Shadow AI : vos équipes créent déjà leurs outils, donnez-leur un cadre

Shadow AI, c’est quoi exactement ?

Le shadow AI ou IA fantôme, regroupe tout ce que des salariés font avec l’intelligence artificielle sans validation de l’entreprise. Deux cas se distinguent : l’usage d’un assistant grand public avec des informations de travail et la création d’un petit outil avec l’IA, qui finit par servir à toute une équipe.

Il découle du shadow IT, les logiciels installés ou souscrits par un service sans passer par la DSI. La différence tient à la vitesse : il suffit aujourd’hui de quelques phrases pour obtenir un outil qui fonctionne, donc l’écart entre ce que la DSI voit et ce qui existe se creuse très vite.

Quels sont les risques du shadow IT et du shadow AI ?

Le premier risque concerne les données. Un fichier de clients, un contrat ou un dossier du personnel collé dans un compte personnel sort du périmètre de l’entreprise. Sur les offres personnelles de ChatGPT et de Claude, c’est un réglage du compte qui décide si les conversations servent à entraîner les modèles ; les offres pour les entreprises ne le font pas par défaut. Côté RGPD, l’entreprise doit inscrire dans son registre des traitements à qui elle communique des données personnelles : un compte que personne n’a déclaré n’y figure jamais.

Le deuxième risque est la dépendance. Un outil qui tourne sur un seul ordinateur, sans sauvegarde ni remplaçant, s’arrête avec son créateur. Le troisième touche aux accès : sans rôles, tout le monde voit tout ou personne ne sait qui a le droit de modifier. Enfin, une décision prise à partir d’un outil non vérifié peut reposer sur un calcul faux sans que personne ne le remarque.

Comment repérer le shadow AI dans l’entreprise ?

Commencez par les traces que vous avez déjà. Les notes de frais montrent les abonnements à des assistants payés par carte puis remboursés. Les relevés de connexion du réseau indiquent quels services d’IA sont ouverts depuis les postes de travail et par quels services.

Ces traces ne disent rien des outils créés avec l’IA, qui forment souvent le plus grand angle mort. Pour les trouver, une question posée à chaque responsable fonctionne mieux qu’un contrôle : « Quel fichier ou quel outil votre équipe ne pourrait-elle plus lâcher demain ? » Le suivi des devis, le planning ou le tableau des relances qui sortent de cette réponse forment votre vrai périmètre.

Faut-il interdire l’IA aux salariés ?

L’interdiction rassure sur le papier, mais elle ne supprime pas le besoin. Une équipe qui perd deux heures par semaine sur un tableur trouvera un moyen de s’en sortir, sur son téléphone ou son compte personnel. Vous perdez alors la visibilité que vous aviez.

Une règle ne tient que si elle propose une alternative plus simple que le contournement. Dites ce qui est permis, indiquez où créer et publier un outil et expliquez ce qui ne doit jamais sortir de l’entreprise. Interdire quelques usages précis reste légitime, par exemple les données de santé ou les dossiers disciplinaires.

Shadow IT : quelles solutions, étape par étape ?

Cinq étapes suffisent pour commencer. Un : l’inventaire. Demandez aux responsables de service de lister les outils et les assistants utilisés, sans sanction pour ceux qui répondent. Deux : le propriétaire. Chaque outil a une personne nommée, qui répond de son contenu.

Trois : la publication. Les outils passent par un lieu unique, où ils sont vérifiés avant d’être ouverts aux collègues. Quatre : les rôles. Définissez qui peut lire, modifier ou administrer chaque outil. Cinq : la revue. Une fois par trimestre, le propriétaire confirme que l’outil sert encore, que les accès sont justes et que les données restent à leur place.

Le piège principal est de lancer l’inventaire comme une enquête. Présentez-le comme une aide : les équipes déclarent plus volontiers un outil quand elles savent qu’il sera repris et soutenu plutôt que supprimé.