Shadow AI en entreprise : détecter, quantifier et encadrer les usages non déclarés
Un collaborateur qui colle un contrat client dans ChatGPT, une équipe marketing qui pilote ses campagnes via un outil IA non référencé, un développeur qui connecte un LLM externe à des données internes… Le shadow AI est déjà présent dans la quasi-totalité des organisations. La question n'est plus de savoir s'il existe, mais comment le détecter, le quantifier et l'encadrer sans transformer la DSI en police de l'innovation.
Pourquoi le shadow AI est un risque de conformité immédiat
Contrairement au shadow IT classique, le shadow AI présente une surface de risque amplifiée : les outils IA traitent, génèrent et parfois mémorisent des données sensibles. Trois vecteurs de risque dominent :
- RGPD et transferts de données hors UE : la majorité des LLM grand public sont hébergés aux États-Unis. Coller un dossier RH ou une liste clients constitue un transfert international sans base légale valide.
- AI Act – systèmes à haut risque non déclarés : un outil de scoring RH ou de notation crédit utilisé de façon informelle peut relever de l'annexe III du règlement européen, imposant enregistrement et audit.
- Confidentialité et secret des affaires : les modèles en mode SaaS peuvent utiliser les prompts pour ré-entraîner leurs systèmes selon leurs CGU.
Le DPO et le RSSI partagent ici une responsabilité conjointe : l'un sur la licéité du traitement, l'autre sur la posture de sécurité. L'absence de registre IA exhaustif fragilise les deux.
Étape 1 – Détecter : cartographier l'invisible
Analyse réseau et DNS
La première source de données est souvent la plus rapide. L'examen des journaux de proxy, pare-feu et résolveurs DNS révèle les domaines IA contactés : api.openai.com, claude.ai, gemini.google.com, copilot.microsoft.com, mais aussi des dizaines de services moins connus (Perplexity, Mistral AI API, Cohere…). Un export hebdomadaire filtré sur les domaines IA connus suffit pour dresser un premier inventaire.
Enquête déclarative structurée
L'approche technique seule ne suffit pas : elle ne capte pas les usages offline ou les extensions de navigateur. Une enquête anonyme, déployée par équipe, complète la cartographie. Questions clés : quel outil, quelle fréquence, quel type de données saisies, quel usage métier. L'anonymat augmente le taux de réponse sincère de 30 à 40 % selon les retours terrain de cabinets spécialisés.
Revue des extensions navigateur et des intégrations SaaS
Les extensions Chrome/Edge (Compose AI, Grammarly Business, Monica…) et les connecteurs Zapier/Make intégrant des LLM constituent un angle mort fréquent. Un inventaire MDM ou via la console d'administration Google/Microsoft permet d'en identifier la majorité.
Étape 2 – Quantifier : passer du ressenti à la donnée
Détecter ne suffit pas : il faut produire une cartographie de l'exposition exploitable en COMEX et compréhensible pour un auditeur. Trois métriques structurent le tableau de bord shadow AI :
- Nombre d'outils IA non déclarés par département et par criticité des données traitées.
- Volume estimé de données sensibles exposées : RH, financier, juridique, R&D. Croiser les usages déclarés avec la classification des données.
- Score de risque réglementaire : chaque outil est évalué sur trois axes — hébergement géographique, politique de rétention des prompts, existence d'un DPA signable.
Exemple concret : une ETI du secteur santé a identifié lors d'un audit Yvoria AI 14 outils IA actifs non déclarés, dont 3 traitant des données de patients sans DPA. Le risque RGPD potentiel s'élevait à plusieurs millions d'euros d'amende théorique. Le simple fait de le quantifier a débloqué un budget gouvernance IA en 48 heures.
Étape 3 – Encadrer sans bloquer : la gouvernance proportionnée
Créer un registre IA vivant
Le registre IA est le pendant du registre de traitements RGPD, mais dédié aux systèmes d'intelligence artificielle. Pour chaque outil : fournisseur, usage, données traitées, base légale, niveau de risque AI Act, DPA et date de revue. Ce registre doit être maintenu en continu, pas seulement lors d'audits.
Instaurer un processus d'homologation rapide
La raison principale du shadow AI n'est pas la malveillance : c'est la lenteur des processus d'approbation IT. Un parcours d'homologation en moins de 5 jours ouvrés — avec une checklist claire et un interlocuteur désigné — réduit significativement les usages sauvages. La règle d'or : rendre le chemin légal plus simple que le contournement.
Former et responsabiliser les utilisateurs
Une politique acceptable d'usage de l'IA (AUP-IA), rédigée en langage compréhensible et non en jargon juridique, est plus efficace qu'une liste noire. Elle précise : ce qu'on ne peut jamais saisir (données personnelles non pseudonymisées, informations classifiées), ce qui est autorisé avec précaution, et les outils homologués disponibles immédiatement.
Mettre en place une veille continue
Le paysage des outils IA évolue toutes les semaines. La gouvernance shadow AI ne peut pas être un projet annuel : elle requiert une surveillance DNS en continu, une revue trimestrielle du registre et un canal de signalement simple (formulaire interne ou adresse dédiée) pour que les équipes déclarent spontanément leurs nouveaux usages.
Ce que l'AI Act impose dès maintenant
Depuis le 2 août 2025, les obligations de l'AI Act relatives aux systèmes à haut risque et aux modèles d'IA à usage général (GPAI) sont applicables. Un système de shadow AI classé à haut risque utilisé sans enregistrement dans la base de données EU expose l'organisation à des sanctions allant jusqu'à 3 % du chiffre d'affaires mondial. La détection du shadow AI n'est donc plus un exercice de bonne hygiène : c'est une obligation de conformité.
Yvoria AI automatise la détection, la qualification réglementaire et le suivi du registre IA pour permettre aux DPO et RSSI de passer du shadow AI subi à une gouvernance IA maîtrisée — sans ralentir les équipes métier.
FAQ
Qu'est-ce que le shadow AI exactement ?
Le shadow AI désigne l'ensemble des outils et modèles d'intelligence artificielle utilisés par des collaborateurs sans validation ni connaissance de la DSI, du RSSI ou du DPO. Cela inclut les LLM grand public, les extensions IA de navigateur, les intégrations SaaS non référencées ou encore les API IA connectées à des données internes sans encadrement contractuel.
Comment détecter le shadow AI sans espionner mes collaborateurs ?
L'analyse des journaux réseau (DNS, proxy) sur les domaines IA connus est la méthode la moins intrusive et la plus rapide. Elle est complétée par une enquête déclarative anonyme par département. Ces approches sont légitimes dans le cadre du pouvoir de contrôle de l'employeur, à condition d'être mentionnées dans la charte informatique et d'informer les représentants du personnel.
Le shadow AI est-il interdit par le RGPD ?
Pas automatiquement, mais il génère le plus souvent des violations : absence de base légale pour un transfert hors UE, pas d'accord de traitement des données (DPA) signé avec l'éditeur, impossibilité d'exercer les droits des personnes concernées. Chaque cas doit être analysé individuellement selon les données traitées et la politique de rétention de l'outil concerné.
Comment éviter que les collaborateurs contournent les règles ?
La principale cause du shadow AI est la lenteur des processus d'approbation. Mettre en place un parcours d'homologation rapide (moins de 5 jours), proposer des outils IA validés couvrant les usages courants, et rédiger une politique d'usage IA claire et non punitive sont les leviers les plus efficaces pour réduire les contournements sans créer de culture de la peur.
Quelles sanctions prévoit l'AI Act pour les systèmes IA non déclarés ?
Pour les systèmes à haut risque utilisés sans enregistrement ou sans conformité aux exigences applicables, l'AI Act prévoit des amendes pouvant atteindre 3 % du chiffre d'affaires annuel mondial. Les obligations s'appliquent progressivement depuis août 2024 et les dispositions sur les systèmes à haut risque sont pleinement applicables depuis août 2025.