Des sessions actives, des jetons réutilisés et des comptes hors périmètre peuvent survivre à un départ d’employé. Selon une enquête Sagiss publiée en octobre, 24 % des ex-collaborateurs pouvaient encore utiliser un outil d’IA et 16 % disent avoir laissé des données d’entreprise dans des chats. Des DSI détaillent leurs méthodes pour cartographier ces usages et reprendre la main.
Désactivation centrale : des sessions et jetons peuvent perdurer
Microsoft indique que retirer l’accès à un employé n’entraîne pas l’arrêt immédiat de toutes les sessions en cours. Certaines applications sont susceptibles de continuer à accepter des jetons délivrés précédemment ou de conserver leurs propres sessions, ce qui fait que la désactivation d’un compte centralisé ne supprime pas l’accès simultanément partout. Assurer un départ fiable nécessite plus qu’un ticket clôturé : il faut documenter quels comptes ont été désactivés, à quelle date, et qui a vérifié les changements, puis enquêter sur les retards, les applications oubliées et les connexions inattendues. L’enjeu est aussi de distinguer les zones où la suppression d’accès est possible de celles où le contrôle sur des informations déjà partagées est limité. Les organisations devraient pouvoir confirmer qu’une personne n’est plus dans les systèmes, plutôt que découvrir des semaines plus tard qu’un compte fonctionne encore.
Responsabilités éclatées : 33 % jugent l’offboarding mal attribué
33 % des répondants estiment que la responsabilité de mettre fin à leurs accès était floue ou qu’aucun service ne s’en chargeait. Sagiss indique découvrir lors de revues de routine des comptes liés à des partants dont l’informatique n’avait pas été informée, en passant au crible des comptes inactifs. Le service informatique ne peut pas fermer ce qu’il ne connaît pas : les RH détiennent l’information du départ, le manager la liste d’outils utilisés, et l’informatique les comptes qu’elle connaît, sans garantie que ces éléments se rejoignent.
L’ampleur déclarée : 24 % gardent un accès, 16 % laissent des données
Selon Sagiss, 24 % des ex-employés déclarent pouvoir encore accéder à un outil ou assistant IA de leur ancienne entreprise après leur départ, tandis que 16 % affirment que des données de l’entreprise demeurent dans un outil d’IA ou dans l’historique d’un chat. Cette enquête, fondée sur les déclarations des participants, a été réalisée par Pollfish en septembre 2026 auprès de 1 000 adultes américains ayant quitté, au cours des cinq dernières années, des postes utilisant des technologies d’entreprise. Ces résultats sont publiés en octobre dans le 2026 Managed Security Report : Employee Offboarding.
L’IA qui transforme le business ?
Stratégies, mouvements et levées IA décryptés, chaque soir en 5 min. Gratuit.
Inclus dès l'inscription : notre sélection des meilleurs guides & comparatifs IA.
Choisissez votre rythme
Gratuit · Pas de spam · Désabonnement en 1 clic
Comptes personnels et outils gérés : deux risques de nature différente
Sagiss n’a pas précisé quels types de comptes restaient accessibles aux partants. Certains cas relèvent de comptes d’IA gérés par l’entreprise qui n’auraient pas été désactivés, d’autres de comptes personnels utilisés à des fins professionnelles. La fréquence relative de ces scénarios n’est pas précisée, mais la distinction change la réponse : désactiver un compte ne suffit pas si des informations de l’entreprise ont été intégrées à des outils hors de portée des administrateurs.
SaaS activés par l’IA et identités techniques élargissent la surface
Des applications SaaS dotées d’IA peuvent interroger des systèmes, modifier des enregistrements et appeler des API au nom d’utilisateurs, ce qui multiplie les points d’attention. Comptes de service, jetons API et autorisations OAuth forment des angles morts, avec des durées de vie parfois longues et un suivi lacunaire, d’autant que des agents d’IA peuvent hériter des permissions d’employés. Bien que le SSO simplifie la désactivation en regroupant la gestion de l’identité, la problématique des accès déjà attribués demeure. Les recommandations mentionnent la nécessité d’examiner les applications hors SSO, les identifiants partagés, les sessions qui persistent, ainsi que de recenser les fonctionnalités IA intégrées, les agents connectés et les identités non humaines, tout en gardant à l’esprit les données d’entreprise déjà hébergées chez des prestataires et le degré de contrôle administratif réel.
Ce que font déjà des DSI : recensement et évaluation des outils
Des DSI travaillent à rendre visibles les usages d’IA, y compris non approuvés. Chez Flexera, Conal Gallagher a sondé les employés pour identifier les usages informels et les outils jugés utiles, ce qui a révélé des applications adoptées par des équipes commerciales. Chez MoonPay, Doug Innocenti décrit une approche technique avec un logiciel de sécurité d’IA pour examiner les applications et évaluer leurs modèles, y compris l’utilisation potentielle des données par les fournisseurs, afin de réaliser un examen indépendant et choisir les outils retenus. Ces démarches visent une condition préalable à un offboarding fiable : savoir quels outils sont utilisés et où circulent les informations de l’entreprise.
