Définition
Le shadow AI, ou IA fantôme, désigne l’usage d’outils d’intelligence artificielle par des salariés sans approbation ni supervision de l’entreprise : assistant conversationnel utilisé avec un compte personnel, extension de navigateur qui résume les pages, fonction d’IA activée dans un logiciel sans validation, service de transcription de réunions. C’est une variante du shadow IT, centrée sur les outils d’IA et, en pratique, surtout sur l’IA générative.
Les risques pour les données et la conformité
- Fuite de données : des informations sur les clients, les salariés ou la stratégie quittent le système d’information, sans garantie sur leur conservation ni sur leur réutilisation par l’éditeur.
- RGPD : saisir des données personnelles dans un outil non évalué peut constituer un traitement non prévu, non documenté et confié à un prestataire que l’entreprise n’a pas choisi.
- AI Act : utiliser un assistant généraliste pour trier des candidatures ou évaluer des salariés le détourne vers une finalité classée parmi les systèmes d’IA à haut risque. L’article 25 du règlement considère alors celui qui a modifié ainsi la destination de l’outil comme un fournisseur, tenu aux obligations correspondantes ; pour les usages RH, elles s’appliquent à partir du 2 décembre 2027.
- Qualité : des contenus non vérifiés, parfois erronés, entrent dans des livrables sans que personne sache qu’une IA y a contribué.
Encadrer les usages
Interdire sans proposer d’alternative pousse les usages dans l’ombre. Une démarche en quatre temps fonctionne mieux : recenser les usages réels avec l’équipe, sans esprit de sanction ; fournir au moins un outil validé, avec des garanties contractuelles sur les données ; rédiger des règles courtes qui listent les données interdites et les usages soumis à validation ; former chacun aux limites des outils et à la vérification des contenus. Notre trame de règles d’usage de l’IA générative en équipe sert de point de départ ; le chapitre IA et management replace ces choix dans l’organisation du travail.