Shadow AI en entreprise : comment encadrer l’usage de l’IA par les salariés ?
ChatGPT, IA générative, assistants en ligne : les salariés utilisent de plus en plus l’intelligence artificielle dans leur travail, parfois sans que l’entreprise ait validé les outils ou défini de règles.
Rédiger un compte rendu, résumer un document, préparer un mail ou analyser des informations : l’IA générative s’intègre rapidement dans les pratiques professionnelles.
Lorsque ces usages se développent en dehors du cadre défini par l’entreprise, on parle de shadow AI. L’enjeu pour les RH n’est pas nécessairement d’interdire ces pratiques, mais de les identifier et de créer un cadre permettant d’innover sans exposer l’entreprise.
Qu’est-ce que le shadow AI ?
Le shadow AI désigne l’utilisation d’outils ou de fonctionnalités d’intelligence artificielle sans validation ou contrôle préalable de l’entreprise.
- Utiliser une IA grand public : un collaborateur peut, par exemple, utiliser son propre compte sur un outil d’IA générative pour réaliser une tâche professionnelle.
- Intégrer des informations professionnelles : documents internes, comptes rendus, données clients ou informations RH peuvent être copiés dans un prompt sans que le salarié mesure les conséquences potentielles.
- Automatiser certaines tâches : rédaction, traduction, synthèse ou analyse peuvent progressivement être confiées à l’IA sans procédure commune ni validation des résultats.
- Contourner involontairement les outils officiels : lorsque l’entreprise ne propose aucune solution ou règle claire, les collaborateurs peuvent rechercher eux-mêmes les outils qui répondent à leurs besoins.
Quels risques pour l’entreprise ?
Le shadow AI peut faire gagner du temps, mais une utilisation non encadrée expose l'entreprise à plusieurs risques.
- La confidentialité des données : transmettre des données personnelles, stratégiques ou confidentielles à un service grand public peut exposer des informations que l’entreprise devait protéger.
- La fiabilité des contenus : une IA générative peut produire une réponse crédible mais incorrecte. Un document RH, juridique ou commercial doit donc rester soumis à une vérification humaine.
- Des pratiques différentes selon les équipes : sans règles communes, chaque collaborateur peut choisir ses propres outils et développer ses propres méthodes, ce qui complique la maîtrise des usages.
- Les risques réglementaires : RGPD, protection des données et AI Act doivent être pris en compte lorsque l’entreprise déploie ou utilise des systèmes d’IA.
Comment mettre en place un cadre ?
Encadrer le shadow AI ne signifie pas bloquer l’innovation, mais préciser ce que les collaborateurs peuvent réellement faire avec ces outils.
- Cartographier les usages existants : interroger les équipes permet d’identifier les outils déjà utilisés, les tâches concernées et les besoins auxquels ils répondent.
- Créer une charte IA : elle peut préciser les outils autorisés, les données qui ne doivent pas être saisies, les usages interdits et les situations nécessitant une validation humaine.
- Former les collaborateurs : des ateliers courts peuvent apprendre à rédiger un prompt, vérifier une réponse, identifier une hallucination et protéger les données utilisées.
- Mettre en place une gouvernance : RH, DSI, juridique, DPO et métiers peuvent définir ensemble les outils validés, les responsabilités et les modalités de contrôle.
Encadrer plutôt qu’ignorer les usages
Le shadow AI montre souvent que les collaborateurs ont déjà identifié des usages intéressants de l’intelligence artificielle. Une interdiction générale risque donc de déplacer ces pratiques plutôt que de les faire disparaître.
Dans la pratique, l’entreprise peut commencer par réaliser un état des lieux des usages, sélectionner quelques outils sécurisés, formaliser une charte IA et sensibiliser les équipes aux données qu'elles peuvent ou non transmettre.
Les RH ont ainsi un rôle à jouer aux côtés de la DSI, du DPO et des métiers pour construire une politique IA adaptée à la réalité du terrain. L’objectif : permettre aux collaborateurs d’expérimenter et de gagner en efficacité, tout en donnant à l’entreprise suffisamment de visibilité et de contrôle sur les usages.
