Shadow AI : le risque que personne ne surveille en entreprise

Dans la plupart des entreprises, le Shadow AI n'est pas surveillé parce qu'il n'appartient à personne : le DSI pense que le DPO s'en occupe, le DPO pense que c'est la sécurité, et le risque avance seul, sans propriétaire. Voici la méthode en quatre étapes pour lui donner un responsable, l'éclairer et reprendre le contrôle sans bannir l'IA. Le sujet n'est pas de savoir si vos équipes utilisent des intelligences artificielles non validées : elles le font déjà. Le vrai problème, c'est que ce risque flotte entre plusieurs fonctions sans que personne ne le porte vraiment. Dans cet article, je vous explique pourquoi ce point aveugle existe, puis je vous donne la démarche pour le refermer.

Le Shadow AI, un risque sans propriétaire

Le Shadow AI désigne toutes les IA utilisées dans votre organisation sans validation ni encadrement: un assistant génératif sur lequel un collaborateur colle un contrat, une extension de navigateur qui résume des e-mails, une fonction d'IA activée par défaut dans un logiciel métier. Rien de tout cela n'est passé par la DSI, le DPO ou le RSSI. Ces outils rendent service, donc ils se répandent vite et en silence.

Si personne ne les surveille, ce n'est pas par négligence, c'est par flou de responsabilité. Le sujet est à cheval sur plusieurs métiers : la sécurité des systèmes pour le RSSI, la protection des données pour le DPO, l'outillage pour la DSI, l'usage pour les directions métier. Quand une responsabilité est partagée par tout le monde, elle n'est portée par personne. C'est exactement ce qui se passe avec le Shadow AI : un risque orphelin.

Ce que vous exposez pendant que personne ne regarde

Tant que ce risque n'a pas de propriétaire, plusieurs lignes peuvent être franchies en même temps, sans que quiconque s'en aperçoive :

• Fuite de données.Un contrat, un fichier RH ou un dossier patient déposé dans un service hébergé hors de l'Union européenne, et la donnée vous échappe.
• Non-conformité RGPD. Des données personnelles traitées sans base légale, sans information des personnes, parfois transférées hors UE, comme le rappelle le sujet des risques RGPD de ChatGPT en entreprise.
• Exposition à l'AI Act.Un usage qui relève du haut risque (recrutement, crédit, santé) opéré sans supervision ni traçabilité, alors qu'il faudrait justement savoir s'il tombe dans le haut risque.
• Décision non maîtrisée.Une réponse d'IA inexacte reprise telle quelle dans un livrable, un devis ou un conseil au client.

Le scénario que je vois revenir : une entreprise est convaincue de « ne pas faire d'IA », alors que la moitié de ses équipes en utilise déjà chaque jour. Personne n'a menti. Simplement, aucun responsable n'avait pour mission de regarder, donc personne n'a vu.

La méthode en quatre étapes pour reprendre le contrôle

Voici la démarche que j'applique, dans l'ordre. Elle ne demande pas d'outil coûteux pour démarrer, et surtout elle commence là où beaucoup l'oublient : par la question du responsable.

1. Attribuez le risque à un propriétaire unique.Nommez la personne qui porte le sujet, souvent le RSSI ou le DPO épaulé par la direction. Sans ce point de départ, tout le reste reste en suspens, car chacun continue de croire que la surveillance incombe à quelqu'un d'autre.
2. Éclairez l'usage réel.Cartographiez ce qui tourne déjà, par un questionnaire court et par équipe, recoupé avec les traces techniques (journaux de proxy, dépenses, extensions installées). C'est l'étape la plus concrète, détaillée pas à pas dans mon article sur comment savoir ce que vos équipes utilisent vraiment.
3. Tranchez et encadrez, outil par outil.Pour chaque usage repéré : vous validez et encadrez, vous remplacez par une alternative maîtrisée, ou vous bloquez. Un catalogue d'outils autorisés et une charte d'usage diffusée à tous figent ensuite les règles du jeu et offrent une voie sûre aux équipes.
4. Ancrez la démarche dans la durée.Formez vos équipes aux bons réflexes, une obligation de littératie déjà prévue par la réglementation, et prévoyez une revue régulière de l'inventaire. Le Shadow AI se renouvelle en permanence : une photographie prise une fois pour toutes vieillit en quelques mois.

Qui porte quoi, une fois le risque attribué

Attribuer le risque à un propriétaire ne veut pas dire lui faire tout faire. Cela veut dire qu'une personne garantit que chaque case est couverte. Voici une répartition qui fonctionne :

Par où commencer concrètement

Ne cherchez pas à tout cadrer d'un coup. Commencez par les deux premières étapes : désignez un responsable, puis lancez une cartographie légère. En une à deux semaines, vous savez ce qui tourne réellement et vous pouvez classer chaque usage par niveau de risque, en vous appuyant sur ce que l'EU AI Act exige de votre entreprise. Cette logique de responsabilité assumée sans bloquer l'innovation est aussi celle que je détaille pour la direction des systèmes d'information dans gouverner l'IA sans la bloquer.

Si vous préférez situer d'abord votre exposition avant de vous lancer, c'est exactement l'objet de mon audit Sécurité & Conformité IA : il cartographie vos usages réels, qualifie leur criticité et vous rend une feuille de route priorisée. Un simple premier échange suffit pour savoir par où commencer.

Questions fréquentes

Faut-il vraiment nommer un responsable, ou une simple charte suffit-elle ?

Une charte sans responsable reste lettre morte. La charte fixe les règles, mais quelqu'un doit les faire vivre : tenir l'inventaire, arbitrer les cas nouveaux, relancer la revue. C'est précisément parce que cette mission n'est attribuée à personne que le Shadow AI prospère.

Qui doit porter le risque, le RSSI ou le DPO ?

Les deux profils conviennent, et le choix dépend de votre organisation. L'essentiel est qu'une seule personnesoit clairement désignée, avec le soutien de la direction et la coopération de l'autre fonction. Un risque copiloté par deux personnes sans chef de file retombe vite dans l'angle mort.

Combien de temps prend la reprise de contrôle ?

La cartographie initiale tient en une à deux semaines. L'encadrement outil par outil s'étale ensuite sur quelques semaines selon le nombre d'usages. Le plus long n'est pas technique, c'est l'installation d'un réflexe durable de déclaration et de revue.

Mes équipes vont-elles vraiment déclarer leurs usages ?

Oui, si la démarche est cadrée pour sécuriser et non pour sanctionner. Dès que les collaborateurs comprennent que l'objectif est de leur offrir des outils sûrs plutôt que de les punir, la déclaration devient franche. La confiance est la condition d'une cartographie fiable.

Cet article a une visée pédagogique et ne constitue pas un conseil juridique. Chaque situation mérite une analyse au cas par cas.