Shadow AI : c'est quoi, et quelle politique IA pour l'encadrer

Le shadow AI désigne les outils d'intelligence artificielle utilisés au travail sans l'accord de l'entreprise : un assistant conversationnel ouvert avec un compte personnel, une extension de navigateur qui résume les courriels, un outil de transcription gratuit branché sur les réunions. Il ne vient presque jamais d'une mauvaise intention. Il vient d'un besoin réel que l'entreprise n'a pas encore couvert.

Pourquoi le shadow AI pose problème

• Les données saisies quittent l'entreprise, parfois vers un service qui les conserve ou les réutilise.
• Le RGPD continue de s'appliquer aux données personnelles saisies : l'entreprise en reste responsable.
• Un client peut avoir interdit, par contrat, que ses informations passent par un outil non validé.
• Personne ne vérifie les résultats : un texte faux ou du code vulnérable peut partir chez un client.
• L'entreprise ne sait pas quels outils elle utilise. Or l'AI Act lui demande de développer la maîtrise de l'IA des personnes qui s'en servent (article 4) et de respecter les pratiques interdites (article 5).

Repérer les usages sans surveiller les personnes

Commencez par demander plutôt que par chercher :

1. un questionnaire court et anonyme : quels outils, pour quelles tâches, avec quelles données ;
2. deux ou trois entretiens avec des équipes qui écrivent beaucoup : commerce, support, développement ;
3. une vue d'ensemble technique, agrégée : les services d'IA les plus consultés depuis le réseau de l'entreprise.

Une collecte de traces liées à des postes ou à des personnes touche au droit du travail et à la protection des données. Vérifiez le cadre juridique avant de la lancer : information préalable des salariés et de leurs représentants, finalité, durée de conservation.

Une politique IA courte, qui propose avant d'interdire

Interdire sans proposer d'alternative déplace le problème. Une politique IA efficace tient sur une page et répond à quatre questions :

• quels outils sont autorisés, avec quel compte et quel niveau de données ;
• quelles données ne vont jamais dans un outil d'IA ;
• comment demander un nouvel outil, et sous quel délai on répond ;
• à qui signaler une erreur ou une fuite, sans crainte de sanction.

Notre modèle de charte IA suit cette structure. Il se télécharge sans formulaire.

Fermer la porte au shadow AI, une fois l'alternative en place

1. Ouvrez au moins un outil autorisé qui couvre les usages courants : rédaction, traduction, résumé.
2. Présentez la politique en séance et gardez la trace : date, support, participants.
3. Ensuite seulement, bloquez les services non autorisés sur le réseau de l'entreprise, et laissez passer les outils validés.
4. Refaites un point quelques mois plus tard : les besoins non couverts réapparaissent dans les nouveaux usages.

Si des données sont déjà parties

Notez ce qui a été saisi, dans quel outil, par qui et quand. Supprimez l'historique dans l'outil si c'est possible. Si des données personnelles sont en jeu, prévenez la personne chargée de la protection des données : une violation de données peut devoir être notifiée à la CNIL. Tirez ensuite la leçon : quel besoin cet usage couvrait-il ?