Le shadow IA en entreprise
Vos équipes utilisent déjà l'IA. La vraie question n'est pas si, mais : êtes-vous encore aux commandes ?
Dans cet épisode
Vos équipes utilisent déjà l'IA, souvent sans validation ni traçabilité : c'est le shadow IA. Cet épisode décortique le risque réel (fuites de données clients, exposition CNIL, perte de maîtrise contractuelle) à travers des cas concrets, et oppose deux trajectoires d'entreprise selon qu'elles cadrent ou ignorent ces usages. Une méthode en quatre étapes — observer, cadrer, outiller, piloter — pour reprendre le contrôle.
Extraits
« Le problème n'est pas l'outil. Le problème, c'est qu'il a déjà pris une place que vous n'avez pas validée. »
« Le jour où vous découvrez un cas, vous devez supposer qu'il y en a déjà d'autres. »
« On pensait être en avance. On est déjà en retard. »
« Une règle sans contrôle est une illusion de contrôle. »
« Interdire sans remplacer, c'est choisir de perdre le contrôle plus lentement. »
« Ce que vous n'organisez pas sera organisé par vos équipes, sans vous. »
« Une consigne sans infrastructure ne change pas les comportements. Elle documente seulement la responsabilité. »
Ces extraits sont tirés de l'épisode. Pour l'intégralité de l'analyse, écouter l'épisode complet sur Spotify →
Chapitres
Les questions qu'un dirigeant se pose
Qu'est-ce que le shadow IA en entreprise ?
Le shadow IA désigne l'usage d'outils d'intelligence artificielle par les collaborateurs sans validation ni encadrement de la direction. Le problème n'est pas l'outil lui-même, mais le fait qu'il a déjà pris une place que l'entreprise n'a pas validée. C'est souvent un système parallèle déjà en place que le dirigeant découvre, plutôt qu'un nouveau sujet à lancer.
Dans l'épisode, un questionnaire interne révèle 62 % d'usage, 38 % de données sensibles et 12 outils différents, alors que le tableau de bord du CEO affichait « aucun projet IA en production ».
Quels sont les risques concrets du shadow IA ?
Les principaux risques sont la fuite de données clients, l'exposition juridique et la perte de maîtrise contractuelle. L'épisode montre un contrat généré via ChatGPT avec des données client envoyé sans validation (240 000 € en jeu), et une fintech où l'IA a réutilisé l'information d'un autre client, sans aucune trace des prompts envoyés à l'outil externe.
Une ETI s'est retrouvée face à un audit CNIL après une plainte client, avec une exposition financière estimée entre 80 000 et 200 000 euros selon l'issue de la procédure.
Pourquoi interdire les outils IA ne suffit-il pas ?
Interdire sans proposer d'alternative déplace le problème au lieu de le résoudre : les équipes ne résistent pas, elles contournent. C'est une réponse rationnelle à une interdiction sans alternative. Chaque fois qu'un outil est bloqué sans remplacement, un autre apparaît, moins visible et moins traçable.
Le cas Dropbox l'illustre : après son blocage, les données sensibles ont continué de circuler via WeTransfer, Google Drive personnel, OneDrive privé et trois outils jamais recensés. Le volume hors périmètre n'avait pas diminué, il s'était déplacé.
Comment reprendre le contrôle sur les usages IA ? La méthode en 4 étapes
L'épisode propose quatre étapes : observer (cartographier les usages via un questionnaire anonyme), cadrer (une page de règles non-négociables), outiller (déployer une alternative interne sécurisée) et piloter (un tableau de bord avec quelques indicateurs suivis chaque mois). Quatre étapes, pas une de plus, pas une de moins.
Sans alternative, les équipes continuaient ; avec une alternative, les usages se déplacent vers l'outil validé. La règle de cadrage tient en trois points : aucune donnée sensible dans un outil externe non approuvé, déclaration de tout usage professionnel, validation humaine traçable des décisions importantes.
Combien coûte la gouvernance de l'IA par rapport à un incident ?
Anticiper coûte moins cher que réparer : ce n'est pas une leçon, c'est une arithmétique. Dans l'épisode, un groupe logistique investit 90 000 euros en gouvernance pour une productivité additionnelle estimée à 240 000 euros sur le semestre. Un risque CNIL en cas de violation avérée est chiffré à 150 000 euros minimum, hors préjudice réputationnel.
Le DSI qui demandait « le budget ? » s'est vu répondre : « Moins cher qu'un incident. »
La gouvernance de l'IA peut-elle devenir un avantage compétitif ?
Oui. Au-delà de la réduction du risque, une politique IA claire devient un argument de marque employeur et un signal de maturité auprès des clients. Dans l'épisode, cinq candidats ont cité la politique IA de l'entreprise comme raison de postuler, et des clients ont mentionné la maturité digitale dans leur décision contractuelle.
Un talent a refusé une offre concurrente mieux rémunérée en expliquant : « Vous avez une politique IA claire. Eux n'en ont pas. » Côté résultats : zéro incident, 73 % d'adoption de l'outil validé, et trois heures gagnées par collaborateur et par semaine.
Pas sûr par où commencer ?
Écouter l'épisode complet sur Spotify →