47 % des conversations IA passent par des comptes personnels, et 5 % des salariés portent le risque

Deux chiffres sortent de ce rapport, et l’ordre dans lequel on les lit change complètement la politique qu’on en tire. Le premier, 47,11 % des conversations IA en entreprise passant par des comptes personnels, décrit une surface. Le second, 5 % d’utilisateurs concentrant la majeure partie de l’exposition, décrit une population. Le premier appelle un blocage, le second appelle une conversation.

Faits clés

• 47,11 % des conversations IA en entreprise transitent par des comptes personnels, hors du périmètre d’authentification de l’organisation
• 5 % d’utilisateurs intensifs concentrent l’essentiel de l’exposition mesurée
• Trois vecteurs d’attaque propres aux outils IA sont nommés : vibe hacking, CursorJacking, CometJacking
• Le rapport est bâti sur la télémétrie du navigateur, seul point où l’identité personnelle et l’identité d’entreprise se croisent dans une même session
• LayerX, dont la télémétrie alimente l’étude, devient Akamai Workforce Protector

Le fait

Une mesure de terrain, et non déclarative, de la part des usages IA en entreprise qui s’effectuent en dehors des identités contrôlées par l’organisation, assortie de la distribution de ces usages dans la population salariée.

La lecture

Le résultat, c’est la distribution. Un risque réparti uniformément sur toute une population est un problème de politique générale ; un risque porté par 5 % d’une population est, dans une organisation de 400 personnes par exemple, un problème de vingt personnes que vous pouvez nommer. Et il faut regarder qui sont ces vingt personnes : ce sont celles qui utilisent le plus, donc probablement celles qui ont trouvé les usages, contourné les blocages, formé leurs collègues en dessous du radar. Les traiter comme des délinquants revient à punir l’adoption au moment précis où l’organisation en a besoin. Les traiter comme des éclaireurs, en leur donnant un compte entreprise digne de ce nom et en leur demandant ce qu’ils ont trouvé, convertit une friction parasite, celle qui pousse vers le compte personnel, en friction portante, celle qui protège vraiment quelque chose. Les trois vecteurs nommés par le rapport confirment d’ailleurs que le sujet a changé de nature : ce sont des formes d’injection de prompt qui exploitent la confiance accordée à un assistant déjà installé.

L’enseignement

Sortez du raisonnement en pourcentage de surface et allez chercher la liste nominative. Identifiez vos utilisateurs intensifs, ouvrez-leur un accès entreprise qui ne soit pas dégradé par rapport à ce qu’ils utilisent aujourd’hui, et faites d’eux la source de votre inventaire d’usages plutôt que la cible de votre politique. Le blocage seul risque de déplacer l’activité vers le téléphone personnel, où votre télémétrie s’arrête.

Sources et références

• Akamai : Nearly Half of Enterprise AI Use Bypasses Corporate Security (communiqué, 5 août 2026).
• Akamai : State of the Internet, Enterprise AI Usage Risk 2026 (rapport complet, méthodologie et distribution des usages).