Le shadow AI est-il illégal ?

Pas nécessairement, mais il expose l'organisation à un risque de fuite de données sensibles vers des services tiers dont les conditions de traitement ne sont pas maîtrisées, et potentiellement à un manquement aux obligations de l'EU AI Act si l'usage relève d'un système à risque.

Faut-il bloquer techniquement l'accès aux outils IA grand public ?

Le blocage technique pur pousse souvent les usages vers des contournements (appareils personnels, réseaux mobiles) plutôt que de les faire disparaître. Une alternative validée et accessible reste généralement plus efficace qu'une interdiction sans solution de remplacement.

Shadow AI : ce que l'usage caché de l'IA révèle

Une DSI qui découvre que ses équipes utilisent déjà massivement ChatGPT ou Claude pour traiter des documents internes, sans autorisation ni cadre défini, ne découvre pas un problème de discipline. Elle découvre un besoin réel que la gouvernance officielle n'a pas su satisfaire à temps.

Ce qu'est le shadow AI

Par analogie avec le "shadow IT" (l'usage d'outils non validés par la DSI), le shadow AI désigne l'utilisation d'outils d'IA générative par des collaborateurs, en dehors de tout cadre validé par l'organisation : copier-coller de documents dans ChatGPT pour les résumer, génération de code non revu, traduction de contenus sensibles via un outil grand public.

Plusieurs études menées depuis 2024 convergent sur un chiffre similaire : une large majorité des collaborateurs de bureau utilise déjà un outil d'IA générative dans son travail quotidien, très souvent sans que leur organisation le sache précisément ni ne l'ait autorisé formellement.

Pourquoi ce n'est pas qu'un problème de sécurité

Le risque de sécurité est réel (données sensibles envoyées à des services tiers, sans garantie sur leur traitement), mais le shadow AI révèle surtout un écart entre le rythme d'adoption des équipes et le rythme de décision de l'organisation. Interdire purement l'usage sans proposer d'alternative ne fait disparaître ni le besoin ni l'usage, seulement sa visibilité.

Ce que le shadow AI révèle vraiment sur la gouvernance

Un shadow AI massif signale presque toujours l'absence d'outils IA officiellement fournis et validés qui répondent aux mêmes besoins. Si l'organisation ne propose pas d'alternative approuvée pour résumer un document ou générer un premier jet, les équipes se tournent vers ce qu'elles connaissent, gratuitement accessible en quelques secondes.

Ça révèle aussi souvent un manque de communication sur ce qui est autorisé et ce qui ne l'est pas : beaucoup d'usages "cachés" ne le sont pas par intention de contourner une règle, mais parce qu'aucune règle claire n'a jamais été communiquée.

Comment répondre sans tout bloquer

Cartographier les usages réels avant de légiférer : un audit informel (sondage anonyme, entretiens) révèle rapidement les cas d'usage les plus fréquents et les outils utilisés. Fournir une alternative validée pour les usages les plus courants, avec des garanties contractuelles sur le traitement des données (un compte professionnel Claude, ChatGPT Enterprise ou équivalent, plutôt que l'interdiction pure). Communiquer clairement une politique d'usage acceptable, avec des exemples concrets de ce qui est autorisé et de ce qui ne l'est pas, notamment sur les données sensibles.

Cette approche rejoint directement les enjeux de conformité que j'ai détaillés dans mon article sur l'EU AI Act en production : une bonne gouvernance IA documente les usages plutôt que de les interdire par principe.

Ce que je recommande en premier pas

Avant de rédiger une politique complète, un audit rapide des usages réels donne une base de décision beaucoup plus solide qu'une politique construite sur des suppositions. C'est souvent ce premier diagnostic qui révèle l'écart entre ce que la direction pense savoir de l'usage de l'IA dans ses équipes, et ce qui se passe réellement au quotidien.

C'est ce diagnostic de gouvernance que je mène dans mes missions d'intégration IA, en m'appuyant sur les mêmes principes que j'ai développés pour la gouvernance de l'IA en agence, transposés ici à l'échelle d'une organisation entière plutôt qu'à un seul type de livrable.