La « toil shift » : ces trois goulets d'étranglement qui effacent les gains de production

Le rapport identifie un schéma très clair : les outils d'IA accélèrent la phase d'écriture du code, mais cette célérité crée des points de pression majeurs partout ailleurs. Neuf équipes sur dix ont signalé des problèmes avec du code généré par l'IA à un moment donné de leur flux de travail . Ces problèmes ne surviennent pas de manière aléatoire, ils se concentrent sur trois activités en aval, qui, ensemble, absorbent le temps gagné en amont :

• La revue de code manuelle, citée par 52 % des équipes. Les relecteurs humains doivent traiter un volume de code généré par IA bien supérieur à celui du code écrit par l'humain, et ce volume ne cesse de croître .
• Les tests de sécurité, à 51 %. Le code produit par l'IA introduit de nouvelles catégories de vulnérabilités qui n'existaient pas dans son équivalent rédigé à la main, notamment autour de l'injection de dépendances, des secrets codés en dur et des recommandations de bibliothèques logicielles (librairies) obsolètes .
• La réécriture du code généré, citée par 48 % des équipes. Près de la moitié des équipes déclare consacrer un temps considérable à corriger, remanier ou réécrire le code produit par l'IA avant qu'il puisse être déployé .

Ce phénomène a désormais un nom : le déplacement des tâches ingrates (toil shift). Il ne s'agit plus d'éliminer le travail, mais de le transférer de la phase de création vers les phases de vérification, de test et de remédiation . La formule de Black Duck est sans appel : « la plupart des organisations produisent du code généré par l'IA plus vite qu'elles ne peuvent le relire, le sécuriser ou le gouverner » .

La gouvernance, véritable multiplicateur de retour sur investissement

S'il est un enseignement du rapport que les responsables d'équipes d'ingénierie devraient immédiatement appliquer, c'est celui-ci : la gouvernance est le multiplicateur de retour sur investissement (ROI) . La différence entre les équipes qui encadrent leur usage de l'IA et celles qui ne le font pas n'est pas marginale. C'est la différence entre capter les gains d'efficacité et les regarder s'échapper de toutes parts.

Black Duck a constaté que les organisations dotées de cadres de gouvernance complets ont fait état de 90 % de gains d'efficacité majeurs grâce aux outils de code IA. Pour les équipes sans supervision structurée, ce chiffre tombe à 44 % .

Dans ce contexte, la gouvernance ne signifie pas bureaucratie. Elle se traduit par des politiques clairement définies sur les outils à utiliser, la manière dont le code généré par l'IA doit être relu, les barrières de sécurité qu'il doit franchir et la responsabilité de chaque production logicielle. C'est la différence entre un « les développeurs utilisent ce qu'ils veulent » et un « les développeurs utilisent des outils approuvés au sein d'un pipeline structuré et traçable ».

Le problème du Shadow AI

Un facteur complique encore davantage la mise en place de cette gouvernance : la montée en puissance du Shadow AI, c'est-à-dire l'utilisation par les développeurs d'outils d'IA en dehors, voire à l'encontre, de la politique de leur entreprise. Black Duck a découvert que 18 % des organisations considéraient le Shadow AI comme un risque significatif non maîtrisé . Lorsque des outils comme Cursor, Windsurf ou Claude Code sont adoptés individuellement par un développeur sans passer par les fourches caudines du service achats ou de la revue de sécurité, l'organisation perd toute visibilité sur sa surface d'attaque .

Risques sur la chaîne d'approvisionnement logicielle : ce que le code IA hérite comme bagages

Les implications sur la chaîne d'approvisionnement logicielle (supply chain) sont le point précis où les lacunes de la gouvernance se transforment en vulnérabilités bien concrètes. Les travaux de Black Duck — y compris son rapport connexe 2026 OSSRA — mettent en lumière trois risques interconnectés, propres aux assistants de code IA :

Le blanchiment de licence (License laundering). Les assistants IA, entraînés sur des dépôts de code open source, peuvent générer des extraits de code provenant de sources sous licence « copyleft » sans conserver les informations de licence d'origine . Le rapport OSSRA 2026 a révélé que deux tiers des bases de code auditées contiennent des conflits de licence — le taux le plus élevé de toute l'histoire du rapport . Les organisations risquent donc de déployer du code qu'elles n'ont pas le droit d'utiliser, sans même le savoir.

L'explosion des dépendances. Le nombre de composants open source par base de code a bondi de 30 % par rapport à l'année précédente, et le nombre moyen de vulnérabilités par base de code a grimpé en flèche de 107 % . Les assistants de code IA accélèrent cette tendance, car ils assemblent des solutions plus rapidement et à partir de corpus d'apprentissage plus larges — ce qui signifie que chaque fonction générée par l'IA peut embarquer des dépendances que le développeur n'a pas explicitement choisies.

Le fossé de la conformité. Seules 24 % des entreprises effectuent une évaluation complète de la propriété intellectuelle, des licences, de la sécurité et de la qualité du code généré par l'IA . Cela implique que trois quarts des organisations sont incapables de répondre de manière fiable à une question simple : « À quelles obligations légales et de sécurité venons-nous de nous engager ? »

Confiance des développeurs : l'adoption monte, la confiance s'effondre

Les conclusions de Black Duck ne sont pas isolées. Plusieurs enquêtes indépendantes, publiées à la même période, viennent renforcer et préciser ce tableau de défiance avec des données granulaires :

• L'enquête 2026 sur l'état du code de Sonar (plus de 1 100 développeurs) a révélé que 96 % des développeurs ne font pas entièrement confiance à l'exactitude fonctionnelle du code généré par l'IA . Pourtant, seuls 48 % d'entre eux le vérifient systématiquement avant de le valider (commit). Cela signifie que du code dont les développeurs eux-mêmes se méfient est régulièrement déployé en production .
• L'enquête développeurs 2025 de Stack Overflow (49 009 répondants) a montré que la confiance dans l'exactitude de l'IA est passée de 40 % à 29 % en un an. La méfiance active a grimpé à 46 %, tandis que l'avis positif a chuté de 72 % à 60 % .
• Le rapport 2026 de Harness sur l'état des versions logicielles pilotées par l'IA (500 responsables ingénierie) indique que 57 % exigent toujours une revue humaine systématique (human-in-the-loop) pour chaque ligne de code générée par l'IA, et 29 % consacrent plus de temps à la revue de code aujourd'hui qu'avant d'adopter ces assistants .

Le consensus qui ressort de ces différentes enquêtes est remarquablement cohérent : les développeurs ne peuvent plus travailler sans les outils d'IA, mais ils ne peuvent pas non plus leur faire entièrement confiance. Le fossé entre la génération et la vérification est devenu le nouveau goulot d'étranglement.

Diana Kelley, responsable de la sécurité informatique (CISO) chez Noma Security, a parfaitement saisi cette tension centrale : "Un code plus rapide n'est pas la même chose qu'un code plus sûr" .

À quoi ressemble concrètement une gouvernance efficace

La prescription de Black Duck n'a rien d'abstraite. Le rapport pointe une série de mesures concrètes qui distinguent les 30 % d'entreprises dotées d'une gouvernance complète du reste du peloton :

1. Des cadres de gouvernance de l'IA structurés. Non pas de simples lignes directrices informelles, mais des politiques documentées et appliquées, couvrant l'approbation des outils, la révision des productions et la responsabilité .
2. Des points de contrôle de revue intégrés au pipeline (pipeline-integrated review gates). Il s'agit de sortir de la logique des transferts manuels vers une file de tests de sécurité, une méthode encore utilisée par 46 % des entreprises, pour évoluer vers des contrôles automatisés de qualité et de sécurité qui s'exécutent sur chaque commit assisté par IA .
3. Une surveillance continue après déploiement. Black Duck note qu'une « stratégie de sécurité exclusivement concentrée sur la partie gauche du cycle de développement (shift-left) n'est plus suffisante », car le risque est introduit, découvert et doit être géré sur l'ensemble du cycle de vie du développement logiciel .
4. La rationalisation de la chaîne d'outils de sécurité. Plus de 71 % des personnes interrogées ont signalé la prolifération des outils comme une source de friction majeure. Consolider vers un nombre réduit d'outils, mieux intégrés, est un prérequis pour passer à l'échelle avec l'IA en toute sécurité .

L'essentiel à retenir

Le rapport de Black Duck ne plaide pas contre l'utilisation des assistants de code IA. Il explique qu'il est contre-productif de les utiliser sans mettre en place une gouvernance proportionnelle à leur puissance. Lorsque 97 % des équipes produisent du code à une vitesse sans précédent, mais que seules 30 % d'entre elles disposent de l'infrastructure de supervision pour le gérer, c'est tout un secteur qui vit au-dessus de ses moyens.

La corrélation entre la gouvernance et les gains d'efficacité — 90 % contre 44 % — rend l'argument économique sans ambiguïté. Les entreprises qui construiront d'abord les garde-fous capteront la productivité promise par l'IA. Les autres découvriront, de manière répétée, que le temps gagné sur le clavier se perd dans la file d'attente de la relecture.

La « toil shift » : ces trois goulets d'étranglement qui effacent les gains de production

Le rapport identifie un schéma très clair : les outils d'IA accélèrent la phase d'écriture du code, mais cette célérité crée des points de pression majeurs partout ailleurs. Neuf équipes sur dix ont signalé des problèmes avec du code généré par l'IA à un moment donné de leur flux de travail . Ces problèmes ne surviennent pas de manière aléatoire, ils se concentrent sur trois activités en aval, qui, ensemble, absorbent le temps gagné en amont :

• La revue de code manuelle, citée par 52 % des équipes. Les relecteurs humains doivent traiter un volume de code généré par IA bien supérieur à celui du code écrit par l'humain, et ce volume ne cesse de croître .
• Les tests de sécurité, à 51 %. Le code produit par l'IA introduit de nouvelles catégories de vulnérabilités qui n'existaient pas dans son équivalent rédigé à la main, notamment autour de l'injection de dépendances, des secrets codés en dur et des recommandations de bibliothèques logicielles (librairies) obsolètes .
• La réécriture du code généré, citée par 48 % des équipes. Près de la moitié des équipes déclare consacrer un temps considérable à corriger, remanier ou réécrire le code produit par l'IA avant qu'il puisse être déployé .

Ce phénomène a désormais un nom : le déplacement des tâches ingrates (toil shift). Il ne s'agit plus d'éliminer le travail, mais de le transférer de la phase de création vers les phases de vérification, de test et de remédiation . La formule de Black Duck est sans appel : « la plupart des organisations produisent du code généré par l'IA plus vite qu'elles ne peuvent le relire, le sécuriser ou le gouverner » .

La gouvernance, véritable multiplicateur de retour sur investissement

S'il est un enseignement du rapport que les responsables d'équipes d'ingénierie devraient immédiatement appliquer, c'est celui-ci : la gouvernance est le multiplicateur de retour sur investissement (ROI) . La différence entre les équipes qui encadrent leur usage de l'IA et celles qui ne le font pas n'est pas marginale. C'est la différence entre capter les gains d'efficacité et les regarder s'échapper de toutes parts.

Black Duck a constaté que les organisations dotées de cadres de gouvernance complets ont fait état de 90 % de gains d'efficacité majeurs grâce aux outils de code IA. Pour les équipes sans supervision structurée, ce chiffre tombe à 44 % .

Dans ce contexte, la gouvernance ne signifie pas bureaucratie. Elle se traduit par des politiques clairement définies sur les outils à utiliser, la manière dont le code généré par l'IA doit être relu, les barrières de sécurité qu'il doit franchir et la responsabilité de chaque production logicielle. C'est la différence entre un « les développeurs utilisent ce qu'ils veulent » et un « les développeurs utilisent des outils approuvés au sein d'un pipeline structuré et traçable ».

Le problème du Shadow AI

Un facteur complique encore davantage la mise en place de cette gouvernance : la montée en puissance du Shadow AI, c'est-à-dire l'utilisation par les développeurs d'outils d'IA en dehors, voire à l'encontre, de la politique de leur entreprise. Black Duck a découvert que 18 % des organisations considéraient le Shadow AI comme un risque significatif non maîtrisé . Lorsque des outils comme Cursor, Windsurf ou Claude Code sont adoptés individuellement par un développeur sans passer par les fourches caudines du service achats ou de la revue de sécurité, l'organisation perd toute visibilité sur sa surface d'attaque .

Risques sur la chaîne d'approvisionnement logicielle : ce que le code IA hérite comme bagages

Les implications sur la chaîne d'approvisionnement logicielle (supply chain) sont le point précis où les lacunes de la gouvernance se transforment en vulnérabilités bien concrètes. Les travaux de Black Duck — y compris son rapport connexe 2026 OSSRA — mettent en lumière trois risques interconnectés, propres aux assistants de code IA :

Le blanchiment de licence (License laundering). Les assistants IA, entraînés sur des dépôts de code open source, peuvent générer des extraits de code provenant de sources sous licence « copyleft » sans conserver les informations de licence d'origine . Le rapport OSSRA 2026 a révélé que deux tiers des bases de code auditées contiennent des conflits de licence — le taux le plus élevé de toute l'histoire du rapport . Les organisations risquent donc de déployer du code qu'elles n'ont pas le droit d'utiliser, sans même le savoir.

L'explosion des dépendances. Le nombre de composants open source par base de code a bondi de 30 % par rapport à l'année précédente, et le nombre moyen de vulnérabilités par base de code a grimpé en flèche de 107 % . Les assistants de code IA accélèrent cette tendance, car ils assemblent des solutions plus rapidement et à partir de corpus d'apprentissage plus larges — ce qui signifie que chaque fonction générée par l'IA peut embarquer des dépendances que le développeur n'a pas explicitement choisies.

Le fossé de la conformité. Seules 24 % des entreprises effectuent une évaluation complète de la propriété intellectuelle, des licences, de la sécurité et de la qualité du code généré par l'IA . Cela implique que trois quarts des organisations sont incapables de répondre de manière fiable à une question simple : « À quelles obligations légales et de sécurité venons-nous de nous engager ? »

Confiance des développeurs : l'adoption monte, la confiance s'effondre

Les conclusions de Black Duck ne sont pas isolées. Plusieurs enquêtes indépendantes, publiées à la même période, viennent renforcer et préciser ce tableau de défiance avec des données granulaires :

• L'enquête 2026 sur l'état du code de Sonar (plus de 1 100 développeurs) a révélé que 96 % des développeurs ne font pas entièrement confiance à l'exactitude fonctionnelle du code généré par l'IA . Pourtant, seuls 48 % d'entre eux le vérifient systématiquement avant de le valider (commit). Cela signifie que du code dont les développeurs eux-mêmes se méfient est régulièrement déployé en production .
• L'enquête développeurs 2025 de Stack Overflow (49 009 répondants) a montré que la confiance dans l'exactitude de l'IA est passée de 40 % à 29 % en un an. La méfiance active a grimpé à 46 %, tandis que l'avis positif a chuté de 72 % à 60 % .
• Le rapport 2026 de Harness sur l'état des versions logicielles pilotées par l'IA (500 responsables ingénierie) indique que 57 % exigent toujours une revue humaine systématique (human-in-the-loop) pour chaque ligne de code générée par l'IA, et 29 % consacrent plus de temps à la revue de code aujourd'hui qu'avant d'adopter ces assistants .

Le consensus qui ressort de ces différentes enquêtes est remarquablement cohérent : les développeurs ne peuvent plus travailler sans les outils d'IA, mais ils ne peuvent pas non plus leur faire entièrement confiance. Le fossé entre la génération et la vérification est devenu le nouveau goulot d'étranglement.

Diana Kelley, responsable de la sécurité informatique (CISO) chez Noma Security, a parfaitement saisi cette tension centrale : "Un code plus rapide n'est pas la même chose qu'un code plus sûr" .

À quoi ressemble concrètement une gouvernance efficace

La prescription de Black Duck n'a rien d'abstraite. Le rapport pointe une série de mesures concrètes qui distinguent les 30 % d'entreprises dotées d'une gouvernance complète du reste du peloton :

1. Des cadres de gouvernance de l'IA structurés. Non pas de simples lignes directrices informelles, mais des politiques documentées et appliquées, couvrant l'approbation des outils, la révision des productions et la responsabilité .
2. Des points de contrôle de revue intégrés au pipeline (pipeline-integrated review gates). Il s'agit de sortir de la logique des transferts manuels vers une file de tests de sécurité, une méthode encore utilisée par 46 % des entreprises, pour évoluer vers des contrôles automatisés de qualité et de sécurité qui s'exécutent sur chaque commit assisté par IA .
3. Une surveillance continue après déploiement. Black Duck note qu'une « stratégie de sécurité exclusivement concentrée sur la partie gauche du cycle de développement (shift-left) n'est plus suffisante », car le risque est introduit, découvert et doit être géré sur l'ensemble du cycle de vie du développement logiciel .
4. La rationalisation de la chaîne d'outils de sécurité. Plus de 71 % des personnes interrogées ont signalé la prolifération des outils comme une source de friction majeure. Consolider vers un nombre réduit d'outils, mieux intégrés, est un prérequis pour passer à l'échelle avec l'IA en toute sécurité .

L'essentiel à retenir

Le rapport de Black Duck ne plaide pas contre l'utilisation des assistants de code IA. Il explique qu'il est contre-productif de les utiliser sans mettre en place une gouvernance proportionnelle à leur puissance. Lorsque 97 % des équipes produisent du code à une vitesse sans précédent, mais que seules 30 % d'entre elles disposent de l'infrastructure de supervision pour le gérer, c'est tout un secteur qui vit au-dessus de ses moyens.

La corrélation entre la gouvernance et les gains d'efficacité — 90 % contre 44 % — rend l'argument économique sans ambiguïté. Les entreprises qui construiront d'abord les garde-fous capteront la productivité promise par l'IA. Les autres découvriront, de manière répétée, que le temps gagné sur le clavier se perd dans la file d'attente de la relecture.