Shadow IA : vos équipes utilisent déjà ChatGPT, voici comment reprendre le contrôle

Le Shadow IA : un phénomène massif et silencieux

Vos équipes utilisent ChatGPT. Probablement Claude aussi. Peut-être Midjourney pour les présentations. Et vous ne le savez pas

Selon une étude Salesforce (Generative AI Snapshot Research, 2024), plus de la moitié des utilisateurs d’IA générative en entreprise le font sans validation formelle de leur employeur. Le chiffre monte à 75% chez les cadres. Ce n’est pas de la malveillance, c’est du pragmatisme. Un commercial qui génère ses e-mails de prospection avec ChatGPT gagne 2 heures par jour. Un développeur qui utilise Copilot livre 40% plus vite. Un contrôleur de gestion qui automatise ses analyses avec Claude économise une journée par semaine

Le problème n’est pas que vos équipes utilisent l’IA. C’est qu’elles le font sans cadre, sans gouvernance, et sans conscience des risques

C’est exactement ce que le Shadow IT a été pour le cloud il y a 15 ans. Et comme pour le Shadow IT, la réponse ne peut pas être l’interdiction

Comment en parler à votre COMEX

Ne présentez pas le Shadow IA comme un problème technique. Présentez-le comme un risque business : “60% de nos collaborateurs envoient potentiellement des données clients et du code propriétaire à des serveurs tiers, sans aucun contrôle ni traçabilité.” C’est une phrase que votre DG comprend, et qui justifie un budget de 5 à 15K€ pour cadrer les usages. Dans le secteur financier, le risque est encore plus aigu : une proportion significative des usages non encadrés implique des données sensibles (données clients, documents RH, code source). Le risque n’est pas théorique

Les 4 risques concrets du Shadow IA

1. Fuite de données sensibles

C’est le risque le plus immédiat. Quand un collaborateur colle un contrat client dans ChatGPT pour en faire un résumé, ces données sont envoyées aux serveurs d’OpenAI. Quand un RH utilise Claude pour rédiger une lettre de licenciement, les informations personnelles du salarié transitent par les serveurs d’Anthropic

Trois niveaux de protection coexistent, et la nuance est importante :

• Versions grand public gratuites (ChatGPT free, Gemini free) : les données peuvent être utilisées pour l’amélioration du produit, sauf opt-out manuel. Aucun engagement contractuel.
• APIs développeurs (OpenAI API, Anthropic API) : depuis mars 2023 chez OpenAI et par défaut chez Anthropic, les données envoyées via l’API ne sont pas utilisées pour l’entraînement. Mais sans plan Enterprise, il n’y a pas de DPA signé avec votre entreprise par défaut.
• Plans Enterprise (ChatGPT Enterprise, Claude for Business, Gemini for Google Workspace) : engagements contractuels formels, DPA signés, résidence des données parfois disponible (US/EU).

En 2023, Samsung a interdit l’utilisation de ChatGPT free après des fuites de code source confidentielles. Le mal était fait, et c’est l’usage grand public qui posait problème, pas l’API d’entreprise

2. Non-conformité réglementaire

L’AI Act européen, entré en application progressive depuis 2024, impose des obligations de transparence et de traçabilité pour les systèmes d’IA utilisés dans certains contextes (RH, finance, santé). Si vos équipes prennent des décisions assistées par IA sans documentation ni audit trail, vous êtes en infraction potentielle

Le RGPD s’applique aussi : envoyer des données personnelles à un fournisseur IA sans base légale ni information des personnes concernées est une violation. Les sanctions vont jusqu’à 4% du chiffre d’affaires mondial

3. Qualité et hallucinations

Les LLM hallucinent. C’est un fait technique, pas un bug. Un collaborateur qui utilise ChatGPT pour rédiger une réponse à un appel d’offres peut inclure des chiffres inventés. Un juriste qui lui demande de trouver une jurisprudence peut recevoir des références qui n’existent pas

Sans processus de vérification, ces erreurs passent inaperçues et engagent l’entreprise. Le cabinet Levidow, Levidow & Oberman l’a appris à ses dépens dans l’affaire Mata v. Avianca (S.D.N.Y., juin 2023). Le juge P. Kevin Castel a sanctionné deux avocats (Steven Schwartz, Peter LoDuca) qui avaient cité dans un mémoire des décisions complètement inventées par ChatGPT (Varghese v. China Southern, Shaboon v. Egypt Air, parmi d’autres). Sanction Rule 11 : 5 000 dollars chacun et obligation d’informer chaque juge dont la décision avait été falsifiée

4. Dépendance individuelle non documentée

Quand un collaborateur construit un processus critique autour d’un outil IA personnel (ses prompts, son workflow, ses automatisations), ce savoir-faire n’appartient pas à l’entreprise. S’il part, le processus part avec lui. Et personne ne sait comment le reproduire, parce que personne ne savait qu’il existait

Ce qu’on voit en mission

Lors d’un audit IA chez un client du secteur financier, nous avons découvert qu’un contrôleur de gestion avait construit 15 prompts ChatGPT enchaînés qui automatisaient la moitié de son reporting mensuel. Personne dans l’entreprise ne le savait, ni son manager, ni la DSI. Le jour où ce collaborateur a changé de poste, le service a mis 3 semaines à comprendre pourquoi les reportings prenaient soudainement deux fois plus de temps

Dans une autre ETI industrielle, un acheteur utilisait Claude pour analyser les réponses aux appels d’offres et générer des grilles de scoring comparatives. Le gain de temps était réel : 4 heures par semaine. Mais il copiait systématiquement les offres fournisseurs (prix, conditions, marges) dans l’interface grand public. Des données commerciales sensibles, envoyées chez un tiers, sans aucun accord de confidentialité

Ces cas ne sont pas exceptionnels. Ils sont la norme. Et ils illustrent le double visage du Shadow IA : des gains de productivité réels, mais des risques invisibles tant qu’on ne regarde pas

Pourquoi interdire ne fonctionne pas

La tentation est forte : bloquer les domaines, interdire par note de service, sanctionner. C’est exactement ce que les DSI ont tenté avec Dropbox et le Shadow IT il y a 15 ans. Le résultat est connu : les utilisateurs contournent (VPN personnel, téléphone mobile, compte gratuit), et l’entreprise perd toute visibilité sur les usages

Interdire l’IA en 2026, c’est interdire l’email en 2000, avec une différence majeure : un email envoyé en 2000 ne transférait pas vos données clients ni votre code source vers un fournisseur extra-européen. Le risque concurrentiel et de souveraineté est plus élevé aujourd’hui, ce qui rend le cadrage encore plus urgent, pas l’interdiction, mais la canalisation. Le phénomène est trop massif, les gains de productivité trop évidents, et les alternatives trop accessibles. Une politique d’interdiction ne fait que pousser les usages sous terre, là où vous n’avez plus aucun contrôle

La seule stratégie viable est de canaliser : comprendre les besoins, proposer des alternatives approuvées, et encadrer les usages

Le framework en 5 étapes pour reprendre le contrôle

Étape 1 : Inventaire des usages (semaine 1-2)

Avant de cadrer, il faut comprendre. Trois leviers complémentaires :

• Analyse des logs DNS et proxy : identifiez le trafic vers les domaines des fournisseurs IA (api.openai.com, claude.ai, midjourney.com, etc.). Cela donne le volume, pas le contenu.
• Questionnaire anonyme : demandez aux équipes ce qu’elles utilisent, pour quels cas d’usage, et quelles données elles partagent. L’anonymat est crucial pour obtenir des réponses honnêtes.
• Audit des notes de frais : repérez les abonnements individuels (ChatGPT Plus à 20$/mois, Copilot à 10$/mois, etc.)

L’objectif n’est pas de sanctionner. C’est de dresser une cartographie des usages réels : quels outils, quels services, quelles données, quels gains perçus

Étape 2 : Politique d’usage (semaine 2-3)

Rédigez une charte IA claire et courte (2 pages maximum). Elle doit couvrir :

• Ce qui est autorisé : les cas d’usage approuvés (rédaction, brainstorming, code non sensible, traduction)
• Ce qui est interdit : les données à ne jamais envoyer (données clients, code propriétaire, données RH, informations financières non publiques)
• Les outils approuvés : la liste des outils validés par la DSI, avec leurs conditions d’utilisation
• La vérification obligatoire : tout contenu généré par IA doit être vérifié par un humain avant diffusion externe

Pas besoin d’un document juridique de 50 pages. Une charte claire, signée par la direction, diffusée à tous

Étape 3 : Outils approuvés (semaine 3-4)

Le meilleur moyen de tuer le Shadow IA est de proposer quelque chose de mieux. Si vos développeurs utilisent Copilot en version personnelle, fournissez-leur Copilot Business (les données ne sont pas utilisées pour l’entraînement). Si vos équipes marketing utilisent ChatGPT gratuit, souscrivez à ChatGPT Enterprise ou Claude for Teams (données chiffrées, pas d’entraînement, audit trail)

Le surcoût est marginal comparé au risque. Un abonnement ChatGPT Enterprise coûte 60$/utilisateur/mois. Une violation RGPD coûte des millions

Étape 4 : Formation (mois 2)

La charte ne suffit pas. Il faut former les équipes à :

• Rédiger des prompts efficaces (la qualité du résultat dépend de la qualité de la question)
• Identifier les hallucinations (croiser les sources, vérifier les chiffres, tester le raisonnement)
• Classifier les données avant de les envoyer (publiques → OK, internes → attention, confidentielles → jamais)
• Documenter les processus IA (pour que le savoir reste dans l’entreprise)

En pratique, 2 heures de formation ciblée suffisent pour couvrir les fondamentaux. Les équipes techniques ont besoin d’un module supplémentaire sur les aspects sécurité et conformité

Étape 5 : Monitoring continu (mois 3+)

La gouvernance IA n’est pas un projet, c’est un processus continu. Mettez en place :

• Dashboard d’usage : quels outils, quel volume, quelles équipes (via les logs proxy et les licences)
• CASB pour le monitoring avancé, niveau 2 de maturité : les solutions comme Netskope, Zscaler ou Microsoft Defender for Cloud Apps vont au-delà du blocage DNS, elles classifient les contenus sensibles à la volée et permettent un blocage sélectif par type de donnée (bloquer l’envoi de code source mais autoriser le brainstorming). Mais ce sont des projets à part entière : 4 à 12 semaines de déploiement, 5 à 15 €/utilisateur/mois, équipe SecOps ou MSSP requise pour tuner les policies (sinon faux positifs en cascade). Si vous démarrez la gouvernance Shadow IA, le niveau 1 (logs DNS/proxy + revue licences + comptes Enterprise) capture déjà l’essentiel du risque immédiat (observation Nobori sur nos audits)
• Revue trimestrielle : les usages évoluent vite, la politique doit suivre
• Veille réglementaire : l’AI Act évolue, les obligations changent
• Canal de feedback : laissez les équipes proposer de nouveaux outils ou cas d’usage

Quick wins déployables en 2 semaines

Si vous ne retenez que 4 actions immédiates :

1. Bloquez les versions gratuites des LLM sur le réseau d’entreprise (DNS/proxy), elles n’offrent aucune garantie de confidentialité
2. Diffusez une charte IA d’une page : les 5 interdits (données clients, code propriétaire, données RH, financier non public, décisions automatisées) et les 5 autorisés
3. Souscrivez un plan entreprise pour l’outil IA le plus utilisé (probablement ChatGPT ou Claude), le coût est négligeable vs le risque
4. Créez un canal Slack/Teams “IA” où les équipes partagent leurs prompts et cas d’usage, la transparence tue le shadow

Ces 4 actions coûtent moins de 5K€ et se déploient en 2 semaines. Elles couvrent 80% du risque immédiat

Passer de la réaction à la stratégie

Le Shadow IA est un symptôme, pas le problème. Le vrai sujet est : quelle place voulez-vous donner à l’IA dans votre organisation ? Les entreprises qui répondent à cette question de manière proactive prennent un avantage structurel sur celles qui subissent

Reprendre le contrôle du Shadow IA n’est que la première étape. L’étape suivante est de construire une stratégie IA structurée : du cadrage des cas d’usage à l’industrialisation en production. C’est exactement ce que nous accompagnons chez Nobori, avec une approche pragmatique et orientée résultats

---

Sources et méthodologie

Les données présentées dans cet article proviennent de :

• Salesforce : “Generative AI Snapshot Research” (2024), étude sur l’adoption de l’IA générative en entreprise et les usages non encadrés
• Samsung : incident de fuite de code source via ChatGPT rapporté par Bloomberg et The Economist (mai 2023)
• Mata v. Avianca, 22-cv-1461 (S.D.N.Y. 2023) : affaire dans laquelle les avocats du cabinet Levidow, Levidow & Oberman ont cité des jurisprudences inventées par ChatGPT. Sanction Rule 11 prononcée le 22 juin 2023 par le juge P. Kevin Castel. Documentée par Reuters, le New York Times et la Columbia Law Review
• Observations terrain Nobori : audits IA réalisés chez des ETI et grands comptes en 2024-2025 (secteurs finance, industrie, services)

Les pourcentages et estimations de coûts sont des ordres de grandeur issus des sources citées et de nos observations. Ils varient selon le secteur, la taille de l’entreprise et le niveau de maturité numérique

---

Vous voulez cadrer les usages IA dans votre organisation ? Demandez un audit IA personnalise pour cartographier vos usages reels