Définition
Le shadow IA (ou shadow AI, « IA fantôme ») désigne l’utilisation d’outils d’intelligence artificielle par des salariés pour leur travail, sans validation ni encadrement par l’entreprise : un assistant génératif ouvert avec une adresse personnelle, une extension de navigateur qui résume les emails, un outil de transcription installé pour une réunion. Le terme vient du « shadow IT », l’informatique utilisée en dehors des outils validés par la DSI.
Le shadow IA n’est pas une faute en soi : c’est le signe que les équipes ont trouvé un usage utile avant que l’entreprise ait fixé des règles.
Pourquoi il se développe
Les assistants d’IA générative sont gratuits ou peu coûteux, accessibles en quelques secondes depuis un navigateur, et utiles sur des tâches de bureau courantes : rédiger, reformuler, résumer. Les études de terrain mesurent des gains réels sur ce type de tâches (ce que mesurent les études). Quand l’entreprise ne propose ni outil ni règle, chacun s’équipe seul.
Les risques concrets
- La confidentialité : un contrat, un fichier client ou une note stratégique collé dans un outil grand public sort du périmètre de l’entreprise. L’ANSSI rappelle que l’envoi de données sensibles à des outils grand public sur Internet est à proscrire.
- Les données personnelles : dès qu’un prompt contient des données de clients, de salariés ou de candidats, le RGPD s’applique, et c’est l’entreprise qui en répond. IA et RGPD : les règles.
- La réutilisation des données : selon l’offre et les réglages, le fournisseur peut réutiliser les conversations. La CNIL recommande d’éviter les comptes créés avec des adresses personnelles et de désactiver, quand c’est possible, la réutilisation des données d’usage.
- La qualité : un contenu non relu peut contenir des hallucinations, envoyées telles quelles à un client.
- L’AI Act : l’entreprise qui met des outils d’IA entre les mains de ses équipes doit soutenir leur maîtrise de l’IA (article 4). Un usage invisible ne peut être ni accompagné ni documenté.
Pourquoi interdire ne suffit pas
Une interdiction générale sans alternative tend à rendre les usages invisibles plutôt qu’à les supprimer : les outils restent accessibles depuis un téléphone personnel. Plutôt qu’une interdiction générale, la CNIL recommande d’encadrer l’utilisation par des politiques ou chartes internes définissant clairement les usages autorisés et les usages interdits, et de former les utilisateurs au fonctionnement et aux limites de ces systèmes.
Encadrer en cinq étapes
- Faire l’inventaire sans sanction : demander à chacun quels outils il utilise et pour quoi faire. Sans garantie d’absence de sanction, l’inventaire restera incomplet.
- Choisir des outils validés : une offre professionnelle, des comptes créés avec les adresses de l’entreprise, la réutilisation des données désactivée quand l’offre le permet. Pour les données personnelles ou les documents sensibles, un déploiement plus maîtrisé.
- Écrire une charte d’une page : outils autorisés, données interdites, relecture humaine obligatoire avant tout envoi externe. Notre méthode en six rubriques.
- Proposer des prompts types pour les tâches fréquentes, directement dans l’outil : la CNIL cite cette pratique pour orienter les usages vers des tâches identifiées.
- Former, puis désigner un référent : une sensibilisation courte pour tous, documentée, et une personne qui répond aux questions et tient la liste des outils à jour.
C’est le déroulé de notre journée Littératie IA & AI Act : on part des usages réels de l’équipe, on les classe en autorisé, à encadrer ou interdit, et la charte est rédigée en séance.