Vrai hot topic, l’intelligence artificielle générative a conquis nos quotidiens privés et professionnels. Mais ChatGPT, Claude, Copilot, Gemini ou DeepSeek sont des outils à double tranchant. Subjugués par leurs avantages, nombre de travailleurs se précipitent sur ces technologies accessibles, sans l’autorisation de leur hiérarchie. Un phénomène, baptisé «Shadow IA», qui pose des risques majeurs pour les entreprises.

«Bonjour, j’ai reçu 60 CVs pour un poste vacant de Junior Financial Controller. Peux-tu les analyser, les trier et me proposer un classement des candidats, en fonction de leurs compétences?» Ce prompt, formulé par un chargé de recrutement sur ChatGPT, peut sembler anodin. Une demande inoffensive, synonyme de gain de temps? Oui, mais… En réalité, cette demande peut déclencher une crise aiguë au sein de l’entreprise. Quelques secondes auront suffi à transférer des dizaines de données personnelles sensibles à un service tiers non autorisé (OpenAI), exposant ainsi son employeur à des risques juridiques majeurs. Ce que ce responsable RH n’avait pas mesuré, c’est qu’au-delà de l’efficacité apparente, il venait de franchir des lignes rouges réglementaires, notamment en matière de protection des données.

Bonnes intentions, mauvaises pratiques

Dans cet exemple fictif, comme celui bien réel qui a frappé Samsung, les utilisateurs veulent bien faire et gagner en productivité, sans mesurer la portée de leurs confidences à ChatGPT et consorts. Des cas isolés? Au contraire, ces outils sont devenus des réflexes quotidiens. Une enquête française indiquait que près de la moitié des sondés utilisent les IA génératives au travail, mais 68% d’entre eux le font sans l’aval de leur supérieur hiérarchique. La version 2025 de ce baromètre vient ajouter une couche à la problématique du Shadow IA, puisque seuls 15% de ces employés auraient reçu une formation adéquate! Les situations risquent de se multiplier… Un médecin qui partage le dossier médical d’un patient pour rédiger une lettre administrative, un cadre supérieur qui prépare son PowerPoint en révélant un rapport stratégique confidentiel, un développeur qui fait auditer son code propriétaire par ChatGPT, etc.

Des risques multiples, des conséquences majeures

Le Shadow IA vise l’usage non autorisé ni contrôlé des intelligences artificielles génératives dans un contexte professionnel. Ce phénomène tire son nom du (plus connu) Shadow IT, qui désigne l’utilisation de logiciels ou de services informatiques non approuvés par le département IT d’une entreprise. Bien que ces deux concepts soient jumeaux, les conséquences du Shadow «GPT» semblent encore plus critiques, en raison de plusieurs niveaux de risques.

• D’abord, la «fuite» de data confidentielles et sensibles. Données personnelles, renseignements stratégiques ou propriété intellectuelle, les informations transmises à ChatGPT sont utilisées pour entrainer les algorithmes, devenant potentiellement accessibles à d’autres utilisateurs.

• Entre amendes et pertes réputationnelles, la non-conformité réglementaire peut aussi vous coûter cher. Les pratiques de Shadow IA peuvent mener à de lourdes sanctions financières, puisqu’elles contreviennent aux conditions strictes du RGPD et aux obligations imposées par l’IA Act.

• L’usage «sauvage» de ces outils peut également générer des dysfonctionnements internes: inégalités entre collaborateurs, mésinformation et erreurs décisionnelles basées sur l’IA, manque de traçabilité, perte de contrôle sur les processus métier, etc.

• Ces habitudes peuvent sérieusement compromettre la sécurité informatique de votre entreprise, menant à des conséquences encore plus désastreuses.

La menace est donc bien réelle, dans un contexte où la data représente un actif stratégique que les entreprises s’efforcent de protéger, notamment contre les cybermenaces et vis-à-vis de la concurrence.

Encadrer, sans freiner l’innovation

De Morgan Stanley à Amazon, plusieurs grands groupes ont imposé des restrictions sur l’utilisation de ChatGPT, en raison des craintes liées à la sécurité des données. Mais il ne faut pas se tromper de combat: l’intelligence artificielle représente une opportunité majeure pour les entreprises, à condition de l’adopter consciemment et stratégiquement. Ne laissez pas cette révolution se développer dans l’ombre de votre organisation. Comment? Définissez un cadre clair d’usages autorisés (règles, conditions, outils, données exploitables, etc.) et une approche stratégique de ces outils, mais sans oublier de former et de sensibiliser vos collaborateurs aux bonnes pratiques. Enfin, pourquoi ne pas déployer vos propres solutions d’IA ou des versions sécurisées des outils grand public?