Shadow AI : comment savoir ce que vos équipes utilisent vraiment

Vos équipes utilisent déjà des intelligences artificielles que vous n'avez jamais validées, et chacune peut faire sortir vos données sans le moindre bruit. La bonne nouvelle : on peut cartographier ce « Shadow AI » en quelques jours, avec une méthode simple, sans transformer la démarche en chasse aux sorcières. Dans cet article, je vous explique d'où vient ce risque, puis je vous donne la méthode en cinq étapes pour savoir enfin ce qui tourne vraiment chez vous et reprendre le contrôle.

Le Shadow AI, c'est quoi exactement ?

Le Shadow AI désigne toutes les intelligences artificielles utilisées dans votre organisation sans validation ni encadrement: un assistant génératif sur lequel un collaborateur colle un contrat client, une extension de navigateur qui résume vos e-mails, une fonction d'IA activée par défaut dans un logiciel métier. Aucune de ces briques n'est passée par la DSI, le DPO ou le RSSI. Elles rendent service, donc elles se répandent vite et en silence.

Le problème n'est pas l'IA en elle-même : c'est l'angle mort. Vous ne pouvez pas protéger, encadrer ni mettre en conformité un usage dont vous ignorez l'existence. C'est aujourd'hui l'une des premières préoccupations des RSSI, parce que ce que l'on ne voit pas finit toujours par se rappeler à nous.

Pourquoi c'est un vrai risque, et pas un détail technique

Quand un collaborateur dépose un document dans un outil d'IA grand public, plusieurs lignes peuvent être franchies en même temps, sans qu'il en ait conscience :

• Fuite de données.Un contrat, un fichier RH, un dossier patient collé dans un service hébergé hors de l'Union européenne, et la donnée vous échappe.
• Non-conformité RGPD.Données personnelles traitées sans base légale, sans information des personnes, parfois transférées hors UE : trois manquements d'un coup.
• Non-conformité AI Act. Un usage qui relève du haut risque (recrutement, crédit, santé) sans aucune supervision ni traçabilité.
• Décision non maîtrisée.Une réponse d'IA inexacte reprise telle quelle dans un livrable, un devis ou un conseil donné au client.

Le scénario que je vois revenir : une entreprise pense « ne pas faire d'IA », alors que la moitié de ses équipes en utilise déjà tous les jours. La question n'est donc jamais « faut-il s'y mettre », mais « que se passe-t-il déjà sous le radar ».

La méthode en cinq étapes pour cartographier votre Shadow AI

Voici la démarche que j'applique, dans l'ordre. Elle tient en quelques jours et ne demande pas d'outil coûteux pour démarrer.

1. Cadrez la démarche et rassurez.Annoncez clairement que l'objectif est de sécuriser, pas de sanctionner. Sans cette confiance, personne ne déclarera ses usages réels et votre cartographie sera fausse.
2. Collectez par questionnaire.Un formulaire court, par équipe : quels outils d'IA, pour quelles tâches, avec quelles données. Vous obtenez en quelques jours une première photographie déclarative.
3. Recoupez avec les traces techniques.Journaux du pare-feu et du proxy, dépenses sur cartes bancaires professionnelles, extensions de navigateur déployées : ces signaux révèlent les usages que personne n'a pensé à déclarer.
4. Consignez tout dans un registre.Un tableau unique qui liste chaque outil, son usage, les données concernées, l'hébergement et un niveau de criticité. C'est la pièce maîtresse, celle qui transforme une intuition en inventaire opposable.
5. Décidez, outil par outil.Pour chacun : on valide et on encadre, on remplace par une alternative maîtrisée, ou on bloque. Une charte d'usage diffusée à tous fige ensuite les règles du jeu.

Le registre du Shadow AI, colonne par colonne

Et après la cartographie ?

L'inventaire n'est pas une fin en soi : c'est le point de départ. Une fois la liste posée, vous pouvez classer chaque usage par niveau de risque et savoir si certains tombent dans le haut risque, puis vérifier ce que l'EU AI Act exige concrètement de vous. Pour les outils que vous décidez de garder, l'étape suivante est de les sécuriser : c'est tout l'objet d'un audit de sécurité d'une application IA.

Si vous voulez d'abord situer votre exposition avant de vous lancer, l' audit Sécurité & Conformité IA cartographie vos usages réels et vos points faibles : un bon moyen de mesurer à quel point le Shadow AI vous concerne.

Questions fréquentes

Mes équipes n'utilisent que ChatGPT, est-ce vraiment du Shadow AI ?

Dès lors que cet usage n'est ni validé, ni encadré, ni tracé, oui. Le risque ne tient pas à l'outil mais à ce que l'on y met : un compte personnel sur lequel passent des données clients est déjà un angle mort à traiter.

Faut-il tout interdire pour être tranquille ?

Non, et c'est même contre-productif. L'interdiction pousse l'usage dans l'ombre au lieu de le supprimer. La bonne approche est d'encadrer : autoriser des outils maîtrisés, fixer des règles claires et offrir une alternative sûre à vos équipes.

Combien de temps prend une cartographie ?

Pour une première photographie utile, comptez une à deux semaines : le temps de diffuser le questionnaire, de recouper avec les traces techniques et de remplir le registre. C'est rapide au regard du risque que cela permet de lever.

Qui doit porter ce sujet en interne ?

En général le binôme DSI et DPO, épaulé par le RSSI quand il existe. L'essentiel est qu'une personne soit clairement responsable du registre et de sa mise à jour, sinon l'inventaire se périme en quelques mois.

C'est exactement ce que je fais lors d'un audit Sécurité & Conformité IA : révéler les usages réels, les classer par risque et vous remettre une feuille de route priorisée pour reprendre la main.

Cet article a une visée pédagogique et ne constitue pas un conseil juridique. Chaque situation mérite une analyse au cas par cas.