Guide pour les directions, DSI et RSSI

Shadow IA : quand vos équipes utilisent l'IA sans le dire, et quoi en faire

Le shadow IA (ou shadow AI, IA fantôme) désigne l'usage d'outils d'IA au travail sans l'accord ni la connaissance de l'entreprise : ChatGPT sur un compte personnel, une extension installée seul, un contrat collé dans un chatbot. Ce n'est pas d'abord une faute, c'est une demande non servie. La réponse : outiller, pas interdire.

Prendre 20 minutes avec nous Voir les 5 étapes

01La définition

Shadow IA, shadow AI, IA fantôme : de quoi parle-t-on ?

Les trois termes désignent la même chose : des usages d'IA générative que l'entreprise n'a ni choisis, ni vus, ni encadrés. Le shadow IA est une forme de shadow IT, avec un risque en plus.

CritèreShadow ITShadow IA
Ce qui échappeun logiciel ou un service non validéun outil d'IA, et surtout ce qu'on lui confie
Ce qui sortdes fichiers stockés ailleursle contenu du travail : textes, chiffres, code
Ce qui revientrien de nouveauun texte produit par une machine, parfois faux, repris tel quel
Coût d'entréeun abonnement, souvent visiblesouvent nul : un navigateur suffit

02Les causes

Pourquoi le shadow IA se développe

Le shadow IA se développe parce que les outils sont gratuits et utiles tout de suite, alors que la règle de l'entreprise arrive après l'usage, quand elle arrive.

Selon le Work Trend Index de Microsoft et LinkedIn (31 000 personnes interrogées dans 31 pays, publié le 8 mai 2024), 78 % des utilisateurs d'IA au travail apportent leurs propres outils, 80 % dans les PME. Et 52 % hésitent à dire qu'ils l'utilisent pour leurs tâches les plus importantes.

03Les risques

Les risques réels du shadow IA, et ceux qu'on surestime

Le risque du shadow IA n'est pas l'outil : c'est ce qu'on lui envoie sans règle, et ce qu'on reprend sans relire.

Des données qui sortent

Contrats, chiffres ou code envoyés depuis un compte personnel : l'entreprise ne sait ni où ils sont, ni s'ils peuvent servir à entraîner un modèle.

Le secret des affaires

La CNIL recommande d'interdire les données confidentielles selon l'outil, et d'éviter les comptes créés avec une adresse personnelle.

Une qualité non contrôlée

Un chiffre inventé finit dans une offre client. Personne ne relit, puisque personne ne sait que l'IA est passée par là.

La conformité

Données personnelles : ce que dit le RGPD est clair, vous restez responsable du traitement. L'AI Act (article 4) demande aussi de développer la maîtrise de l'IA de vos équipes : difficile sur des usages que personne ne voit.

Ce qu'on surestime : l'outil lui-même. Sur leurs offres entreprise, Anthropic, OpenAI et Microsoft n'entraînent pas leurs modèles sur vos données par défaut. Le danger vient du compte personnel et de l'absence de règle.

Ce contenu ne constitue pas un avis juridique. Faites valider vos règles par votre juriste ou votre DPO.

04La méthode

Interdire ne marche pas : 5 étapes pour reprendre la main

Reprendre la main sur le shadow IA, c'est faire passer les usages cachés vers des outils officiels plus pratiques que les comptes personnels.

  1. Faire l'inventaire, sans sanction

    Questionnaire anonyme et échanges par équipe : quels outils, pour quelles tâches, avec quelles données. Annoncez d'abord qu'aucune réponse ne sera sanctionnée.

    La DSI complète avec ce qu'elle voit déjà : journaux réseau, extensions, notes de frais, outil de DLP comme Microsoft Purview.

  2. Classer par usage et par donnée

    Pour chaque usage trouvé : utile ou non, et quel niveau de donnée il touche. Le risque se lit au croisement des deux.

  3. Ouvrir des outils officiels

    Remplacez les comptes personnels par des comptes professionnels, par exemple en passant à Claude Team. Si l'outil officiel est plus pratique, l'outil caché disparaît.

  4. Écrire une règle d'une page

    Usages autorisés, données admises, qui valide. Partez de notre modèle de charte IA plutôt que d'une page blanche.

  5. Former et suivre

    Former les équipes aux usages officiels, sur leurs dossiers réels, est ce qui les fait adopter. Refaites l'inventaire six mois plus tard.

On peut faire l'inventaire avec vous, sans outil de détection à vendre.

Prendre 20 minutes

05Les rôles

Gouvernance de l'IA : qui décide quoi

La gouvernance de l'IA, c'est savoir qui choisit les outils, qui fixe les règles sur les données et qui répond aux équipes. Sans nom, le shadow IA revient.

  • Direction : porte la décision et arbitre entre usage et risque.
  • DSI : valide les outils, ouvre les comptes, gère les accès.
  • RSSI : fixe les règles de sécurité et suit les incidents.
  • DPO : dit quelles données personnelles peuvent aller où.
  • Métiers : remontent les besoins et testent sur leurs dossiers.

Notre méthode se termine par une décision écrite : pour chaque usage, l'outil retenu, les données admises et le responsable, repris dans une charte IA. Kailli, cabinet de transformation IA appliquée, apporte un regard extérieur sur vos usages et ne vend aucun outil.

Rédigé par Rémi Carbonnefondateur et directeur technique de Kailli

Questions fréquentes sur le shadow IA

Qu'est-ce que le shadow IA ?

Le shadow IA, ou shadow AI, est l'usage d'outils d'IA au travail sans l'accord ni la connaissance de l'entreprise. Le cas le plus courant : ChatGPT ou Claude sur un compte personnel, avec des documents de travail.

Quelle différence entre shadow IA et shadow IT ?

Le shadow IT désigne tout logiciel utilisé sans l'accord de la DSI. Le shadow IA en est une forme, avec un risque en plus : le texte produit par l'IA entre dans le travail sans contrôle.

Le shadow IA est-il illégal ?

Utiliser un outil d'IA n'est pas illégal en soi. Le risque vient de ce qu'on y met : des données personnelles engagent l'entreprise au titre du RGPD, des données confidentielles peuvent violer un contrat.

Comment détecter le shadow IA dans l'entreprise ?

Demandez d'abord, sans sanction : un questionnaire anonyme révèle plus d'usages qu'un outil. Complétez par les journaux réseau, les extensions installées et les notes de frais.

Faut-il interdire ChatGPT au travail ?

Un interdit sans alternative déplace l'usage vers les téléphones et les comptes personnels. Mieux vaut ouvrir un outil professionnel et dire clairement ce qu'on peut y mettre.

Qui est responsable de la gouvernance de l'IA ?

La direction porte la décision. La DSI choisit les outils, le RSSI fixe la sécurité, le DPO tranche sur les données personnelles, et les métiers remontent les besoins.

Vingt minutes. Et vous saurez si on peut vous aider.

Pas de présentation commerciale. Vous nous dites où vous en êtes avec l’IA, on vous dit jusqu’où vous pouvez aller.

Prendre 20 minutes Préparer l’échange