Shadow AI : vos équipes utilisent déjà l'IA, reprenez la main sans la freiner

Dans la plupart des PME que nous rencontrons, la question n'est plus « allons-nous utiliser l'IA ? » mais « qui l'utilise déjà, pour quoi, et avec quelles données ? ». La réponse est souvent inconfortable : beaucoup de monde, pour beaucoup de choses, et personne ne le sait vraiment. C'est ce que l'on appelle le Shadow AI, et c'est aujourd'hui l'un des sujets de gouvernance les plus concrets pour une direction de PME.

Un phénomène massif, et largement invisible

Selon le rapport Work Trend Index publié par Microsoft et LinkedIn en mai 2024, 75 % des travailleurs du savoir utilisent déjà l'IA générative dans leur travail, et 78 % de ces utilisateurs apportent leurs propres outils, sans que l'entreprise les ait fournis ni validés. Plus révélateur encore : 52 % hésitent à admettre qu'ils s'en servent pour leurs tâches les plus importantes, de peur de paraître remplaçables.

Ce qui frappe dans ces chiffres, ce n'est pas l'adoption. C'est l'écart entre l'usage réel et ce que la direction en sait. Dans une PME de 40 personnes, cela signifie qu'une trentaine de collaborateurs collent probablement des extraits d'e-mails, de contrats ou de tableaux dans un assistant grand public, chaque semaine, sans qu'aucune règle n'existe.

Nous ne voyons pas cela comme une faute des équipes. Elles font ce que font des gens intelligents face à un outil utile : elles gagnent du temps. Le problème est ailleurs : dans l'absence de cadre.

Les risques concrets, sans dramatiser

Le Shadow AI n'est pas un scénario catastrophe. C'est une accumulation de petits risques ordinaires, dont trois nous paraissent prioritaires pour une PME romande.

• Les données clients et personnelles. La nouvelle loi fédérale sur la protection des données (nLPD), en vigueur depuis le 1er septembre 2023, impose de savoir où vont les données personnelles que vous traitez. Un collaborateur qui colle une liste de clients dans un outil dont les conditions autorisent l'entraînement sur les données saisies crée, sans le vouloir, un transfert que vous n'avez ni documenté ni autorisé.

• Le secret d'affaires. L'exemple le plus connu reste celui d'ingénieurs de Samsung qui, au printemps 2023, ont soumis du code source confidentiel à ChatGPT pour le corriger. Rien de malveillant, juste de l'efficacité mal encadrée. Dans une PME, l'équivalent est un devis stratégique, une formule de prix ou une liste de fournisseurs.

• La qualité et la responsabilité. Une réponse envoyée à un client, rédigée par un assistant sans relecture, engage votre entreprise. Si personne ne sait quels contenus sortent d'un outil d'IA, personne ne peut définir un niveau de relecture adapté.

À cela s'ajoute un point de calendrier : le règlement européen sur l'IA (AI Act) est entré en vigueur le 1er août 2024. Une PME suisse n'y est pas directement soumise, mais ses clients et partenaires européens vont progressivement lui poser des questions sur ses usages. Mieux vaut avoir une réponse.

Interdire ne marche pas, et coûte cher

La réaction instinctive de certaines directions est de bloquer les outils. Nous la déconseillons, pour deux raisons.

La première est pratique : le blocage se contourne en trente secondes avec un téléphone personnel. Vous ne supprimez pas l'usage, vous le rendez seulement plus invisible, donc plus risqué.

La seconde est économique. Le même rapport Work Trend Index note que les utilisateurs d'IA disent gagner du temps sur les tâches répétitives et se concentrer davantage sur le travail à valeur ajoutée. Une PME qui interdit l'IA prive ses équipes d'un gain de productivité que ses concurrents, eux, capteront. Pour situer votre propre organisation face à ces usages, notre Baromètre IA donne un premier diagnostic en quelques minutes.

Reprendre la main en quatre étapes

Voici la démarche que nous appliquons chez nos clients. Elle tient en quelques semaines et ne demande aucun investissement logiciel lourd.

1. Cartographier les usages réels. Un questionnaire anonyme de dix questions, puis trois ou quatre entretiens par équipe. L'objectif n'est pas de sanctionner mais de comprendre : quels outils, quelles tâches, quelles données. Dans une fiduciaire genevoise de 25 personnes accompagnée cette année, nous avons recensé sept outils différents, dont deux que la direction ignorait totalement.

2. Classer les données en trois niveaux. Public (peut être saisi dans n'importe quel outil), interne (uniquement dans un outil validé par l'entreprise), confidentiel (jamais dans un outil d'IA externe, sauf contrat spécifique). Trois niveaux suffisent ; au-delà, personne n'applique la règle.

3. Fournir une alternative validée. Une licence professionnelle d'un assistant généraliste, avec des conditions contractuelles qui excluent l'entraînement sur vos données et un hébergement conforme, coûte quelques dizaines de francs par utilisateur et par mois. C'est le levier le plus efficace : les équipes basculent d'elles-mêmes dès qu'un outil autorisé est aussi bon que l'outil interdit.

4. Écrire une charte d'une page, et la faire vivre. Pas un document juridique de vingt pages : une page, avec les trois niveaux de données, les outils autorisés, la règle de relecture avant envoi à un client, et un référent à qui poser les questions. Revue tous les six mois.

Dans la fiduciaire citée plus haut, ces quatre étapes ont pris six semaines. Le résultat n'est pas seulement un risque maîtrisé : les collaborateurs ont partagé entre eux leurs meilleurs usages, et deux d'entre eux sont devenus des cas d'usage structurés (préparation des courriers de relance, synthèse des échanges clients avant réunion) qui font aujourd'hui gagner environ trois heures par semaine et par collaborateur concerné.

Ce que nous en retenons

Le Shadow AI est le symptôme d'une bonne nouvelle : vos équipes veulent travailler mieux. La question pour une direction de PME n'est pas de savoir comment l'empêcher, mais comment transformer des usages dispersés et risqués en pratiques partagées et sûres.

Trois convictions guident notre approche : cartographier avant de réglementer, fournir une alternative avant d'interdire, et garder les règles assez simples pour être appliquées. Si vous souhaitez faire le point sur les usages de l'IA dans votre organisation, parlons-en.