Saviynt : l’IA fantôme devient un nouveau risque d’accès pour les entreprises
Les outils d’IA non autorisés ne sont plus seulement un sujet de conformité ou de politique interne. Selon Saviynt, ils deviennent un risque de sécurité à part entière dès lors qu’ils accèdent à des applications critiques, manipulent des données sensibles et exécutent des actions sans gouvernance claire.
L’IA fantôme s’installe dans les entreprises plus vite que les mécanismes de contrôle. Les collaborateurs utilisent des outils d’IA générative, les métiers expérimentent des agents, et certains systèmes commencent à automatiser des actions dans des environnements sensibles. Pour les équipes de sécurité, le problème n’est plus seulement de savoir si ces usages existent, mais de comprendre où ils opèrent, avec quels accès et selon quelles règles.
Le 2026 CISO AI Risk Report publié par Saviynt montre que cette exposition est déjà largement installée. Trois quarts des RSSI interrogés indiquent avoir identifié des outils d’IA générative non autorisés dans leur environnement. Ce chiffre traduit une réalité bien connue des directions sécurité : les usages métiers avancent souvent plus vite que les processus de validation, surtout lorsque les outils sont faciles à déployer et promettent des gains immédiats. Mais avec les agents IA, cette logique change d’échelle. Un outil non autorisé peut devenir problématique s’il traite des données internes. Un agent IA non gouverné devient encore plus sensible s’il peut déclencher des actions, interagir avec un CRM, consulter des informations clients ou modifier un processus métier. Le risque ne tient donc pas seulement à la présence de l’IA, mais à la nature des accès qui lui sont accordés.
L’étude de Saviynt révèle que près de la moitié des RSSI ont déjà observé des comportements non intentionnels ou non autorisés de la part d’agents IA. Un tiers déclare même avoir connu un incident ou quasi-incident de sécurité impliquant ces technologies au cours des douze derniers mois. Pourtant, seules 25 % des organisations utilisent aujourd’hui des contrôles ou des outils de supervision spécifiquement conçus pour les usages IA. Cette situation crée une zone grise pour les entreprises. Les outils de gouvernance traditionnels permettent de suivre des utilisateurs, des comptes applicatifs ou des services techniques. Ils sont moins adaptés à des agents capables d’agir de manière autonome, d’enchaîner plusieurs actions et de rendre plus difficile l’attribution des responsabilités.
Pour Saviynt, l’enjeu est donc de traiter les agents IA comme une nouvelle catégorie d’identités numériques. Cela suppose de les inventorier, de limiter leurs droits, de surveiller leurs activités et de détecter rapidement les comportements anormaux. À mesure que l’IA fantôme se rapproche des systèmes critiques, la sécurité des entreprises dépendra de leur capacité à gouverner ces nouveaux accès avant qu’ils ne deviennent un point d’entrée ou d’amplification des incidents.