Shadow AI : le danger invisible

Shadow AI : le danger invisible

C'est lundi après-midi. Une collaboratrice du marketing copie des données clients confidentielles dans ChatGPT pour réaliser rapidement une analyse du public cible. Un développeur logiciel colle du code source propriétaire dans un assistant IA pour trouver un bug. Une responsable RH téléverse des dossiers de candidature dans un outil d'IA gratuit pour faire un premier tri des candidats. Aucun d'eux n'a informé le service informatique. Aucun ne sait où les données atterrissent.

Bienvenue dans le monde de la shadow AI : l'utilisation invisible et incontrôlée d'outils d'IA dans les entreprises. Dans cette leçon, tu découvres ce qu'est la shadow AI, pourquoi elle est si répandue et quels risques concrets elle représente pour ton entreprise.

Qu'est-ce que la shadow AI ?

La shadow AI désigne l'utilisation d'outils et de services d'IA par les collaborateurs sans que l'entreprise le sache, l'ait autorisé ou puisse le contrôler. Le terme s'inspire du «shadow IT» : l'utilisation non autorisée de logiciels et de services, qui pose problème depuis des années. La shadow AI est toutefois bien plus dangereuse, car :

• Les données quittent l'entreprise : chaque saisie dans un outil d'IA est transmise à des serveurs externes, souvent dans d'autres pays, avec un traitement des données peu clair.
• L'utilisation est difficile à détecter : contrairement à un logiciel installé, l'utilisation d'outils d'IA sur le web ne laisse presque aucune trace dans le réseau de l'entreprise.
• Le pas à franchir est minime : un onglet du navigateur suffit. Aucune installation, aucun téléchargement, aucune autorisation nécessaire.
• Les risques croissent de façon exponentielle : plus les collaborateurs utilisent l'IA sans contrôle, plus la surface d'attaque est grande et plus une fuite de données devient probable.

Pourquoi les collaborateurs font-ils cela ?

La shadow AI ne naît pas de la malveillance. Les raisons sont souvent compréhensibles, mais cela ne réduit pas les risques :

1. Pression sur la productivité : les outils d'IA font vraiment gagner du temps. Qui est pressé par le temps et n'a pas d'outil autorisé prend le premier venu. Dans une expérience menée avec des consultants du Boston Consulting Group (2023), les participants équipés de l'IA ont accompli les tâches adaptées un peu plus de 25 % plus vite et avec une qualité supérieure d'environ 40 %. Cet avantage est trop important pour être ignoré.

2. Manque de sensibilisation : beaucoup de collaborateurs ne savent tout simplement pas que leurs saisies sont enregistrées ou peuvent servir à l'entraînement. Ils traitent ChatGPT comme une calculatrice : un outil qui «oublie» la saisie.

3. Pas d'alternatives : si l'entreprise ne met pas à disposition d'outils d'IA autorisés, les collaborateurs cherchent leurs propres solutions. C'est humain, mais dangereux.

4. Commodité : le compte ChatGPT personnel est plus rapidement accessible qu'un outil interne avec connexion SSO, connexion VPN et fonctionnalités limitées.

Les risques réels de la shadow AI

Les dangers de la shadow AI ne sont pas théoriques, mais concrets, mesurables et coûteux :

Fuites de données : chaque saisie dans un outil d'IA quitte le réseau de l'entreprise. Données clients confidentielles, secrets d'affaires, chiffres financiers : tout ce qui est saisi se trouve sur des serveurs externes. Avec les comptes gratuits (free tier), ces données servent souvent à l'entraînement.

Violations de la conformité : le RGPD exige une base juridique pour le traitement des données à caractère personnel, la nLPD suisse un traitement licite, proportionné et limité à sa finalité, les deux dans des conditions contrôlées. La shadow AI rend cela impossible, car l'entreprise ne sait même pas que des données sont traitées.

Perte de propriété intellectuelle : code source, stratégies commerciales, demandes de brevet. Ce qui a été saisi une fois dans un outil d'IA ne peut plus être récupéré. Dans le pire des cas, du code propriétaire apparaît dans les réponses données à d'autres utilisateurs.

Atteinte à la réputation : lorsqu'on apprend qu'une entreprise transmet sans contrôle des données clients à des outils d'IA, la perte de confiance est énorme et difficile à réparer.

Comment reconnaître la shadow AI dans ton entreprise ?

Identifier la shadow AI est difficile, mais pas impossible. Voici cinq signes et mesures :

• Surveillance du réseau : analyse le trafic web pour repérer les accès à des services d'IA connus (openai.com, claude.ai, gemini.google.com, etc.). Les journaux DNS peuvent être instructifs. Important : n'évalue ces données que sous forme agrégée ou pseudonymisée et annonce la surveillance à l'avance. La surveillance du comportement de collaborateurs individuels est interdite en Suisse (art. 26 OLT 3, art. 328b CO) ; dans l'UE, des limites similaires s'appliquent.
• Enquêtes auprès des collaborateurs : des sondages anonymes sur l'utilisation de l'IA donnent souvent des résultats plus honnêtes qu'une surveillance technique. Important : les présenter non pas comme un contrôle, mais comme une évaluation des besoins.
• Vérifier les extensions de navigateur : beaucoup d'outils d'IA proposent des extensions de navigateur qui collectent des données supplémentaires. Un audit des extensions installées peut révéler la shadow AI.
• Notes de frais : si des collaborateurs paient eux-mêmes des abonnements d'IA et les déclarent ensuite comme frais, c'est un signal clair.
• Analyse des contenus : si la qualité des textes, des présentations ou du code augmente soudainement de façon spectaculaire, l'utilisation de l'IA peut en être la cause.