Ce n'est pas du shadow IT ordinaire
Le shadow IT classique, c'est un outil non homologué : un tableur partagé, une application de transfert de fichiers. Le risque est réel mais il est statique, et il se corrige en homologuant l'outil ou en le remplaçant.
Le shadow IA est d'une autre nature : c'est une exfiltration continue, alimentée volontairement par l'agent, à un rythme proportionnel à son efficacité. Plus il maîtrise l'outil, plus il lui confie de matière. C'est le seul risque de sécurité que la montée en compétence aggrave.
Invisible
Rien dans vos journaux. Le trafic ressemble à une navigation web ordinaire, et l'usage bascule sur le téléphone personnel dès qu'il est contrarié.
Croissant
L'agent qui gagne deux heures par semaine ne reviendra pas en arrière. Chaque mois d'attente élargit le périmètre des données déjà sorties.
Imputable à vous
Le responsable de traitement reste l'organisation, pas l'agent. « Il l'a fait de son propre chef » n'a jamais constitué un moyen de défense.
Le trajet d'une donnée, avec et sans alternative interne
Pourquoi l'interdiction ne règle rien
La note de service est la réponse la plus fréquente. Elle est aussi la moins efficace, pour trois raisons qui n'ont rien à voir avec la discipline des équipes.
Elle déplace l'usage
Interdire sur le poste de travail ne supprime pas le besoin, cela l'envoie sur le téléphone personnel. L'usage continue, hors de votre réseau et hors de votre vue.
Elle est techniquement contournable
Un filtrage bloque quelques domaines connus. Il en apparaît chaque semaine, et le partage de connexion mobile suffit à passer outre.
Elle vous coûte le gain
Vous perdez la productivité sans supprimer le risque : le pire des deux mondes. Et vous vous privez de la seule chose qui vous ferait revenir dans la boucle, un outil officiel.
Ce que la réglementation en dit
Un prompt contenant une donnée personnelle, envoyé à un éditeur situé hors de l'Union européenne, constitue un traitement, et le plus souvent un transfert. Il vous engage même si vous ne l'avez pas autorisé.
| Obligation | En situation de shadow IA | Avec une IA interne |
|---|---|---|
| Base légale | Aucune, le traitement n'a pas été identifié | Définie et documentée au cadrage |
| Information des personnes | Impossible, personne ne sait que le traitement existe | Mention d'information rédigeable |
| Registre des traitements | Le traitement n'y figure pas | Inscriptible, périmètre connu |
| Transfert hors UE | Non encadré | Sans objet, hébergement UE |
| Droit à l'effacement | Inapplicable, vous ne maîtrisez rien | Applicable, index sous votre contrôle |
| Traçabilité | Nulle | Journalisée |
Le détail de ces obligations est développé sur nos pages IA & RGPD et règlement IA (AI Act).
La seule réponse qui tient : substituer
On ne reprend pas la main en interdisant, on la reprend en proposant mieux. Pour qu'un agent abandonne l'outil clandestin, l'outil officiel doit remplir trois conditions, et l'échec d'une seule suffit à faire échouer la substitution.
1. Aussi bon
Un modèle de niveau comparable, pas une démonstration bridée. Si la qualité déçoit une fois, l'agent revient à l'outil qu'il connaît et n'en repart plus.
2. Aussi simple
Connexion par votre annuaire existant, pas de mot de passe supplémentaire, accessible depuis le poste de travail. Chaque friction ajoutée renvoie vers le navigateur.
3. Plus utile
Il connaît vos délibérations, vos procédures, vos marchés. C'est ce qu'aucune IA grand public ne pourra faire, et c'est ce qui rend la substitution définitive.
C'est exactement le rôle du RAG sur vos propres documents : il ne rend pas seulement l'outil conforme, il le rend meilleur que l'alternative clandestine. Sans cet écart de valeur, la substitution ne prend pas.
Ce que vous récupérez
Le bénéfice immédiat n'est pas la productivité, c'est la visibilité. Vous passez d'un usage invisible et non quantifiable à un usage mesuré : quels services l'utilisent, pour quels types de tâches, sur quels corpus. C'est ce qui permet de documenter votre conformité au lieu de la découvrir lors d'un contrôle, et d'arbitrer les cas d'usage suivants sur des faits.
Chiffrer le risque évité
Le simulateur estime le coût du risque de données évité, c'est-à-dire la valeur de ce que le shadow IA vous fait courir aujourd'hui.
Situer votre niveau de risque
L'auto-évaluation AI Act classe votre cas d'usage et vous indique les obligations qui s'y attachent.
Identifier où ça se passe
L'audit par département montre quels services ont le plus de tâches documentaires, donc le plus d'usage clandestin probable.
Reprendre la main sur un usage qui existe déjà
Une démonstration de 30 minutes sur vos propres documents, puis un pilote de 3 semaines avec jalon go/no-go. C'est le délai qui sépare un usage subi d'un usage encadré.
Réserver une démonstration