Shadow AI : la réponse des éditeurs de sécurité traite la visibilité, pas la cause

Le 22 juin 2026, F5 annonce sa AI Security Platform, construite en partie autour du rachat de SurePath AI. L'argumentaire est simple : les organisations ne voient plus ce que leurs collaborateurs et leurs agents IA font réellement, et il faut le leur redonner. C'est une réponse au même problème que je détaillais dans mon article sur le shadow AI et la gouvernance, mais depuis l'autre bout de la chaîne : pas l'organisation qui diagnostique ses propres usages, l'éditeur qui vend l'outil pour les détecter.

Ce que la plateforme fait concrètement

Quatre piliers, d'après le communiqué officiel de F5. La gouvernance pose des limites sur les prompts et les accès aux données. La découverte identifie toute activité IA en cours, y compris non autorisée, ce qui est la brique qui manque le plus souvent aujourd'hui : on ne peut pas encadrer un usage qu'on ne voit pas. Les tests de sécurité évaluent l'exposition contre 140 000 modèles d'attaque répertoriés. La protection en temps réel revendique 98,2% d'efficacité selon des tests indépendants cités par F5, avec une couche d'observabilité pensée pour l'audit et la traçabilité.

Les chiffres qui justifient le lancement viennent du rapport « State of Application Strategy 2026 » de F5, sa 12e édition annuelle : plus de 1 100 décideurs IT interrogés à l'échelle mondiale, dont trois quarts dans des organisations au chiffre d'affaires compris entre 1 et 10 milliards de dollars. Pas un panel franco-français ni même européen, un échantillon international de grandes entreprises. 88% des organisations interrogées rapportent au moins un défi opérationnel ou sécuritaire lié à l'IA, et 98% se préparent à l'IA agentique. Deux chiffres cohérents avec ce que j'observe côté français, mais issus d'un échantillon mondial, pas d'une mesure locale.

Ce que ça résout, et ce que ça ne résout pas

La brique « découverte » a une vraie valeur, indépendamment de tout le reste. Une organisation qui ne sait pas ce que ses équipes font réellement avec l'IA ne peut motiver aucune décision de gouvernance autrement que par supposition. Ça rejoint exactement le premier pas que je recommande dans l'article sur le shadow AI : cartographier les usages réels avant de légiférer. Une plateforme qui automatise cette cartographie à l'échelle d'un grand groupe fait gagner un temps réel par rapport à un audit informel.

Là où ça se complique, c'est sur ce que l'organisation fait de cette visibilité une fois acquise. Détecter un usage non autorisé et le bloquer techniquement, sans proposer d'alternative validée qui réponde au même besoin, reproduit exactement l'erreur que je décrivais déjà : ça ne fait pas disparaître le besoin, ça déplace l'usage vers un contournement moins visible encore (appareil personnel, réseau mobile, compte non professionnel). Une plateforme de sécurité, aussi sophistiquée soit-elle, répond à la visibilité du problème. Elle ne répond pas à sa cause, qui reste organisationnelle : l'absence d'un outil IA officiellement fourni et validé pour les usages les plus courants.

Le même schéma que j'observe ailleurs

Ce n'est pas la première fois cette année que je crois voir une réponse technique ou réglementaire descendante se substituer à un problème qui reste, au fond, organisationnel ou humain. L'article 50 de l'AI Act oblige à signaler certains contenus IA sans rien changer à l'incitation économique qui pousse à en produire en masse. La différence ici, c'est que la réponse ne vient ni du régulateur ni d'une démarche volontaire comme celle de Julien Vey, mais du marché de la sécurité lui-même, qui vend l'outil de contrôle sans nécessairement résoudre ce qui a créé le besoin de contrôle.

Ce que je recommande concrètement

Si votre organisation envisage une plateforme de ce type, la séquence compte autant que l'outil. Faire d'abord le diagnostic de gouvernance à bas coût (sondage anonyme, entretiens, cartographie des usages les plus fréquents), comme je le décris dans mon article sur la gouvernance de l'IA en agence. Utiliser ce diagnostic pour décider quelles alternatives validées fournir en premier. Ensuite seulement, envisager un outil de découverte et de protection à l'échelle, pour maintenir la visibilité dans la durée une fois la politique en place, pas pour la remplacer.

Acheter la brique de détection avant d'avoir fait l'audit gratuit revient à résoudre la partie la plus chère du problème avant la partie la moins chère. Ça marche techniquement. Ça ne règle pas l'écart de gouvernance qui a créé le shadow AI au départ.

Sources : F5, communiqué de lancement de l'AI Security Platform ; F5, 2026 State of Application Strategy Report.