Shadow AI : le risque invisible qui se développe dans les entreprises

Un phénomène massif et silencieux

Le shadow AI désigne l'usage d'outils d'intelligence artificielle par les collaborateurs en dehors de tout cadre défini par l'organisation. Il ne s'agit pas de malveillance mais d'efficacité : un compte gratuit, un navigateur, et une tâche fastidieuse devient rapide. C'est exactement le mécanisme qui a produit le shadow IT il y a quinze ans avec les services de partage de fichiers.

La différence tient à la nature de ce qui sort. Avec un service de stockage, on savait quels fichiers étaient déposés. Avec un assistant conversationnel, ce sont des fragments de contexte, des extraits de contrats, des données clients, des éléments de code ou des informations RH qui transitent, sans trace côté entreprise et sans possibilité de les récupérer.

L'ampleur est généralement sous-estimée par les directions. Quand on interroge les équipes sans posture de sanction, on découvre presque toujours un usage largement répandu, y compris dans des fonctions sensibles comme la comptabilité, le juridique ou les ressources humaines.

Ce que cela expose concrètement

Le premier risque est celui de la fuite de données. Les versions grand public de la plupart des assistants prévoient, par défaut ou par option, la réutilisation des conversations pour l'amélioration des modèles. Une donnée personnelle ou un secret d'affaires soumis dans ce cadre échappe définitivement au contrôle de l'entreprise.

Le deuxième risque est juridique. Le RGPD impose de connaître les traitements réalisés, leurs finalités, leur base légale, leurs destinataires et les transferts hors Union européenne. Un usage non recensé rend impossible la tenue du registre et l'information des personnes concernées, et fragilise l'organisation en cas de contrôle ou de réclamation.

Le troisième risque est opérationnel : une réponse plausible mais fausse, reprise sans vérification dans un devis, un courrier à un usager ou une note juridique, engage l'organisation. À cela s'ajoutent les questions de propriété intellectuelle sur les contenus produits et la dépendance progressive à un fournisseur dont les conditions et les tarifs peuvent changer.

Reprendre la main sans interdire

L'interdiction générale échoue systématiquement. Elle ne supprime pas l'usage, elle le rend invisible, et elle prive l'organisation du bénéfice de productivité que ces outils apportent réellement. La bonne réponse consiste à offrir une alternative officielle plus confortable que l'usage clandestin.

Cela commence par un recensement mené sans esprit de sanction : quels outils, pour quelles tâches, avec quelles données. Un questionnaire court et anonyme, complété par quelques entretiens, donne en deux semaines une image suffisamment fidèle pour décider.

Vient ensuite le choix d'un ou deux outils de référence, en version professionnelle, avec des garanties contractuelles sur la non-réutilisation des données, une localisation acceptable des traitements et une administration centralisée des comptes. La différence de coût avec les versions gratuites est modeste au regard du risque évité.

Il reste à écrire une charte courte, une page suffit, qui indique clairement ce que l'on peut soumettre, ce que l'on ne doit jamais soumettre, et l'obligation de vérifier toute production avant usage externe. Cette charte doit être accompagnée d'exemples concrets tirés des métiers, sinon elle ne sera pas lue.

Inscrire l'usage dans la durée

Un cadre posé une fois ne tient pas. Les outils évoluent vite, les fonctionnalités changent, de nouveaux besoins apparaissent. Il faut donc un point de contact identifié auquel les équipes peuvent soumettre un nouvel usage, et une revue périodique des outils autorisés.

La sensibilisation joue un rôle décisif. Une session courte, centrée sur des cas réels du métier plutôt que sur des principes généraux, change davantage les comportements qu'une note de service. Montrer une réponse erronée produite par un assistant sur un sujet que les participants maîtrisent vaut toutes les explications.

Enfin, ce travail alimente directement les obligations à venir. Le recensement des usages, l'analyse de leurs risques et la trace des décisions constituent la base d'un système de management de l'intelligence artificielle conforme à l'ISO/IEC 42001 et aux exigences de l'AI Act européen.