Shadow IA : repérer et encadrer les usages non déclarés

Vos données sortent sans que personne l'ait décidé. C'est le risque le plus probable. Selon le contrat, ce qui est saisi dans un outil grand public peut servir à améliorer le service. L'ANSSI le dit sans détour : l'envoi de données sensibles à des outils grand public sur Internet « est à proscrire » (avril 2024).

Vos décisions reposent sur des sorties que personne n'a vérifiées. Une réponse fausse arrive avec la même assurance qu'une réponse juste. Quand l'outil n'est pas connu, personne ne sait qu'il faut relire.

Vous dépendez d'un outil que vous ne contrôlez pas. Un processus peut finir par reposer sur le compte personnel d'un salarié. S'il part, ou si l'outil change ses conditions, le processus s'arrête.

Vous ne pouvez pas répondre à vos obligations. Le règlement européen sur l'IA demande aux entreprises de prendre des mesures pour soutenir la maîtrise de l'IA de leurs équipes. Vous ne pouvez pas former à un outil dont vous ignorez l'existence. Voir notre page sur l'AI Act pour les PME.

Repérer la shadow IA ne veut pas dire surveiller les salariés. En France, tout dispositif de contrôle de l'activité doit être proportionné à son objectif. Dans les entreprises d'au moins 50 salariés, il relève de l'information et de la consultation préalables du comité social et économique. Dans tous les cas, il doit être porté à la connaissance des salariés avant sa mise en place. La CNIL juge en général excessive une surveillance permanente, et donne l'enregistreur de frappes comme exemple de dispositif disproportionné (fiche du 9 juillet 2026). Un logiciel installé à l'insu des salariés pour repérer leurs usages d'IA ne remplirait pas ces conditions.

Trois sources suffisent.

Les conditions pour obtenir des réponses vraies

Annoncez que l'inventaire ne donnera lieu à aucune sanction. Dites comment les réponses seront présentées à la direction. Présentez la démarche comme la préparation d'outils autorisés, pas comme une enquête.

Chez Optim-AI, la shadow IA fait partie de l'audit IA : à partir de 9 jours d'intervention sur trois mois au maximum. Nous identifions les outils adoptés sans validation de la direction, nous évaluons les données qui y circulent et nous traduisons chaque risque en contre-mesure.

Nous procédons par questionnaires et par entretiens avec les équipes. Les questionnaires ne sont pas anonymes. Pour l'analyse, nous classons les usages par rôle et par équipe : qui fait quoi, avec quel outil, sur quelles données. C'est la base de notre démarche d'audit.

La restitution à la direction est anonyme. Personne n'y est nommé ni désigné. Dans la restitution, les petites équipes sont regroupées pour que personne ne soit identifiable. Elle sert à fixer des règles et à choisir des outils, pas à sanctionner.

Vous recevez notamment :

• la cartographie des usages réels de l'IA, déclarés et non déclarés ;
• l'inventaire des données sensibles et de leur exposition ;
• la liste des risques classés par gravité et par probabilité ;
• des règles d'usage de l'IA rédigées pour être lues, et pour pouvoir être rattachées au règlement intérieur ;
• un plan de contre-mesures séquencé sur 3, 6 et 12 mois.

Le plan vous appartient : vous pouvez l'exécuter avec nous, avec un autre prestataire ou seul.