Encadrer l'IA non déclarée en entreprise
Vos équipes utilisent déjà l'IA. Sans vous.
Le Shadow AI n'est pas un problème de discipline, c'est un symptôme d'outillage manquant. L'interdire ne marche pas. Le cadrer, si.
De quoi on parle
Le Shadow AI désigne l'usage d'outils d'intelligence artificielle par les salariés sans validation ni supervision de la direction ou du service informatique. ChatGPT dans un onglet privé, Claude sur un compte personnel, un traducteur en ligne pour un contrat client. 71 % des salariés déclarent utiliser des outils d'IA sans validation de leur entreprise.
Ce n'est pas de la malveillance. C'est un écart entre ce que l'outillage officiel permet et ce que le travail exige.
En mars 2023, trois ingénieurs de Samsung ont collé du code source confidentiel dans ChatGPT — pour déboguer, optimiser un test, transformer des notes en compte rendu. Trois fuites de données sensibles en moins d'un mois. Aucun des trois n'essayait de nuire à son employeur.
Ce que ça coûte réellement
| Risque | Ce qui se passe concrètement | Gravité |
|---|---|---|
| Fuite de données | Les contenus saisis peuvent être conservés côté fournisseur et, selon les conditions du compte utilisé, servir à l'entraînement. Un compte personnel gratuit n'offre pas les garanties d'un contrat entreprise. | Critique |
| Non-conformité RGPD | Traitement de données personnelles hors registre, sans base légale identifiée, souvent hors UE et sans DPA. | Critique |
| AI Act, article 4 | Obligation de maîtrise de l'IA applicable depuis le 2 février 2025 : l'employeur doit garantir un niveau suffisant de compétence chez les utilisateurs. Un usage non déclaré est par définition non formé. | Élevée |
| Hallucinations en production | Contenus erronés diffusés à des clients ou intégrés à des décisions, sans relecture prévue au processus. | Élevée |
| Dépense non pilotée | Abonnements multipliés hors budget SI, comptes partagés, bannissements pour usage non conforme aux conditions du fournisseur. | Modérée |
Pourquoi l'interdiction échoue
Trois raisons, observées à chaque fois.
Le besoin ne disparaît pas. Interdire déplace l'usage vers le téléphone personnel, où vous n'avez plus aucune visibilité — l'exposition augmente au lieu de baisser.
La direction utilise l'outil. Dans la plupart des organisations, les premiers utilisateurs d'IA sont les dirigeants eux-mêmes. Une interdiction que le comité de direction ne respecte pas ne tient pas une semaine.
L'écart de productivité devient visible. Quand une équipe voisine livre deux fois plus vite, l'interdit se contourne. Le sujet n'est plus la règle, c'est l'équité.
La séquence qui marche
- Cartographier l'existant avant de décider. Un questionnaire anonyme suffit à révéler les usages réels. Cet audit remonte presque toujours des compétences déjà là, à valoriser plutôt qu'à sanctionner.
- Fournir une alternative officielle avant d'interdire quoi que ce soit. Sans outil autorisé, la règle crée du contournement, pas de la conformité.
- Écrire une charte opposable — outils nommés, données interdites en saisie, vérification humaine obligatoire. Une charte qui crée des règles sanctionnables suppose la consultation du CSE, sinon elle est inopposable.
- Former, et tracer la formation. C'est ce que l'article 4 de l'AI Act exige, et c'est aussi ce qui fait passer l'adoption réelle de 15-20 % à plus de 70 %.
- Attribuer les licences de façon contrôlée, avec un suivi à un, trois et six mois. Une licence non utilisée au bout de trois mois est une licence à réattribuer.
Êtes-vous en situation de Shadow AI ?
Cinq questions. Comptez un point par « oui ».
Le guide complet
Comprendre le risque, le mesurer chez vous, puis le transformer en usage encadré.
AI Act article 4 — l'obligation de maîtrise de l'IA expliquée
Applicable depuis le 2 février 2025. Ce que l'employeur doit démontrer, pour qui, et comment en apporter la preuve.
Encadrer le Shadow AI sans tout interdire — la méthode en 5 étapes
Cartographier, fournir une alternative, écrire une charte opposable, former, piloter. La séquence qui transforme un usage sauvage en usage maîtrisé.
Les risques réels du Shadow AI — au-delà de la fuite de données
Fuite, RGPD, AI Act, hallucinations en production, dépense non pilotée. Ce que chaque risque coûte concrètement et comment le mesurer.