Le problème
Le shadow IA est déjà installé chez vous
Pendant que le projet IA attend son arbitrage budgétaire, vos collaborateurs ont déjà tranché. Ils collent des comptes rendus, des courriers d'usagers et des extraits de délibération dans une IA grand public, depuis leur navigateur, sans mauvaise intention et sans aucune trace. La question n'est plus de savoir s'il faut y aller, mais dans quel cadre cela se passe.
Nature du risque
Ce n'est pas du shadow IT ordinaire
Le shadow IT classique, c'est un outil non homologué : un tableur partagé, une application de transfert de fichiers. Le risque est réel mais il est statique, et il se corrige en homologuant l'outil ou en le remplaçant.
Le shadow IA est d'une autre nature : c'est une exfiltration continue, alimentée volontairement par le collaborateur, à un rythme proportionnel à son efficacité. Plus il maîtrise l'outil, plus il lui confie de matière. C'est le seul risque de sécurité que la montée en compétence aggrave.
Invisible
Rien dans vos journaux. Le trafic ressemble à une navigation web ordinaire, et l'usage bascule sur le téléphone personnel dès qu'il est contrarié.
Croissant
Le collaborateur qui gagne deux heures par semaine ne reviendra pas en arrière. Chaque mois d'attente élargit le périmètre des données déjà sorties.
Imputable à vous
Un usage non autorisé doit être analysé : finalités, responsabilités, données et mesures de prévention. Il ne dispense pas l’organisation d’examiner ses obligations.
Trajet d'une donnée
Le trajet d'une donnée, avec et sans alternative interne
Interdire
Pourquoi l'interdiction ne règle rien
La note de service est la réponse la plus fréquente. Elle est aussi la moins efficace, pour trois raisons qui n'ont rien à voir avec la discipline des équipes.
Elle déplace l'usage
Interdire sur le poste de travail ne supprime pas le besoin, cela l'envoie sur le téléphone personnel. L'usage continue, hors de votre réseau et hors de votre vue.
Elle est techniquement contournable
Un filtrage bloque quelques domaines connus. Il en apparaît chaque semaine, et le partage de connexion mobile suffit à passer outre.
Elle vous coûte le gain
Vous perdez la productivité sans supprimer le risque : le pire des deux mondes. Et vous vous privez de la seule chose qui vous ferait revenir dans la boucle, un outil officiel.
Réglementation
Ce que la réglementation en dit
Un prompt contenant une donnée personnelle, envoyé à un éditeur situé hors de l'Union européenne, constitue un traitement, et le plus souvent un transfert. Il vous engage même si vous ne l'avez pas autorisé.
| Obligation | En situation de shadow IA | Avec une IA interne |
|---|---|---|
| Base légale | Aucune, le traitement n'a pas été identifié | Définie et documentée au cadrage |
| Information des personnes | Impossible, personne ne sait que le traitement existe | Mention d'information rédigeable |
| Registre des traitements | Le traitement n'y figure pas | Inscriptible, périmètre connu |
| Transfert hors UE | Non encadré | Sans objet, hébergement UE |
| Droit à l'effacement | Inapplicable, vous ne maîtrisez rien | Applicable, index sous votre contrôle |
| Traçabilité | Nulle | Journalisée |
Le détail de ces obligations est développé sur nos pages IA & RGPD et règlement IA (AI Act).
La réponse
La seule réponse qui tient : substituer
On ne reprend pas la main en interdisant, on la reprend en proposant mieux. Pour qu'un collaborateur abandonne l'outil clandestin, l'outil officiel doit remplir trois conditions, et l'échec d'une seule suffit à faire échouer la substitution.
1. Aussi bon
Un modèle de niveau comparable, pas une démonstration bridée. Si la qualité déçoit une fois, le collaborateur revient à l'outil qu'il connaît et n'en repart plus.
2. Aussi simple
Connexion par votre annuaire existant, pas de mot de passe supplémentaire, accessible depuis le poste de travail. Chaque friction ajoutée renvoie vers le navigateur.
3. Plus utile
Il connaît vos délibérations, vos procédures, vos marchés. C'est ce qu'aucune IA grand public ne pourra faire, et c'est ce qui rend la substitution définitive.
Un RAG peut faciliter l’accès au corpus autorisé. Des offres externes proposent aussi des connecteurs : la différence doit être démontrée sur la maîtrise des droits, l’intégration et la qualité. Formation, politique d’usage et contrôles complètent l’outil interne.
Visibilité
Ce que vous récupérez
Le bénéfice immédiat n'est pas la productivité, c'est la visibilité. Vous passez d'un usage invisible et non quantifiable à un usage mesurable : utilisateurs actifs et volume de messages, selon des indicateurs convenus avec votre DPO. C'est ce qui permet de documenter votre conformité au lieu de la découvrir lors d'un contrôle, et d'arbitrer les cas d'usage suivants sur des faits.
Chiffrer le risque évité
Le simulateur estime le coût du risque de données évité, c'est-à-dire la valeur de ce que le shadow IA vous fait courir aujourd'hui.
Situer votre niveau de risque
L'auto-évaluation AI Act classe votre cas d'usage et vous indique les obligations qui s'y attachent.
Identifier où ça se passe
L'audit par département montre quels services ont le plus de tâches documentaires, donc le plus d'usage clandestin probable.
Sources
Sources officielles
- Règlement (UE) 2016/679 (RGPD), article 4 : définitions, sur EUR-Lex (nouvelle fenêtre)
Définit la « donnée à caractère personnel » et le « traitement », qui couvre toute opération appliquée à ces données, dont leur communication par transmission. Le même règlement fixe la base légale (art. 6), l'information des personnes (art. 13 et 14), le droit à l'effacement (art. 17) et le registre des activités de traitement (art. 30).
- RGPD, chapitre V : transferts vers des pays tiers (art. 44 à 50) (nouvelle fenêtre)
Les conditions auxquelles des données personnelles peuvent être transférées hors de l'Union européenne.
- CNIL : Intelligence artificielle (nouvelle fenêtre)
La page thématique de la CNIL sur l'IA : actualités, publications et outils sur l'IA et les données personnelles, dont l'IA générative.
- CNIL : Transférer des données hors de l'UE (nouvelle fenêtre)
Les outils d'encadrement des transferts : décisions d'adéquation, clauses contractuelles types, règles d'entreprise contraignantes (BCR) et dérogations de l'article 49.
Démonstration
Reprendre la main sur un usage qui existe déjà
Une démonstration de 30 minutes sur vos propres documents, puis un pilote de 3 semaines avec jalon go/no-go. C'est le délai qui sépare un usage subi d'un usage encadré.