Reprendre le contrôle du Shadow IA en entreprise

Un commercial utilise ChatGPT pour préparer ses propositions. Une responsable RH fait analyser des CV avec son compte personnel. Un collaborateur transmet un document confidentiel à un outil d'IA pour gagner du temps. Ces pratiques ont un nom, le Shadow AI, et elles peuvent se développer dans votre entreprise sans que vous en ayez connaissance.

Le Shadow AI, c'est quoi exactement ?

Le Shadow AI, ou IA de l'ombre, désigne l'utilisation d'outils d'intelligence artificielle dans un cadre professionnel sans validation ni supervision de l'entreprise. Il peut s'agir d'un compte ChatGPT personnel, d'une extension de navigateur ou d'un service spécialisé découvert par un collaborateur.

Dans la majorité des situations, l'intention est simple. Le collaborateur cherche à travailler plus efficacement, sans attendre qu'une solution officielle soit mise à sa disposition.

Le problème apparaît lorsque ces usages échappent aux règles de sécurité, de confidentialité et de validation de l'entreprise. Vous pouvez alors avoir des équipes qui gagnent du temps individuellement, tout en exposant l'organisation à des risques qu'elle ne maîtrise pas.

Quels risques pour votre entreprise ?

Le premier risque concerne les données. Un collaborateur qui transmet un contrat client, des informations financières ou un fichier RH à un service non validé ne connaît pas nécessairement les conditions de conservation, de traitement ou de réutilisation de ces informations.

Lorsque des données personnelles sont concernées, l'entreprise doit également respecter le règlement général sur la protection des données (RGPD). L'utilisation d'un outil externe ne la décharge pas de ses responsabilités.

Le deuxième risque concerne la fiabilité des résultats. Une IA peut produire un calcul erroné, inventer une information ou mal interpréter une clause contractuelle. Sans méthode de vérification, ces erreurs peuvent se retrouver dans un devis, un rapport ou une décision commerciale.

Enfin, le Shadow AI complique le pilotage. Si chaque service utilise ses propres outils, vous perdez en visibilité sur les coûts, les pratiques et les gains réellement obtenus.

Première étape, identifier les usages réels

Avant d'interdire des outils, cherchez à comprendre pourquoi vos collaborateurs les utilisent.

Organisez des échanges avec les responsables de service et les équipes. Quels outils utilisent-ils ? Pour quelles tâches ? Quelles informations leur transmettent-ils ? Quelles difficultés cherchent-ils à résoudre ?

Un questionnaire interne ou quelques ateliers suffisent souvent pour établir une première cartographie. L'objectif est de recueillir les usages de manière transparente, sans instaurer une surveillance généralisée des collaborateurs.

Cette démarche permet aussi de découvrir des pratiques utiles qui mériteraient d'être partagées avec d'autres équipes. C'est un point essentiel pour développer les compétences IA de vos collaborateurs.

Du risque observé à la mesure de prévention

Deuxième étape, définir des règles simples et applicables

Une politique IA interne n'a pas besoin de compter trente pages. Elle doit surtout permettre à chaque collaborateur de savoir ce qu'il peut faire, avec quel outil et sous quelles conditions.

Nous recommandons de distinguer trois niveaux d'usage.

Les usages autorisés. Ils concernent les tâches à faible risque, comme préparer un plan de réunion ou reformuler un texte sans information confidentielle, à l'aide d'outils approuvés par l'entreprise.

Les usages soumis à validation. Ils impliquent des données internes, des documents clients ou une connexion aux logiciels métier. Ils nécessitent une vérification préalable des outils et des conditions de traitement des données.

Les usages interdits. Ils comprennent notamment la transmission d'informations confidentielles à des services grand public non autorisés et certaines décisions sensibles prises sans contrôle humain.

Cette classification doit être accompagnée d'exemples propres à vos métiers. Pour approfondir les obligations applicables, consultez notre article sur la conformité IA en entreprise.

Troisième étape, proposer des alternatives adaptées

Interdire un outil sans proposer de solution équivalente risque de pousser certains usages à rester invisibles.

Si vos commerciaux utilisent l'IA pour rédiger leurs offres, proposez-leur un outil approuvé qui répond réellement à ce besoin. Si les RH souhaitent analyser des documents, déterminez quelles solutions et quelles données peuvent être utilisées dans un cadre sécurisé.

Avant de retenir une solution, vérifiez les conditions contractuelles, la conservation des données, leur éventuelle réutilisation par le fournisseur, les droits d'accès et les possibilités de contrôle. Un abonnement professionnel ne garantit pas automatiquement la conformité ou la confidentialité de tous les usages.

L'objectif est de permettre aux équipes de conserver les bénéfices de l'IA sans dépendre de comptes personnels ou de pratiques non encadrées.

Quatrième étape, former et piloter les usages

Une charte ne suffit pas si personne ne sait comment l'appliquer. Les collaborateurs doivent apprendre à identifier les informations qu'ils peuvent transmettre, à vérifier les réponses de l'IA et à reconnaître les situations nécessitant une validation.

Désignez également un responsable du suivi des usages IA. Dans une PME, cette responsabilité peut être confiée à un dirigeant ou à un référent interne, en lien avec les personnes chargées de l'informatique et de la protection des données.

Suivez quelques indicateurs concrets, comme la proportion d'outils utilisés qui ont été validés, les incidents signalés, les usages réellement adoptés et les gains constatés sur les processus concernés.

Vous pourrez ainsi ajuster régulièrement les règles en fonction des besoins des équipes et des risques identifiés.

Sources : Commission nationale de l'informatique et des libertés (CNIL), Questions-réponses sur l'utilisation d'un système d'IA générative (18 juillet 2024) ; Agence nationale de la sécurité des systèmes d'information (ANSSI), Recommandations de sécurité pour un système d'IA générative (29 avril 2024).