Le shadow AI désigne l’utilisation d’outils d’intelligence artificielle par des collaborateurs sans validation, inventaire ou supervision de l’entreprise. Un chatbot génératif, un outil de transcription, un copilote ou un agent peut ainsi être adopté en quelques minutes pour gagner du temps, sans passer par les règles internes.
Pour une PME wallonne, le sujet ne relève pas uniquement de l’informatique. Une consigne mal formulée, un contrat copié dans un service public ou une réponse générée puis publiée sans vérification peuvent engager la confidentialité, le RGPD, la relation client et la responsabilité de l’entreprise.
La bonne réponse n’est pas nécessairement d’interdire toute IA. Elle consiste à remplacer l’inconscience par une gouvernance proportionnée : savoir quels outils sont utilisés, quelles données peuvent y être introduites et quelles vérifications s’imposent avant toute utilisation professionnelle.
Shadow AI : de quoi parle-t-on exactement ?
Le shadow AI s’inscrit dans la continuité du shadow IT, qui désigne l’usage de logiciels ou services informatiques non approuvés par l’organisation. La différence tient au rôle de l’intelligence artificielle : elle peut traiter des informations, produire du contenu, prendre en charge une partie d’un raisonnement ou influencer une décision.
Des outils faciles à adopter
Un collaborateur peut utiliser une IA pour reformuler un e-mail, résumer une réunion, traduire un document, analyser un tableau ou préparer une publication. L’outil est parfois gratuit, accessible depuis un navigateur et suffisamment performant pour donner l’impression qu’aucune décision formelle n’est nécessaire.
Le problème apparaît lorsque cet usage échappe à toute règle. L’entreprise ignore alors quels services sont utilisés, où les données sont traitées, combien de temps elles sont conservées et si les résultats sont suffisamment fiables pour l’usage envisagé.
Un phénomène qui peut rester invisible
Le shadow AI n’est pas toujours motivé par une volonté de contourner les procédures. Il naît souvent d’un besoin concret : gagner du temps, répondre plus vite à un client ou compenser l’absence d’un outil adapté. Une politique trop vague ou une interdiction générale peut même encourager les usages discrets plutôt que leur déclaration.
Une étude relayée en juillet 2026 indique que 47 % des cadres belges utilisent l’IA sans en informer leur direction ou leurs collègues, avec une proportion annoncée à 55 % dans les entreprises de 10 à 250 travailleurs. Ces résultats doivent toutefois être interprétés avec prudence : la méthodologie et l’échantillon méritent une vérification indépendante avant toute généralisation.
Quels sont les principaux risques pour l’entreprise ?
Les risques du shadow AI dépassent largement la question de la cybersécurité. Ils touchent la confidentialité, la conformité, la qualité des décisions et la réputation. Leur niveau dépend de l’outil utilisé, des données introduites et de la place de l’IA dans le processus.
- Fuite de données clients, RH, commerciales ou financières vers un service externe.
- Divulgation d’un secret d’affaires, d’un contrat ou d’une information stratégique.
- Traitement de données personnelles sans analyse de la base juridique, de la conservation ou des transferts.
- Réponse fausse, incomplète ou biaisée utilisée sans contrôle humain suffisant.
- Dépendance à un fournisseur externe et perte de visibilité sur les changements de service.
- Exposition accrue à des attaques, notamment lorsque des informations sensibles sont intégrées dans des outils mal maîtrisés.
La mauvaise pratique la plus courante
La mauvaise pratique n’est pas l’usage de l’IA en soi. C’est l’usage inconscient : copier un contrat complet dans un chatbot public, demander l’analyse d’un dossier client identifiable ou publier directement un contenu généré sans contrôle.
Une entreprise peut également perdre la traçabilité d’une décision. Si un collaborateur s’appuie sur une recommandation générée sans conserver le contexte, les consignes et les vérifications réalisées, il devient difficile d’expliquer comment le résultat a été obtenu.
Shadow AI et RGPD : quelles questions poser ?
Le RGPD s’applique dès qu’un outil d’IA traite des données personnelles. Cela peut concerner un nom, une adresse e-mail, une voix, un CV, une conversation client, une information de santé ou toute donnée permettant d’identifier une personne directement ou indirectement.
Les points à vérifier
Avant d’autoriser un usage, l’entreprise doit examiner le traitement dans son ensemble, et pas uniquement la fonctionnalité de l’outil. La conformité dépend notamment du contexte, des données utilisées et de la finalité poursuivie.
- La base juridique du traitement et la finalité sont-elles définies ?
- Les données introduites sont-elles réellement nécessaires ?
- Les personnes concernées ont-elles été informées de manière adéquate ?
- Les mesures de sécurité et les durées de conservation sont-elles connues ?
- Des transferts internationaux sont-ils prévus ou possibles ?
- Une analyse d’impact relative à la protection des données est-elle nécessaire ?
La minimisation constitue un réflexe simple : retirer les noms, réduire le contenu transmis et utiliser des exemples fictifs lorsque la tâche ne nécessite pas de données réelles. Cette précaution ne remplace pas une analyse juridique, mais elle limite l’exposition inutile.
Quand l’AI Act entre-t-il en jeu ?
L’AI Act européen ne classe pas automatiquement toute intelligence artificielle parmi les systèmes à haut risque. La qualification dépend du système et surtout de l’usage qui en est fait. Une même technologie peut donc présenter des obligations différentes selon le processus dans lequel elle intervient.
Le cas de l’IA à haut risque
Les applications utilisées dans certains processus de recrutement, d’évaluation ou de gestion des travailleurs peuvent relever de la catégorie de l’IA à haut risque. Dans ce cas, des exigences renforcées peuvent concerner la gestion des risques, la documentation, la traçabilité, la supervision humaine, l’exactitude et la cybersécurité.
Une PME ne doit donc pas se limiter à demander si un outil est « conforme ». Elle doit décrire son usage réel : qui l’utilise, pour quelle décision, avec quelles données et avec quel niveau d’intervention humaine. Cette qualification permet de déterminer les contrôles réellement nécessaires.
Des échéances qui varient selon les systèmes
Certaines pratiques d’IA interdites et les obligations de compétence en IA produisent leurs effets depuis le 2 février 2025. Les autres échéances varient selon la catégorie du système et les obligations concernées ; aucune date unique ne s’applique indistinctement à toutes les entreprises.
La conformité ne se résume donc pas à attendre une échéance. Elle implique déjà de sensibiliser les équipes, de documenter les usages et d’éviter les pratiques dont le risque est évident.
Comment reprendre le contrôle sans bloquer l’innovation ?
Une politique efficace doit être compréhensible par les personnes qui travaillent réellement avec les outils. Elle doit distinguer les usages à faible risque des situations qui nécessitent une validation, un encadrement juridique ou une supervision renforcée.
Un plan de maîtrise en six actions
- Recenser les outils d’IA déjà utilisés, y compris ceux adoptés individuellement.
- Classer les données selon leur niveau de sensibilité et définir ce qui ne peut jamais être introduit dans un outil public.
- Établir une liste d’outils autorisés et préciser les usages acceptables pour chacun.
- Former les équipes à la confidentialité, aux erreurs, aux biais et aux limites des réponses générées.
- Évaluer les fournisseurs, leurs conditions de traitement, leur sécurité et leurs transferts éventuels.
- Créer un canal de déclaration des usages ou incidents, sans sanction automatique lorsqu’une personne signale rapidement un problème.
La journalisation peut compléter le dispositif lorsque l’usage le justifie. Il ne s’agit pas de surveiller chaque expérimentation, mais de conserver les éléments utiles pour comprendre une décision, retrouver une consigne ou analyser un incident.
Quelle charte IA pour une PME ?
Une charte utile tient en quelques règles opérationnelles. Elle indique les outils autorisés, les données interdites, les tâches qui exigent une validation et les personnes à contacter en cas de doute.
Elle peut notamment imposer une relecture humaine avant l’envoi d’un contenu à un client, interdire l’introduction de données personnelles non anonymisées dans un service non validé et demander la vérification de toute information factuelle produite par une IA.
La charte doit aussi prévoir sa mise à jour. Les outils évoluent, les fonctionnalités changent et de nouveaux usages apparaissent. Une règle qui ne tient pas compte du terrain sera contournée ou ignorée, même si elle est juridiquement bien intentionnée.
Transformer le risque en usage maîtrisé
Le shadow AI révèle souvent un besoin réel : les équipes veulent automatiser certaines tâches, accélérer la production ou accéder à une aide rédactionnelle. Ignorer cette demande laisse les usages se développer sans cadre ; l’interdiction générale ne supprime pas nécessairement les pratiques cachées.
La démarche la plus solide consiste à commencer par un inventaire honnête, puis à prioriser les usages selon leur impact. Les outils peuvent être autorisés lorsqu’ils répondent à un besoin clairement défini, tandis que les traitements sensibles doivent faire l’objet d’une analyse plus approfondie.
Pour une entreprise wallonne, un premier atelier interne peut déjà faire émerger les outils utilisés, les données exposées et les décisions qui nécessitent un contrôle humain. Cette photographie constitue une base concrète pour organiser la formation, revoir les procédures et déterminer si un audit IA ou une analyse liée à l’AI Act est nécessaire.