shadow AI

En profondeur

Le shadow AI naît d’un écart de vitesse : un outil devient disponible en quelques minutes, alors qu’une organisation met des mois à l’évaluer, à le contractualiser et à l’ouvrir. Comme il n’y a rien à acheter ni à installer, la décision d’usage descend au niveau de chaque personne, où elle échappe à toute visibilité. Il prend trois formes principales : des outils accessibles publiquement employés avec des données internes, des fonctions d’IA déjà présentes dans des logiciels approuvés et activées sans examen, et des automatisations personnelles qu’une seule personne comprend et dont un service finit par dépendre. Les deux dernières sont les plus difficiles à voir, parce qu’aucune règle n’y a été enfreinte au sens strict.

Les risques gagnent à être nommés précisément plutôt qu’invoqués en bloc. Le premier est la sortie de données hors du périmètre maîtrisé, avec des conséquences contractuelles et réglementaires qui ne dépendent pas de l’intention de la personne. Le deuxième est la décision prise sur une sortie que personne n’a vérifiée et dont il ne reste aucune trace : l’organisation devient incapable de reconstituer pourquoi elle a fait ce qu’elle a fait. Le troisième est la dépendance invisible, quand un enchaînement bricolé par un salarié devient nécessaire au fonctionnement d’un service et s’en va avec lui. Le risque n’est pas uniforme pour autant : reformuler un texte déjà public et déposer un dossier client dans un service extérieur n’appartiennent pas au même monde, et les traiter de la même façon discrédite la règle.

La réponse par l’interdiction générale échoue de manière assez documentée : elle déplace l’usage vers les appareils personnels, où il ne reste plus rien à observer. Ce qui fonctionne mieux tient en deux gestes : fournir vite un équivalent approuvé, et énoncer ce qui peut sortir et ce qui ne le peut pas par catégorie de données plutôt que par nom d’outil, puisque les outils changent plus vite que les règles. Il reste à traiter le shadow AI comme une information plutôt que comme une faute, car ce que les gens font en dehors du cadre dessine la carte des besoins réels, souvent plus fidèlement qu’une enquête interne. Une organisation qui régularise ces usages avance plus vite que celle qui les découvre au moment d’un audit.