par Kevin Gallot
Shadow IA, usages non maîtrisés de l’intelligence artificielle, risques de fuite de données et perte de cohérence stratégique : de plus en plus d’entreprises découvrent que l’IA est déjà utilisée en interne… sans cadre ni gouvernance.
Mais, qu’est-ce que le shadow IA ?
Le shadow IA (ou IA fantôme) regroupe les usages d’outils d’IA par des collaborateurs sans validation, supervision ni contrôle de la DSI ou des fonctions de conformité (en gros : « en mode discrétos« ).
Cela inclut tout, depuis l’utilisation d’une IA grand public accessible gratuitement pour générer des contenus professionnels jusqu’à l’adoption de solutions d’analyse ou d’automatisation par IA en dehors du périmètre validé par l’entreprise (pour les plus créatifs !).
Ce phénomène est une extension du shadow IT, mais avec une différence bien marquée : contrairement à une application interne non autorisée, l’IA! peut traiter, analyser ou stocker des données sensibles en dehors de tout cadre sécurisé ; faire gagner du temps et aussi générer des hallucinations !
Et alors ? Concrètement sur l’entreprise ou la collectivité : ça change quoi ?
Le shadow IA constitue aujourd’hui un risque très important (souvent majeur pour les DSI).
Les principales conséquences observées dans les études et rapports récents sont les suivantes :
- Fuite et compromission des données : des enquêtes indiquent qu’une majorité d’employés utilisent des outils d’IA non autorisés, souvent en collant des données sensibles dans des interfaces externes, ce qui entraîne potentiellement des fuites de données stratégiques ou personnelles (voir l’étude de LayerX)
- Risques juridiques : les données traitées par des modèles externes peuvent être stockées, réutilisées ou transférées à l’étranger (suivant l’IA utilisée)… et donc impact direct avec le RGPD et l’usage des données nominatives !
- Vulnérabilités de sécurité accrues : selon les analystes de Gartner, jusqu’à 40 % des organisations pourraient subir une faille de sécurité liée au shadow IA d’ici 2030 (les outils non validés échappent aux politiques de cybersécurité traditionnelles des entreprises ou collectivités).
- Problèmes de qualité et de fiabilité des décisions : les modèles génératifs peuvent produire des résultats erronés ou biaisés (les fameuses « hallucinations »), ce qui peut induire en erreur des décisions opérationnelles ou stratégiques si ces résultats ne sont pas contrôlés.
Une étude de juin 2025 (2025 Komprise IT Survey: AI, Data & Enterprise Risk) , montre plus de 80 % des organisations présentent des signes d’activité shadow IA et 90 % des responsables IT interrogés considèrent ce phénomène comme une préoccupation majeure.
(et même, « 13 % des répondants rapportent que ces incidents ont déjà entraîné des dommages financiers, des problèmes avec des clients ou des atteintes à la réputation de l’entreprise ».)
Et l’humain là dedans ?
Au-delà de cette partie juridique et IT, le shadow IA peut générer également des tensions entre les équipes (et surtout côté management).
Les collaborateurs qui utilisent l’IA de manière non déclarée peuvent obtenir des gains de productivité intéressant, créer un déséquilibre de performance perçu et susciter des incompréhensions, voire des jalousies, au sein des équipes (gagner du temps pour quoi faire ? En faire plus ou profiter du temps gagné pour une session tiktok sur son smartphone ?)
D’ailleurs, lorsque ces usages sont découverts a posteriori, ils peuvent être interprétés comme un contournement des règles, alimentant des reproches, une perte de confiance et un sentiment d’iniquité entre ceux qui « jouent le jeu » et ceux qui innovent en dehors du cadre.
Sans reconnaissance ni régulation, le shadow IA peut fragiliser la cohésion des équipes ou le partage des bonnes pratiques (en gros « se la jouer perso »). D’où l’importance, pour les entreprises, de reconnaître ces usages, de les encadrer et de les intégrer dans une démarche managériale transparente et collective.
Justement, pourquoi ce phénomène se développe ?
Le shadow IA se développe parce que les outils sont (justement) faciles d’accès, souvent gratuits (ou freemium,) et apportent des gains de productivité immédiats.
Et souvent aussi, frustrés par des outils internes incomplets ou des processus trop rigides (en mode usine à gaz)… ces personnes adoptent ces solutions sans attendre le feu vert de la DSI ou des fonctions support.
5 étapes pour accompagner les usages responsables de l’IA
Chez Inflexia, notre approche de management de l’innovation prend en compte précisément ces risques, en adoptant une stratégie qui allie compréhension des usages réels de l’IA et gouvernance adaptée, plutôt que la simple interdiction (ça rentre d’ailleurs clairement dans le prolongement de la transformation numérique).
En clair, ce que nous faisons (et pouvez aussi faire seuls !) peut se résumer en 5 grandes étapes :
- Diagnostic des usages et cartographie : nous commençons par cartographier l’usage réel de l’IA dans l’organisation (enquête interne, interviews métiers, analyse des flux de données), pour identifier les zones de shadow IA et comprendre les motivations des utilisateurs (pourquoi il utilise ou pas ChatGPT, Perplexity ou Notebook LM !)
- Orientation de la gouvernance sur l’usage : plutôt que d’imposer des interdictions qui alimentent le shadow IA, nous co-construisons avec les parties prenantes des politiques d’usage claires, prenant en compte : les métiers, les exigences de conformité et de sécurité, la nécessité d’outils efficaces et adaptés. Ce cadre inclut des règles de classification des données, de supervision des outils IA, et de responsabilité partagée entre métiers et informatique.
- Sensibilisation et culture : nous déployons des programmes d’acculturation à l’IA (en session de sensibilisation ou en formation avec Celios Lab), permettant aux collaborateurs de comprendre les risques (données, biais, conformité) tout en valorisant leur capacité d’innovation. Cela réduit les comportements clandestins et renforce l’usage réfléchi de l’IA.
- Mise en place de solutions « approved but adaptive » (en clair : des outils validés mais évolutifs) : Inflexia aide les organisations à sélectionner ou développer des outils IA internes ou approuvés, pour répondre aux besoins métiers qui poussent aujourd’hui à adopter des solutions non autorisées.
- Intégration dans la stratégie d’innovation globale : nous traitons l’IA non pas comme un sujet isolé mais comme un levier d’innovation transversal, qui soit s’aligner avec les us et coutumes de l’entreprise, des objectifs de création de valeur, tous les processus internes et (aussi) les contraintes réglementaires !
Le shadow IA illustre une tension centrale des entreprises modernes : des collaborateurs prêts à exploiter l’IA pour gagner en efficacité, mais des cadres organisationnels et de gouvernance qui peinent à suivre (NDLR : je reprends souvent les propos de feu-Michel Serre qui disait à propos des usages du web « […] C’est ni bien, ni mal, c’est une réalité et il faut faire avec »).
Bref, une approche punitive ne suffit pas (et pourra même être contre productive, notamment auprès d’un public plus jeune) ; il s’agit simplement d’intégrer l’IA dans le management de l’innovation, de fournir des cadres d’usage, et de faire de l’adoption de l’IA un levier contrôlé et stratégique.
Justement, note approche répond précisément à ce besoin.
