Dans une grande banque parisienne, un chargé d’affaires prépare une note de synthèse pour un client institutionnel. Il a le contrat ouvert sur son écran, les données financières du client dans un onglet, et dans un troisième onglet, la version gratuite de ChatGPT. Il copie-colle les chiffres dans la fenêtre de chat, formule sa demande, et récupère un premier jet de synthèse en vingt secondes. La DSI de sa banque a officiellement interdit l’utilisation des outils d’IA non validés. Il le sait. Il le fait quand même, parce que ça lui fait gagner une heure de travail, et parce que personne ne regarde.
Cette scène — ou quelque chose qui lui ressemble — se produit dans des milliers d’entreprises françaises et européennes chaque jour. Le Shadow AI, terme qui désigne l’usage professionnel d’outils d’IA non approuvés par les services informatiques, est devenu l’un des angles morts les plus préoccupants de la sécurité des données en entreprise. Non pas parce que les employés ont de mauvaises intentions — la grande majorité cherche simplement à travailler plus efficacement dans des environnements où les outils officiels sont soit absents, soit trop lents à déployer, soit trop contraignants pour répondre aux besoins immédiats. Mais les conséquences d’un document client copié dans un modèle de langage public, d’une clause contractuelle analysée via un service hébergé hors UE, ou d’un code source collé dans une fenêtre de chat, peuvent être très concrètes.
Samsung a offert en 2023 le cas d’école le plus cité dans les présentations de DSI : des ingénieurs avaient utilisé ChatGPT pour analyser du code source propriétaire, qui s’est retrouvé dans les données d’entraînement du modèle. La société a rapidement interdit l’outil à l’échelle mondiale. L’histoire a circulé dans les cercles de cybersécurité comme un avertissement, mais aussi — fait moins souvent mentionné — comme une confirmation que des employés très compétents dans des entreprises très sophistiquées font exactement ce genre de choses sans réfléchir aux implications.
Le cadre réglementaire européen rend ces pratiques particulièrement délicates. Le RGPD impose des conditions strictes sur le traitement des données personnelles, incluant l’identification d’une base légale, la vérification que les données ne sont pas transférées vers des pays tiers sans garanties adéquates, et l’information des personnes concernées. Quand un commercial parisien colle les coordonnées d’un prospect dans ChatGPT pour générer un e-mail de prospection, il déclenche potentiellement une chaîne de non-conformités que son entreprise n’a pas anticipées et dont elle n’a aucune visibilité. L’AI Act européen, entré en vigueur en 2024, ajoute une couche supplémentaire d’obligations pour les usages d’IA considérés à haut risque — définition qui inclut plusieurs applications professionnelles courantes.
Les interdictions totales ne fonctionnent pas, et les DSI qui ont essayé le savent. Environ la moitié des salariés qui ont accès à des outils d’IA personnels continuent à les utiliser dans un contexte professionnel après une interdiction formelle, selon plusieurs études sur les pratiques numériques en entreprise. La pression des délais est plus forte que la politique de sécurité informée en session de formation annuelle. Les gens trouvent des contournements, ou simplement ignorent les règles dont ils n’ont pas vu les conséquences s’appliquer concrètement.
La réponse qui émerge dans les entreprises les plus avancées sur ce sujet — et qui prend du temps à se déployer parce qu’elle demande des investissements et un changement de posture — consiste à fournir des alternatives acceptables plutôt qu’à interdire sans offrir de substitut. Des outils comme Microsoft Copilot Enterprise ou les versions business de Claude et ChatGPT traitent les données dans des environnements contractuellement isolés, sans que les inputs des utilisateurs ne soient utilisés pour entraîner les modèles. Ils coûtent plus cher qu’un compte gratuit. Ils sont moins flexibles sur certains aspects. Mais ils permettent à une DSI de garder la main sur ce qui se passe, et à un salarié de travailler sans avoir le sentiment de devoir cacher ses outils à ses responsables.
Le vrai problème du Shadow AI n’est pas technologique. C’est un problème d’organisation, de confiance et de vitesse d’adaptation institutionnelle. Les outils évoluent plus vite que les politiques qui les encadrent, et les salariés ne vont pas attendre que les comités de conformité aient statué pour utiliser ce qui leur permet de livrer leur travail dans les temps.
