Citizen developer : le chaînon manquant est la gouvernance

La population des créateurs de logiciels a basculé : selon Gartner (fin 2022), les utilisateurs d'outils low-code hors directions informatiques devaient passer de 60 % en 2021 à au moins 80 % en 2026. Le développeur citoyen, cet employé métier qui construit ses propres applications, est devenu majoritaire.

Notre thèse est réfutable : quand un tel programme déraille, la cause est rarement la plateforme, presque toujours l'absence de cadre — inventaire, propriété, contrôle des accès, transfert organisé quand l'application grandit.

Point d'honnêteté : il n'existe aucun « taux d'échec » public et vérifiable de ces programmes. La preuve est indirecte, mais elle vient des éditeurs et des régulateurs eux-mêmes.

L'enquête Gartner de 2021 auprès de 2 820 « business technologists » (employés métier qui créent des capacités technologiques) mesure le gain : les organisations qui les outillent accélèrent 2,6 fois plus leurs résultats numériques. La moitié de ces créateurs produisent déjà des capacités utilisées au-delà de leur département — ce n'est plus de la bureautique personnelle, c'est du patrimoine applicatif.

Le passif se mesure aussi. Zenity (éditeur de sécurité qui commandite sa propre recherche, septembre 2024) compte près de 80 000 applications et assistants d'IA hors cycle de développement dans la grande entreprise moyenne ; 62 % des éléments analysés contiennent des vulnérabilités. Kissflow (éditeur low-code, taille d'échantillon non publiée, même période) complète : 83 % des directions techniques ont un programme citizen developer, 44 % placent la sécurité des données en préoccupation n° 1.

Les deux séries sont vraies simultanément ; la gouvernance décide de quel côté bascule le programme.

« La gouvernance du développement citoyen diverge de la gouvernance logicielle conventionnelle. » — MIS Quarterly Executive, septembre 2024 (Viljoen et al., TU Munich / Fraunhofer)

Cette étude, fondée sur 30 entretiens, identifie trois risques : qualité logicielle, shadow IT — les applications déployées sans l'aval de la direction informatique — et dette technique, le coût différé des raccourcis. Copier l'informatique classique ne suffit pas : il faut des experts dédiés à chaque plateforme. Une étude académique MSR 2021 le confirme : 75,9 % des questions Stack Overflow sur la gestion dynamique d'événements restent sans réponse acceptée — le « sans code » bute vite sur de vrais problèmes d'ingénierie.

Le premier éditeur du secteur documente lui-même le cas. Microsoft Learn (mise à jour en juin 2026) décrit sans détour : chaque employé accède par défaut à l'environnement « default » de Power Platform, et quand un créateur quitte l'entreprise, ses applications deviennent orphelines. La réponse recommandée est organisationnelle — limites de partage, prévention des fuites de données (DLP), environnements managés — avec une grille graduée directement réutilisable :

La leçon dépasse cet éditeur. L'étude Forrester de juillet 2024 sur Power Platform — commanditée par Microsoft, à lire comme telle — attribue la réduction du shadow IT à la combinaison de l'autonomie des employés et d'une gouvernance embarquée. Le chaînon manquant est organisationnel, pas technique. C'est le principe de notre façon de construire : l'autonomie d'abord, jamais sans cadre de transfert.

Deux textes changent la donne. La nLPD (nouvelle loi sur la protection des données, en vigueur depuis le 1er septembre 2023) impose la protection dès la conception, un registre des traitements et l'annonce rapide des violations. Une application métier traitant des données personnelles tombe sous ces obligations — sans gouvernance, personne ne vérifie qu'elles sont remplies.

Pour le secteur régulé, la circulaire FINMA 2023/1 (1er janvier 2024) exige un inventaire logiciel « régulièrement revu et mis à jour » et rend la direction responsable de la surveillance des stratégies informatiques : un parc non inventorié est, pour une banque suisse, un écart réglementaire direct.

Reste l'objection : la gouvernance tuerait l'autonomie. Le NCSC, centre national de cybersécurité britannique, répond dans sa guidance de juillet 2023 : le shadow IT naît rarement de la malveillance, mais de circuits d'approbation trop lents. La bonne gouvernance est habilitante — c'est le cœur de l'autonomy-first transformation : donner l'autonomie aux équipes métier d'abord, avec le cadre qui la rend durable. Notre méthode part de ce principe.

Le moment critique n'est pas la création : c'est le transfert — le passage d'un prototype d'équipe à un actif que l'organisation assume. L'OWASP, fondation indépendante de sécurité logicielle, fournit la taxonomie de référence ; voici la checklist que nous en tirons.

Les points 1 à 9 protègent l'organisation, le point 10 protège l'autonomie. Les deux vont ensemble, ou le programme échoue.

Trois limites, dites franchement. La preuve statistique directe manque : notre thèse repose sur un faisceau d'indices — chiffres d'éditeurs intéressés, documentation officielle, textes réglementaires. Cette checklist vise les organisations où le développement citoyen dépasse l'usage personnel ; trois utilisateurs sur des données non sensibles n'exigent pas dix contrôles. Enfin, une gouvernance copiée de l'informatique classique peut étouffer un programme naissant : elle doit être conçue pour ces plateformes, pas transposée.