ShadowIA, l'angle mort qui fragilise la gouvernance cyber des PME et ETI

Par Jean Philippe Lesage, CTO de devensys cybersecurity

Dans les PME et ETI, l’IA générative s’installe vite, souvent sans validation IT, parfois sans réelle conscience du risque. Un prompt contenant une donnée sensible, un agent connecté à plusieurs outils internes, un serveur MCP mal configuré… et l’organisation perd en maîtrise.

Le sujet n’est plus marginal. Il touche la gouvernance, la conformité (notamment au regard de NIS2), et surtout la capacité à démontrer que l’on sait ce qui circule réellement dans son propre système d’information.

Dans cet article, Jean-Philippe Lesage, CTO chez devensys cybersecurity, analyse les mécanismes du Shadow AI, le rôle du Model Context Protocol (MCP) dans l’extension de la surface d’attaque, et les leviers concrets pour reprendre le contrôle : cartographie des usages, réduction des droits, gouvernance de la donnée, alternatives sécurisées.

(1) Work Trend Index Annual Report 26 from Microsoft and LinkedIn