Shadow AI : la faute n'est pas au salarié qui copie ses données dans ChatGPT

Le Journal du Net rapporte une hausse de quatre cents pour cent du Shadow AI en un an, désormais troisième risque cyber en entreprise. Près d'un salarié sur deux utilise l'IA avec un compte personnel, sur son poste professionnel, pour y coller données clients, secrets industriels et code source.

Un salarié ne contourne pas une règle, il comble un vide

Face à ce chiffre, le réflexe naturel est de pointer le salarié fautif. C'est une erreur d'analyse. Ce salarié ne cherche pas à enfreindre une politique de sécurité, il cherche simplement à gagner du temps sur une tâche. Si l'entreprise ne lui a jamais donné d'outil IA officiel, testé et utilisable au quotidien, il ira chercher la solution la plus rapide disponible : un compte gratuit, ouvert en deux minutes, sans validation ni cadre.

Le Shadow AI n'est donc pas un problème de discipline individuelle. C'est le symptôme d'une direction qui a laissé un besoin réel sans réponse organisée, et qui découvre le risque après coup plutôt que de l'avoir anticipé.

Interdire ne règle rien, cadrer si

Bloquer les accès ne fait que déplacer l'usage vers le smartphone personnel, hors de tout contrôle. La seule réponse qui tienne est de fournir un outil légitime, dans une logique Zero Trust : accès vérifié, données tracées, usage assumé plutôt que caché.

Concrètement, cela suppose de :

• Choisir un outil IA d'entreprise validé par la direction, pas laissé à l'initiative individuelle
• Définir ce qui peut ou non transiter dans un prompt, en particulier données clients et code source
• Former les équipes à cet outil plutôt que de se contenter d'une note interdisant les autres

Cadrer l'IA en entreprise, c'est aussi choisir les bons chantiers d'automatisation avant qu'ils ne se fassent sans supervision. C'est le sujet de notre article pilier Automatisation IA en PME : par où commencer, ce que ça coûte, et pourquoi la plupart des projets n'arrivent jamais en production.