cybersecurite-88-des-entreprises-francaises-confrontees-au-shadow-ai)
> - [https://presseagence.fr/paris-cybersecurite-88-des-entreprises-francaises-confrontees-au-shadow-ai/](https://presseagence.fr/paris-cybersecurite-88-des-entreprises-francaises-confrontees-au-shadow-ai/)
> - [https://www.globalsecuritymag.fr/ia-agentique-88-des-responsables-cybersecurite-francais-constatent-du-shadow-ai.html](https://www.globalsecuritymag.fr/ia-agentique-88-des-responsables-cybersecurite-francais-constatent-du-shadow-ai.html)
> - [https://www.coworking-clockwork.fr/enjeux-cybersecurite-entreprise-2026](https://www.coworking-clockwork.fr/enjeux-cybersecurite-entreprise-2026)
> - [https://www.lefilia.fr/article/6110696-shadow-ai-comment-reprendre-le-controle-a-l-ere-des-agents-autonomes](https://www.lefilia.fr/article/6110696-shadow-ai-comment-reprendre-le-controle-a-l-ere-des-agents-autonomes)
> - [https://www.solutions-magazine.com/shadow-ai-defis/](https://www.solutions-magazine.com/shadow-ai-defis/)

---

Source : https://realmoon.ai/actualites/shadow-ai-france-entreprises-agents-autonomes