Shadow IA : quand les salariés utilisent l'IA sans cadre

On parle de « shadow IA » quand des salariés utilisent des outils d'IA que l'entreprise n'a ni choisis ni encadrés, souvent avec un compte personnel. Le risque principal porte sur les données : un contrat, un fichier client ou un tableau de marges collé dans un service grand public quitte le périmètre de l'entreprise. La réponse la plus efficace n'est pas l'interdiction seule, mais un cadre clair et un outil adapté.

Pourquoi l'entreprise ne peut pas l'ignorer

La CNIL (Commission nationale de l'informatique et des libertés) l'écrit dans ses questions-réponses du 18/07/2024 : l'organisme utilisateur engage sa responsabilité légale en cas de mauvais usage par son personnel. Elle recommande d'éviter les comptes créés avec des adresses personnelles et d'exclure les données personnelles et confidentielles des requêtes envoyées aux services grand public.

Le guide de l'ANSSI (Agence nationale de la sécurité des systèmes d'information) du 29/04/2024 recommande de proscrire les outils d'IA générative sur Internet pour un usage professionnel impliquant des données sensibles (R34). Il signale aussi un risque moins visible : certains outils se connectent à la messagerie, à l'espace documentaire ou à la visioconférence. Il recommande de revoir leurs droits d'accès dès l'activation, puis régulièrement (R35).

Les signes à repérer

• Des comptes rendus ou des mails dont le style a changé du jour au lendemain.
• Des extensions de navigateur ou des applications de prise de notes installées sans validation.
• Des questions de salariés du type « on a le droit de… ? » : c'est souvent le meilleur signal, et une bonne occasion d'en parler.

Reprendre la main en cinq étapes

1. Demander plutôt que traquer. Un court questionnaire anonyme sur les outils utilisés et les tâches concernées donne une photo honnête. Tout contrôle technique doit être annoncé : l'article L1222-4 du Code du travail interdit de collecter une information personnelle sur un salarié par un dispositif dont il n'a pas été informé au préalable.
2. Trier les usages. Reformuler un texte sans nom ni chiffre n'a pas le même enjeu que résumer un contrat client.
3. Écrire la règle. La CNIL recommande une charte des usages autorisés et interdits. Attention à sa forme : selon l'article L1321-5, un document qui comporte des obligations générales et permanentes est considéré comme une adjonction au règlement intérieur, lorsqu'il en existe un. Le règlement intérieur, obligatoire à partir de 50 salariés (article L1311-2), ne peut être introduit qu'après avis du comité social et économique et doit être communiqué à l'inspection du travail (article L1321-4). Faites valider la procédure par votre conseil.
4. Proposer un outil encadré. Si vos équipes utilisent l'IA pour retrouver une procédure ou répondre à un client, c'est qu'elles en ont besoin. Un assistant choisi par l'entreprise, avec un contrat, un hébergement connu et des droits d'accès, répond à ce besoin sans exposer les documents. La checklist en 12 points aide à le choisir.
5. Former. La CNIL demande de former les utilisateurs au fonctionnement, aux limites et aux usages autorisés, et de vérifier les réponses avant de les reprendre.

Un exemple de règle simple

« Vous pouvez utiliser un outil d'IA grand public pour reformuler un texte qui ne contient ni nom, ni coordonnées, ni chiffre de l'entreprise. Pour tout document interne, contrat, fichier client ou question sur nos procédures, utilisez l'assistant de l'entreprise. En cas de doute, demandez au référent. »

Pour aller plus loin sur ce que disent les textes quand un document part dans un service grand public, voyez la page assistant grand public et RGPD.