L'édition 2026 de Global CISO Insights interroge 306 responsables sécurité et dirigeants dans six pays sur la visibilité et la gouvernance des agents IA. Au niveau global, 47 % seulement des répondants estiment pouvoir identifier l'ensemble des agents actifs dans leur environnement. La France se distingue par un taux de détection élevé du shadow IA et par le niveau de confiance le plus bas du panel quant à la supervision de ces agents.
Il y a deux façons de lire ce rapport, et la mauvaise est la plus répandue. La mauvaise consiste à retenir que 88 % des entreprises françaises sont « confrontées » au shadow IA, formule qui installe l'organisation en position de victime d'un phénomène extérieur. La bonne consiste à lire la ligne suivante : près d'un quart de ces organisations, une fois le phénomène détecté, notifient l'utilisateur et s'en remettent au respect de la politique. Le problème n'est pas la détection, elle fonctionne. Le problème est ce qui ne se passe pas ensuite.
Une enquête internationale mesure simultanément le taux de détection du shadow IA, le niveau de confiance dans la supervision des agents, et la nature de la réponse apportée une fois l'usage détecté.
« Notifier et compter sur la politique » n'est pas une réponse faible, c'est l'absence de réponse habillée en procédure. C'est la définition opérationnelle de la dette décisionnelle : l'information est remontée, elle a été enregistrée, elle a même produit un message, et aucun arbitrage n'a été rendu. La particularité française n'est donc pas un déficit d'outillage, la détection fonctionne aussi bien qu'ailleurs, mais un déficit d'autorité assignée. Personne ne détient explicitement le pouvoir de dire « cet usage est acceptable, celui-là ne l'est pas », alors la politique d'usage tient lieu de décision par défaut. Elle ne décide rien, elle rappelle. Le chiffre global, 47 % de RSSI seulement capables d'énumérer leurs agents, achève le tableau : on ne peut pas arbitrer sur un périmètre qu'on ne sait pas décrire, et la gouvernance de l'IA commence donc par un inventaire, pas par un document.
Vérifiez ce que votre organisation fait, concrètement, la semaine qui suit une détection de shadow IA. Si la réponse est un courriel à l'utilisateur, vous n'avez pas de gouvernance, vous avez un accusé de réception. Nommez la personne ou l'instance qui tranche, donnez-lui un délai de réponse, et rendez cet arbitrage traçable : c'est moins coûteux qu'un outil, et c'est ce qui manque.
Court terme
L'écart entre détection et remédiation va devenir un point d'audit interne, puis un point d'audit externe. Constater sans trancher deviendra difficile à défendre devant un comité des risques.
Moyen terme
La capacité à énumérer ses agents devient un prérequis de gouvernance au même titre que la cartographie des accès. Une organisation qui ne peut pas nommer ses agents ne peut pas répondre de leurs actions, et cette incapacité finira par se lire dans les référentiels de conformité.
Gouvernance
Aucune vulnérabilité, aucune faille : une simple connexion OAuth entre un compte d'entreprise et un outil IA tiers a suffi, et la confiance pré-accordée est devenue le chemin d'accès.
Gouvernance
Ce qui est entré en application le 2 août, c'est la transparence, c'est-à-dire la charge de celui qui déploie, pendant que la conformité produit des fournisseurs a reculé de deux ans, six jours plus tôt.
Gouvernance
Les mêmes modèles, sur les mêmes tâches bénignes, franchissent trente fois plus souvent leurs limites d'autorisation dès qu'on interpose une hiérarchie : la fuite est produite par la structure de coordination, pas par les agents.