Il y a quelques années, on parlait de shadow IT : des collaborateurs qui utilisaient Dropbox, WhatsApp ou des outils non validés par la DSI. La direction découvrait l’existence de ces outils… après un incident.
Le shadow IA, c’est exactement la même chose. Mais à une vitesse et une échelle différentes.
Ce qu’est le shadow IA
Le shadow IA désigne l’ensemble des usages d’outils d’intelligence artificielle générative — ChatGPT, Claude, Copilot, Gemini, Mistral, et des dizaines d’autres — utilisés par vos collaborateurs ou prestataires sans validation, sans cadre et sans visibilité de votre part.
Ce n’est pas un comportement malveillant. C’est un comportement naturel. Ces outils sont accessibles en un clic, gratuits dans leur version de base, et réellement utiles. Vos équipes les utilisent parce qu’ils leur font gagner du temps.
Le problème n’est pas l’outil. C’est l’absence de cadre autour de son usage.
Concrètement, ce que ça produit dans une PME
Voici trois situations réelles, observées sur le terrain.
Un responsable commercial rédige des propositions commerciales avec ChatGPT. Il copie-colle des éléments de contexte client, des extraits de contrat, parfois des données chiffrées. Les propositions sont meilleures, plus rapides. Mais ces données ont quitté votre organisation — vous ne savez pas où elles sont stockées, ni comment elles sont utilisées pour entraîner les modèles.
Une assistante de direction utilise Copilot pour synthétiser des comptes rendus de réunion. Les réunions portent sur des décisions stratégiques, des ressources humaines, des négociations en cours. Le résumé est pratique. Mais le contenu est passé par un outil externe, sans que personne ne l’ait validé.
Un freelance qui travaille pour vous utilise des outils IA pour produire vos contenus. Il livre vite, le rendu est bon. Vous ne savez pas quels outils il utilise, ni quelles informations sur votre activité il a transmises à ces outils.
Dans les trois cas : personne n’a commis de faute grave. Mais l’organisation a perdu le contrôle de ses données et de ses responsabilités.
Pourquoi c’est un problème réel — et pas une inquiétude théorique
1. La confidentialité des données
La plupart des outils IA grand public utilisent les données saisies pour améliorer leurs modèles — sauf option de désactivation explicite, rarement activée. Des données clients, des informations RH, des éléments stratégiques peuvent ainsi quitter votre périmètre de façon irréversible.
2. La responsabilité en cas d’incident
Si un contenu produit avec une IA cause un préjudice — erreur factuelle, donnée confidentielle divulguée, contenu non conforme — qui est responsable ? Le collaborateur qui a utilisé l’outil ? Le dirigeant qui n’avait pas de politique en place ? Le prestataire qui a livré sans transparence ?
La réponse dépend du cadre que vous avez — ou n’avez pas — mis en place. Dans la plupart des PME, ce cadre n’existe pas.
3. La dépendance invisible
Vos process commencent à reposer sur des outils que vous ne pilotez pas, que vous n’avez pas sélectionnés et dont vous ne connaissez pas les conditions d’évolution. Le jour où un outil change de modèle de tarification, de politique d’accès ou de fonctionnement, votre organisation en subira les conséquences — sans l’avoir anticipé.
Ce que vous devriez savoir avant de lire la suite
Le shadow IA n’est pas un sujet informatique. Ce n’est pas un sujet pour la DSI ou pour un prestataire technique.
C’est un sujet de gouvernance. C’est-à-dire : qui décide quoi, qui utilise quoi, dans quel périmètre, avec quelle responsabilité.
Et c’est précisément là que la plupart des PME ont un angle mort.
Par où commencer
La première étape n’est pas d’interdire les outils IA. Ce serait contre-productif et inefficace.
La première étape est de rendre visible ce qui existe déjà : quels outils sont utilisés, par qui, sur quels sujets, avec quelles données en entrée.
C’est ce que permet une cartographie des usages IA. En 5 jours, vous obtenez une vision claire de ce qui circule dans votre organisation, de là où se situent les zones à risque, et de ce qu’il faut cadrer en priorité.
Pas pour bloquer. Pour piloter.
La question à vous poser maintenant
Si un incident survenait demain — une donnée client divulguée, un contenu erroné publié, une décision prise sur la base d’une synthèse IA non vérifiée — sauriez-vous exactement qui a fait quoi, avec quel outil, et dans quel cadre ?
Si la réponse est non, ou « pas vraiment », c’est le moment de regarder la situation en face.
Vous voulez clarifier la situation dans votre organisation ?
La Session Clarté (60 min · 150 €) permet de traiter un sujet précis et de repartir avec une décision claire.
Ou commencez par un appel de qualification gratuit — 15 minutes, sans engagement.
Rempart Conseil · Saint-Malo · B2B
Gouvernance IA & audit numérique pour PME et équipes digitales