43 % des incidents, x4 en un an, et un tiers des chiffres qui circulent sans source primaire

L’intérêt de ce couple de rapports tient moins à la taille des chiffres qu’à leur convergence depuis deux méthodologies indépendantes. IBM travaille sur le coût des violations, Verizon sur la typologie des incidents, et les deux arrivent au même endroit : le shadow IA se range parmi les actions non malveillantes. Personne, dans ces incidents, ne cherchait à nuire.

Faits clés

• Rapport IBM 2026 sur le coût des violations de données : shadow IA impliqué dans 43 % des incidents étudiés, plus du double de l’édition précédente
• DBIR 2026 de Verizon : le shadow IA devient la troisième action non malveillante d’initié dans les incidents de perte de données
• Multiplication par quatre en un an de cette catégorie chez Verizon
• Le code source est la catégorie de données la plus fréquemment exposée
• Un audit de provenance publié en août 2026 montre qu’environ un tiers des statistiques shadow IA en circulation citent un agrégateur ou un intermédiaire plutôt que l’éditeur d’origine
• Le chiffre de 63 %, très largement repris, provient d’un fournisseur de gestion de flotte mobile et doit être manié avec prudence

Le fait

Deux rapports annuels de référence, construits sur des méthodologies distinctes, mesurent une progression forte et cohérente de la présence du shadow IA dans les incidents de sécurité, en le classant explicitement parmi les actions non malveillantes.

La lecture

Le classement compte plus que le pourcentage. Verizon range le shadow IA parmi les actions non malveillantes, aux côtés de l’erreur de destinataire et de la mauvaise configuration, et non parmi les menaces internes, catégorie qui suppose une intention. C’est un choix de taxonomie qui a des conséquences directes sur ce qu’il faut corriger : on ne traite pas une intention et un circuit avec les mêmes instruments. Et puisque la donnée la plus exposée est le code source, on imagine sans peine le mécanisme : un développeur qui colle une fonction dans le premier outil disponible pour comprendre pourquoi elle échoue. Le problème tient à la disponibilité d’un outil au moment où le besoin apparaît, et l’actif qui part par cette porte relève désormais de la propriété intellectuelle. Reste la question de la provenance, et elle mérite une note de méthode : sur un sujet aussi porteur commercialement, la chaîne de citation se dégrade vite, et il faut exiger l’éditeur d’origine avant de bâtir un argumentaire budgétaire sur un chiffre.

L’enseignement

Utilisez ces deux rapports pour ce qu’ils démontrent, la nature non malveillante du phénomène, plutôt que pour l’urgence d’acheter qu’on leur fait dire. Et imposez-vous une discipline simple avant de citer une statistique sur le shadow IA en comité : remonter à l’éditeur, vérifier l’échantillon, vérifier qui a payé l’étude. Environ un tiers des chiffres qui circulent citent un intermédiaire plutôt que l’éditeur.

Sources et références

• IBM : Cost of a Data Breach Report 2026, mené avec le Ponemon Institute (shadow IA impliqué dans 43 % des cas).
• Verizon : 2026 Data Breach Investigations Report (shadow IA, troisième action non malveillante d’initié, multipliée par quatre en un an).
• Seimless : synthèse du rapport IBM 2026 sur le coût des violations de données et des chiffres du DBIR 2026 de Verizon.
• StationX : audit de provenance des statistiques shadow IA en circulation (août 2026), incluant la mise en garde sur le chiffre de 63 % attribué à Stratix.