Shadow AI : vos équipes utilisent ChatGPT en douce, quels risques en PME ?

Dans la plupart des PME, l'IA générative est déjà entrée par la petite porte. Un commercial qui reformule un mail dans ChatGPT, une assistante qui résume un compte rendu dans Gemini, un développeur qui demande à Claude de corriger un script. Personne n'a validé ces usages, personne ne les pilote, et pourtant ils sont quotidiens. C'est ce qu'on appelle le shadow AI.

Le terme est l'héritier du shadow IT, ces logiciels installés par les salariés en dehors de tout contrôle de la direction. La différence, c'est que l'IA générative se manifeste par un simple onglet de navigateur. Aucune installation, aucune trace évidente, et une adoption fulgurante. Pour le dirigeant d'une PME, le sujet mérite d'être traité de front, sans dramatiser mais sans le négliger.

Qu'est-ce que le shadow AI et pourquoi est-il déjà chez vous ?

Le shadow AI désigne l'usage d'outils d'intelligence artificielle grand public par des collaborateurs, sans validation ni encadrement de l'entreprise. ChatGPT, Claude, Gemini, un Copilot connecté à un compte personnel : tous ces outils sont gratuits ou peu coûteux, accessibles en quelques secondes et redoutablement utiles. C'est précisément ce qui les rend invisibles.

L'ampleur du phénomène est difficile à mesurer avec exactitude, mais les ordres de grandeur convergent. Selon plusieurs études parues ces derniers mois, une large majorité des salariés qui utilisent l'IA au travail le font sans en informer leur hiérarchie. Une part importante d'entre eux y aurait déjà saisi des données professionnelles, parfois confidentielles. Les chiffres varient d'une enquête à l'autre, mais ils dessinent tous la même tendance : l'usage est massif et largement souterrain.

La raison est simple. Vos équipes ne cherchent pas à mal faire. Elles cherchent à gagner du temps. Quand un outil divise par trois la durée de rédaction d'une proposition, l'employé l'adopte, qu'il soit autorisé ou non. Plus l'entreprise tarde à se positionner, plus ces habitudes s'installent en dehors de tout cadre. Le shadow AI n'est donc pas un risque futur : dans la plupart des PME, c'est une réalité présente, simplement non documentée.

Quels sont les risques concrets pour une PME ?

Le premier risque est la fuite de données. Quand un salarié colle un contrat client, un fichier de prospects ou un document interne dans un outil tiers, ces données sortent de votre périmètre de contrôle. Selon les conditions d'utilisation, elles peuvent être conservées, analysées, voire utilisées pour entraîner le modèle. Une information stratégique peut ainsi quitter l'entreprise sans qu'aucune alerte ne se déclenche.

Vient ensuite la non-conformité RGPD. Dès qu'une donnée à caractère personnel entre dans un outil d'IA, votre PME reste responsable de traitement. Beaucoup de ces services hébergent leurs serveurs hors de l'Union européenne, ce qui pose la question du transfert hors UE et des garanties associées. Sans base légale identifiée ni cadre contractuel, l'usage devient juridiquement fragile, et la CNIL ne fait pas de distinction selon que l'usage était officiel ou non.

Le secret des affaires est un autre angle mort. Une méthode commerciale, une grille tarifaire, un projet de R&D collés dans un prompt perdent une partie de leur protection. Cette protection légale suppose que l'entreprise ait pris des mesures raisonnables pour garder l'information confidentielle. Si une donnée stratégique a circulé hors de tout contrôle, il devient plus difficile de démontrer que vous l'avez tenue secrète, et donc de vous défendre en cas de litige.

S'ajoutent les hallucinations. Les modèles génèrent parfois des informations fausses avec un aplomb total : une référence juridique inexistante, un chiffre inventé, une citation attribuée à la mauvaise source. Recopiées sans vérification dans un livrable client ou une note interne, ces erreurs entament la qualité et la crédibilité de l'entreprise. Enfin, une dépendance non maîtrisée s'installe : des processus reposent sur des outils dont personne ne pilote la disponibilité, le coût ou la confidentialité, et qui peuvent changer de conditions du jour au lendemain.

L'AI Act renforce cette logique. Le règlement impose notamment une obligation de littératie en IA : les entreprises doivent s'assurer que leurs équipes comprennent les outils qu'elles emploient. Un usage anarchique va frontalement à l'encontre de cette exigence.

Pourquoi interdire l'IA aggrave-t-il le problème ?

La réaction instinctive de beaucoup de dirigeants est l'interdiction pure et simple. Bloquer l'accès aux outils, envoyer une note interne, fermer le sujet. C'est rarement efficace, et souvent contre-productif.

Une interdiction ne supprime pas le besoin, elle le déplace. Le salarié qui ne peut plus utiliser ChatGPT sur son poste l'ouvrira sur son téléphone personnel ou recopiera les textes à la main. Vous perdez alors le peu de visibilité qu'il vous restait. Le shadow AI ne disparaît pas, il devient simplement plus profond et plus difficile à observer.

Il y a aussi un coût concurrentiel. Si vos équipes travaillent sans ces outils pendant que la concurrence les exploite, vous renoncez à des gains de productivité réels. La question n'est donc pas de savoir s'il faut utiliser l'IA, mais comment l'encadrer.

Enfin, l'interdiction envoie un mauvais signal. Elle traite l'employé comme un risque plutôt que comme un partenaire, alors que la sécurité repose largement sur la coopération volontaire. Une équipe qui comprend pourquoi une règle existe la respecte ; une équipe à qui on impose un blocage cherche à le contourner. Le bon objectif n'est pas le contrôle absolu, mais un usage transparent et raisonné.

Comment cadrer l'usage sans bloquer les équipes ?

Le cadrage commence par une cartographie des usages réels. Avant d'écrire la moindre règle, comprenez ce que vos équipes font déjà. Quels outils, pour quelles tâches, avec quels types de données. Un échange ouvert et sans sanction donne des résultats bien plus fiables qu'un audit policier. L'objectif est de voir clair, pas de punir.

Vient ensuite la charte d'usage de l'IA. Ce document court et concret précise ce qui est autorisé, ce qui ne l'est pas et les outils recommandés. Il complète utilement la charte informatique existante. Une règle simple à retenir : aucune donnée personnelle ni confidentielle dans un outil non validé. Pour être appliquée, une charte doit tenir en une page et parler le langage du terrain, pas celui des juristes.

L'étape décisive consiste à fournir des outils validés. C'est la clé qui transforme le shadow AI en usage officiel. Proposez des comptes professionnels avec engagement contractuel de non-réutilisation des données. Quand c'est pertinent, mettez en place une alternative interne, par exemple un agent connecté à vos données via une approche RAG, qui garde l'information chez vous. Donner un bon outil officiel est le moyen le plus efficace de tarir l'usage clandestin. Pour structurer cette base maison, notre méthode pour construire une base de connaissance pour un agent IA détaille les étapes.

Enfin, formez et désignez un référent. La formation lève les usages les plus risqués et améliore la qualité des résultats. Un référent IA identifié, même à temps partiel, centralise les questions et fait vivre le cadre. La conformité n'est pas un document figé, c'est une habitude collective qui s'entretient.

Par quoi commencer dès cette semaine ?

Inutile de lancer un grand chantier. Quelques actions concrètes posent les fondations en peu de temps. Commencez par un état des lieux honnête : demandez à vos équipes, sans jugement, quels outils elles utilisent déjà. Vous serez probablement surpris par l'étendue réelle des usages.

Rédigez ensuite une première version de charte. Une page suffit pour démarrer : listez les outils recommandés, rappelez la règle d'or sur les données sensibles et indiquez à qui s'adresser en cas de doute. L'essentiel est de poser un cadre visible plutôt que d'attendre le document parfait.

Souscrivez enfin des comptes professionnels pour les outils les plus utilisés. L'écart de prix avec les versions gratuites est modeste au regard du risque évité, et les garanties sur la confidentialité changent la donne. C'est souvent l'action au meilleur rapport effort/impact.

Pour aller plus loin, une fois ces bases posées, vous pourrez sécuriser la manière même dont vos équipes formulent leurs requêtes. Nos 12 règles pour sécuriser vos prompts en entreprise prolongent directement cette démarche, tout comme une réflexion plus large sur l'intégration de l'IA à votre système d'information.

À lire aussi : Droit d''auteur et contenu généré par IA : ce que les PME doivent savoir.