# Shadow AI : inventorier et encadrer les outils IA non déclarés > Le shadow AI, c’est l’utilisation d’outils d’IA par les collaborateurs sans validation interne. Ce phénomène expose l’entreprise à des risques de conformité avec l’AI Act et le RGPD. Découvrez comment identifier et gérer ces usages grâce à une méthode d’inventaire en 5 étapes. - Tags: shadow AI entreprise, inventaire outils IA, conformité AI Act, déclaration outils IA collaborateurs, risques shadow AI, catalogue outils IA approuvés, Acceptable Use Policy IA - Mot-cle principal: shadow AI entreprise ## Introduction Le shadow AI désigne l’utilisation d’outils d’intelligence artificielle par les salariés sans validation préalable de la DSI ou du DPO. Cette pratique englobe aussi bien des chatbots comme ChatGPT, des générateurs d’images, des assistants de rédaction ou des solutions de code telles que GitHub Copilot. Ces outils sont accessibles en quelques clics, souvent via des comptes personnels ou des versions gratuites. Les études récentes estiment que le shadow AI concerne entre 41 % et 78 % des entreprises, avec une incidence marquée dans les grands groupes. Loin d’être marginal, le shadow AI traduit la rapidité avec laquelle les métiers adoptent de nouveaux outils, contournant parfois les circuits IT classiques. Cette dynamique soulève de sérieux défis en matière de gouvernance des données et de conformité réglementaire. ## Contenu ## Pourquoi le shadow AI se développe-t-il autant ? Les solutions d’IA grand public sont pensées pour une adoption instantanée : une adresse email suffit pour accéder à ChatGPT ou Gemini, et les offres freemium abaissent encore les barrières. La pression d’efficacité pousse les collaborateurs à rechercher ces outils pour gagner du temps – rédaction, analyse, génération de code, etc. Les métiers, souvent plus agiles que l’IT, n’attendent pas toujours l’aval officiel pour adopter ces technologies. L’absence d’alternatives internes simples favorise également ce phénomène. Lorsque l’entreprise ne propose pas de solutions d’IA validées et faciles d’accès, les équipes se tournent spontanément vers des outils externes. Ce schéma est particulièrement visible dans les secteurs où l’IA devient un enjeu émergent, comme le juridique ou la communication. ## Shadow AI et conformité : quels risques avec l’AI Act et le RGPD ? Le règlement AI Act impose des exigences strictes en matière de transparence, de documentation et de contrôle. Un outil non recensé ne peut ni être audité, ni faire l’objet d’un registre conforme. L’[article 26](https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=CELEX:32024R1689) du règlement exige que tout système IA à haut risque fasse l’objet d’un registre et de logs – une exigence impossible à respecter si l’outil échappe à l’inventaire. Les risques opérationnels sont également majeurs. Les outils IA grand public ne sont pas conçus pour les contraintes professionnelles : ils peuvent traiter des informations confidentielles (clients, RH, finances) sans garantie de confidentialité. Les prompts transmis à des API externes peuvent contenir des données personnelles, exposant l’entreprise à des violations du [RGPD](https://www.cnil.fr/fr/intelligence-artificielle). Par exemple, l’envoi de données clients à une API hors UE peut constituer un transfert illicite, même si l’intention est professionnelle. De plus, le shadow AI introduit des biais non maîtrisés dans les processus métiers : un outil de génération de texte ou d’analyse peut produire des résultats partiaux, avec des conséquences juridiques, notamment en recrutement ou gestion des risques. ## Comment réaliser un inventaire des outils d’IA non déclarés : 5 étapes clés Pour cartographier les usages d’IA non validés, il est essentiel de croiser plusieurs méthodes, alliant enquête humaine et analyse technique. Voici un processus en cinq étapes : 1. **Questionnaire anonyme aux collaborateurs** : diffusez un formulaire pour recenser les outils utilisés, les usages, la fréquence, et le type de compte (pro/perso). 2. **Analyse des dépenses informatiques** : examinez les relevés de cartes professionnelles et factures pour repérer des abonnements à des services IA, souvent souscrits en dehors du circuit IT. 3. **Inspection du réseau et des logs** : utilisez des outils de monitoring pour détecter les connexions à des API IA (ex : api.openai.com, generativelanguage.googleapis.com) via les logs proxy ou pare-feu. 4. **Entretiens avec les équipes métiers** : organisez des ateliers pour comprendre les besoins opérationnels et révéler des usages inconnus de la DSI. 5. **Déclaration volontaire via formulaire** : mettez à disposition un canal simple et confidentiel permettant aux collaborateurs de signaler leurs usages IA, sans crainte de sanction. La synergie de ces approches garantit un inventaire exhaustif et une meilleure compréhension des pratiques réelles. ## Exemple de formulaire pour déclarer un outil d’IA Un formulaire efficace doit être simple, neutre et rassurant. Il peut être déployé via Google Forms, Microsoft Forms ou un outil interne. Les champs recommandés sont : - **Nom de l’outil d’IA** (ex : ChatGPT, Copilot, Midjourney, Perplexity) - **Usage principal** (rédaction, analyse de données, génération de code, génération d’images, autre) - **Fréquence d’utilisation** (quotidienne, hebdomadaire, occasionnelle) - **Types de données traitées** (aucune donnée sensible, données clients, données employés, données financières, autre) - **Type de compte utilisé** (compte professionnel, compte personnel, version freemium) - **Commentaires libres** Expliquez l’objectif du formulaire : sécuriser les usages IA, pas sanctionner. Le taux de réponse dépendra du climat de confiance instauré. ## Encadrer le shadow AI : répression ou collaboration ? Interdire strictement le shadow AI sans offrir d’alternatives n’est pas efficace. Les besoins persistent et les collaborateurs trouvent d’autres moyens d’accéder aux outils. Une démarche durable s’appuie sur la sensibilisation, la mise à disposition de solutions officielles et un cadre d’utilisation clair. ### Pourquoi la répression seule ne fonctionne pas Bloquer l’accès aux outils d’IA ou sanctionner les utilisateurs ne règle pas le problème. Les équipes contournent les restrictions via leurs mobiles, des VPN ou d’autres outils non repérés. Cette approche génère de la défiance et rend le phénomène invisible au lieu de le résoudre. ### Trois leviers pour une gestion collaborative Une stratégie efficace combine : - **Sensibilisation** : former les équipes aux risques (fuite de données, RGPD, responsabilité individuelle). Des modules courts et concrets sont plus efficaces que de longues chartes. L’[article 4 du règlement AI Act](https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=CELEX:32024R1689) impose la maîtrise de l’IA à tous les opérateurs dès le 2 février 2025. - **Solutions officielles** : proposer des alternatives validées, contractuellement sécurisées. Les versions professionnelles des outils IA grand public sont désormais disponibles. - **Politique d’utilisation claire** : publier une Acceptable Use Policy IA précisant les outils autorisés, les usages permis et les types de données acceptés. L’[outil compaia.eu](https://compaia.eu/obligations) aide à structurer cette politique selon votre contexte. L’objectif est de canaliser les usages IA pour en faire un avantage compétitif, tout en maîtrisant les risques réglementaires. ## Références réglementaires à connaître - **AI Act – Art. 4** : obligation de maîtrise de l’IA pour tous les opérateurs, en vigueur depuis le 2 février 2025 - **AI Act – Art. 26** : registre et logs obligatoires pour les systèmes IA à haut risque - **AI Act – Art. 50** : transparence requise pour les systèmes interagissant avec des personnes physiques, applicable en novembre 2026 - **RGPD – Art. 25** : privacy by design, documentation et encadrement des traitements de données dès la conception - **RGPD – Art. 44** : conditions pour les transferts de données hors UE, notamment via API IA non européennes ## Source officielle - [Source](https://www.aiacto.eu/fr/blog/shadow-ai-inventaire-outils-ia-entreprise)