Cybersécurité et vacances : restez vigilant en toutes circonstances
CNIL 2026 : la cybersécurité sous haute surveillance
Dans une entreprise, les outils numériques doivent être choisis, installés et sécurisés avec l’aide et l’accord du service informatique. Pourtant, il arrive souvent que des salariés utilisent d’autres outils sans en informer le service compétent. C’est ce qu’on appelle le shadow IT, ou « informatique de l’ombre ».
Cela peut prendre plusieurs formes :
- utiliser un espace de stockage personnel pour partager des documents professionnels ;
- envoyer des fichiers de travail vers sa messagerie personnelle ;
- créer un compte sur un outil en ligne sans validation ;
- utiliser un outil d’IA, de traduction ou de gestion de projet non autorisé ;
- installer une application sans accord préalable ;
- travailler depuis un service gratuit trouvé sur Internet.
Dans la plupart des cas, ces pratiques ne partent pas d’une mauvaise intention. Les salariés cherchent souvent à gagner du temps, à utiliser un outil plus simple ou à répondre à un besoin urgent. Le problème, c’est que l’entreprise ne maîtrise plus vraiment ni les outils utilisés, ni les accès créés ni les données qui y sont déposées.
Premier risque : les données
Lorsqu’un document professionnel est envoyé sur un outil non validé — par exemple un espace Google Drive personnel, Dropbox, WeTransfer, une messagerie Gmail personnelle ou un outil d’IA comme ChatGPT — l’entreprise ne sait pas toujours où il est stocké, qui peut y accéder, combien de temps il sera conservé ni s’il peut être réutilisé. C’est encore plus sensible lorsqu’il s’agit de données personnelles, d’informations clients, de contrats, de documents financiers ou de données internes.
Deuxième risque : la sécurité
Un outil non contrôlé peut être mal protégé, mal configuré ou piraté. Un mot de passe réutilisé entre un compte personnel et un compte professionnel peut aussi faciliter une attaque. Si un service personnel est compromis, des informations de l’entreprise peuvent être exposées.
Troisième risque : la conformité
Certaines données doivent être traitées selon des règles précises, notamment lorsqu’elles concernent des personnes. Utiliser un outil non autorisé peut rendre plus difficile le respect du RGPD, la maîtrise des accès ou la preuve que les données sont bien protégées.
Le shadow IT peut aussi désorganiser le travail. Des documents peuvent être dispersés entre plusieurs outils, avec plusieurs versions différentes. Un salarié peut alors quitter l’entreprise en laissant derrière lui des comptes ou des fichiers auxquels personne n’a accès. L’entreprise perd alors en visibilité et en efficacité.
Le sujet est encore plus important avec les outils d’IA. Copier du texte, des données clients ou des documents internes dans un outil d’IA non validé peut exposer des informations sensibles. Avant d’utiliser ce type de service, il faut vérifier ce qui peut y être envoyé, ce qui est conservé et si l’outil est autorisé par l’entreprise.
Pour limiter les risques, le bon réflexe n’est pas de travailler seul dans son coin. Avant d’utiliser un nouvel outil, il faut demander conseil au service informatique ou à la personne chargée de la sécurité. Si un besoin n’est pas couvert par les outils existants, il vaut mieux le signaler plutôt que de chercher une solution non encadrée.
Les bons réflexes à retenir
- Ne pas utiliser de stockage personnel pour des fichiers professionnels sans autorisation.
- Ne pas mélanger messagerie personnelle et messagerie professionnelle.
- Éviter de copier des données sensibles dans un outil non approuvé.
- Installer uniquement les applications autorisées ou provenant de sources officielles.
- Utiliser des mots de passe différents pour les services personnels et professionnels.
- Demander conseil avant de créer un compte sur un nouvel outil.
- Signaler les besoins non couverts par les outils de l’entreprise.
Le shadow IT n’est donc pas seulement un problème technique. C’est aussi un sujet d’organisation et de sensibilisation. L’objectif n’est pas de bloquer les salariés mais de leur permettre de travailler efficacement sans exposer l’entreprise à des risques inutiles.
