# Selon le NCSC, 71 % des salariés adoptent l’IA fantôme > Le NCSC britannique alerte sur l’IA fantôme : 71 % des salariés britanniques ont utilisé des outils non approuvés par leur employeur. Type : Actualité IA · Catégorie : Tendances · Publié le 2026-09-08 · Signal IA - Order & Chaos · Secteur : Cybersécurité Source : https://www.orderchaos.eu/signal-ia/actu/le-ncsc-alerte-71-pourcent-des-salaries-utilisent-lia-fantome Tags : cybersécurité, ia fantôme, données, agents ia, agents-ia, ia-entreprise --- ## En résumé - Le NCSC alerte sur les risques liés aux outils d’IA non approuvés. - Microsoft Research estime que 71 % des salariés britanniques utilisent ces outils. - Le NCSC recommande de réduire l’IA fantôme avec des règles claires et un dialogue ouvert. **Le signal :** Le NCSC rapporte que 71 % des salariés britanniques ont utilisé des outils d’IA non approuvés par leur employeur. **Alerte britannique.** Le National Cyber Security Centre britannique a averti le 7 septembre 2026 que les salariés utilisant des outils d’IA non approuvés peuvent exposer des données d’entreprise. Cette pratique peut aussi créer des risques difficiles à détecter et à gérer pour les organisations. Le NCSC désigne cette pratique comme l’IA fantôme, une forme d’informatique fantôme échappant aux systèmes et processus approuvés. L’agence estime que cette pratique devrait persister. Les salariés adoptent en effet de nouveaux services plus rapidement que les organisations ne peuvent les évaluer. Le NCSC appelle donc les équipes de [sécurité](/signal-ia/actu/safe-bouscule-lia-100-entreprises-unies-openai-absent) à ne pas supposer qu’elles voient l’ensemble des usages d’IA professionnels. **Un usage largement répandu.** Une étude de Microsoft citée par le NCSC indique que 71 % des salariés britanniques ont utilisé des outils d’IA non approuvés par leur employeur. L’agence considère ce chiffre comme un signe d’un usage largement répandu de l’IA fantôme. Le problème peut apparaître lorsque les règles de [cybersécurité](/signal-ia/actu/dgfip-jira-qwen-lia-revele-ses-failles) existantes ne répondent pas aux besoins opérationnels. Des salariés peuvent alors adopter de nouveaux services avant leur évaluation par l’employeur. David Chismon, directeur technique du NCSC pour l’architecture, souligne que les équipes de sécurité doivent éviter de croire qu’elles disposent d’une visibilité complète. Le NCSC présente cette visibilité comme un enjeu central de la gestion des outils d’IA. ## Les données sortent des contrôles **Données et conformité.** Selon le NCSC, les salariés qui donnent à des outils d’IA fantôme un accès aux données de l’entreprise ou des clients peuvent accroître plusieurs risques. L’agence cite les violations de données, la perte de propriété intellectuelle et le non-respect d’obligations réglementaires. Elle avertit aussi que le transfert d’informations sensibles vers des services d’IA grand public peut réduire la visibilité et le contrôle de l’organisation. Ces informations peuvent être stockées, conservées ou utilisées pour améliorer le service. Le risque décrit porte donc sur le devenir des données après leur transmission. Il concerne aussi bien les données internes que celles confiées par des clients. **Agents aux privilèges élevés.** Le NCSC avertit également que les agents d’IA peuvent contenir des vulnérabilités critiques. Un attaquant exploitant l’une d’elles pourrait obtenir les mêmes données, services et privilèges que ceux détenus légitimement par l’agent. L’agence estime en outre que les attaquants chercheront probablement à utiliser des agents dotés de garde-fous plus souples. Ils pourraient exploiter des vulnérabilités ou des erreurs de configuration dans d’autres composants informatiques de l’entreprise. Le NCSC renvoie à ses recommandations sur l’adoption prudente des services d’IA agentique. Ces recommandations ont été publiées avec des partenaires internationaux. Elles complètent l’alerte sur les usages non approuvés. ## Le NCSC recommande de réduire **Des garde-fous explicites.** Le NCSC recommande de réduire l’IA fantôme plutôt que de chercher à l’éliminer totalement. Cette approche reprend celle préconisée pour l’informatique fantôme au sens large. L’agence conseille de développer une culture positive de cybersécurité. Les salariés doivent pouvoir parler ouvertement des problèmes de sécurité rencontrés. Ils doivent aussi pouvoir évoquer les outils qu’ils souhaitent utiliser. David Chismon affirme que les organisations ne peuvent pas espérer bloquer les connexions vers tous les outils d’IA possibles. Il préconise donc un dialogue ouvert et des garde-fous clairs. Ces règles doivent définir ce qu’est un usage sécurisé de l’IA dans l’organisation. [Lire l’analyse du NCSC sur l’IA fantôme](https://www.ncsc.gov.uk/blogs/the-hidden-risks-of-shadow-ai). [Consulter les recommandations sur les services d’IA agentique](https://www.cyber.gov.au/business-government/secure-design/artificial-intelligence/careful-adoption-of-agentic-ai-services). [Voir l’article source](https://www.infosecurity-magazine.com/news/ncsc-warns-shadow-ai-security-risks/)