Shadow AI en ETI : reprendre le contrôle des outils des équipes

Oui, vous pouvez reprendre le contrôle des IA que vos équipes utilisent déjà, même sans direction informatique dédiée, à condition de suivre une méthode légère qui les recense, les trie et les encadre en quelques jours plutôt qu'en quelques mois. Dans une ETI, l'IA s'installe toujours plus vite que la gouvernance. Voici comment cartographier ce Shadow AI et le remettre sous contrôle sans bloquer la productivité de vos équipes.

Le problème : dans une ETI, l'IA arrive plus vite que la gouvernance

Vos commerciaux résument des comptes rendus, votre bureau d'études fait relire du code, vos assistantes rédigent des courriers, le tout avec des IA grand public que personne n'a validées. C'est le Shadow AI: l'usage d'outils d'intelligence artificielle en dehors de tout cadre. Dans un grand groupe, une direction informatique structurée finit par le repérer. Dans une entreprise de taille intermédiaire, il n'y a souvent ni équipe dédiée, ni budget de surveillance, et le sujet reste sans propriétaire.

Le danger n'est pas l'IA en elle-même, c'est ce qui sort de chez vous sans que vous le sachiez. Un plan technique collé dans un chatbot public, une formule de fabrication reformulée par un assistant, un fichier de paie envoyé pour être mis en forme : chaque copier-coller peut faire fuiter un secret industriel ou une donnée personnelle vers un service que vous ne maîtrisez pas. Le scénario que je vois revenir : un dirigeant découvre l'ampleur des usages le jour où un client s'étonne de retrouver une information qui aurait dû rester interne.

La bonne nouvelle, c'est qu'une ETI n'a pas besoin d'une usine à gaz pour reprendre la main. Elle a besoin d'une méthode légère, tenable par une personne, qui rend les usages visibles avant de vouloir les contrôler.

La méthode légère en quatre étapes

L'objectif n'est pas d'interdire, c'est de voir puis de cadrer. Interdire pousse simplement le Shadow AI plus loin dans l'ombre. Voici les quatre étapes, dans l'ordre, que vous pouvez enclencher sans direction informatique dédiée.

Étape 1 : recenser sans juger

On ne reprend en main que ce que l'on voit. Ouvrez un tableau partagé, très simple, et demandez à chaque équipe d'y déclarer les outils d'IA qu'elle utilise vraiment, pour quoi faire, et avec quelles données. La règle d'or de cette étape est l'amnistie : personne n'est sanctionné pour ce qu'il déclare. Si vos équipes craignent une punition, elles se taisent, et vous restez aveugle. Cet inventaire est la première brique de tout le reste, exactement comme pour un inventaire de vos systèmes d'IA en un atelier.

Trois colonnes suffisent : l'outil utilisé, la tâche accomplie, le type de données qui y passe. En une à deux semaines, vous obtenez une photographie honnête de ce qui tourne réellement chez vous.

Étape 2 : trier par la donnée exposée

Tous les usages ne présentent pas le même risque. Ce qui compte n'est pas le nom de l'outil, mais ce qu'il fait sortir de l'entreprise. Reformuler un texte déjà public n'a rien à voir avec coller un plan de fabrication ou un bulletin de salaire. Classez donc chaque usage selon la donnée qu'il expose :

Ce tri en trois niveaux est le cœur de la méthode. Il transforme une inquiétude diffuse en une liste d'usages hiérarchisée, où vous voyez immédiatement les deux ou trois cas à traiter en priorité.

Étape 3 : poser trois règles simples

Une charte de trente pages ne sera jamais lue. Dans une ETI, la règle qui protège est celle que tout le monde retient. Traduisez donc votre tri en trois règles, tenant sur une page :

1. Ce qui est autorisé sans demander.Les usages sans donnée sensible, sur l'outil que vous recommandez.
2. Ce qui passe par un référent.Dès qu'une donnée interne non publique est en jeu, un référent IA, souvent le dirigeant ou un responsable métier, valide l'usage et l'outil.
3. Ce qui est interdit. Les données personnelles et les secrets industriels ne vont jamais dans une IA grand public, point final.

Ces règles rejoignent celles qui valent pour tout assistant conversationnel en entreprise, que je détaille dans ma charte des risques RGPD de ChatGPT en entreprise. Trois règles claires valent mieux qu'un règlement exhaustif que personne n'applique.

Étape 4 : offrir une alternative validée

C'est l'étape que l'on oublie, et sans elle tout le reste s'effondre. Si vous fermez une porte sans en ouvrir une autre, le Shadow AI revient par la fenêtre : vos équipes ont adopté ces outils parce qu'ils leur font gagner du temps, et elles ne renonceront pas à ce gain. Proposez donc une solution officielle, sûre et au moins aussi pratique : une version professionnelle d'un assistant qui ne réutilise pas vos données pour entraîner ses modèles, hébergée dans un cadre maîtrisé.

Le message à faire passer est simple : « Voici l'outil validé, il est aussi rapide que celui que vous utilisiez, et avec lui vous ne mettez personne en danger. » Vous ne combattez plus l'usage, vous le canalisez.

Le résultat : un usage de l'IA visible et réversible

Au bout de ces quatre étapes, vous ne subissez plus l'IA de vos équipes, vous la pilotez. Vous savez qui utilise quoi, sur quelles données, et selon quelles règles. Surtout, vous êtes redevenu réversible : si un outil pose problème, vous savez qui l'utilise et vous pouvez basculer sur l'alternative validée sans tout casser. C'est cette visibilité qui vous protège le jour d'un contrôle ou d'un incident, et qui transforme le Shadow AI d'angle mort en atout maîtrisé.

Ce cadrage vous prépare aussi, presque sans effort supplémentaire, aux obligations du règlement européen sur l'IA : savoir quels systèmes tournent chez vous et sur quelles données est précisément ce que la loi vous demandera de documenter.

Vous voulez savoir ce que vos équipes utilisent vraiment avant de poser ces règles ? Je détaille la phase de détection dans mon article sur comment savoir ce que vos équipes utilisent vraiment. Et si vous préférez être accompagné, mon audit Sécurité & Conformité IA cartographie votre Shadow AI et vous rend cette feuille de route en quelques jours, avec un premier échange de cadrage pour situer votre exposition. Les enjeux propres à votre secteur sont détaillés sur ma page Industrie & ETI.

Questions fréquentes

Faut-il vraiment tolérer que mes équipes utilisent l'IA ?

Le choix n'est pas entre autoriser et interdire, mais entre voir et subir. Vos équipes utilisent déjà l'IA, avec ou sans votre accord. En l'encadrant, vous gardez le bénéfice de productivité tout en fermant les portes de sortie de vos données. En l'interdisant, vous perdez la visibilité sans supprimer l'usage.

Je n'ai pas de direction informatique, qui doit porter le sujet ?

Un référent IAsuffit, et ce n'est pas forcément un profil technique. Dans beaucoup d'ETI, c'est le dirigeant, un responsable qualité ou un responsable métier qui prend le rôle. Sa mission n'est pas de tout maîtriser, mais de tenir l'inventaire, d'arbitrer les usages sensibles et de maintenir l'alternative validée.

Combien de temps prend cette reprise en main ?

L'inventaire et le tri se font en une à deux semaines. Les trois règles et le choix de l'outil validé prennent quelques jours de plus. L'essentiel est de commencer petit et de faire vivre le tableau, pas de viser un dispositif parfait dès le départ.

Une IA professionnelle est-elle vraiment plus sûre qu'une version gratuite ?

Souvent, oui, à condition de vérifier deux points : que le fournisseur ne réutilise pas vos données pour entraîner ses modèles, et que l'hébergement respecte vos obligations. Ce n'est pas la marque qui compte, mais les garanties contractuelles et techniques que vous obtenez.

Cet article a une visée pédagogique et ne constitue pas un conseil juridique. Chaque situation mérite une analyse au cas par cas.