Comment détecter, prévenir et gouverner la Shadow AI dans une organisation.

Un collaborateur utilise un assistant conversationnel pour reformuler un courrier. Un autre fait analyser un document par une IA. Un service utilise un outil en ligne pour traduire automatiquement des contenus. Un prestataire intègre un modèle d’intelligence artificielle dans son propre service.

Ces pratiques peuvent sembler anodines. Pourtant, elles peuvent entraîner la transmission de données professionnelles vers des services que l’organisation ne maîtrise pas directement.

C’est précisément cette zone invisible que la Shadow AI permet de mettre en lumière.
 

La Shadow AI ne se résume pas aux outils interdits

Lorsqu’une organisation réfléchit à la gouvernance de l’intelligence artificielle, elle pense souvent en premier lieu aux solutions officiellement autorisées : quels outils peut-on utiliser ? Quels services faut-il bloquer ? Quelle solution d’IA doit être retenue par l’entreprise ?

Mais cette approche ne répond qu’à une partie du problème.

La réalité des usages professionnels est souvent différente. Les collaborateurs disposent aujourd’hui d’un accès très simple à une multitude d’outils d’intelligence artificielle. Ils peuvent les utiliser depuis leur ordinateur professionnel, leur smartphone ou leur navigateur, parfois sans installation particulière et sans intervention du service informatique.

La première question de la gouvernance de l’IA n’est donc plus seulement : « Quelles IA avons-nous autorisées ? »

Elle devient : « Quelles IA sont réellement utilisées dans notre organisation ? »
 

Comment détecter la Shadow AI ?

La première étape consiste à rendre les usages visibles. Une organisation ne peut pas maîtriser ce qu’elle ne connaît pas.

La détection de la Shadow AI ne repose cependant pas uniquement sur des outils techniques. Elle nécessite également une compréhension des pratiques quotidiennes des collaborateurs et des prestataires.

Identifier les usages réels de l’IA

Un inventaire des usages peut permettre de découvrir les solutions utilisées pour rédiger, traduire, résumer, analyser, créer des images, produire du code, automatiser des tâches ou traiter des données.

L’objectif n’est pas de rechercher immédiatement les responsables d’éventuels écarts. Il est d'abord de comprendre les besoins auxquels ces outils répondent.

Un collaborateur qui utilise une IA non référencée cherche généralement à résoudre un problème concret : gagner du temps, automatiser une tâche ou obtenir un résultat plus rapidement.

Comprendre le besoin permet ensuite de construire une réponse de gouvernance adaptée.

Cartographier les données transmises

Identifier les outils utilisés ne suffit pas. Il faut également déterminer quelles informations leur sont transmises.

Une même IA peut présenter des enjeux très différents selon les données qui lui sont confiées.

Il convient notamment d'identifier les situations dans lesquelles les utilisateurs transmettent :

• des données personnelles ;
• des informations concernant des clients ou des fournisseurs ;
• des documents internes ;
• des contrats ou des informations juridiques ;
• des données financières ;
• des informations commerciales ;
• des données techniques ou informatiques ;
• des informations stratégiques ou confidentielles.

Cette cartographie permet de passer d’une simple liste d’outils à une véritable cartographie des risques liés à l’intelligence artificielle.
 

Prévenir plutôt qu'interdire

Face à la Shadow AI, la réaction la plus simple pourrait être d’interdire tous les outils d’intelligence artificielle non validés.

Dans la pratique, une interdiction générale peut être difficile à appliquer. Les utilisateurs peuvent continuer à employer ces solutions depuis des comptes personnels ou des services accessibles directement sur Internet.

La prévention doit donc combiner règles, solutions adaptées, accompagnement et sensibilisation.

Définir une politique d'utilisation de l'IA

Une organisation peut définir clairement les conditions dans lesquelles les collaborateurs sont autorisés à utiliser des outils d’intelligence artificielle.

Cette politique peut notamment préciser :

• les outils officiellement autorisés ;
• les usages acceptables et les usages interdits ;
• les catégories de données pouvant être transmises ;
• les informations qui ne doivent jamais être communiquées à une IA externe ;
• les règles applicables aux comptes personnels ;
• les obligations de vérification des réponses générées par l’IA ;
• les responsabilités des utilisateurs.

Une politique efficace doit rester compréhensible. Une règle trop complexe ou trop éloignée des pratiques quotidiennes risque de ne pas être appliquée.

Former les collaborateurs

La technologie ne peut pas remplacer la sensibilisation.

Les utilisateurs doivent comprendre les conséquences possibles d’une donnée saisie dans un outil d’IA. Ils doivent également savoir que la réponse fournie par une intelligence artificielle peut être inexacte, incomplète ou présenter des biais.

La formation doit donc dépasser la simple présentation des fonctionnalités des outils.

Elle doit permettre aux collaborateurs de répondre à des questions essentielles :

• Que puis-je transmettre à une IA ?
• Quelles données dois-je protéger ?
• Comment identifier un outil fiable ?
• Comment vérifier une réponse générée par l’IA ?
• Quand dois-je demander l’autorisation ou l’avis de mon organisation ?
   

Gouverner la Shadow AI : une responsabilité collective

La gouvernance de l’intelligence artificielle ne relève pas uniquement du service informatique.

Selon l’organisation, plusieurs fonctions peuvent être concernées : direction, informatique, cybersécurité, protection des données, juridique, ressources humaines, métiers et achats.

Cette gouvernance doit permettre de déterminer qui décide, qui contrôle, qui accompagne les utilisateurs et qui intervient lorsqu'un risque est identifié.

La question des prestataires et des sous-traitants

La Shadow AI peut également apparaître dans la chaîne de fournisseurs.

Une organisation peut sélectionner un prestataire en pensant maîtriser le traitement de ses données, alors que celui-ci utilise à son tour un service d’intelligence artificielle fourni par un tiers.

La gouvernance doit donc intégrer les prestataires, fournisseurs, sous-traitants et partenaires.

Les contrats, questionnaires de sécurité et processus d’évaluation des fournisseurs doivent permettre d’identifier l’utilisation éventuelle de systèmes d’intelligence artificielle et les conditions dans lesquelles les données sont traitées.
 

Mettre en place une démarche progressive

Il n’est pas nécessaire d’attendre de disposer d’une gouvernance de l’IA parfaitement mature pour commencer à agir.

Une organisation peut avancer progressivement :

1. Identifier les usages : comprendre quelles IA sont réellement utilisées.
2. Cartographier les données : déterminer quelles informations sont transmises.
3. Évaluer les risques : distinguer les usages acceptables des usages nécessitant des mesures supplémentaires.
4. Définir des règles : formaliser une politique claire d’utilisation de l’IA.
5. Proposer des solutions : fournir aux utilisateurs des outils adaptés à leurs besoins.
6. Former les collaborateurs : développer une culture de l’IA responsable.
7. Contrôler et améliorer : suivre l’évolution des usages et adapter régulièrement les règles.

Cette approche permet de considérer la gouvernance comme un processus continu plutôt que comme un projet ponctuel.
 

Et si la meilleure façon de réduire la Shadow AI était de mieux répondre aux besoins des utilisateurs ?

La Shadow AI constitue souvent le symptôme d’un décalage entre les besoins des utilisateurs et les dispositifs proposés par l’organisation.

Lorsqu’un collaborateur trouve immédiatement sur Internet un outil capable de lui faire gagner plusieurs heures de travail, l’absence de solution interne adaptée peut favoriser l’apparition d’usages non maîtrisés.

La gouvernance doit donc rechercher un équilibre entre sécurité, conformité, productivité et simplicité d’utilisation.

Il ne s’agit pas seulement de contrôler l’intelligence artificielle. Il s’agit également de créer les conditions permettant de l’utiliser correctement.
 

Le livre « Shadow AI » : comprendre pour mieux agir

Le livre « Shadow AI : Quand l’intelligence artificielle échappe à la gouvernance » propose une réflexion concrète sur ces nouveaux enjeux.

Il s’adresse aux TPE, PME, ETI, associations et organisations de toutes tailles qui souhaitent mieux comprendre les usages réels de l’intelligence artificielle et les risques qui peuvent en découler.

À travers les questions de gouvernance, de protection des données, de cybersécurité, de chaîne de confiance, de responsabilité et de sensibilisation, il propose des clés pour mieux appréhender un phénomène qui évolue rapidement.

Car la question n’est plus uniquement de savoir si une organisation utilise officiellement l’intelligence artificielle.
 

La véritable question est de savoir où l’IA est déjà présente, quelles données elle rencontre et si l’organisation est réellement en mesure de le savoir.