Shadow AI : définition, risques et premières actions pour les PME

Le terme « Shadow AI » désigne l’usage d’outils d’intelligence artificielle par les salariés sans que la direction en ait connaissance ni les ait validés. C’est le prolongement direct du « Shadow IT » des années 2010, quand les équipes adoptaient des services cloud plus vite que la DSI ne pouvait les encadrer. La différence : cette fois, ce ne sont pas seulement des fichiers qui circulent, mais des données que l’on colle dans une zone de saisie.

Une définition simple

Il y a Shadow AI dès qu’un outil IA est utilisé pour une tâche professionnelle sans être passé par une décision explicite de l’entreprise. Cela couvre les assistants généralistes, les générateurs d’images, les outils de rédaction ou de traduction, et les fonctions IA intégrées à des logiciels déjà en place.

Le point important : les salariés sont, dans l’immense majorité des cas, de bonne foi. Ils cherchent à aller plus vite. Le sujet n’est pas de les blâmer, mais de rendre visible un usage qui, aujourd’hui, ne l’est pas.

Pourquoi c’est un angle mort

Un usage non déclaré est un usage que l’on ne peut ni mesurer, ni encadrer, ni documenter. Trois conséquences concrètes pour une PME :

• Perte de visibilité : la direction ne sait pas quels outils sont utilisés, par combien de personnes, ni pour quel type de données.
• Risque sur les données : des informations clients, des contrats ou du code peuvent être saisis dans des outils dont la politique de traitement n’a pas été vérifiée.
• Difficulté à prouver : en cas de question d’un client, d’un auditeur ou d’une autorité, l’entreprise n’a pas de trace de ce qui a été mis en place.

Quels types de données sont concernés

Dans la pratique, trois familles reviennent souvent : les données personnelles (fichiers clients, coordonnées, dossiers RH), les documents confidentiels (contrats, propositions commerciales, éléments financiers) et les actifs techniques (extraits de code, identifiants, configurations internes). Chacune mérite un niveau d’attention différent.

Premières actions, sans dramatiser

Interdire purement et simplement les outils IA fonctionne rarement : cela pousse au contournement, exactement comme pour le Shadow IT. Une approche progressive est plus solide.

• Cartographier l’existant : identifier les outils réellement utilisés avant d’écrire la moindre règle.
• Informer les équipes : expliquer ce qui peut être partagé et ce qui ne doit pas l’être, avec des exemples concrets.
• Encadrer plutôt qu’interdire : privilégier des versions professionnelles quand elles existent, et définir des règles par type de donnée.
• Documenter : conserver une trace datée des mesures prises, utile le jour où un tiers pose la question.

L’objectif n’est pas de faire peur, mais de retrouver de la visibilité. On ne contrôle bien que ce que l’on voit, et on ne prouve que ce que l’on a documenté.