L’intelligence artificielle générative s’est rapidement installée dans le quotidien des collaborateurs. ChatGPT, Claude, Copilot et de nombreux autres outils sont désormais utilisés pour résumer des documents, analyser des informations, générer du contenu ou encore travailler sur du code.
Mais cette adoption rapide fait émerger un nouveau phénomène : le Shadow AI.
À l’image du Shadow IT, il désigne l’utilisation d’outils d’intelligence artificielle sans validation ou contrôle préalable des équipes IT et sécurité. Un collaborateur peut ainsi copier du code source dans ChatGPT pour le déboguer, charger une liste de clients dans Claude pour la résumer ou encore transmettre des éléments contractuels à Copilot.
Le problème n’est donc pas seulement quels outils d’IA sont utilisés, mais surtout :
Quelles données leur sont transmises ? Par qui ? Vers quelles applications ? Et comment empêcher les informations sensibles de sortir de l’entreprise sans pour autant bloquer l’utilisation de l’IA ?
Le Shadow AI crée un nouveau canal de fuite de données
Les mécanismes traditionnels de protection des données n’ont pas nécessairement été conçus pour ces nouveaux usages.
Un utilisateur n’a plus besoin d’envoyer un fichier par email ou de le transférer vers un espace de stockage externe pour faire sortir une information de l’entreprise. Un simple copier-coller dans le prompt d’un outil GenAI peut suffire.
Mimecast identifie notamment trois difficultés : les prompts ne sont pas des fichiers, de nouveaux outils d’IA apparaissent et sont adoptés très rapidement, et le niveau de risque dépend fortement du contexte. Copier-coller un communiqué de presse dans un outil de résumé n’a, par exemple, pas les mêmes implications que transmettre du code source non publié.
Et le phénomène est loin d’être marginal. Selon les données anonymisées de Mimecast Incydr en 2026, plus de 10 000 tentatives d’exfiltration de données vers des outils d’IA non autorisés sont observées chaque heure chez ses clients. 43 % des données exfiltrées vers le Shadow AI concernent du code source, l’un des actifs les plus sensibles de nombreuses organisations.
Comment Mimecast apporte de la visibilité sur le Shadow AI
Pour répondre à cette problématique, Mimecast Incydr permet aux équipes de sécurité d’obtenir une visibilité sur les mouvements de données vers les outils d’IA non autorisés.
La solution surveille notamment les copier-coller, chargements de fichiers et transferts de données vers ces applications et permet d’identifier quels collaborateurs utilisent quels outils, quelles données leur sont transmises et où se situent les comportements présentant le plus de risques.
Cette visibilité ne dépend pas uniquement d’une liste prédéfinie d’applications : Incydr peut également faire remonter les nouveaux outils d’IA adoptés par les collaborateurs, afin de permettre aux équipes sécurité d’adapter leurs politiques à l’évolution des usages.
L’objectif : faire sortir le Shadow AI de l’ombre pour comprendre les usages avant de décider comment les encadrer.
Protéger les données sans bloquer l’adoption de l’IA
L’enjeu n’est toutefois pas d’interdire systématiquement les outils d’IA.
Mimecast propose une approche basée sur des contrôles adaptatifs, afin d’ajuster la réponse au niveau de risque observé.
Selon le contexte, Incydr peut ainsi sensibiliser un collaborateur au moment où il tente d’utiliser un outil non autorisé, bloquer l’envoi de certaines données sensibles en fonction de leur source, empêcher les copier-coller ou uploads vers certaines destinations ou encore appliquer des contrôles renforcés à des populations présentant davantage de risques.
Par exemple, une entreprise peut empêcher que du code source issu de ses environnements de développement, des données provenant de son CRM ou des exports RH soient transmis à des outils d’IA non approuvés, tout en continuant à autoriser des usages considérés comme légitimes.
Cette approche permet ainsi de passer d’une logique de blocage généralisé à une gouvernance de l’IA adaptée au contexte et au risque réel.
Faire du Shadow AI un usage visible et maîtrisé
L’adoption de l’IA générative va continuer à faire évoluer la manière dont les collaborateurs manipulent et partagent l’information. Pour les entreprises, l’enjeu consiste désormais à retrouver de la visibilité sur ces nouveaux flux de données et à intervenir lorsque les usages présentent un risque réel.
Avec Incydr, Mimecast apporte une réponse centrée sur la découverte du Shadow AI, la détection des exfiltrations, les contrôles adaptatifs et la priorisation des risques.
Vous souhaitez aller plus loin ?
Téléchargez le Solution Brief Mimecast – Shadow AI Data Protection
pour découvrir en détail les capacités de Mimecast Incydr.
Contactez les équipes Ignition Technology France
pour échanger sur Mimecast et les enjeux de protection des données face au Shadow AI.