Un commercial résume un appel avec un outil gratuit, un RH reformule une évaluation, un manager analyse un tableur dans un chatbot personnel : le Shadow AI naît rarement d’une volonté de contourner la sécurité. Il apparaît lorsque les salariés cherchent une solution rapide avant que l’entreprise ait défini son cadre.
Un phénomène déjà massif
Les enquêtes de Microsoft et LinkedIn publiées en 2024 indiquaient que 75 % des travailleurs du savoir utilisaient déjà l’IA au travail et que 78 % des utilisateurs apportaient leurs propres outils. Ces chiffres internationaux ne décrivent pas chaque entreprise française, mais ils montrent pourquoi l’absence de politique ne signifie pas absence d’usage.
Trois risques à traiter en priorité
- Fuite de données clients, financières ou stratégiques dans un service non validé
- Non-conformité RGPD faute de finalité, d’information ou de contrat adapté
- Décision erronée fondée sur une hallucination, un biais ou une source inexistante
- Dispersion des comptes et impossibilité d’auditer les pratiques
Le risque augmente quand une sortie générée est copiée sans vérification dans une proposition commerciale, un dossier RH ou une note de direction. La fluidité de la réponse donne une impression de fiabilité qui ne constitue jamais une preuve.
« On ne reprend pas le contrôle en niant les usages ; on le reprend en donnant aux équipes une voie autorisée, utile et compréhensible. »
Commencer par un diagnostic sans sanction
Interrogez les équipes sur les outils, les tâches, les données manipulées et les gains recherchés. Une collecte anonyme ou des ateliers métier font remonter davantage d’informations qu’un audit exclusivement technique. Classez ensuite les usages selon leur valeur et leur niveau de risque.
Construire une charte utilisable
La charte doit tenir en règles actionnables : outils autorisés, données interdites, cas exigeant une validation humaine, procédure de signalement et référent interne. Ajoutez des exemples concrets par métier. Un document juridique de vingt pages que personne ne consulte ne modifie pas les comportements.
Relier gouvernance, RGPD et AI Act
Le registre RGPD, les contrats fournisseurs et la politique de sécurité doivent refléter les usages réels. L’AI Act ajoute une logique de maîtrise des risques et de culture IA : les personnes qui exploitent ces systèmes doivent disposer d’un niveau de compréhension adapté à leur contexte et à leurs responsabilités.
Former plutôt qu’interdire
Formtech accompagne les entreprises avec un diagnostic gratuit, puis des formations intra-entreprise pour 4 à 12 participants, en présentiel ou à distance. Les équipes pratiquent sur leurs cas, apprennent à protéger les données et à vérifier les résultats. Certifiées Qualiopi, ces actions peuvent être financées par l’OPCO.