IA fantôme dans l’entreprise : identifier les risques et encadrer l’usage de l’IA

IA fantôme (en anglais « Shadow AI ») désigne des outils d’IA que des collaborateurs utilisent à des fins professionnelles sans que l’entreprise en ait connaissance ou les ait validés, par exemple un compte ChatGPT privé pour des e-mails clients, une application de traduction gratuite pour des contrats ou un service de prise de notes par IA lors de visioconférences. Les risques vont des violations de la protection des données à la fuite d’informations confidentielles, jusqu’à des résultats non vérifiés et erronés. Les interdictions aident rarement, car l’utilité pour les collaborateurs est réelle. Des outils approuvés, des règles claires et des formations sont plus efficaces.

Pourquoi l’IA fantôme apparaît

L’IA fantôme n’est généralement pas un signe d’infraction aux règles, mais d’initiative personnelle : les collaborateurs ont constaté que l’IA leur enlève du travail et l’utilisent parce que l’entreprise ne propose pas d’alternative. Raisons typiques :

• Il n’existe pas d’outils d’IA approuvés, ou ils sont plus contraignants que les outils privés.
• Personne n’a défini ce qui est autorisé, donc, implicitement, tout ce qui n’est pas interdit l’est.
• Des outils gratuits sont immédiatement disponibles, l’homologation d’un outil officiel prend des mois.

Les risques

À cela s’ajoute : depuis février 2025, les entreprises doivent, en vertu de l’EU AI Act, garantir une compétence suffisante en IA de leurs collaborateurs. Qui ne sait pas quelle IA est utilisée ne peut pas non plus former de manière ciblée. Plus d’informations dans l’article EU AI Act für KMU.

Identifier l’IA fantôme

La méthode la plus simple et la plus efficace consiste à mener une enquête ouverte, sans sanctions, au sein de l’équipe :

• Quels outils d’IA utilisez-vous dans le cadre professionnel, même occasionnellement ?
• Pour quoi exactement, et avec quelles données ?
• Que souhaiteriez-vous faire avec l’IA, mais ne pouvez pas ou n’êtes pas autorisé à faire ?

Les réponses montrent non seulement les risques, mais aussi les besoins réels et donc les outils qui valent la peine d’être introduits officiellement. En complément, le service informatique peut vérifier quels services d’IA apparaissent sur le réseau ou dans les extensions de navigateur installées.

En 5 étapes vers une utilisation structurée de l’IA

1. Établir l’inventaire: Enquête comme ci-dessus, sans attribution de responsabilité.
2. Mettre à disposition des outils approuvés: Pour les cas d’usage les plus fréquents, une solution officielle avec des comptes d’entreprise, un contrat de sous-traitance et, si possible, un traitement dans l’UE. Décrire les options respectueuses de la protection des données les contributions IA locale ou ChatGPT ? et Open WebUI comme alternative à ChatGPT.
3. Définir des règles: Une courte directive IA avec les outils autorisés, les données interdites et les obligations de vérification.
4. Écoles: Tous les utilisateurs apprennent les possibilités, les limites et les règles, voir Compétence en IA selon l’art. 4.
5. Nommer des interlocuteurs: Une personne à laquelle les collaborateurs peuvent s’adresser avec de nouvelles idées et questions, afin que de nouveaux outils ne soient pas introduits à nouveau dans l’ombre.

Une plateforme centrale comme le automaisa Hub regroupe les fonctions d’IA validées en un seul endroit et rend l’utilisation ainsi que les coûts visibles.

Pourquoi une interdiction fonctionne rarement

Une interdiction générale de l’IA semble d’abord sûre, mais elle ne fait souvent que déplacer l’utilisation vers des appareils privés, sur lesquels l’entreprise n’a plus aucun contrôle. En même temps, elle fait perdre le gain de productivité. Il est plus judicieux de prendre le besoin au sérieux et de créer une offre sécurisée, plus pratique que le contournement.

Le Conseil et mise en place accompagnée est éligible au financement : via INQA-Coaching l’État prend en charge 80 % des coûts de conseil, jusqu’à 1.200 € par jour pendant jusqu’à 12 jours, soit jusqu’à 11.520 € de subvention. En Mecklembourg-Poméranie-Occidentale et dans les autres nouveaux Länder, la BAFA-Beratungsförderung avec 80 % est également possible jusqu’au 31.12.2026 (dans les anciens Länder, 50 %). Le conseil est subventionné, pas le logiciel. Le programme adapté est indiqué par le Vérification des aides.

Questions fréquemment posées

Qu’est-ce que l’IA fantôme ?

L’IA fantôme désigne des outils d’IA que les collaborateurs utilisent à des fins professionnelles sans que l’entreprise en ait connaissance ou les ait validés, par exemple des comptes de chatbot privés, des applications de traduction ou des services de prise de notes assistée par IA.

Est-il permis d’utiliser ChatGPT à titre privé pour le travail ?

C’est à l’entreprise de le régler. Cela devient problématique dès que des données personnelles ou confidentielles sont saisies, car il n’existe en général ni base juridique ni contrat de sous-traitance. Une politique d’IA apporte de la clarté.

Faut-il interdire l’IA dans l’entreprise ?

Une interdiction générale ne fait souvent que déplacer l’usage dans la clandestinité. Des outils validés avec des comptes d’entreprise, des règles claires et des formations sont plus efficaces.

Comment savoir quels outils d’IA sont utilisés dans l’entreprise ?

Le plus fiable est une enquête ouverte, sans sanction, au sein de l’équipe. En complément, l’IT peut vérifier quels services d’IA sont utilisés sur le réseau ou comme extension de navigateur.

Étape suivante

Nous vous aidons à recenser l’utilisation de l’IA dans votre entreprise, à sélectionner les outils adaptés et à mettre en place des règles ainsi que des formations. Plus d’informations sous Conseil en IA et Formations à l’IA.