Notion · Sécurité et conformité
Shadow AI (IA de l’ombre)
Les usages d’IA qui échappent aux règles ou à la visibilité de l’entreprise. Ils peuvent passer par des comptes personnels ou des outils non évalués, avec des données de travail.
Comment ça marche
Le shadow AI, c’est l’ensemble des usages de l’IA qui se font en dehors de tout cadre : un compte gratuit créé avec une adresse personnelle, un outil de transcription installé sur un téléphone, un générateur d’images trouvé sur internet. Ces usages ne figurent dans aucun inventaire, ne sont couverts par aucun contrat, et personne ne sait quelles données y transitent.
Le phénomène suit toujours la même logique. L’outil rend service, il est gratuit et immédiat, et l’entreprise n’a rien proposé ni rien dit. Les salariés l’adoptent, souvent avec de bonnes intentions. Le risque n’est pas dans l’usage lui-même, mais dans l’absence de cadre : données exposées, résultats non vérifiés, dépendance à des outils que personne ne maîtrise.
Un exemple concret
- Le déclencheur : un client demande par écrit si ses plans sont traités par des outils d’IA et où. La direction ne sait pas répondre.
- L’enquête, anonyme et sans sanction : 48 réponses. 41 personnes utilisent un assistant IA, 29 avec un compte personnel. Usages principaux : reformuler des e-mails, résumer des documents, traduire, et pour 9 personnes, analyser des documents clients.
- Le constat : aucun contrat, aucune règle, des documents clients dans au moins trois services différents, dont deux qui utilisent les données pour l’entraînement en version gratuite.
- La réponse : un abonnement professionnel pour tous, une charte de deux pages, deux heures de formation, et un outil interne pour les documents clients. Six mois plus tard, le client reçoit une réponse précise, et l’usage déclaré est passé à 90 %.
Personne n’a été sanctionné. Les usages n’ont pas diminué : ils sont devenus visibles.
Ce que ça change pour une équipe
- Savoir, c’est déjà la moitié du travail. Un inventaire honnête des usages réels, sans menace, donne une image très différente de ce que la direction imagine.
- L’outil officiel fait disparaître l’outil caché. Si l’assistant fourni par l’entreprise est aussi bon et aussi simple que le compte personnel, les gens l’utilisent.
- Les règles deviennent un service. Dire ce qu’on peut faire, avec quelles données, sur quel outil, soulage les équipes plus qu’il ne les contraint.
- L’entreprise peut répondre. À un client, à un auditeur, à la CNIL : voilà nos outils, voilà nos règles, voilà ce qui est fait de vos données.
Les limites et les erreurs fréquentes
- L’interdiction générale. Elle fait disparaître les usages des radars, pas de la réalité. Et elle prive l’entreprise des gains.
- L’enquête punitive. Si remonter un usage expose à une sanction, personne ne remonte rien. L’inventaire se fait avec une garantie explicite.
- L’outil officiel au rabais. Un assistant bridé, lent ou compliqué perd contre le compte personnel. Le choix de l’outil doit tenir la comparaison.
- Le cadre sans suite. Une charte signée et oubliée, sans référent ni formation, laisse le shadow AI revenir en quelques mois. Le cadre se fait vivre.
Pour aller plus loin
Le Shadow AI se traite par l’identification des usages, une offre d’outils approuvés, la formation et des contrôles proportionnés. Une interdiction sans solution adaptée peut déplacer l’usage au lieu de le rendre maîtrisable.
Où ça se situe chez Opora
Programme 01 · Mieux utiliserUn usage responsable et sobre de l’IA
Faire remonter les usages réels, puis donner aux équipes un cadre qui les autorise plutôt qu’il ne les cache, c’est le premier pas du programme Un usage responsable.
Questions fréquentes
Mes équipes utilisent-elles l’IA sans que je le sache ?
Très probablement. Les enquêtes convergent : une large majorité des salariés qui travaillent sur écran utilisent un assistant IA, et une bonne part le font avec un compte personnel, sans en parler. Ce n’est pas de la mauvaise volonté : l’outil les aide, et personne ne leur a dit quoi faire.
Quel est le risque réel ?
Des données de l’entreprise, parfois de clients, qui partent dans des outils sans contrat, parfois utilisées pour l’entraînement, sans que l’entreprise sache lesquelles ni où. En cas de fuite, de contrôle ou de demande d’un client, impossible de répondre. S’y ajoutent des textes non relus envoyés sous le nom de l’entreprise.
Interdire règle-t-il le problème ?
Non, ça le cache. Les usages continuent sur les téléphones personnels. Ce qui marche : fournir un outil professionnel équivalent, dire clairement ce qui est permis, et former. Les usages remontent alors à la surface, où on peut les encadrer.