Mardi, 17 h 40#
Un collègue doit rendre une synthèse avant de partir. Le document fait quarante pages. Il ouvre un assistant IA gratuit dans son navigateur, colle le texte, obtient un résumé propre en trente secondes, le relit, l'envoie. Mission accomplie.
Personne n'en saura rien. Ni que le document contenait les coordonnées de vingt personnes, ni qu'il a été envoyé à un service dont personne n'a lu les conditions, ni que la même chose se produit trois fois par jour dans l'équipe.
C'est ça, le shadow IA (on lit aussi shadow AI) : l'usage de l'intelligence artificielle en dehors de tout cadre fixé par l'entreprise. Le mot vient du shadow IT, ces logiciels installés sans passer par le service informatique. Même phénomène, avec un outil beaucoup plus tentant.
Pourquoi le shadow IA existe#
Soyons honnêtes : personne ne fait ça par malveillance. Le shadow IA naît toujours de la même équation.
- Un vrai gain de temps. Résumer, reformuler, traduire, structurer un tableau : l'IA le fait en secondes.
- Aucune alternative fournie. L'entreprise n'a rien proposé, ou l'outil officiel est moins pratique.
- Aucune règle connue. Personne n'a dit ce qui est permis, donc chacun décide seul.
Ce que ça expose vraiment#
Des données qui partent sans trace#
Tout ce qui est collé dans un assistant part chez son fournisseur. Selon l'offre et les réglages, ces contenus peuvent être conservés, consultés pour la modération, voire servir à améliorer le modèle. Sur un compte personnel gratuit, l'entreprise n'a aucun contrat, aucun réglage, et aucune trace de ce qui est parti.
C'est là que le RGPD entre en jeu : envoyer des données personnelles de clients ou de salariés à un service non encadré pose un problème de base légale, de sécurité et d'information des personnes. Et l'IA Act ajoute ses propres exigences sur la maîtrise de l'IA par les équipes.
Des réponses que personne ne contrôle#
Un résumé faux, un chiffre inventé, une clause mal comprise : quand l'usage est caché, l'erreur l'est aussi. Elle ressort plus tard, dans un document envoyé ou une décision prise.
Un savoir qui ne se capitalise pas#
Les bonnes demandes, les bonnes méthodes trouvées par chacun restent dans des historiques personnels. L'entreprise paie le temps d'apprentissage, et n'en garde rien.
Pourquoi interdire ne marche pas#
Bloquer les sites des assistants sur le réseau de l'entreprise donne une illusion de contrôle. Le téléphone personnel reste à portée de main, et l'usage devient simplement plus caché. On a remplacé un risque visible par un risque invisible.
L'expérience du shadow IT l'a montré pendant vingt ans : on ne fait pas reculer un outil utile en l'interdisant, on le fait reculer en proposant mieux.
Reprendre la main en quatre étapes#
1. Faire l'inventaire sans chasse aux sorcières#
Demandez simplement : « Qui utilise une IA, pour quoi faire ? » Promettez qu'il n'y aura pas de sanction. Vous découvrirez les vrais besoins, et souvent des usages très intelligents.
2. Fixer des règles courtes#
Ce qu'on peut faire, ce qu'on ne fait jamais, à qui demander en cas de doute. Une page suffit : c'est l'objet d'une charte d'utilisation de l'IA.
3. Fournir un outil meilleur que le compte gratuit#
C'est le point décisif. L'outil officiel doit être au moins aussi pratique que celui qu'on utilisait en douce, et faire en plus ce que le compte gratuit ne fera jamais : travailler sur les vrais fichiers, se brancher sur les logiciels de l'entreprise, protéger les données. Notre guide sur les alternatives à ChatGPT en entreprise passe en revue les critères.
4. Protéger par l'outil, pas par la consigne#
Une règle qui dit « ne collez pas de données personnelles » sera oubliée un mardi à 17 h 40. Un outil qui les remplace d'office ne l'oublie pas. Dans AIKeep, AIGuard reconnaît les noms, coordonnées bancaires et accès techniques, les remplace par des leurres de même nature avant l'envoi, et rétablit les vraies valeurs dans la réponse. Ce qui est sorti du poste se relit ensuite dans le journal d'audit.
Et chez vous ?#
Trois questions pour savoir où vous en êtes :
- Savez-vous quels assistants IA sont utilisés dans l'équipe, et pour quoi ?
- Vos collègues savent-ils ce qu'ils ont le droit d'y mettre ?
- Pourriez-vous dire, demain, quelles données sont sorties la semaine dernière ?
Trois « non » ne sont pas une faute : c'est la situation de la plupart des entreprises aujourd'hui. Mais c'est le bon moment pour s'y mettre.