--- title: "Shadow AI : comment l'évaluer et la traiter — le guide DSI (avec kit téléchargeable)" date: 2026-07-12 category: strategie description: "67 % des salariés utilisent des outils IA au travail, souvent hors de tout contrôle DSI. Le Shadow AI expose données, conformité RGPD et AI Act. Méthode complète : détecter, évaluer, traiter, gouverner — avec questionnaire employés, grille de scoring et checklist 30-60-90 téléchargeables." canonical: https://o137.ai/blog/shadow-ai-evaluer-traiter-guide-dsi --- # Shadow AI : comment l'évaluer et la traiter — le guide DSI (avec kit téléchargeable) **Le Shadow AI désigne l'usage d'outils d'intelligence artificielle (ChatGPT, Claude, Gemini, Copilot, outils de transcription ou de génération) par les collaborateurs, en dehors de tout cadre validé par la DSI** — comptes personnels, données d'entreprise collées dans des services grand public, abonnements pris sur carte bleue d'équipe. Ce n'est pas un phénomène marginal : c'est l'état par défaut de la plupart des organisations en 2026. Et la bonne réponse n'est ni l'ignorer, ni l'interdire — c'est **l'évaluer, puis le gouverner**. Voici la méthode complète, avec un [kit téléchargeable](/kit-shadow-ai) (questionnaire employés, grille de scoring, checklist 30-60-90, modèle de charte) que votre DSI peut diffuser dès demain. --- ## L'ampleur réelle : les chiffres - **67 % des salariés** utilisent des outils IA au travail — mais seulement **18 % des organisations** ont une politique de sécurité IA formalisée. - **~98 % des organisations** comptent des usages IA non validés (études sectorielles concordantes). - **27 % des salariés** ont déjà collé des données confidentielles (clients, finances, stratégie) dans un outil IA public ; les **trois quarts des comptes ChatGPT utilisés au travail sont des comptes personnels**, invisibles pour la DSI (études Cyberhaven/Netskope). - **IBM (Cost of a Data Breach 2025)** : les incidents impliquant l'IA coûtent en moyenne **6,5 M$ — 22 % de plus** qu'une fuite classique. - Le précédent qui a marqué le secteur : **Samsung, 2023** — du code source confidentiel collé dans ChatGPT par des ingénieurs, interdiction générale dans la foulée. Et le contexte réglementaire s'est durci : entre le **RGPD** (données personnelles envoyées à des sous-traitants non contractualisés) et l'**AI Act** (inventaire et gouvernance des systèmes IA — que la majorité des organisations n'ont pas terminé), le Shadow AI n'est plus seulement un risque sécurité : c'est un **risque de conformité documenté**. ## Pourquoi l'interdiction ne marche pas Le réflexe « on bloque ChatGPT au proxy » échoue systématiquement, pour trois raisons : 1. **Le contournement est trivial** : téléphone personnel, compte perso, tethering. L'interdiction ne supprime pas l'usage, elle le rend **invisible** — c'est-à-dire pire. 2. **L'usage est massivement productif.** Les salariés n'utilisent pas l'IA pour tricher, mais parce qu'elle leur fait gagner des heures. Interdire sans alternative, c'est taxer la productivité de ses propres équipes. 3. **Le signal managérial est désastreux** : « l'entreprise est en retard » — et vos meilleurs profils tech le notent. La bonne posture tient en une phrase : **canaliser, pas interdire**. Offrir un chemin validé (outils approuvés, comptes entreprise, garde-fous) et réserver l'interdiction aux usages réellement dangereux. ## La méthode : Détecter → Évaluer → Traiter → Gouverner ### Étape 1 — Détecter (semaines 1-2) Trois sources croisées : - **Le questionnaire employés anonyme** (fourni dans le kit) — la source la plus riche si l'anonymat est crédible : les gens déclarent ce qu'ils utilisent quand ils ne risquent rien. - **Les traces techniques** : logs proxy/DNS (domaines IA), extensions navigateur, SaaS connectés au SSO, notes de frais (abonnements IA). - **Les managers** : un tour des équipes sur « quels outils IA utilisez-vous vraiment ? » — en mode découverte, pas audit disciplinaire. ### Étape 2 — Évaluer (semaines 2-4) Pour chaque usage détecté, scorer l'exposition sur 5 axes (grille complète dans le kit) : 1. **Sensibilité des données** manipulées (publiques → secrets d'affaires/données personnelles) 2. **Destination** : outil grand public gratuit (données potentiellement réutilisées pour l'entraînement) vs offre entreprise contractualisée 3. **Volume et fréquence** d'usage 4. **Criticité du processus** concerné (marketing interne ≠ décision RH ou relation client) 5. **Exposition réglementaire** (RGPD, secteur régulé, AI Act si le cas d'usage devient un « système ») Le résultat : une **cartographie des usages en 3 zones** — vert (à officialiser tel quel), orange (à canaliser vers un outil validé), rouge (à stopper et remplacer). ### Étape 3 — Traiter (semaines 4-8) - **Zone verte → officialiser** : compte entreprise, SSO, données non entraînées (offres business), et c'est réglé. - **Zone orange → canaliser** : proposer l'équivalent validé (ex. Claude/Copilot entreprise à la place des comptes persos), migrer les usages, communiquer. - **Zone rouge → stopper ET remplacer** : chaque interdiction s'accompagne d'une alternative sous 30 jours — sinon l'usage repart dans l'ombre. - Publier la **charte IA** (modèle 8 règles dans le kit) : courte, concrète, sans jargon juridique — une page que les gens lisent. ### Étape 4 — Gouverner (en continu) - Un **inventaire IA vivant** (qui sert aussi votre conformité AI Act — d'une pierre deux coups) - Un **circuit de demande simple** : « je veux utiliser tel outil » → réponse en jours, pas en mois. C'est LA mesure anti-Shadow AI la plus efficace : le Shadow AI prospère là où le circuit officiel est trop lent. - Une revue trimestrielle des usages + formation continue. - Et pour les usages à fort enjeu : les transformer en **vrais systèmes gouvernés** — [agents avec garde-fous](/blog/comment-creer-agent-ia-entreprise), [observabilité](/blog/observabilite-evaluation-agents-ia-production), human-in-the-loop. ## Le retournement stratégique : votre Shadow AI est une étude de marché gratuite C'est le point que les DSI sous-exploitent : **la cartographie du Shadow AI est la liste, triée par vos propres employés, des cas d'usage IA qui leur font gagner du temps.** Chaque usage détecté est un besoin métier validé par la pratique. Les usages les plus intenses de la zone orange sont vos meilleurs candidats pour de vrais projets IA gouvernés — avec un ROI déjà démontré par l'usage clandestin. Traiter le Shadow AI, ce n'est pas fermer des portes : c'est transformer une adoption sauvage en avantage organisé. --- ## 📥 Le kit Shadow AI (téléchargeable) Tout ce qu'il faut pour lancer l'évaluation cette semaine, dans un document prêt à diffuser : - **Questionnaire employés** (10 questions, anonyme) à faire suivre par la DSI - **Grille de scoring** de l'exposition (5 axes, calcul et seuils) - **Checklist de traitement 30-60-90 jours** - **Modèle de charte IA** (8 règles, une page) [**→ Obtenir le kit Shadow AI (gratuit)**](/kit-shadow-ai) --- ## FAQ **Qu'est-ce que le Shadow AI ?** L'utilisation d'outils d'IA par les collaborateurs en dehors de tout cadre validé par la DSI : comptes personnels ChatGPT/Claude/Gemini, outils IA souscrits sans validation, données d'entreprise traitées dans des services grand public. **Quelle différence avec le Shadow IT ?** Le Shadow AI en est le sous-ensemble le plus risqué : au-delà de l'outil non validé, ce sont les **données** qu'on y colle qui créent l'exposition (fuite, réutilisation pour l'entraînement, non-conformité RGPD), et la vitesse d'adoption est sans précédent. **Faut-il interdire ChatGPT en entreprise ?** L'interdiction générale échoue (contournement trivial, usage rendu invisible, productivité pénalisée). L'approche efficace : détecter, évaluer par niveau de risque, canaliser vers des outils validés, et réserver l'interdiction aux usages critiques — toujours avec une alternative. **Le Shadow AI concerne-t-il l'AI Act ?** Oui, indirectement mais sûrement : l'AI Act impose de gouverner ses systèmes IA — impossible sans inventaire. Un usage Shadow qui s'installe dans un processus (tri de CV, scoring…) peut constituer un système à haut risque non déclaré. **Combien de temps prend une évaluation Shadow AI ?** Avec la méthode et le kit : 2 à 4 semaines pour la cartographie (questionnaire + traces techniques), puis 30-60-90 jours pour le traitement. L'inventaire produit sert directement la conformité AI Act. --- ## Besoin d'aller plus vite (ou plus loin) ? Un [**Forward Deployed Engineer**](/forward-deployed-engineers) mène l'évaluation avec votre DSI — cartographie, scoring, plan de traitement — puis transforme les usages à fort enjeu en systèmes gouvernés (outils validés, agents avec garde-fous, observabilité). Le Shadow AI trié devient votre roadmap IA. [Parler à un expert](/contact) — 30 minutes pour évaluer votre exposition. --- **Voir aussi :** - [AI Act : le calendrier de préparation 2027](/blog/ai-act-2027-calendrier-preparation-ingenierie) - [Observabilité et évaluation des agents IA](/blog/observabilite-evaluation-agents-ia-production) - [Qu'est-ce qu'un agent IA ?](/blog/qu-est-ce-qu-un-agent-ia-definition-entreprise) - [IA souveraine : maîtriser où vont vos données](/blog/ia-souveraine-entreprise-mistral-stack-europeenne)