Citizen developers et shadow IT : jusqu'où va votre responsabilité de consultant Power Platform ?

La promesse du low-code Microsoft Power Platform est claire : permettre aux utilisateurs métier, les fameux citizen developers, de créer leurs propres applications et automatisations sans coder. Votre rôle de consultant consiste souvent à poser le cadre : structure des environnements, politiques de prévention de perte de données (DLP), rôles de sécurité Dataverse, conventions de nommage et processus de validation des solutions.

Le piège est redoutable. Une fois ce cadre livré, des dizaines de collaborateurs vont construire des apps et des flows dans les limites que vous avez définies. Le jour où l'un d'eux provoque un incident, la première question du client n'est pas « qui a cliqué », mais « pourquoi la gouvernance ne l'a pas empêché ». Et la gouvernance, c'est vous qui l'avez conçue.

Cette bascule de responsabilité est mal anticipée par beaucoup de freelances et de consultants en ESN. Vous pensez avoir livré un projet ponctuel ; le client considère qu'il vous a confié la maîtrise du risque de sa plateforme. L'écart entre ces deux lectures est exactement la zone où naissent les litiges.

En droit français, le consultant informatique est tenu à une obligation de moyens : vous devez mettre en œuvre les diligences d'un professionnel compétent, sans garantir un résultat absolu. Mais la jurisprudence a forgé une obligation parallèle, souvent plus lourde de conséquences : le devoir de conseil et de mise en garde.

Concrètement, vous êtes tenu d'alerter votre client sur les risques d'une configuration, même s'il ne vous l'a pas demandé, et même si la décision finale lui appartient. Sur Power Platform, cela signifie expliquer noir sur blanc :

• Qu'une politique DLP par défaut laisse cohabiter des connecteurs sensibles (Dataverse, SharePoint, SQL) avec des connecteurs grand public (réseaux sociaux, stockage personnel), ce qui ouvre la porte à l'exfiltration ;
• Qu'un environnement de production sans validation des solutions expose à des déploiements non contrôlés ;
• Que l'octroi du rôle System Administrator Dataverse à des citizen developers neutralise vos barrières de sécurité.

Si l'incident survient et que vous ne pouvez prouver aucune mise en garde, le juge présume que vous avez manqué à votre devoir. La charge de la preuve pèse sur le professionnel : c'est à vous de démontrer que vous avez conseillé, pas au client de prouver que vous ne l'avez pas fait.

Prenons un cas concret et fréquent. Vous livrez une stratégie à trois environnements (développement, recette, production) avec une politique DLP qui classe les connecteurs en groupes Business et Non-Business. Six mois plus tard, l'équipe interne, pour débloquer un cas d'usage marketing, ajoute un connecteur de service grand public au groupe Business sans mesurer l'impact.

Un citizen developer construit alors un flow Power Automate qui pousse une table Dataverse contenant des données clients vers ce service externe. Résultat : une fuite de données à caractère personnel, un signalement CNIL potentiel, et un client qui se retourne vers le dernier intervenant ayant « touché à la gouvernance ».

La défense efficace n'est jamais « ce n'est pas moi qui ai ajouté le connecteur ». C'est « voici la note de cadrage où j'ai documenté la classification des connecteurs et alerté sur tout ajout non validé ».

Sans cette trace écrite, vous entrez dans une discussion de responsabilité où votre RC Pro devient votre meilleur allié. Pour comprendre comment cette garantie protège précisément l'erreur de paramétrage et le devoir de conseil, consultez notre page dédiée à l'assurance RC Pro pour les métiers du numérique.

Votre meilleure assurance commence avant le sinistre, dans la rédaction de la mission. Quelques réflexes transforment radicalement votre exposition :

1. Délimitez le périmètre par écrit. Précisez si vous livrez une gouvernance ponctuelle ou si vous assurez un run continu. Une gouvernance « one-shot » non maintenue n'engage pas votre responsabilité sur des dérives postérieures, à condition de l'avoir stipulé.
2. Produisez une note de cadrage des risques. Documentez la classification DLP, les rôles Dataverse recommandés et les conséquences d'un écart. C'est votre preuve de conseil.
3. Formalisez les recommandations refusées. Si le client écarte une barrière que vous préconisez (par budget ou par confort des utilisateurs), tracez ce refus. La responsabilité bascule alors vers lui.
4. Cadrez la formation des citizen developers. Une charte d'usage et une session de sensibilisation montrent que vous avez transféré le risque résiduel à l'organisation.

Ces réflexes ne suppriment pas le risque : ils le déplacent et le documentent. Le reste relève de l'assurance.

Même avec une gouvernance irréprochable, vous n'êtes pas à l'abri d'une mise en cause. Un client cherchant un responsable financier après une fuite ou une paralysie de processus enclenchera une réclamation, fondée ou non. Or, le simple fait de devoir vous défendre coûte cher : honoraires d'avocat, expertise technique, temps perdu.

La RC Pro dédiée aux consultants IT prend en charge :

• Les dommages immatériels causés au client par une erreur de conception de la gouvernance ou un défaut de conseil ;
• Les frais de défense, y compris quand la réclamation est infondée et que vous n'avez commis aucune faute ;
• Le volet RGPD, via une option cyber, lorsque l'incident implique une violation de données à caractère personnel.

Pour un consultant indépendant ou un sous-traitant d'ESN, cette couverture est aussi un argument commercial : la plupart des grands comptes et partenaires Microsoft l'exigent comme condition de contractualisation. Découvrez les spécificités de votre métier sur notre page Consultant Power Platform.