Shadow IA : vos salariés utilisent déjà l'IA, sans cadre

De quoi parle-t-on

Le « Shadow IA » désigne l'utilisation d'outils d'intelligence artificielle grand public par les salariés, en dehors de tout cadre défini par l'entreprise. Le terme est calqué sur le shadow IT, mais le phénomène est d'une autre ampleur : là où installer un logiciel non autorisé demandait des droits d'administration, ouvrir un assistant conversationnel demande un navigateur et trente secondes.

Ce n'est pas un problème de discipline. C'est la conséquence normale d'un outil utile, gratuit et immédiatement disponible, dans un contexte où l'employeur n'a rien dit. Un salarié qui fait relire un courrier de rupture conventionnelle par une IA ne cherche pas à contourner une règle : il n'en connaît aucune.

Le risque réel n'est pas celui qu'on croit

La crainte spontanée porte sur la qualité des réponses. Ce n'est pas le sujet principal, parce que l'erreur factuelle finit par se voir. Le risque sérieux est ailleurs, dans ce qui sort de l'entreprise sans laisser de trace.

La fuite de données confidentielles

Un contrat de travail collé dans un outil tiers contient un nom, une rémunération, parfois une adresse et une situation familiale. Un compte rendu d'entretien annuel contient une appréciation nominative. Un fichier client contient les coordonnées de tiers. Dans la plupart des cas, ces transmissions constituent des transferts de données personnelles vers un sous-traitant que vous n'avez ni identifié, ni contractualisé, ni inscrit dans votre registre de traitements.

La perte de secret des affaires

Une grille tarifaire, une méthode de calcul, un projet d'acquisition : une information cesse d'être protégée au titre du secret des affaires si l'entreprise ne peut pas démontrer avoir pris des mesures raisonnables pour la garder secrète. L'absence totale de règles sur l'usage de l'IA affaiblit cette démonstration.

La dépendance invisible

Quand une tâche repose entièrement sur un outil personnel non déclaré, elle disparaît avec le salarié qui l'utilisait. Personne dans l'entreprise ne sait comment elle était produite.

Comment mesurer l'usage réel

Il n'existe pas de moyen fiable et proportionné de surveiller les salariés pour répondre à cette question, et ce n'est de toute façon pas la bonne approche : une mesure obtenue par surveillance produit des réponses fausses, parce que la pratique se cache au lieu de se déclarer. Quatre sources donnent une image suffisante :

• Un questionnaire anonyme, présenté explicitement comme une démarche de cadrage et non de sanction. C'est la source la plus riche, à condition que l'anonymat soit réel et perçu comme tel.
• Les notes de frais et relevés bancaires, qui révèlent les abonnements payés à titre personnel puis remboursés.
• Les entretiens par service, où l'on demande non pas « utilisez-vous l'IA » mais « comment produisez-vous ce document ».
• Les journaux du pare-feu ou du proxy, s'ils existent, et dans le respect du cadre applicable à la surveillance des salariés, qui suppose information préalable et consultation des représentants du personnel.

Dans les missions que nous menons, le taux d'usage déclaré en questionnaire anonyme dépasse presque toujours ce que la direction anticipait. L'écart n'est pas une mauvaise nouvelle : c'est la mesure du travail de cadrage qu'il reste à faire.

Pourquoi l'interdiction pure échoue

Une interdiction générale produit trois effets, tous mauvais. Elle déplace l'usage sur les équipements personnels, où vous ne voyez plus rien. Elle prive l'entreprise des gains de productivité que ses concurrents captent. Et elle place les managers dans une position intenable, entre une règle qu'ils savent inapplicable et des objectifs inchangés.

La règle qui fonctionne est plus fine, et tient en trois lignes : ce qui est autorisé, ce qui est interdit, et ce qui demande un accord préalable. C'est l'objet de la charte d'usage.

Du constat au cadre

Une fois l'usage mesuré, la suite est mécanique. Les usages utiles et sans risque sont autorisés, et souvent outillés : proposer un outil validé par l'entreprise fait disparaître la majeure partie du Shadow IA, tout simplement parce que le salarié n'a plus de raison d'aller ailleurs. Les usages sensibles passent par une validation. Les usages interdits sont nommés explicitement, avec leur raison.

Reste la partie qu'on néglige : expliquer. Une règle comprise est appliquée, une règle subie est contournée. C'est ce qui fait le lien avec l'obligation de formation des collaborateurs, qui n'est pas seulement une contrainte réglementaire mais le principal levier d'application de votre cadre interne.

Ce qu'il faut conserver comme preuve

Datez et archivez le questionnaire, sa synthèse, la charte diffusée, la preuve de sa diffusion et les attestations de formation. En cas de contrôle ou de litige, ce sont ces pièces qui démontrent que l'entreprise a pris des mesures, et non qu'elle a découvert le sujet après coup.