Shadow AI : détecter l’IA fantôme et bâtir sa cartographie IA
Le shadow AI, ou IA fantôme, désigne les outils d’intelligence artificielle utilisés par les salariés sans validation de l’entreprise : comptes ChatGPT personnels, extensions de navigateur, robots de prise de notes. Pour le maîtriser, il faut une cartographie IA, c’est-à-dire un registre de tous les systèmes d’IA utilisés, avec leur usage, leurs données, leur propriétaire et leur niveau de risque.
Les points clés
- Le shadow AI n’est pas un problème de discipline : c’est le signe d’un besoin que l’entreprise n’a pas encore équipé.
- Les risques sont concrets : fuite de données confidentielles ou personnelles, réutilisation des saisies par l’éditeur, absence de journalisation, décisions prises sur des réponses non vérifiées.
- On le détecte en croisant quatre sources : questionnaire aux équipes, journaux réseau, dépenses et notes de frais, autorisations d’applications et extensions.
- La cartographie IA est la base de tout : charte, formation, analyse des risques, transparence et conformité à l’AI Act en dépendent.
- Surveiller les usages des salariés suppose de les en informer au préalable : le droit du travail français s’applique aussi à la chasse au shadow AI.
Shadow AI : de quoi parle-t-on ?
Le terme reprend celui de « shadow IT », l’informatique de l’ombre. Il recouvre toute utilisation d’un outil d’IA à des fins professionnelles en dehors du cadre fixé par l’entreprise. Quelques situations typiques :
- une juriste qui colle un projet de contrat dans la version gratuite d’un assistant conversationnel pour le résumer ;
- un développeur qui installe un assistant de code non validé dans son éditeur ;
- un manager qui ajoute un robot de transcription à ses réunions Teams ou Zoom, lequel envoie ensuite des comptes rendus à tous les participants, y compris externes ;
- une équipe marketing qui génère des visuels sur un service gratuit dont les conditions autorisent la réutilisation des contenus ;
- une fonction IA activée par défaut dans un logiciel déjà sous licence, que personne n’a examinée.
Ce dernier cas est le plus sous-estimé. L’IA n’arrive pas seulement par de nouveaux outils, elle arrive par les mises à jour de vos logiciels existants : CRM, SIRH, suite bureautique, outil de ticketing.
Besoin d'aide experte pour shadow ai ?
Nos architectes cloud vous accompagnent sur shadow ai — de la stratégie à la mise en œuvre. Réservez une consultation gratuite de 30 minutes sans engagement.
Pourquoi l’IA fantôme est un risque
| Risque | Exemple | Texte concerné |
|---|---|---|
| Fuite de données personnelles | Fichier de candidats collé dans un outil grand public hébergé hors UE | RGPD (base légale, sous-traitance, transferts) |
| Perte de secret des affaires | Tarifs ou feuille de route produit saisis dans un outil qui peut réutiliser les données | Secret des affaires, contrats de confidentialité |
| Absence de traçabilité | Impossible de savoir qui a saisi quoi, ni de répondre à une demande d’accès | RGPD, sécurité |
| Décisions sur des réponses inventées | Chiffres de marché « hallucinés » repris dans une présentation au comité | Responsabilité, qualité |
| Usage interdit ou à haut risque sans le savoir | Outil qui analyse les émotions des candidats en entretien vidéo | AI Act, article 5 ou annexe III |
| Transparence non respectée | Contenus générés diffusés sans mention | AI Act, article 50 |
L’ANSSI recommande d’ailleurs, dans son guide de sécurité pour les systèmes d’IA générative, de restreindre les usages sensibles sur les services d’IA générative publics en ligne. Et la CNIL, dans ses recommandations sur le déploiement de l’IA générative, demande de vérifier si le fournisseur peut réutiliser les données saisies.
Le premier réflexe, interdire, échoue presque toujours : les salariés passent sur leur téléphone personnel, et le risque devient invisible. Le bon réflexe est de voir, puis d’offrir une alternative autorisée. Pour savoir où vous en êtes, le diagnostic gratuit de gouvernance IA pose précisément des questions sur les comptes personnels, les outils autorisés et le shadow AI.
Comment détecter le shadow AI : quatre sources à croiser
1. Le questionnaire aux équipes
C’est la source la plus riche, à condition de poser la question sans menace. Annoncez une amnistie : l’objectif est de recenser, pas de sanctionner. Demandez quels outils sont utilisés, pour quelles tâches, avec quelles données, et lesquels seraient vraiment utiles. Vous obtenez à la fois l’inventaire et la liste des besoins.
2. Les journaux réseau et de sécurité
Proxy, passerelle web sécurisée ou CASB : ils montrent quels domaines d’IA sont consultés et par quel volume. Croisez avec une liste de services d’IA connus, mise à jour régulièrement.
3. Les dépenses
Abonnements payés par carte d’entreprise, notes de frais, achats sous le seuil de validation : de nombreux outils d’IA coûtent quelques dizaines d’euros par mois et passent sous le radar des achats.
4. Les autorisations d’applications et les extensions
Dans votre annuaire (Entra ID, Google Workspace), listez les applications tierces auxquelles des utilisateurs ont donné accès à leur messagerie, leur agenda ou leurs fichiers. Inventoriez aussi les extensions de navigateur et les modules installés dans les éditeurs de code. Enfin, passez en revue les fonctions IA récemment activées dans vos logiciels sous licence.
Point de vigilance en France. Exploiter les journaux pour identifier des usages individuels revient à contrôler l’activité des salariés. Le Code du travail exige que tout dispositif de collecte d’informations sur les salariés soit porté à leur connaissance au préalable (article L1222-4), et le CSE doit être informé et consulté sur les moyens de contrôle de l’activité. Privilégiez des analyses agrégées, et informez avant d’analyser.
Construire la cartographie IA : le registre type
La cartographie IA (on parle aussi de registre IA ou d’inventaire des systèmes d’IA) recense chaque système avec les informations qui permettront ensuite de le classer et de l’encadrer. Voici les champs que nous recommandons :
| Champ | Contenu | Exemple |
|---|---|---|
| Identifiant et nom | Nom de l’outil ou de la fonction | IA-014 Assistant de transcription de réunions |
| Fournisseur et modèle | Éditeur, modèle sous-jacent si connu, lieu d’hébergement | Éditeur SaaS, modèle tiers, hébergement UE |
| Propriétaire métier | Personne responsable de l’usage | Directrice des opérations |
| Finalité | Ce que l’outil fait et dans quel processus | Comptes rendus des comités internes |
| Utilisateurs | Populations et nombre | 45 managers |
| Données traitées | Catégories, données personnelles ou sensibles, classification | Voix et propos des participants, interne |
| Rôle AI Act | Fournisseur, déployeur… | Déployeur |
| Niveau de risque | Interdit, haut risque, transparence, minimal | Minimal (attention : pas d’analyse des émotions) |
| Statut | Autorisé, en évaluation, toléré, interdit | En évaluation |
| Contrat et clauses | Contrat entreprise, sous-traitance RGPD, entraînement sur vos données | À négocier |
| Mesures | Charte, formation, mention IA, AIPD | Information des participants |
| Prochaine revue | Date | Mars 2027 |
Un tableur suffit pour commencer. L’essentiel est que le registre soit tenu à jour, qu’il ait un propriétaire et qu’il soit relié au registre des traitements RGPD. Il devient ensuite l’entrée de votre évaluation des risques IA et de votre analyse d’écarts AI Act.
Du shadow AI à l’IA autorisée : le processus
- Recenser avec les quatre sources ci-dessus.
- Trier chaque outil : autoriser, autoriser sous conditions, remplacer par une alternative, interdire.
- Équiper : proposer une version entreprise des usages les plus demandés (par exemple un assistant conversationnel sous contrat, avec SSO et sans réutilisation des données).
- Écrire les règles dans une charte : outils autorisés, données interdites, demande de nouvel outil. Notre modèle de charte IA contient les clauses sur les comptes personnels et les extensions.
- Former : expliquer pourquoi les comptes personnels posent problème vaut mieux que de les interdire sans explication. C’est aussi une mesure au titre de la maîtrise de l’IA exigée par l’article 4.
- Contrôler de façon proportionnée : blocage des services les plus risqués, surveillance agrégée, revue périodique du registre.
- Ouvrir un canal de demande rapide pour de nouveaux outils. Si la validation prend trois mois, le shadow AI revient.
Cartographie IA et AI Act
L’AI Act ne mentionne pas de « registre IA » obligatoire pour les déployeurs, mais toutes ses obligations supposent de savoir quels systèmes vous utilisez : interdictions, transparence, haut risque, maîtrise de l’IA. Pour les systèmes à haut risque de l’annexe III, les fournisseurs (et les déployeurs publics) doivent par ailleurs s’enregistrer dans la base de données de l’UE (article 49 du règlement). La cartographie est donc le point de départ de la checklist de conformité AI Act. Pour la vue d’ensemble, voyez notre guide de l’AI Act. Opsio accompagne aussi les équipes qui veulent industrialiser ce suivi, via son offre de sécurité et conformité de l’IA.
Questions fréquentes sur le shadow AI
Qu’est-ce que le shadow AI ?
Le shadow AI, ou IA fantôme, désigne l’utilisation d’outils d’intelligence artificielle par des salariés sans validation ni encadrement de l’entreprise : comptes personnels sur des assistants conversationnels, extensions de navigateur, robots de réunion, fonctions IA activées dans des logiciels sans examen. Le risque principal est la fuite de données et l’absence de contrôle.
Comment repérer le shadow AI dans son entreprise ?
En croisant un questionnaire anonyme aux équipes, les journaux du proxy ou du CASB, les dépenses et notes de frais, et les autorisations d’applications tierces dans l’annuaire. Informez les salariés avant toute analyse de journaux individuels : le Code du travail impose une information préalable sur les dispositifs de collecte.
Faut-il interdire les outils d’IA non autorisés ?
Il faut surtout proposer une alternative autorisée. Une interdiction sans solution pousse les usages sur les appareils personnels, hors de toute visibilité. Bloquez les services les plus risqués, autorisez une version entreprise des usages courants et rendez la procédure de demande rapide.
Qu’est-ce qu’une cartographie IA ?
C’est le registre de tous les systèmes d’IA que l’organisation développe, achète ou utilise, avec pour chacun la finalité, les utilisateurs, les données, le fournisseur, le rôle au sens de l’AI Act, le niveau de risque, le statut et les mesures prises. Elle est la base de la gouvernance de l’IA et de la conformité.
Le registre IA est-il obligatoire avec l’AI Act ?
Pas sous ce nom pour un déployeur privé. Mais il est pratiquement impossible de respecter les interdictions, la transparence, la maîtrise de l’IA et les obligations du haut risque sans savoir quels systèmes vous utilisez. En pratique, c’est la première pièce que demandera un auditeur ou une autorité.
Sortez le shadow AI de l’ombre
Faire l’inventaire est la première étape ; encadrer les usages est la suivante. Le diagnostic gratuit pour rédiger votre charte IA et votre gouvernance vous accompagne sur les deux : quatorze étapes, environ 40 minutes, questions en français sur vos outils, vos comptes, vos données et vos fournisseurs. Dès l’envoi, quatre documents sont rédigés à partir de vos réponses (cadre de gouvernance, charte d’utilisation de l’IA avec ses règles sur le shadow AI, checklist d’évaluation des fournisseurs, modèle d’analyse des risques), plus un état des lieux sur dix domaines. Les documents sont livrés en anglais, en Word modifiable, et vous appartiennent.
Cet article est une information générale, pas un conseil juridique. Vérifiez le texte consolidé du règlement (UE) 2024/1689 tel que modifié par le règlement (UE) 2026/1744. Les dates et la situation des autorités françaises sont indiquées en l’état d’octobre 2026.
À propos de l'auteur
Directeur de l'Innovation
Jacob dirige l'innovation chez Opsio, en se spécialisant dans la transformation numérique, l'IA, l'IoT et les solutions cloud qui transforment la technologie complexe en valeur métier mesurable. Fort de près de 15 ans d'expérience, il travaille en étroite collaboration avec les clients pour concevoir des solutions IA et IoT évolutives, rationaliser les processus de livraison et créer des stratégies technologiques qui favorisent une croissance durable et un impact à long terme.
Charte éditoriale : Cet article a été rédigé par un praticien certifié et relu par notre équipe d'ingénierie. Nous le révisons lorsque la technologie ou la réglementation qu'il traite évolue ; les dates ci-dessus indiquent la dernière mise à jour. Opsio est éditorialement indépendant — nous recommandons des solutions sur leurs mérites techniques, pas sur des relations commerciales.