Shadow AI · le guide
Shadow AI : l’IA que vos équipes utilisent sans vous le dire.
Un devis reformulé dans ChatGPT, un contrat résumé par Gemini, un e-mail client traduit dans un outil gratuit : le « shadow AI », c’est l’usage d’outils d’IA grand public par les collaborateurs, sans que l’entreprise le sache ni l’encadre. Ce guide explique pourquoi cela arrive, ce que cela expose, comment le repérer sans surveiller personne, et quelle alternative interne proposer.
Définition
Le shadow AI, en clair.
Le terme est calqué sur le « shadow IT », ces logiciels installés par les salariés sans passer par l’informatique. Le shadow AI désigne la même chose, appliquée aux assistants d’intelligence artificielle : ChatGPT, Copilot, Gemini, Claude, les traducteurs automatiques, les outils de résumé ou de génération d’images, utilisés depuis un compte personnel ou une version gratuite, pour des tâches professionnelles, sans validation ni cadre de l’entreprise.
Concrètement, cela ressemble à ceci : un commercial colle un cahier des charges client pour en tirer une proposition ; une assistante de direction résume un contrat de prestation ; un développeur soumet un extrait de code pour le corriger ; un comptable fait reformuler un courrier de relance contenant le nom et les montants dus d’un client. Chacun de ces gestes est utile, rapide, et invisible pour la direction. Et chacun envoie des informations internes vers un service tiers.
Ce que cette page n’est pas : un avis juridique. Pour les questions propres au RGPD, voir IA et RGPD.
Pourquoi ça arrive
Ce n’est pas une faute, c’est un manque.
Le shadow AI n’est pas un problème de discipline. Il apparaît pour trois raisons simples, qui se cumulent. D’abord, les outils sont réellement utiles : ils font gagner du temps sur des tâches répétitives que personne n’aime, et les collaborateurs qui les adoptent le font pour mieux travailler. Ensuite, l’entreprise ne propose aucune alternative interne : quand le seul assistant disponible est celui du grand public, c’est celui-là qu’on utilise. Enfin, il n’existe aucune règle : personne n’a dit ce qui était permis, ce qui ne l’était pas, ni pourquoi.
Dans ce contexte, la personne qui colle un contrat dans un assistant public ne se sent pas fautive — et il serait injuste de la traiter comme telle. Elle fait ce qui lui semble raisonnable, avec les moyens qu’on lui a laissés. La correction se trouve donc du côté de l’entreprise : donner un cadre et fournir un outil.
Les risques
Ce que le shadow AI expose réellement.
Les risques ne sont pas théoriques, mais ils sont diffus : ils ne se manifestent que le jour où un client, un auditeur ou une autorité pose une question à laquelle on ne sait pas répondre.
Les données quittent l’entreprise
Un devis, un contrat ou un fichier client collé dans un assistant grand public est transmis aux serveurs du fournisseur — le plus souvent hors de l’Union européenne, hors de votre contrôle.
Exposition RGPD
Dès qu’un document contient des données personnelles (noms, coordonnées, salaires, dossiers), leur transfert vers un tiers non encadré engage la responsabilité de l’entreprise en tant que responsable de traitement.
Perte de confidentialité et de savoir-faire
Grilles tarifaires, méthodes internes, code source, projets non annoncés : ce qui fait votre avantage concurrentiel peut, selon les conditions du service, servir à l’amélioration de modèles tiers.
Accords de confidentialité rompus
Les NDA signés avec vos clients et partenaires interdisent généralement la communication de leurs informations à des tiers. Un collage dans un outil public en est un, même involontaire.
Résultats incohérents
Chaque personne utilise son outil, sa formulation, sa version. Deux réponses à un même client peuvent se contredire, sans que personne ne relise ni ne valide.
Aucune traçabilité
Impossible de savoir ce qui a été envoyé, par qui, ni quand. En cas d’incident ou de demande d’un client, l’entreprise ne peut ni reconstituer ni justifier.
Le repérer sans surveiller
Comprendre les usages, pas surveiller les personnes.
La tentation, face au shadow AI, est de déployer un outil de surveillance des postes ou des connexions. Nous le déconseillons formellement. La surveillance individuelle des salariés dégrade la confiance, pose ses propres problèmes juridiques, et ne règle rien : elle déplace l’usage vers le téléphone personnel. Ce qu’il faut, c’est une image fidèle des besoins, obtenue de manière transparente.
Parlez avec les équipes
Une réunion ouverte, sans reproche, suffit souvent : « Qui utilise un assistant IA, pour quoi faire, et qu’est-ce qui vous manque ? ». La plupart des collaborateurs répondent volontiers quand la question n’est pas une accusation.
Un questionnaire anonyme
Quelques questions sur les usages, les outils et les besoins. L’objectif est de comprendre les cas d’usage réels pour y répondre, pas d’identifier des personnes.
Notes de frais et abonnements SaaS
Les abonnements individuels à des outils d’IA apparaissent dans les notes de frais, les cartes d’entreprise ou les inscriptions faites avec une adresse professionnelle. C’est un signal simple, sans intrusion.
Vérifiez les conditions des outils
Pour chaque outil identifié, lisez l’accord de traitement des données (DPA) : où sont hébergées les données, sont-elles utilisées pour l’entraînement, quelle est la durée de conservation.
Définissez une règle claire
Sans politique écrite, chacun décide seul. Une charte courte (voir ci-dessous) donne un cadre : ce qui est autorisé, ce qui ne l’est pas, et vers qui se tourner.
Charte IA
Une charte IA en 6 points.
Une page suffit. Une charte trop longue n’est pas lue ; une charte trop vague n’est pas appliquée. Voici les six points qui reviennent dans les chartes qui fonctionnent.
-
Point 1
Ce qui ne doit jamais sortir
Données personnelles, informations clients, contrats, données financières, code source, tout document sous NDA : interdits dans un outil non validé par l’entreprise.
-
Point 2
Les outils autorisés
Une liste courte et tenue à jour des outils validés, avec le périmètre de chacun. Ce qui n’est pas dans la liste n’est pas autorisé pour des données internes.
-
Point 3
Le principe de relecture
Aucune sortie d’IA n’est envoyée à un client, publiée ou intégrée sans relecture humaine. La responsabilité reste celle de la personne qui envoie.
-
Point 4
La transparence
Quand un contenu a été produit avec une aide d’IA, on le dit en interne si on le demande. Pas de sanction pour l’avoir déclaré.
-
Point 5
Un référent
Une personne identifiée à qui poser la question « puis-je utiliser cet outil pour cela ? » et qui tient la liste des outils à jour.
-
Point 6
Une alternative interne
La charte ne tient que si l’entreprise offre un outil aussi utile que celui qu’elle interdit. Sinon, l’interdiction est contournée dès la semaine suivante.
L’alternative
Le vrai remède : une IA interne aussi bonne que l’outil public.
Le shadow AI disparaît quand il n’a plus de raison d’exister. Si l’entreprise met à disposition un assistant aussi capable que celui du grand public, mais installé sur un serveur dans ses locaux, connecté à ses documents et à ses outils, les collaborateurs l’adoptent d’eux-mêmes : il est plus pertinent sur leur métier, et il est autorisé.
C’est ce que GTEK installe : une IA locale, sur un serveur chez vous, entraînée sur vos documents et vos formats, qui répond à vos équipes sans qu’aucune donnée ne sorte. Les tâches sensibles gardent une relecture humaine avant envoi — l’IA prépare, la personne valide. Résultat : la productivité que vos équipes cherchaient dans les outils publics, avec la confidentialité, la traçabilité et le contrôle que l’entreprise doit garantir.
Comparatif
Shadow AI vs IA interne.
| Shadow AI (outil grand public) | IA interne GTEK | |
|---|---|---|
| Où vont les données | Vers les serveurs du fournisseur, souvent hors UE | Nulle part — elles restent sur votre serveur, dans vos locaux |
| RGPD | Transfert vers un tiers non encadré, à la charge de l’entreprise | Données localisées et contrôlées par construction |
| Traçabilité | Aucune : ni qui, ni quoi, ni quand | Journal des usages au niveau de l’outil, sans surveillance individuelle |
| Adapté au métier | Générique : ne connaît ni vos documents ni votre vocabulaire | Entraîné sur vos documents, connecté à vos outils, relecture humaine intégrée |
| Coût | Abonnements individuels dispersés, non maîtrisés | Fixe et prévisible : serveur en leasing + adaptation initiale |
| Contrôle | Aucun : conditions du fournisseur, modifiables à tout moment | Total : le modèle et les données vous appartiennent |
Questions fréquentes
Shadow AI : vos questions.
Le shadow AI est-il illégal ?
Utiliser un assistant IA n’est pas illégal en soi. Ce qui pose problème, c’est ce qu’on y met : transférer des données personnelles ou des informations couvertes par un accord de confidentialité vers un tiers non encadré peut constituer un manquement au RGPD ou une rupture de contrat. La responsabilité repose sur l’entreprise, pas sur l’outil.
Interdire ChatGPT suffit-il ?
Rarement. Une interdiction sans alternative est contournée : depuis un téléphone personnel, un autre outil, ou un compte privé. Elle rend surtout l’usage invisible. La réponse durable combine une charte claire et un outil interne au moins aussi utile que celui qu’on interdit.
Comment savoir si mes équipes utilisent ChatGPT ?
En leur demandant. Une discussion ouverte ou un questionnaire anonyme donne une image fidèle des usages, et surtout des besoins auxquels ils répondent. Les notes de frais et les inscriptions SaaS avec une adresse professionnelle complètent le tableau. Surveiller les postes ou les navigations individuelles n’est ni nécessaire ni souhaitable.
Les versions « entreprise » des outils cloud règlent-elles le problème ?
Elles améliorent le cadre contractuel (pas d’entraînement sur vos données, hébergement déclaré), ce qui est un progrès. Mais les données quittent toujours vos murs, le fournisseur peut modifier ses conditions, et l’outil reste générique. Pour des données sensibles, la seule garantie par construction est que les données ne sortent pas.
Combien coûte une IA interne ?
Deux postes : le serveur (200 à 600 €/mois en moyenne, en leasing) et l’adaptation du modèle à votre métier (de l’ordre de 2 000 à 5 000 € à 15 000 à 30 000 € selon la complexité et la préparation des données). Le chiffrage précis se fait après une découverte gratuite de 30 minutes.
Une IA interne est-elle aussi performante qu’un outil grand public ?
Sur les tâches de votre métier, elle est souvent plus pertinente : elle connaît vos documents, votre vocabulaire et vos formats, ce qu’un outil générique ignore. Sur des questions de culture générale, l’outil public garde l’avantage — mais ce n’est pas pour cela que vos équipes collent des contrats dedans.
Donnez à vos équipes l’outil qu’elles cherchent.
30 minutes pour identifier les usages réels chez vous et voir ce qu’une IA interne changerait.