Shadow AI : le danger invisible en entreprise

1. L'IA officielle est trop limitée

Tu as déployé Microsoft Copilot ? Cool, mais il est moins bon que ChatGPT Plus pour beaucoup de tâches. Les employés perçoivent une dégradation de productivité et basculent en perso.

Solution : déployer ChatGPT Enterprise ou Claude for Work. Ça coûte 30-60€/user/mois mais c'est rentable.

2. Le process IT est trop lent

Demander une nouvelle IA prend 3-6 mois (validation, contrats, sécurité). En 6 mois, 5 nouvelles IA sont sorties.

Solution : créer un process fast-track pour les outils IA (validation en 2 semaines).

3. Personne n'a expliqué les règles

"On a une charte" — qui ne dit pas clairement ce qui est interdit ou pas. Beaucoup d'employés ne savent PAS que coller des données clients dans ChatGPT pose problème.

Solution : politique IA claire, courte, et formation flash.

4. Le gain de productivité est réel

Un commercial qui rédige une proposition en 2h au lieu de 8h grâce à ChatGPT, il continuera. Même si c'est interdit. La pression de productivité l'emportera.

Solution : reconnaître officiellement le besoin + fournir un outil approuvé.

5. Personne ne contrôle

L'IT n'a pas la visibilité sur les outils SaaS web utilisés par les employés. Sans CASB (Cloud Access Security Broker), c'est l'aveugle qui surveille les voyants.

Solution : déployer un CASB ou Zscaler AI Security pour voir ce qui se passe.

6. L'IA arrive sans qu'on le sache

Notion, Slack, Microsoft 365 ajoutent des features IA dans leurs outils existants. Tes employés utilisent l'IA sans même s'en rendre compte.

Solution : auditer les fonctionnalités IA de tous les SaaS utilisés. Désactiver celles qui posent problème.

Semaine 1 : Diagnostic

Action 1 : Sondage anonyme (15 min/employé)

• 5-7 questions courtes :

- Quels outils IA utilises-tu pour le travail ? - Combien de fois par semaine ? - Pour quoi (résumés, code, mails, ...) ? - As-tu collé des données entreprise dans une IA ? - Sais-tu ce qui est autorisé ?

Action 2 : Logs réseau (1 jour de SOC)

• Lister les domaines IA visités les 30 derniers jours
• Volume de trafic vers chacun
• Identifier les "power users" anonymisés

Résultat : tableau de bord Shadow AI à présenter au COMEX.

Semaine 2 : Politique d'urgence

Action 1 : Charte IA simplifiée (1 page)

• Liste AUTORISÉE : outils déployés + ce qu'on peut y mettre
• Liste INTERDITE : "Ne JAMAIS coller dans une IA grand public..."

- Données clients identifiables (RGPD) - Code propriétaire - Contrats, NDA, brevets - Données financières détaillées - Données RH

Action 2 : Communication (mail COMEX + intranet)

• Pas culpabilisateur ("on comprend que vous l'utilisiez")
• Constructif ("voici les alternatives, voici les règles")
• Objectif claire : amnistie + amélioration

Semaine 3 : Outillage

Action 1 : Déploiement IA officielle

• ChatGPT Enterprise (30€/user) OU Claude for Work (60€/user) OU Microsoft Copilot (30€/user)
• Configuration Data Residency EU (RGPD)
• Configuration No training data (clause API)

Action 2 : DLP (optionnel mais recommandé)

• Bloquer paste de contenu sensible vers ChatGPT public
• Outils : Calypso AI, Glean, Microsoft Purview

Semaine 4 : Formation et suivi

Action 1 : Formation flash (1h tous, 4h pour techs)

• Cas concrets ("Voici ce que mon collègue a fait, voici les conséquences")
• Démo de l'outil officiel
• Quiz validation

Action 2 : Hotline IA

• "Tu doute si tu peux mettre X dans Y ?" → Slack channel #ai-doubts
• Réponse en <2h pendant heures de bureau

Action 3 : Mesure

• Re-sondage à 3 mois pour mesurer impact
• KPI : % usage Shadow AI (objectif <20%)