64 % des employés utilisent des outils d'IA sans l'accord de leur entreprise. Voilà ce que révèle une étude mondiale menée par WatchGuard en 2026. Mais ce n'est pas tout : 76 % réutilisent leurs mots de passe, 70 % travaillent depuis le Wi-Fi du café du coin, et la moitié accède aux données de l'entreprise sans VPN.
Ces chiffres traduisent une réalité que je rencontre régulièrement : le risque cyber ne vient plus seulement de l'extérieur, mais des habitudes quotidiennes de travail, souvent prises en toute bonne foi pour gagner du temps ou simplifier les choses.
L'essor du « Shadow AI », ou comment l'IA s'invite discrètement au bureau
Vous avez probablement entendu parler de ChatGPT, Gemini, ou d'autres assistants d'IA générative. Ces outils sont gratuits, rapides et impressionnants !
Ils nous aident à rédiger un e-mail, résumer un rapport ou traduire un document, bref ils ont de quoi nous séduire.
Résultat : les employés les adoptent massivement, sans attendre l'aval de l'entreprise. C'est ce qu'on appelle le « Shadow AI », l'IA fantôme. Près de 40 % des organisations interrogées avouent ne pas avoir de visibilité complète sur les applications utilisées par leurs équipes. Moins de 30 % maintiennent un inventaire précis des logiciels en circulation.
Le problème est que ces outils peuvent stocker les données qu'on leur confie. Un devis client, un fichier RH, une stratégie commerciale… autant d'informations sensibles qui échappent au contrôle de l'entreprise.
Des habitudes de travail qui ouvrent grandes les portes aux pirates
Au-delà de l'IA, l'étude pointe du doigt des comportements à risque largement répandus :
- 76 % des employés réutilisent leurs mots de passe sur plusieurs comptes. Un seul identifiant compromis suffit alors à ouvrir l'accès à plusieurs systèmes, voire à toute l'entreprise
- 70 % utilisent le Wi-Fi public pour travailler (gare, hôtel, café), sans toujours mesurer que ces réseaux peuvent être espionnés, et 50 % accèdent aux ressources de l'entreprise sans VPN, c'est-à-dire sans "protection"
- 55 % mélangent usage professionnel et personnel sur leur ordinateur de travail. Ce qui augmente les risques d'infection par un logiciel malveillant ou d'hameçonnage via un site personnel
- 30 % partagent leurs mots de passe avec d'autres personnes, ce qui rend toute traçabilité impossible en cas d'incident.
Marc Laliberte, expert en sécurité chez WatchGuard, le résume bien : « Les organisations investissent dans des outils de sécurité, mais beaucoup manquent de visibilité sur la façon dont leurs employés travaillent réellement. »
Ce que cela signifie concrètement pour votre entreprise
- Vos données sensibles circulent peut-être à votre insu : devis, fichiers clients, informations RH, stratégies… sans qu'aucune trace ne soit gardée
- Un seul mot de passe volé peut suffire à compromettre plusieurs comptes, voire l'ensemble de votre système informatique
- Le travail hybride brouille les frontières entre vie personnelle et professionnelle, rendant les contrôles de sécurité classiques insuffisants
- Vous ne pouvez plus tout bloquer : les salariés trouveront toujours des contournements s'ils ne comprennent pas les risques
Quelques conseils
Les utilisant moi-même, je comprends tout à fait l'attrait de ces outils d'IA, mais la facilité d'usage ne doit pas nous faire oublier les risques.
Voici ce que je recommande :
- Imposez un gestionnaire de mots de passe (Bitwarden, KeePass, 1Password…) et l'authentification multifacteur (MFA) partout où c'est possible. C'est le socle minimum
- Établissez une politique claire sur l'usage de l'IA : quels outils sont autorisés ? Quelles données peut-on y transmettre ? Faites-en un sujet d'équipe afin que tout le monde se sente concerné
- Sensibilisez régulièrement vos équipes sur les divers risques liés (Wi-Fi public, partage des mots de passe, usage personnel des appareils pro, ..). Une formation annuelle ne suffit pas, il faut des rappels réguliers
Et pour finir, j'aime bien ouvrir le débat : savez-vous réellement quels outils vos collaborateurs utilisent au quotidien ? Si la réponse est non, il est peut-être temps d'ouvrir le dialogue 😉