Shadow IT : votre équipe IT connaît 40 applications SaaS. Vous en avez 130.

Ce qu’est réellement le shadow IT aujourd’hui

Le shadow IT, autrefois, c’était une équipe qui montait un serveur non autorisé, ou quelqu’un qui branchait une clé USB personnelle. Ce cadrage a vieilli. Aujourd’hui, le shadow IT est presque intégralement du SaaS : des outils que les collaborateurs adoptent de leur côté, sans passer par la validation de l’IT, les achats ou la revue de sécurité.

Vu de l’intérieur, ça ne ressemble pas à une infraction. Ça ressemble à une personne du marketing qui ouvre un compte Notion gratuit pour organiser une campagne. À un développeur qui branche un dépôt GitHub sur un nouvel outil de CI pour livrer plus vite. À un dirigeant qui rédige des documents de conseil d’administration avec son abonnement ChatGPT personnel. Chaque décision prise isolément est raisonnable. Leur somme est une surface d’exposition vaste, non gérée et invisible.

Comment il se répand

La raison structurelle pour laquelle le shadow IT ne cesse de croître, c’est que s’inscrire à un nouvel outil SaaS est devenu trivial. Un bouton « Se connecter avec Google », une adresse professionnelle, et vous avez un compte actif en moins de 60 secondes. Aucun ticket, aucune validation, aucun cycle d’achat.

Trois schémas expliquent l’essentiel :

• La connexion OAuth. Les collaborateurs branchent de nouveaux outils avec leur identité Google ou Microsoft. Cela crée une session active dans un outil que votre IdP n’a jamais touché et dont il ignore peut-être l’existence.
• Les offres gratuites. La plupart des produits SaaS ont un palier gratuit qui n’implique jamais l’entreprise. L’outil démarre comme une expérimentation personnelle et devient un flux de travail d’équipe avant que l’IT n’en entende parler.
• La diffusion en équipe. Une personne adopte un outil, le trouve utile, et le partage avec son équipe. Quand l’IT le découvre, il y a 20 utilisateurs actifs et de vraies données métier à l’intérieur.

Des politiques imposant une validation avant l’adoption d’un nouvel outil existent dans la plupart des entreprises. Elles ne ralentissent pas l’adoption du SaaS, parce que la friction du processus dépasse celle qui consiste à s’inscrire et à voir plus tard.

Les vrais risques

Le risque lié au shadow IT est présenté comme un problème de conformité, et il l’est. Mais ce cadrage minimise ce qui est réellement en jeu.

Ce que révèle vraiment une analyse de shadow IT

La plupart des équipes IT sont surprises par les résultats de leur première analyse complète. Non pas parce que les outils sont exotiques, mais à cause du volume et de ce qu’ils contiennent.

C’est le résultat Grammarly qui surprend le plus. 89 utilisateurs, cela signifie que la quasi-totalité de vos profils rédactionnels dispose d’une extension de navigateur ayant accès à tout ce qu’ils tapent, reliée à un service tiers via des comptes personnels. Ce n’est pas malveillant. C’est simplement invisible pour l’IT jusqu’à ce qu’une analyse le mette au jour.

Encadrer plutôt que bloquer

Le réflexe après une analyse de shadow IT est de bloquer. Révoquer les autorisations OAuth, durcir les politiques de navigateur, resserrer le processus de validation. Ce réflexe produit deux effets : les collaborateurs trouvent des contournements, et des outils de productivité légitimes tombent dans le filet.

Une approche plus efficace distingue les outils selon leur niveau de risque et les traite en conséquence :

L’objectif n’est pas le zéro shadow IT. C’est hors d’atteinte sans bloquer la productivité. L’objectif, c’est un shadow IT connu : une photo continue et à jour des outils qui existent, de qui les utilise et des données qu’ils touchent, pour arbitrer le risque au lieu de découvrir les problèmes pendant un audit.

Le lien avec les départs

Shadow IT et gestion des départs sont le même problème vu sous deux angles. Le shadow IT est le problème de découverte : vous ne savez pas quels outils une personne utilise. Le départ est le problème de remédiation : vous ne pouvez pas retirer un accès à des outils que vous ne connaissez pas.

Chaque outil de shadow IT utilisé par un collaborateur est un compte qui survivra à son départ. L’espace Notion, l’abonnement ChatGPT personnel avec ses documents téléversés, le compte Zapier qui achemine des données CRM vers une adresse personnelle. Aucun n’apparaît sur le ticket de départ standard. Tous restent actifs quand le compte Okta s’éteint.

Résoudre le shadow IT est donc un préalable à un départ traité de bout en bout. C’est la découverte continue, qui court en amont de chaque départ, qui rend la checklist de sortie exacte plutôt qu’approximative.