Shadow AI, revue des risques et formation des équipes

Le shadow AI : comprendre avant d'interdire

Le shadow AI désigne l'usage d'outils d'IA hors du cadre validé : compte personnel sur un chatbot grand public, extension de navigateur, transcription automatique de réunions, fonctions IA activées par défaut dans un logiciel SaaS.

Risque	Exemple
Fuite de données	Un salarié colle un fichier clients dans un outil dont les conditions autorisent l'entraînement sur les données
Non-conformité RGPD	Traitement de données personnelles sans base légale ni contrat de sous-traitance
Propriété intellectuelle	Code source ou documents stratégiques envoyés à un tiers
Qualité	Décisions prises sur des réponses non vérifiées

flowchart LR
  D["Détecter : proxy, CASB, inventaire SaaS, enquête anonyme"] --> C["Comprendre le besoin métier"]
  C --> O["Offrir une alternative validée (ex. assistant interne)"]
  O --> E["Encadrer : charte, formation, registre"]
  E --> B["Bloquer ce qui reste à risque inacceptable"]
  B --> D

Une enquête montre que de nombreux commerciaux utilisent un chatbot grand public pour rédiger leurs propositions. Quelle première réponse est la plus efficace ?

La revue des risques : un rituel, pas un audit

Une revue des risques réunit, pour un cas d'usage, les personnes qui détiennent chacune une partie de la réponse.

Participant	Questions qu'il apporte
Porteur métier	Quel bénéfice ? Quel impact si l'assistant se trompe ?
Équipe technique	Architecture, outils, droits, filtres, journaux
Sécurité	Résultats du red teaming, risques OWASP, surveillance
DPO	Base légale, AIPD, conservation, information
Juridique / conformité	Catégorie AI Act, engagements contractuels, responsabilité

Déroulé type (par exemple 60 à 90 minutes) :

Présentation du cas d'usage à partir de la fiche registre (10 min).
Parcours de la matrice de risques : probabilité × impact, risque par risque (30 min).
Décision sur chaque risque : réduire, accepter (avec un propriétaire nommé), transférer ou éviter (20 min).
Plan d'actions daté, propriétaire par action, date de la prochaine revue (10 min).

Un risque résiduel est « accepté » en revue. Que faut-il au minimum documenter ? (plusieurs réponses)

Former les équipes

L'article 4 de l'AI Act demande des mesures pour un niveau suffisant de maîtrise de l'IA, en tenant compte des connaissances, de l'expérience et du contexte d'usage. Un plan différencié par population est donc plus pertinent qu'une formation unique.

Population	Contenu minimal	Format possible
Tous les salariés	Charte, outils validés, données interdites, limites des LLM (erreurs, biais), signalement	Module court en ligne + quiz
Utilisateurs avancés	Bonnes pratiques de prompt, vérification des sources, cas d'usage métier	Ateliers pratiques
Équipes produit et tech	OWASP Top 10 LLM, architecture défensive, red teaming (modules 1 et 2)	Cette formation + exercices sur leurs projets
Managers et comités	Gouvernance, registre, décisions d'acceptation du risque, cadre légal	Session courte avec cas concrets
DPO, juristes, risques	RGPD et AI Act appliqués, AIPD de systèmes d'IA	Veille réglementaire continue

Mesurez l'effet : taux de complétion, résultats des quiz, nombre de signalements, évolution du shadow AI détecté.

Exercice : plan à 90 jours

Votre entreprise découvre un usage important d'outils IA non validés et n'a ni charte, ni registre. Proposez un plan à 90 jours en trois phases.

Voir la solution

Phase	Actions	Livrables
J0 – J30 : voir et rassurer	Enquête anonyme sur les usages ; inventaire des outils détectés ; publication d'une charte provisoire d'une page ; message clair « voici ce qui est autorisé dès maintenant »	Cartographie des usages, charte v0
J30 – J60 : offrir et encadrer	Mise à disposition d'un assistant validé (contrat art. 28, région UE, pas d'entraînement sur les données) ; création du registre ; triage des cinq cas d'usage les plus fréquents ; module de formation pour tous	Assistant interne en pilote, registre v1, formation tous salariés
J60 – J90 : maîtriser	Revues des risques des cas d'usage externes ; red teaming de l'assistant ; blocage des outils à risque inacceptable ; indicateurs de suivi	Comptes rendus de revue, plan d'actions, tableau de bord

L'ordre compte : offrir une alternative avant de bloquer.

Je sais faire

Expliquer pourquoi le shadow AI est un signal de besoin et proposer une réponse en cinq temps
Animer une revue des risques avec les bons participants et un déroulé cadré
Documenter une décision d'acceptation de risque
Construire un plan de formation différencié par population, en lien avec l'article 4 de l'AI Act