Kit Shadow AI Évaluer et traiter l'IA fantôme dans votre organisation
Questionnaire employés · Grille de scoring · Checklist 30-60-90 jours · Modèle de charte IA.
Document librement diffusable en interne. Version 1.0 — 2026.
Comment utiliser ce kit : ① diffusez le questionnaire (partie A) à vos équipes — l'anonymat est la condition de réponses honnêtes ; ② consolidez et scorez chaque usage détecté avec la grille (partie B) ; ③ déroulez le plan de traitement (partie C) ; ④ publiez la charte (partie D). Comptez 2 à 4 semaines pour la cartographie complète.
Partie A — Questionnaire employés (anonyme)
À diffuser tel quel (formulaire interne, sondage anonyme). Message d'accompagnement suggéré : « Nous cartographions les usages d'IA pour vous fournir de meilleurs outils — pas pour sanctionner. Le questionnaire est anonyme. »
1. Utilisez-vous des outils d'IA dans votre travail (même occasionnellement) ?
Oui, tous les joursOui, chaque semaineRarementJamais
2. Lesquels ? (plusieurs réponses possibles)
ChatGPTClaudeGeminiCopilotPerplexityOutil de transcription (réunions)Génération d'imagesTraduction (DeepL…)Autre : ______
3. Avec quel type de compte ?
Compte fourni par l'entrepriseCompte personnel gratuitAbonnement personnel payantAbonnement payé par l'équipe (note de frais)
4. Pour quelles tâches ? (plusieurs réponses possibles)
Rédaction (emails, docs)Synthèse de documentsTraductionCode / scriptsAnalyse de donnéesPréparation client / commercialRH / recrutementAutre : ______
5. Quels types d'informations avez-vous déjà saisis dans ces outils ?
Contenu public uniquementDocuments internes non sensiblesDonnées clients / fournisseursDonnées financièresDonnées personnelles (RH, CV…)Code source / secrets techniquesJe ne sais plus exactement
6. À quelle fréquence collez-vous du contenu d'entreprise dans un outil IA ?
Plusieurs fois par jourQuelques fois par semaineRarementJamais
7. Combien de temps ces outils vous font-ils gagner ?
Offre entreprise contractualisée (DPA, pas d'entraînement)
Offre business standard
Compte perso payant
Compte perso gratuit (données potentiellement réutilisées)
Volume / fréquence
Ponctuel
Hebdomadaire
Quotidien
Intensif (plusieurs fois/jour, équipe entière)
Criticité du processus
Productivité personnelle
Production de contenu interne
Processus métier (client, finance)
Décisions sur des personnes (RH, scoring) ou processus régulé
Exposition réglementaire
Aucune donnée régulée
RGPD périphérique
RGPD direct (données personnelles)
Secteur régulé et/ou système candidat « haut risque » AI Act
Interprétation du score : 5–9 · ZONE VERTE Usage à officialiser : basculer sur compte entreprise, inscrire à l'inventaire, c'est réglé.
10–14 · ZONE ORANGE Usage à canaliser : fournir l'équivalent validé sous 30 jours, migrer, former. Ce sont aussi vos meilleurs candidats à de vrais projets IA (ROI déjà prouvé par l'usage).
15–20 · ZONE ROUGE Usage à stopper et remplacer : arrêt immédiat justifié + alternative obligatoire sous 30 jours + vérification d'une éventuelle exposition passée (données déjà transmises).
Tableau de consolidation (à dupliquer)
Usage / outil
Équipe
Données
Dest.
Vol.
Crit.
Régl.
Total /20
Zone
Action
Partie C — Checklist de traitement 30-60-90 jours
Jours 1-30 — Détecter & scorer
Diffuser le questionnaire anonyme (partie A) — taux de réponse cible > 60 %
Extraire les traces techniques : logs proxy/DNS (domaines IA), extensions navigateur, applications SSO, notes de frais (abonnements IA)
Entretiens managers (mode découverte, non disciplinaire)
Consolider et scorer chaque usage (grille partie B)
Produire la cartographie 3 zones + présentation COMEX/CODIR
Jours 31-60 — Traiter
Zone verte : bascule sur comptes entreprise + inscription à l'inventaire IA
Zone orange : contractualiser le ou les outils validés (offres entreprise : DPA, non-entraînement sur vos données, SSO) et migrer les usages
Zone rouge : arrêt + alternative fournie + analyse d'exposition passée (quelles données ont déjà été transmises ?)
Publier la charte IA (partie D) + communication interne positive (« voici vos outils », pas « voici les interdits »)
Ouvrir le circuit de demande : « je veux utiliser tel outil » → réponse sous 5 jours ouvrés
Jours 61-90 — Gouverner & capitaliser
Inventaire IA vivant (propriétaire par usage) — sert aussi la conformité AI Act
Formation courte de tous les collaborateurs (1 h : les règles + les bons réflexes)
Sélectionner les 2-3 usages orange les plus intenses → cadrer en vrais projets IA gouvernés (le ROI est déjà démontré par l'usage)
Mettre en place la revue trimestrielle (nouveaux usages, dérives, demandes)
Mesurer : % d'usages sur outils validés (cible > 80 % à 6 mois)
Partie D — Charte IA : le modèle en 8 règles
Une page, langage direct. À adapter puis diffuser. Le principe : dire OÙ c'est autorisé plutôt qu'énumérer des interdits.
Les outils validés d'abord. Pour tout usage professionnel de l'IA, utilisez les outils fournis par l'entreprise : [liste — ex. Claude Team, Copilot M365]. Ils protègent nos données par contrat.
Jamais de données sensibles dans un outil non validé. Données clients, personnelles, financières, code propriétaire, documents stratégiques : uniquement dans les outils validés.
Compte entreprise, pas compte perso. L'usage professionnel se fait avec votre compte professionnel — c'est ce qui garantit que vos données ne servent pas à entraîner des modèles tiers.
Vous restez responsable du résultat. L'IA assiste, elle ne signe pas : tout contenu produit avec l'IA est relu et validé par un humain avant usage.
Pas de décision automatisée sur des personnes. Recrutement, évaluation, décision client : l'IA peut préparer, un humain décide — toujours.
Un nouvel outil vous tente ? Demandez-le. Circuit simple : [lien/email]. Réponse sous 5 jours ouvrés. C'est la meilleure façon d'enrichir la liste des outils validés.
Un doute, une erreur, une fuite ? Signalez sans crainte. Contact : [DSI/RSSI]. Signaler tôt n'est jamais sanctionné — c'est ce qui nous protège tous.
Cette charte évolue. Revue trimestrielle — vos retours la font progresser : [canal].