Shadow AI : ce que les clients omettent de dire à leurs MSP

Les fournisseurs de services gérés (MSP) sont censés comprendre les environnements technologiques de leurs clients. Ils savent quels terminaux sont gérés, quelles applications sont critiques pour l’activité, quels systèmes nécessitent des correctifs ou de la maintenance, où se trouvent les données sensibles et qui y a accès. Cependant, de plus en plus de décisions technologiques cruciales sont désormais prises sans l’intervention du service informatique ou des MSP.

Les cas de figure varient d’un environnement client à l’autre :

• Une équipe marketing utilise une plateforme de graphisme basée sur l’IA pour créer des visuels de campagne
• Un représentant commercial connecte un assistant IA à un CRM pour résumer les interactions avec les clients
• Un responsable des ressources humaines téléverse un CV sur un chatbot public à des fins d’évaluation
• Un développeur utilise un outil de codage IA pour dépanner le code source de l’entreprise

Et chaque cas de figure peut se produire sans que le MSP ne le sache jamais.

Cela ne signifie pas nécessairement que les clients dissimulent délibérément des informations. Le problème est que l’utilisation de l’IA est devenue très décentralisée dans la pratique. Les employés et les différents services peuvent accéder à des outils puissants via un simple navigateur, une carte de crédit ou une autorisation OAuth dans le cadre de ce que l’on appelle le shadow AI, ou « IA fantôme », permettant à de nouvelles technologies d’accéder au système d’une organisation avant même que les équipes informatiques ou les fournisseurs de services n’en soient informés, et encore moins en mesure de les évaluer pleinement.

Pour les MSP, cela crée un problème immédiat : vous ne pouvez pas protéger efficacement un environnement opaque, et vous ne pouvez pas défendre ce dont vous ignorez l’existence.

Comment le shadow AI crée des risques de sécurité pour les MSP

Le shadow IT, ou « informatique fantôme », représente un défi pour les entreprises depuis des années, car les employés continuent d’adopter des technologies en dehors des canaux informatiques approuvés. Cependant, le shadow AI accroît l’exposition potentielle. Ces applications ne se contentent pas de côtoyer les systèmes métier ; elles peuvent interagir avec des données sensibles de l’entreprise, se connecter à des plateformes existantes au-delà de leur périmètre initial et exécuter des tâches avec une autonomie croissante.

Des recherches récentes montrent à quel point ce comportement s’est généralisé. Le rapport 2025 de KPMG sur le shadow AI a révélé que 44 % des employés américains interrogés utilisaient sciemment l’IA d’une manière qui enfreignait les politiques ou les directives de leur entreprise. L’intention n’est pas nécessairement malveillante ; elle est souvent motivée par la commodité, la rapidité et l’efficacité. Aujourd’hui, la culture du travail valorise de plus en plus ces mêmes qualités, encourageant les employés à automatiser les tâches répétitives et à adopter des outils qui, selon eux, les aideront à être plus performants.

Mais la recherche d’une plus grande efficacité n’élimine pas les risques.

Pour les MSP, la véritable préoccupation réside dans ce que chaque application non reconnue ajoute à l’environnement : un nouvel ensemble de connexions, d’autorisations et de voies d’accès potentielles opérant en dehors de la supervision établie.

Les accès et autorisations invisibles derrière les outils d’IA

Les implications en matière de sécurité de l’utilisation de l’IA ne sont pas toujours évidentes pour la personne qui adopte cette technologie. Ce qui ressemble à une simple connexion peut introduire des autorisations et des accès qui vont bien au-delà de la tâche immédiate.

Voyons ce qui se passe lorsqu’un employé connecte une application d’IA à une plateforme d’entreprise.

Pour l’utilisateur, le processus peut être aussi simple que de cliquer sur le bouton « Autoriser ». D’une telle approbation peut découler une série d’autorisations permettant de récupérer des fichiers, d’accéder à des contacts, d’interagir avec les informations client ou de se connecter à d’autres applications.

Ces connexions peuvent persister au-delà de l’interaction initiale, créant alors un accès dont le MSP ignore peut-être l’existence. Bien que le MSP puisse encore gérer le terminal, sécuriser le compte de l’utilisateur et protéger l’application métier sous-jacente, il se peut qu’il n’ait pas connaissance de la connexion établie entre eux.

C’est là que l’IA commence à redéfinir le concept traditionnel de shadow IT. L’inconnue n’est plus de savoir quelle application est utilisée. Les MSP doivent également comprendre à quelles informations un service d’IA peut accéder, les autorisations exactes qui lui ont été accordées, quels identifiants lui sont associés, et si cet accès est toujours nécessaire.

Les conséquences d’une telle lacune en matière de surveillance commencent déjà à émerger. Le rapport 2025 d’IBM sur le coût d’une violation de données a révélé que 63 % des organisations interrogées ayant subi une violation ne disposaient pas de politique de gouvernance de l’IA, ou étaient encore en train d’en élaborer une. Parmi ceux qui ont mis en place des politiques, seuls 34 % effectuaient régulièrement des audits concernant l’utilisation non autorisée de l’IA. Les organisations présentant des niveaux élevés de shadow AI ont également subi, à la suite de violations, des pertes supérieurs de 670 000 $ en moyenne par rapport à celles qui n’utilisaient pas ou très peu l’IA.

Pourquoi les MSP ont-ils besoin de visibilité sur les accès d’IA

Pour les MSP, la priorité n’est pas de contrôler si les clients utilisent l’IA, mais de comprendre comment cette utilisation modifie l’environnement qu’ils sont chargés de sécuriser.

Les équipes adoptent ces applications parce qu’elles résolvent des problèmes réels et simplifient les tâches chronophages. Au niveau organisationnel, il existe des incitations tout aussi fortes à explorer des technologies qui améliorent la productivité.

Une réponse plus efficace commence par reformuler les questions que posent les MSPs.

Documenter les applications d’IA qu’un client a formellement approuvées constitue un bon point de départ, mais ne lève qu’une partie du mystère. Les MSP ont besoin de visibilité sur :

• Les services d’IA que les employés utilisent réellement
• Les applications et données commerciales auxquelles ces services peuvent accéder
• Les autorisations OAuth accordées
• Les clés API ou comptes de service utilisés pour ces connexions
• Les actions auxquelles ces outils sont autorisés une fois connectés

Et plus important encore, l’étendue de cet accès et sa justification.

Ces questions appellent à un changement d’approche, au-delà de la simple définition de politiques, vers une évaluation pratique des risques. Même l’utilisation approuvée de l’IA peut créer des failles :

• Un assistant d’IA connecté à un outil de gestion de la relation client peut se voir accorder l’accès à des dossiers clients dont il n’a pas besoin pour effectuer la tâche qui lui est destinée.
• Le même service d’IA peut être restreint à des sources de données approuvées pour un département, mais également se voir accorder un accès plus large par un autre.
• L’accès accordé pour un projet temporaire peut rester actif longtemps après la fin de la tâche.

L’approbation seule ne garantit pas un accès approprié.

Suivre le rythme de ces changements nécessite plus qu’un exercice d’inventaire ponctuel. De nouvelles applications apparaissent constamment : les fournisseurs SaaS existants continuent d’ajouter des fonctionnalités d’IA, tandis que des agents autonomes effectuent des tâches qui, jusqu’à récemment, nécessitaient une intervention humaine directe. La surveillance de cette activité devrait être une pratique standard à intégrer dans les analyses de sécurité des MSP et le suivi client après-vente.

L’intérêt croissant du secteur pour la découverte de l’IA reflète l’urgence de ce besoin. Des fonctionnalités de sécurité dédiées émergent de plus en plus pour identifier les applications d’IA générative utilisées sans l’accord du service informatique, analyser les schémas d’utilisation, évaluer les risques liés aux applications et surveiller l’exposition potentielle des données. Pour les petites organisations ne disposant pas de ressources internes comparables, les MSP peuvent apporter une visibilité et des directives précieuses dans ce domaine. La découverte de l’IA devient rapidement un élément essentiel pour maintenir la visibilité dans l’ensemble des environnements clients.

Les administrateurs peuvent analyser les schémas d’utilisation, identifier les applications non autorisées, évaluer les risques liés aux applications, examiner les autorisations d’accès, et surveiller l’exposition potentielle des données. Ces capacités peuvent révéler des activités d’IA qui pourraient autrement échapper à la surveillance informatique traditionnelle.

Pour les MSP, la découverte de l’IA devient rapidement un élément essentiel pour maintenir la visibilité dans l’ensemble des environnements clients.

Comment les MSP peuvent améliorer la gouvernance de l’IA chez leurs clients

Pour la plupart des organisations, combler cet écart ne représente pas simplement un enjeu technique ; c’est un enjeu de communication.

Le décalage se creuse souvent lorsque les employés ne comprennent pas quelles utilisations de l’IA comportent des implications en matière de sécurité ou justifient l’intervention d’un MSP. Loin d’être sans conséquence, la moindre application, intégration ou acquisition par un service peut introduire de nouvelles autorisations, de nouveaux identifiants et de nouvelles exigences d’accès qui vont bien au-delà de son utilisation prévue.

Pour les MSP, une gouvernance de l’IA plus solide commence par la définition d’attentes claires quant au moment et à la manière dont les clients communiquent les changements liés à l’IA. Ces conversations devraient aborder certaines questions, telles que :

• Quels nouveaux outils d’IA les équipes expérimentent-elles, et sont-ils approuvés pour un usage professionnel ?
• Des services ont-ils connecté des outils d’IA directement à des systèmes sensibles ou à des applications critiques pour l’entreprise ?
• Quelles données sensibles de l’entreprise, des clients ou autres sont partagées avec ces outils, et où vont-elles une fois soumises ?
• À qui appartient chaque intégration d’IA et qui est responsable de la gestion de ses accès au fil du temps ?
• Les autorisations ont-elles été étendues ou modifiées depuis l’introduction de l’outil ?
• Les intégrations précédemment approuvées sont-elles toujours nécessaires, ou bien l’accès est-il maintenu une fois que le besoin métier initial a pris fin ?

En entretenant ce dialogue à mesure que les environnements clients évoluent, les MSP peuvent identifier chaque activité liée à l’IA avant qu’elle n’ajoute une autre strate non gérée à l’environnement. Plus important encore, les MSP peuvent permettre à leurs clients d’intégrer l’IA plus rapidement, sans se laisser dépasser par les nouveaux besoins en matière d’accès, d’autorisations et de surveillance.

L’objectif est simple : les MSP ont besoin d’une visibilité en temps réel sur les déploiements d’IA avant que ces outils n’accèdent aux données ou aux systèmes de l’entreprise.

Comment les MSP peuvent sécuriser l’accès à l’IA dans les environnements clients

Découvrir une utilisation de l’IA jusque-là inconnue ne résout qu’une partie du problème. Une fois cette activité mise en évidence, les MSP ont besoin d’un moyen cohérent de la maîtriser dans chaque environnement client.

Les assistants, intégrations et agents d’IA dépendent tous d’identifiants, d’autorisations et de connexions aux systèmes d’entreprise. C’est pourquoi ces voies d’accès doivent être protégées, les privilèges limités au strict nécessaire, et les autorisations ajustées à mesure que les besoins évoluent. Pour les MSP opérant à grande échelle, le défi consiste à appliquer ces principes de manière cohérente auprès de plusieurs clients à mesure que leurs environnements évoluent.

Keeper fournit aux MSP une plateforme unifiée qui leur permet justement de faire cela. En consolidant la sécurité des identifiants, les accès privilégiés, la gestion des secrets et la gestion des privilèges des terminaux au sein d’une architecture zero trust et zero knowledge, Keeper aide les MSP à régir les identités humaines et machines à grande échelle sans introduire une nouvelle strate isolée à la pile de sécurité.

Il se peut que le risque le plus sérieux posé par l’IA ne provienne pas des applications déjà gérées par un MSP.

En effet, celui-ci pourrait très bien provenir de celles non déclarées par le personnel.

Découvrez le Programme de partenariat de Keeper pour les MSP et voyez comment Keeper permet aux MSP de combler les lacunes de visibilité concernant l’utilisation de l’IA dans les environnements clients.