Ce que les chiffres de l’IA fantôme cachent

Dans la plupart des organisations, les employés utilisent déjà des outils d’IA que leur employeur n’a jamais approuvés. À ce stade, cela ne devrait surprendre personne. Les employés se sont toujours tournés vers les technologies qui les aident à travailler plus efficacement, qu’elles aient été officiellement introduites par le service informatique ou non. L’IA n’a fait qu’accélérer ce comportement.

La rapidité d’adoption de l’IA n’est qu’une partie de l’histoire. Ce qui est plus révélateur, c’est ce qu’elle indique sur les environnements où cette adoption se produit. Le fait que les employés choisissent leurs propres outils d’IA est souvent le signe que le service informatique ne dispose pas d’une vision complète de la façon dont le travail est réalisé. Les mêmes organisations qui peinent à identifier l’utilisation d’IA non autorisée peuvent également être confrontées à des correctifs plus lents, à un chiffrement incohérent ou à des appareils qui échappent aux politiques de sécurité établies. L’IA fantôme ne crée pas ces faiblesses, mais elle peut les mettre en évidence.

Notre propre rapport State of Digital Workspace 2026 a analysé la télémétrie de millions d’appareils gérés dans 17 secteurs, évitant les limites liées à la demande de rappel ou de divulgation des outils utilisés par les employés. Il a constaté que l’utilisation d’assistants IA a augmenté d’environ 1 000 % en 2025, faisant de cette catégorie la plus dynamique du lieu de travail.

Ce chiffre montre à quelle vitesse le comportement des employés évolue. Il ouvre également une piste d’enquête moins familière : les organisations fortement exposées aux applications non approuvées présentent‑elles des faiblesses dans des domaines plus établis de la gestion des appareils ? Le secteur de la santé fournit l’indication la plus claire à ce sujet. Dans notre étude, la santé figure parmi les industries les plus exposées aux risques de conformité liés aux applications non sanctionnées ; ailleurs dans le rapport, elle enregistre également certains des correctifs les plus lents et des taux plus élevés de postes de travail non chiffrés.

L’adoption n’est qu’une partie du tableau

Comprendre quels outils d’IA les employés utilisent n’est qu’une pièce du puzzle. La question la plus révélatrice est pourquoi ils les choisissent, car ces décisions mettent souvent en lumière l’écart entre le cadre informatique que l’entreprise pense avoir instauré et celui que les employés vivent quotidiennement.

La répartition entre les outils d’IA approuvés et non approuvés devient plus révélatrice une fois l’utilisation établie. Microsoft Copilot est largement installé sur les appareils mobiles gérés où le service informatique contrôle le déploiement, grâce à sa position au sein de Microsoft 365. En dehors de cet environnement géré, ChatGPT domine largement. Il apparaît sur 91 % des appareils iOS non sanctionnés et 61 % des appareils Android non sanctionnés, tandis que Gemini représente une grande partie du reste de l’utilisation Android.

Les services approuvés et ceux choisis de façon autonome peuvent coexister facilement au sein d’un même environnement de travail. Les employés peuvent avoir accès au service d’IA de l’entreprise et se tourner tout de même vers un autre outil parce qu’ils le trouvent plus rapide, plus familier ou mieux adapté à une tâche particulière. De leur point de vue, c’est souvent le moyen le plus pratique et le plus rapide d’accomplir leur travail. Pour les équipes informatiques et de conformité, cela crée une incertitude quant aux applications qui traitent les informations de l’entreprise et quant au respect des politiques de gouvernance existantes.

Le schéma observé dans les logiciels de communication est similaire. Les applications de messagerie grand public représentent près de la moitié des outils de communication installés sur les postes de travail gérés, aux côtés de Teams, Zoom et Slack. Les services financiers et la santé, malgré leurs obligations strictes de conservation des dossiers, ne sont pas exemptés. Le problème de conformité apparaît lorsqu’une organisation suppose que les conversations sensibles restent dans les canaux approuvés. Une requête de politique, une discussion avec un patient ou une décision interne transférée vers une application grand public peut ne plus être conservée dans les systèmes utilisés pour la rétention, la surveillance ou l’enquête. L’employé concerné n’a peut‑être aucune intention de contourner les contrôles et utilise simplement le canal où un collègue répond le plus rapidement.

Ces tendances indiquent un changement plus large dans la manière dont le travail est réalisé. Les employés passent de plus en plus d’une application, d’un navigateur ou d’un service d’IA à un autre, qui ne s’intègrent pas toujours parfaitement aux modèles de gestion traditionnels. Le défi ne consiste pas seulement à identifier une nouvelle application. Il s’agit de conserver une compréhension claire de la façon dont le travail se déroule dans l’ensemble de l’environnement afin que la gouvernance puisse suivre le rythme du comportement des employés.

L’adoption de l’IA et l’hygiène des appareils évoluent à des rythmes différents

L’adoption rapide de l’IA a mis en évidence une autre réalité de l’informatique d’entreprise : la technologie n’évolue pas au même rythme dans toute l’organisation. Les employés peuvent commencer à utiliser un service d’IA en quelques minutes, sans processus d’achat ni ticket de support.

Comblez un écart de gestion des appareils peut prendre des mois, notamment dans des environnements mixtes comprenant des ordinateurs portables d’entreprise, des appareils partagés, du matériel renforcé et des téléphones appartenant aux employés. La télémétrie montre une grande variation de la vitesse de mise à jour. Les appareils iOS atteignent la dernière version environ huit fois plus rapidement que les appareils Android, tandis que les mises à jour macOS sont environ une fois et demie plus rapides que celles de Windows.

La couverture du chiffrement est également inégale ; 23 % des postes de travail bancaires ne sont pas chiffrés, et ce chiffre monte à environ 27 % dans la santé et le haut‑technologie, et à 28 % dans les médias et le divertissement. Plus de la moitié des appareils de bureau et mobiles dans le secteur de l’éducation ne sont pas chiffrés, tandis que dans le secteur public, un poste sur cinq n’a aucun chiffrement.

La répartition sectorielle des mises à jour du système d’exploitation apporte davantage de contexte. La santé, les produits pharmaceutiques ainsi que le commerce de détail et de gros présentent les plus fortes concentrations d’appareils Android fonctionnant avec quatre ou cinq générations de retard par rapport à la version actuelle. Les informations exposées par un correctif manqué varient selon ces environnements, allant des dossiers patients et des données cliniques à la recherche pharmaceutique et aux informations de paiement.

Les appareils plus anciens sont souvent intégrés à des environnements opérationnels où le remplacement et la maintenance sont difficiles. Un terminal robuste dans un service hospitalier ou sur le sol d’un entrepôt peut encore fonctionner avec une version du système d’exploitation plusieurs versions majeures en retard, tandis que le personnel de cet environnement a accès aux derniers services d’IA publics. L’utilisation de l’IA peut susciter une inquiétude immédiate, même si le point de terminaison vieillissant représente une voie d’accès aux informations sensibles depuis plus longtemps.

C’est à ce stade que la relation entre l’adoption de l’IA et la gestion des points de terminaison devient plus claire. Le rapport place le risque de périmètre fantôme et l’hygiène de sécurité dans des chapitres distincts, mais la santé apparaît dans les deux. Elle est identifiée pour l’exposition à la conformité liée aux applications non sanctionnées, puis réapparaît en raison de ses mises à jour lentes du système d’exploitation et de son taux relativement élevé de postes de travail non chiffrés. Cette superposition peut rester cachée lorsque la sécurité, la gestion des appareils et les informations sur les applications sont réparties dans des systèmes séparés. Chaque équipe peut disposer d’une vision précise de sa propre partie de l’infrastructure tout en manquant la concentration du risque à travers l’ensemble.

Le calendrier réglementaire a changé

Certaines organisations espéraient que la réglementation créerait la pression nécessaire pour combler ces lacunes, bien que le calendrier leur accorde désormais plus de temps que prévu initialement. En vertu de l’accord politique conclu par les négociateurs de l’UE le 7 mai, les obligations à haut risque du règlement IA pour les systèmes autonomes relevant de l’annexe III ont été repoussées d’août 2026 à décembre 2027. C’est la catégorie dans laquelle de nombreux déploiements d’IA d’entreprise devraient se situer. Les obligations de transparence restent applicables dès août 2026, tandis que les exigences plus larges qui inciteraient de nombreuses organisations à créer des inventaires d’IA et des évaluations de risques formelles arrivent désormais seize mois plus tard.

Ce délai offre aux organisations davantage de temps pour se préparer, mais il élimine également une échéance externe immédiate qui aurait pu accélérer les investissements.

Le marché réagit à un manque de gouvernance reconnu, bien que la valeur de ces dépenses dépende de la façon dont ces plateformes se connectent à l’ensemble plus large des points de terminaison. Un tableau de bord de gouvernance de l’IA distinct peut identifier les outils utilisés tout en laissant la condition des appareils, le chiffrement et les performances des applications ailleurs. La réglementation peut fixer des attentes et définir la responsabilité, mais elle ne peut pas créer une vision opérationnelle complète tant que les données sous‑jacentes ne sont pas rassemblées.

Le point de terminaison compte pour quiconque déploie l’IA

La stratégie IA de chaque organisation dépendra en fin de compte des appareils que les employés utilisent quotidiennement. Cela vaut que l’IA soit fournie via un navigateur, intégrée à une application métier ou exécutée directement sur le point de terminaison.

Les développeurs et les équipes d’entreprise qui déploient des assistants, des agents ou des modèles sur l’appareil doivent travailler avec les appareils déjà utilisés par les employés. Ces appareils peuvent être plus anciens, fortement gérés ou déjà soumis à des contraintes de performance. Sur les postes de travail Windows, l’administration informatique, la sécurité et les outils système représentent près de deux tiers de la pile logicielle installée. La protection des points de terminaison, la gestion des correctifs, le chiffrement et les agents d’inventaire des actifs se disputent tous la capacité du processeur et la mémoire avant le lancement d’une charge de travail IA.

L’ajout d’un assistant à cet environnement modifie les exigences imposées à l’appareil. Cela est particulièrement pertinent pour l’inférence sur l’appareil et les flux de travail agents, où la fiabilité et les ressources informatiques disponibles influencent la capacité du service à répondre comme prévu. Le rapport Digital Workspace 2026 a constaté que les appareils Windows subissent 3,1 fois plus d’arrêts forcés et 7,5 fois plus d’états d’applications non réactives que les Macs. À mesure que les employés commencent à dépendre des assistants IA dans leurs tâches quotidiennes, ces différences de fiabilité ont un impact direct sur l’adoption et la confiance. Un service indisponible, lent ou incohérent au moment où il est nécessaire sera rapidement contourné.

Un ordinateur portable exécutif récemment délivré et un dispositif clinique partagé peuvent appartenir à la même organisation, mais se situer aux extrémités opposées en termes de correctifs, de performances et de contrôle. Concevoir un déploiement IA autour d’un point de terminaison idéalisé risque de négliger les zones où la mise en œuvre sera la plus difficile. Ces faiblesses se concentrent souvent dans les environnements réglementés et opérationnels, où les appareils restent en service plus longtemps et où les interruptions peuvent affecter le travail de première ligne. Ce sont également les contextes où une visibilité insuffisante entraîne les conséquences les plus graves.

Voir l’ensemble de l’environnement

Les politiques restent nécessaires, mais leur portée est limitée lorsqu’une organisation ne peut pas voir quels outils les employés utilisent ni l’état des appareils par lesquels ils y accèdent. Les employés continueront de choisir les services qui les aident à accomplir rapidement une tâche. Certains utiliseront un assistant approuvé, tandis que d’autres opteront pour un service public qui semble plus simple ou qui donne un meilleur résultat. Les règles écrites seules ne fourniront pas aux équipes informatiques un compte rendu précis de ce comportement.

Le défi opérationnel consiste à comprendre l’utilisation de l’IA dans son contexte, ce qui peut inclure l’âge de l’appareil, son système d’exploitation, l’état des correctifs, la couverture du chiffrement et les applications déjà installées. Pris séparément, chaque jeu de données peut sembler maîtrisable. Ensemble, ils peuvent révéler où plusieurs faiblesses s’accumulent autour des mêmes employés, appareils ou processus métier. Les organisations réglementées devraient commencer par regrouper les informations sur l’utilisation de l’IA, les correctifs et le chiffrement dans une vue partagée, puis identifier les parties de l’infrastructure qui apparaissent de façon récurrente dans ces ensembles de données. L’IA fantôme peut être le signe le plus visible du problème, tandis que le risque plus large se situe dans les lacunes entre les systèmes utilisés pour gérer le lieu de travail.