Encadrer l'IA non déclarée en entreprise
Ce que le Shadow AI vous coûte vraiment
Fuite, RGPD, AI Act, hallucinations en production, dépense non pilotée. Ce que chaque risque coûte concrètement et comment le mesurer.
La fuite de données est le risque le plus cité. Ce n'est pas toujours le plus coûteux.
La fuite de données
Le mécanisme est banal : un salarié colle un document dans un outil pour aller plus vite. Selon le compte utilisé, le contenu peut être conservé et, sur les offres grand public, servir à l'amélioration du service. Un compte personnel gratuit n'offre aucune des garanties d'un contrat entreprise.
Le point aveugle : ce n'est pas le volume qui compte, c'est la sensibilité. Un seul contrat client, un seul dossier salarié, un seul extrait de code suffit à créer l'incident.
La non-conformité RGPD
Dès qu'un prompt contient une donnée personnelle, vous avez un traitement. S'il n'est pas au registre, sans base légale identifiée, et transféré hors UE sans encadrement, vous êtes en écart. Le Shadow AI produit mécaniquement cette situation, puisque par définition personne ne l'a documenté.
L'obligation de maîtrise de l'IA
L'article 4 de l'AI Act s'applique depuis le 2 février 2025. L'employeur doit garantir un niveau suffisant de compétence chez les personnes qui utilisent des systèmes d'IA en son nom. Un usage non déclaré est par construction un usage non formé — donc non couvert.
C'est le risque le plus souvent ignoré et le plus simple à traiter : une action de formation tracée suffit à constituer la preuve.
Les hallucinations en production
Le risque le plus insidieux, parce qu'il ne déclenche aucune alerte. Un contenu erroné part chez un client, entre dans une décision, ou se retrouve dans un document contractuel. Sans point de vérification humaine prévu dans le processus, rien ne l'arrête.
La dépense non pilotée
Moins grave, très fréquent. Abonnements multipliés hors budget SI, comptes partagés entre plusieurs personnes — ce qui viole en général les conditions du fournisseur et peut déclencher une suspension. Nous avons vu des organisations découvrir une vingtaine de licences éparpillées et des comptes bloqués pour usage non conforme, avec l'interruption de service que cela implique.
Trois sources suffisent : les notes de frais et abonnements récurrents non rattachés au SI, les journaux du proxy ou du pare-feu sur les domaines des fournisseurs d'IA, et un questionnaire anonyme aux équipes. La troisième donne toujours le résultat le plus élevé.