Patrimoine applicatif : quand les applications deviennent jetables, la gouvernance doit suivre la donnée

Pendant vingt ans, gérer le patrimoine applicatif d'une entreprise revenait à tenir un inventaire : quelles applications, quels propriétaires, quelles échéances de renouvellement. Cet inventaire suppose que les applications durent. Or Gartner prévoit que d'ici 2029, 80 % des nouvelles applications seront temporaires, avec une durée de vie inférieure à un an. Si la prévision se confirme, même partiellement, un référentiel d'applications sera périmé avant d'être validé. Ce qu'il faut gouverner change de nature : la donnée, les accès et les engagements contractuels, bien plus que le logiciel lui-même.

En résumé

Constat : Gartner prévoit (15 septembre 2026) que 80 % des nouvelles applications seront temporaires d'ici 2029, alors que l'IA permet déjà à des métiers de produire des applications sans la DSI. Les premières mesures sont inquiétantes : un éditeur de sécurité a recensé environ 5 000 applications d'entreprise créées sur des plateformes de « vibe coding », dont 40 % exposaient des données sensibles sans contrôle (étude éditeur, rapportée par TechTarget). Thèse : le patrimoine applicatif ne se gouverne plus application par application, mais par trois registres tenus à jour : les données, les accès et les engagements des fournisseurs. Conséquence : la DSI qui continue de piloter un inventaire d'applications pilotera un SI qui n'existe plus.

Que devient le patrimoine applicatif quand les applications durent moins d'un an ?

La gestion du patrimoine applicatif, que les DSI appellent aussi application portfolio management, repose sur une hypothèse implicite : une application est un actif durable. On la recense, on la rattache à un propriétaire, on décide de la maintenir, de la remplacer ou de l'arrêter. Les méthodes classiques de rationalisation (cartographie, indice d'obsolescence, plan de décommissionnement) en découlent.

Cette hypothèse vacille. Dans ses prévisions stratégiques pour 2027 et au-delà, publiées le 15 septembre 2026, Gartner avance que 80 % des nouvelles applications seront temporaires d'ici 2029, c'est-à-dire conçues pour durer moins d'un an. Le cabinet y voit un défi de gouvernance et de conformité. Il s'agit d'une prévision, pas d'une mesure : les chiffres de ce type sont des hypothèses de marché, formulées par un acteur qui vend aussi du conseil sur le sujet. Elle est toutefois cohérente avec ce que l'on observe : l'IA abaisse le coût de fabrication d'un outil au point que le construire pour un besoin ponctuel devient plus simple que d'en acheter un.

Le patrimoine applicatif ne disparaît pas pour autant. Il se scinde en deux : un noyau durable (ERP, CRM, systèmes de production, données de référence) et une périphérie mouvante d'outils éphémères qui se branchent sur ce noyau. Le noyau garde sa gouvernance classique. La périphérie, elle, échappe à l'inventaire.

Pourquoi la périphérie échappe-t-elle déjà à la DSI ?

Parce que la fabrication ne passe plus par elle. Un responsable commercial ou financier décrit son besoin à un assistant, obtient une application, la publie, et la partage avec son équipe en une après-midi. Aucun ticket, aucun achat, aucun projet.

Les premières mesures publiques de ce phénomène sont à manier avec prudence, mais elles convergent. TechTarget rapporte une étude de l'éditeur Red Access (2026) : environ 5 000 applications d'entreprise ont été repérées sur des plateformes de création assistée par IA ; 40 % contenaient des données sensibles sans contrôle de sécurité, et environ 2 000 exposaient des données financières, des échanges de patients, des identifiants ou des clés d'accès. TechTarget cite aussi une étude Veracode de 2025 selon laquelle 45 % des échantillons de code générés par IA présentaient des faiblesses de sécurité. Ces deux sources sont des éditeurs de sécurité, qui ont un intérêt commercial à décrire le risque ; leur méthodologie complète n'est pas publiée dans l'article cité. Retenez la direction, pas les pourcentages.

Du côté des autorités, le signal date de deux ans : l'ANSSI et son homologue allemand, le BSI, ont publié le 4 octobre 2024 des recommandations de sécurité sur les assistants de programmation fondés sur l'IA, en notant qu'ils étaient déjà largement répandus dans les organisations publiques et privées. Elles s'adressent aux responsables comme aux développeurs. La question n'est donc plus de savoir si ces outils sont utilisés, mais si l'entreprise sait où ils ont produit quelque chose.

Où se loge le problème organisationnel ?

Il ne se loge pas dans l'outil. Il se loge dans le fait que trois responsabilités, auparavant fusionnées dans l'idée d'« application », se séparent.

La première est la responsabilité de la donnée : qui a le droit de la copier dans un outil créé la veille, et qui la retrouve quand l'outil disparaît ? Notre analyse sur la gouvernance de la donnée et de l'IA montre que le blocage est d'abord culturel : tant que les métiers ne se sentent pas propriétaires de la donnée qu'ils manipulent, ils la déposent partout.

La deuxième est la responsabilité des accès : une application éphémère reliée à la messagerie, au CRM ou au drive de l'entreprise détient des droits qui lui survivent si personne ne les révoque. Nous avons abordé ce point pour les agents dans notre analyse sur les accès et la gouvernance des agents IA.

La troisième est la responsabilité contractuelle : l'outil de création, l'hébergement et le modèle d'IA sous-jacent relèvent de fournisseurs, avec des conditions de sortie variables. Ce sujet rejoint celui de la dépendance aux prestataires et de la réversibilité des contrats cloud et SaaS.

Autrement dit, une même application éphémère peut être sans danger côté code et dangereuse côté données, ou l'inverse. L'inventaire par application ne distingue pas ces trois cas. C'est pourquoi la plupart des plans d'action qui commencent par « recensons toutes les applications » échouent dans les premiers mois : le recensement est obsolète à la date de sa publication.

Quelles conséquences pour les entreprises ?

Quatre conséquences se dessinent, que les directions générales et les DSI peuvent anticiper dès les arbitrages budgétaires de fin d'année.

Le périmètre de la DSI se déplace. Elle ne peut plus prétendre contrôler la production d'applications ; elle peut contrôler les points de passage : l'authentification, les connecteurs vers les données de référence, les plateformes autorisées. Gartner annonce d'ailleurs que, d'ici 2030, 80 % des entreprises du Global 500 feront de leur DSI le « gardien des preuves » de la responsabilité en matière d'IA. Là encore, une prévision, mais qui désigne le même déplacement : de la production vers la traçabilité.

Le risque se mesure en données exposées, pas en applications recensées. Un indicateur de pilotage utile n'est plus le nombre d'applications du catalogue, mais la part des données sensibles accessibles depuis un outil non référencé.

Le coût se disperse. Des abonnements aux plateformes de création, des usages de modèles facturés à la consommation et des hébergements de petite taille échappent au budget informatique. Notre analyse sur la gouvernance des dépenses technologiques montre comment ces dépenses se logent dans les budgets des métiers.

La dette technique change de forme. Une application jetable n'a pas de dette technique, par définition ; celles qui ne sont pas jetées en ont une, invisible, faute d'équipe pour les maintenir.

Comment gouverner par la donnée, les accès et les engagements ?

Nous proposons de remplacer l'inventaire des applications par trois registres, tenus à une cadence courte.

• Un registre des données : pour chaque catégorie de données sensibles (clients, finances, RH, santé), les outils autorisés à les manipuler, avec un propriétaire métier nommé. Un outil absent de la liste n'a pas le droit d'y toucher.
• Un registre des accès : les connexions de chaque outil aux systèmes de l'entreprise, avec une date d'expiration par défaut. Une connexion qui n'est pas renouvelée s'éteint.
• Un registre des engagements : les fournisseurs de plateformes, de modèles et d'hébergement, leurs conditions de sortie et leur coût mensuel consolidé.

Ces trois registres se tiennent plus facilement qu'un inventaire, car ils évoluent moins vite que les applications. Ils exigent surtout une règle claire pour les métiers : « vous pouvez construire ce que vous voulez, à condition de n'utiliser que des données, des accès et des plateformes qui figurent au registre ».

Cette approche s'articule avec le portefeuille de projets : les outils éphémères ne passent pas par le comité de priorisation, mais les noyaux durables, si. Notre guide sur la gestion de portefeuille de projets digitaux décrit ce partage.

Ce qu'il faut garder de cette analyse

La prévision de Gartner peut ne pas se réaliser à l'échéance annoncée ; son orientation, elle, est déjà visible dans les usages. Le test pratique est simple : demandez à votre DSI combien d'outils créés par des équipes métier sont connectés aujourd'hui à votre CRM ou à votre messagerie. Si la réponse est « nous ne savons pas », le problème n'est pas l'avenir des applications jetables. C'est le présent des accès non contrôlés.

Reste une question de gouvernance que chaque comité de direction devra trancher : le droit de construire doit-il rester ouvert à tous, avec un contrôle sur la donnée, ou être réservé à des plateformes validées ? Les deux options sont défendables. Ne pas choisir revient à choisir la première, sans contrôle.

Le regard de digitalie_

Chez digitalie_, nous considérons que la gouvernance d'un système d'information se déplace de l'application vers la donnée : c'est elle qui dure, c'est elle qu'il faut protéger. Nous aidons les directions générales et les DSI à cadrer ce passage, en particulier à construire les registres de données, d'accès et d'engagements qui remplacent un inventaire devenu inopérant. Si vous voulez tester votre exposition actuelle, nous proposons un échange de 30 minutes. Voir aussi notre page Transformation digitale.

Questions fréquentes

Qu'est-ce que le patrimoine applicatif d'une entreprise ?

Le patrimoine applicatif désigne l'ensemble des applications et logiciels utilisés par une organisation : progiciels, développements spécifiques, services SaaS et outils métiers. Sa gestion consiste à les recenser, les rattacher à un propriétaire, mesurer leur valeur et leur coût, puis décider de les conserver, de les remplacer ou de les arrêter.

Qu'est-ce que le portefeuille applicatif et à quoi sert-il ?

Le portefeuille applicatif est la vue consolidée des applications avec leurs coûts, leurs usages, leur criticité et leur obsolescence. Il sert à arbitrer : rationaliser les doublons, planifier les remplacements et repérer les risques. Il reste utile pour le noyau durable du SI, moins pour les outils éphémères.

Qu'est-ce qu'une application éphémère ?

Une application éphémère est un outil créé pour un besoin ponctuel, souvent avec l'aide de l'IA, et destiné à être utilisé quelques semaines ou mois avant d'être abandonné. Gartner prévoit que 80 % des nouvelles applications seront de ce type d'ici 2029 ; c'est une prévision, non une mesure.

Comment gouverner des applications créées par les métiers avec l'IA ?

Plutôt qu'un inventaire, tenez trois registres : les données sensibles et les outils autorisés à les manipuler, les accès aux systèmes avec expiration par défaut, et les fournisseurs avec leurs conditions de sortie. Les métiers construisent librement, à condition de n'utiliser que ce qui figure aux registres.

Quels sont les risques de sécurité du code généré par IA ?

Les risques portent sur des failles dans le code, des applications publiées sans authentification et des données sensibles exposées. L'ANSSI et le BSI ont publié des recommandations dès octobre 2024. Les pourcentages issus d'études d'éditeurs de sécurité sont à lire comme des indications, non comme des mesures représentatives.

Sources

1. Gartner, « Gartner Unveils Top Strategic Predictions for 2027 and Beyond », 15 septembre 2026 : https://www.gartner.com/en/newsroom/press-releases/2026-09-15-gartner-unveils-top-strategic-predictions-for-2027-and-beyond

2. TechTarget, « Vibe coding security crisis CIOs can't ignore » (étude Red Access 2026 ; Veracode 2025 ; IBM Cost of a Data Breach 2025) : https://www.techtarget.com/searchcio/feature/vibe-coding-security-crisis-CIOs-cant-ignore

3. ANSSI et BSI, « Recommandations de sécurité concernant les assistants de programmation basés sur l'IA », 4 octobre 2024 : https://cyber.gouv.fr/actualites/lanssi-et-le-bsi-publient-leurs-recommandations-de-securite-concernant-les-assistants-de-programmation-bases-sur-lia/

4. ANSSI, « Recommandations de sécurité pour un système d'IA générative » (2024) : https://cyber.gouv.fr/sites/default/files/document/security_recommandations_for_a_generative_ai_system.pdf

5. HubSpot, « Application Portfolio Management (APM) : tout ce qu'il faut savoir sur la gestion du portefeuille applicatif » (page de référence actuellement bien classée, consultée pour l'analyse des résultats de recherche) : https://blog.hubspot.fr/website/application-portfolio-management