Qu'est-ce que le Shadow AI (IA fantôme) ?

• Votre entreprise est confrontée à des risques immédiats de fuite de données lorsque les utilisateurs collent de la propriété intellectuelle sensible (IP) ou des informations personnelles identifiables (PII) dans des modèles d'IA publics.
• L'interdiction des outils d'IA est rarement efficace. Les responsables sécurité réussissent lorsqu'ils agissent comme des brokers qui permettent une utilisation sécurisée de l'IA.
• Votre entreprise doit établir une visibilité comme première étape de la gouvernance, en adoptant une sécurité standard pour l'IA à l'aide d'outils tels que Tenable AI Exposure.

Le Shadow AI (IA fantôme) émerge lorsque vos employés utilisent des outils d'intelligence artificielle non autorisés pour faire leur travail, comme lorsque des membres du personnel utilisent des applications d'IA générative, telles que les grands modèles de langage (LLM) pour rédiger du contenu, générer des images, écrire du code ou analyser des données sans l'approbation de votre équipe informatique.

Alors que le concept de Shadow AI s'inspire du Shadow IT traditionnel (l'utilisation de logiciels ou de matériel non approuvés), l'IA fantôme accélère votre cyber-risque. Considérez le Shadow AI comme à un Shadow IT sous stéroïdes. 

Le Shadow IT traditionnel nécessite souvent une installation ou un approvisionnement, ce qui crée des frictions. En revanche, vos utilisateurs peuvent accéder instantanément à des outils d'IA gratuits basés sur un navigateur. Un accès rapide et facile permet à l'adoption de l'IA de se propager de manière virale au sein de vos effectifs avant même que vos équipes de sécurité ne puissent la détecter.

Le flux de données est un élément de différenciation critique entre le Shadow AI et le Shadow IT. Alors que les risques traditionnels sont généralement centrés sur les logiciels non approuvés en tant que vulnérabilité, le Shadow AI introduit un risque par le biais des données que vous lui fournissez.

Lorsque les employés collent du code propriétaire, des informations sensibles sur les clients ou des documents stratégiques internes dans des modèles d'IA publics, ils abandonnent le contrôle de vos données. La transmission de ces données entraîne le modèle à produire de meilleurs résultats, mais elle expose également votre entreprise à des fuites de données. L'IA peut apprendre et révéler plus tard votre propriété intellectuelle exacte en réponse à des demandes extérieures.

En tant que meilleure pratique, classez vos outils d'IA en fonction de leur fonctionnalité et des risques qu'ils présentent :

• L'IA gérée (sanctioned AI) présente généralement peu de risques. Pensez à des instances de ChatGPT Enterprise gérées par l'entreprise, où vous contrôlez la rétention des données et les paramètres de confidentialité.
• Le Shadow AI comporte des risques variables à élevés. Ces outils d'IA non gérés permettent aux données de sortir de votre périmètre. Certaines sont réputées, comme la version gratuite de ChatGPT. D'autres, comme DeepSeek, sont plus obscures et peuvent manquer de transparence ou de contrôles de sécurité solides.
• Les agents d'IA et les outils d'IA autonomes représentent un risque critique. Contrairement aux chatbots de base qui se contentent généralement de répondre à des questions, les agents et les outils autonomes peuvent effectuer des tâches sans surveillance humaine.

Découvrez comment intégrer la sécurité du Shadow AI dans votre stratégie de gestion de l'exposition : Sécurité de l'IA et sécurité par l'IA.

Le Shadow AI présente des risques immédiats pour votre propriété intellectuelle et votre conformité. Alors que les vulnérabilités logicielles traditionnelles prennent généralement du temps à être exploitées par les attaquants, les failles de sécurité générées par l'IA générative peuvent se produire dès qu'un employé appuie sur la touche Entrée d'un clavier.

Votre principale préoccupation doit être la fuite de données. 

Lorsque vos équipes collent du code propriétaire, des prévisions financières ou des informations sensibles sur les clients dans un chatbot d'IA public, elles transmettent essentiellement ces informations au fournisseur du modèle. 

Malheureusement, la plupart des conditions d'utilisation publiques permettent à ces fournisseurs d'IA d'utiliser les données saisies pour l'entraînement des modèles. Cela signifie que vos secrets commerciaux pourraient, à terme, se retrouver dans la réponse fournie à un concurrent.

Si votre entreprise s'appuie sur des modèles non gérés, le Shadow AI introduit également le risque de résultats d'IA nuisibles ou contraires à l'éthique, pouvant à une atteinte à la réputation ou à des défaillances opérationnelles.

Au-delà de la perte de données, le recours à des outils grand public non surveillés met en péril la qualité et la fiabilité des résultats de l'IA, ce qui peut avoir un impact sur les activités clés de l'entreprise.

Vous devez également faire face à un nouveau type de risque caché : les agents d'IA autonomes. 

Comme le note CIO.com, les « agents cachés » sont plus que de simples chatbots. Ils peuvent effectuer des tâches complexes sans supervision. Ces outils d'IA contournent souvent entièrement la gouvernance traditionnelle de la cyber-sécurité. 

Lorsque les employés contournent l'IA gérée, ils opèrent en dehors de votre visibilité. Le rapport Access-Trust Gap de 1Password a révélé que 33 % des collaborateurs admettent ne pas toujours suivre les politiques en matière d'IA. 

Ces flux de données non surveillés paralysent également la réponse aux incidents. Votre équipe ne peut pas atténuer une fuite de données ou satisfaire à la conformité réglementaire pour une brèche qu'elle ne peut pas voir. 

Pour gouverner efficacement le Shadow AI, il faut savoir où il se cache.   Sans que vous le sachiez, il peut apparaître dans toutes les fonctions de votre entreprise. Le désir des employés de travailler plus rapidement est un facteur commun.

• Les ingénieurs en développement logiciel collent souvent des blocs de code propriétaire dans les LLM pour déboguer des erreurs ou générer de la documentation. Dans un incident largement médiatisé, des employés de Samsung ont accidentellement divulgué du code propriétaire sensible en le téléchargeant sur un assistant IA public. Les développeurs créent aussi souvent des instances cloud non autorisées pour héberger leurs propres modèles d'IA open source, ce qui crée des vulnérabilités d'infrastructure non gérées.
• Les équipes marketing et ventes utilisent souvent l'IA pour rédiger des courriels ou analyser des prospects. Ils peuvent être amenés à télécharger des feuilles de calcul contenant des listes de clients ou des chiffres d'affaires dans des outils publics pour générer des résumés et exposer par inadvertance des données personnelles et financières au fournisseur de modèles d'IA.

Même les services les plus sensibilisés aux risques, comme les services juridiques et RH, peuvent commettre ces erreurs. Un collaborateur juridique peut télécharger un contrat confidentiel pour en résumer les termes complexes, ou un responsable des ressources humaines peut coller des évaluations de performances pour rédiger des commentaires. Dans les deux cas, des données internes hautement sensibles entrent dans le domaine public.

Les dirigeants de votre entreprise pourraient être tentés d'interdire complètement l'IA générative. Cela semble être l'option la plus facile, mais ne le faites pas. 

Les interdictions strictes de l'IA sont rarement efficaces. Ils poussent à l'utilisation souterraine de l'IA. Les employés qui pensent que l'IA les rend plus productifs trouveront des solutions de contournement. Ils utiliseront leurs appareils personnels ou des VPN hors réseau, ce qui vous privera de toute visibilité.

Plutôt que d'incarner le frein à l'innovation, adoptez le rôle de « broker » de l'IA, ce qui signifie que vous autorisez l'accès aux outils d'IA dont votre entreprise a besoin tout en établissant les garde-fous nécessaires pour assurer la sécurité des données. Vous validez les outils qui respectent les normes de sécurité et proposez une voie approuvée pour leur utilisation.

Commencez par une politique d'utilisation acceptable (UAP) de l'IA clairement définie. Votre AUP de l'IA doit préciser quelles classifications de données sont sans danger pour l'IA et lesquelles sont à proscrire. 

En clarifiant les règles plutôt qu'en bloquant les possibilités, vous instaurez la confiance et encouragez les utilisateurs à rester dans un environnement visible et surveillé.

Vous avez besoin d'aide pour vous lancer dans la gouvernance de l'IA ? Lisez notre guide sur Qu'est-ce qu'une politique d'utilisation acceptable (AUP) de l'IA ?

Pour permettre l'innovation en matière d'IA tout en protégeant vos données, vous avez besoin d'un cadre de gouvernance de l'IA continu et en cinq étapes.Tenable estime que la visibilité constitue la base de cette gouvernance. Ce n'est qu'en unifiant la visibilité sur l'IT, le cloud, les identités, l'OT, l'IA et le reste de votre surface d'attaque que vous pouvez réduire efficacement le risque.

1. Découvrir votre exposition à l'IA

La visibilité est votre protection fondamentale contre les risques du Shadow AI. Vous devez identifier chaque outil d'IA utilisé dans votre environnement, qu'il s'agisse d'instances d'entreprise autorisées ou d'applications publiques non autorisées fonctionnant dans les navigateurs des employés. 

Si de nombreuses entreprises s'appuient sur des outils traditionnels tels que la prévention des pertes de données (DLP), le broker de sécurité d'accès au cloud (CASB), la détection et la réponse aux endpoints (EDR) ou les contrôles de sécurité cloud-native, ces outils sont souvent insuffisants. Ils ne disposent pas d'un contexte spécifique pour comprendre les modèles d'IA et leurs flux de données d'IA uniques. 

Pour détecter l'utilisation fantôme que vous recherchez, vous devez recourir à une découverte automatisée conçue spécialement pour l'IA :

AI Aware vous aide à inventorier l'utilisation de l'IA en révélant les apps sur les endpoints et les réseaux.

Les fonctionnalités IA-SPM vous permettent d'inventorier l'IA dans les environnements de développement afin de détecter les développements d'IA parallèles avant leur mise en production. Pour sécuriser ce workflow, utilisez Tenable AI Exposure. pour valider les risques avant le déploiement et surveiller en continu les expositions au runtime.

2. Évaluer les risques liés à l'IA

Après avoir pris connaissance des outils d'IA, évaluez-les. Examinez les conditions d'utilisation de chaque application : 

• Le fournisseur d'IA revendique-t-il la propriété de vos données saisies ?
• Utilisent-ils vos données pour entraîner des modèles d'IA publics ?
• Dans quelle région le système héberge-t-il vos données (par exemple, l'UE ou la Chine) ?
• À quels types de conformité sectorielle le fournisseur d'IA adhère-t-il ?

Ensuite, classez chaque outil comme « sûr », « restreint » ou « interdit » sur la base de ces conclusions.

Tenable AI Exposure surveille en continu ces agents d'IA fantômes pour vous montrer exactement comment ils fonctionnent et quels risques d'IA ils introduisent.

3. Gouverner avec une politique

Formalisez vos décisions dans une politique de gouvernance de l'IA claire. Vous devez définir exactement qui peut utiliser l'IA, quels outils d'IA peuvent être employés et quelles données peuvent être saisies. 

Votre politique doit également établir des paramètres de responsabilité clairs pour le conseil d'administration et le PDG afin de valider que l'IA est sûre et qu'elle apporte la valeur commerciale attendue. Pour commencer, alignez votre stratégie de gouvernance de l'IA sur le cadre de gestion des risques de l'IA du NIST.

En outre, pour prouver le retour sur investissement, élargissez vos mesures au-delà de la réduction des risques pour inclure l'impact commercial, par exemple en suivant les taux d'adoption des outils d'IA gérés par rapport aux outils non gérés et en estimant l'efficacité opérationnelle que votre entreprise gagne en déplaçant les utilisateurs vers des modèles d'IA sécurisés et de niveau entreprise.

4. Former votre personnel

Une politique n'a aucun sens sans formation.Indiquez à vos employés les raisons de l'existence de ces garde-fous en matière d'utilisation de l'IA. Expliquez les risques spécifiques de fuite de données que posent les outils d'IA, afin qu'ils comprennent que vous protégez les secrets de l'entreprise et que vous ne vous contentez pas d'appliquer des règles arbitraires.

5. Contrôler et auditer en continuer l'utilisation de l'IA

Le paysage de l'IA évolue quotidiennement. De nouveaux outils apparaissent et les outils sûrs modifient leurs conditions d'utilisation. Vous devez maintenir une boucle d'audit continue pour détecter les outils non autorisés. Comme le souligne l'ISACA, l'audit de ces outils d'IA non autorisés est essentiel pour maintenir une entreprise conforme face à l'adoption rapide de l'IA.

En fin de compte, l'IA générative offre une valeur immense, mais votre entreprise doit l'adopter de manière sûre et réfléchie. Ne laissez pas l'utilisation de du Shadow AI conduire à vos expositions cachées. En établissant une visibilité et une gouvernance claires, vous pouvez donner à votre personnel les moyens d'innover sans abandonner vos données au domaine public de l'IA.

Visualisez, sécurisez et gérez votre écosystème d'IA avec Tenable AI Exposure.

• Contactez Tenable pour obtenir une consultation ou une démo sur la sécurité de l'IA.
• Visionnez ou assistez aux webinaires Tenable sur les sujets liés à l'IA.
• Consultez la page des plug-ins Tenable pour la détection de l'IA.

Avec l'émergence de l'IA et son adoption croissante, le nombre de questions inhérentes augmente aussi à la même vitesse. Nous avons rassemblé ci-dessous les questions les plus fréquemment posées, en essayant de répondre aux plus urgentes.

Quelle est la différence entre Shadow AI et Shadow IT ? 

Le Shadow IT désigne tout logiciel ou matériel d'IA non autorisé. Le Shadow AI est un sous-ensemble spécifique d'outils d'intelligence artificielle. La principale différence réside dans le profil de risque. Le Shadow IT fait courir des risques à votre infrastructure, tandis que le Shadow AI fait surtout courir des risques aux données que vous lui transmettez.

ChatGPT est-il considéré comme du Shadow AI ? 

Si ChatGPT figure sur votre liste d'IA approuvée, cela signifie que l'outil est géré ; dans le cas contraire, il s'agit d'un Shadow AI.

Comment puis-je détecter l'utilisation du Shadow AI ? 

Vous ne pouvez pas compter sur des enquêtes manuelles pour détecter l'utilisation du Shadow AI. Tenable One Exposure Management unifie les données d'AI Aware, d'AI-SPM et de Tenable AI Exposure pour faire mettre au jour les expositions à l'IA des endpoints, du réseau, du cloud et de l'identité.

Bénéficiez d'une visibilité complète sur les applications d'IA et comblez vos lacunes en matière d'exposition à l'IA grâce à plateforme gestion de l'exposition Tenable One.