68% l’utilisent en secret : comment l’IA générative échappe à votre prévention interne

Dans beaucoup d’entreprises, l’IA générative est devenue un « réflexe » de productivité. Une donnée circule pourtant : environ 68% des salariés qui utilisent ces outils le feraient sans prévenir leur manager ou la DSI. Or, en sécurité au travail, un usage non maîtrisé crée un risque.

Le shadow IA : un contournement discret, mais prévisible

Le shadow IA reprend la logique du shadow IT : adopter une technologie hors processus interne, sans validation ni suivi. Ce n’est pas forcément une volonté de nuire ; c’est souvent une réponse à la pression opérationnelle. Le problème, c’est l’absence de barrières de prévention (règles, contrôle, traçabilité) autour de l’outil.

• Accès immédiat : des services en ligne prêts à l’emploi, parfois gratuits, utilisables sans installation.
• Recherche de rapidité : quand l’outillage officiel est jugé trop lent, on « fait au plus vite ».
• Arbitrage économique : les versions free/freemium masquent les coûts réels d’un incident (temps, image, pénalités).
• Manque de repères : peu de collaborateurs savent ce qu’ils peuvent saisir, conserver ou réutiliser dans une IA.

Le BYOIA (Bring Your Own IA) accentue le phénomène : chacun arrive avec son assistant, ses extensions et ses méthodes, comme si chaque équipe apportait ses propres équipements sans contrôle préalable.

Quand l’IA « clandestine » devient un risque de sécurité au travail

En prévention, un incident numérique peut avoir des impacts très concrets : arrêt d’activité, surcharge des équipes, stress, conflits internes, voire mise en cause des responsabilités. Le shadow IA augmente la probabilité d’événements indésirables, notamment :

• Exposition de données sensibles : informations RH, clients, contrats, propriété intellectuelle ou documents internes copiés dans un service non approuvé.
• Failles et attaques : outils non mis à jour, extensions douteuses, contrôles faibles… autant de portes d’entrée possibles.
• Non-conformité : traitements hors cadre pouvant contrevenir aux exigences (dont le RGPD) et déclencher sanctions ou audits.
• Dérives opérationnelles : doublons, décisions prises sur des réponses inexactes, automatisations parallèles qui brouillent les processus.

La qualité des résultats est un risque à part entière : une « hallucination » de l’IA, utilisée dans une procédure, un reporting ou une analyse, peut créer des erreurs coûteuses et difficiles à rattraper.

Détecter le shadow IA : observer, mesurer, corriger

L’objectif n’est pas la surveillance punitive, mais la réduction de l’exposition. Comme sur un poste de travail, on identifie d’abord les pratiques réelles, puis on sécurise. Un socle efficace combine :

1. Monitoring des flux : repérer des domaines, API et volumes de transfert liés à des services d’IA non référencés.
2. Analyse des journaux : détecter anomalies d’usage (exports massifs, nouvelles extensions, connexions inhabituelles).
3. Audits réguliers : contrôler navigateurs, SaaS, postes, et vérifier l’alignement avec les politiques internes.
4. Contrôle des accès : appliquer le moindre privilège, limiter installations et exécutions non autorisées.

À armes égales, l’IA peut aussi aider : détection de comportements atypiques, alertes ciblées et priorisation des actions correctives.

Prévenir sans bloquer : règles claires, outils sûrs, formation continue

Interdire l’IA en bloc pousse souvent les usages dans l’ombre. Une stratégie de sécurité au travail privilégie la prévention : cadrer, équiper, former, puis améliorer.

• Gouvernance lisible : règles de classification, contenus interdits, circuit court de validation des nouveaux outils.
• Alternatives approuvées : comptes entreprise, assistants internes, environnements de test isolés.
• Garde-fous techniques : prévention des fuites, journalisation, mises à jour, gestion stricte des extensions.
• Formation « usage sûr » : anonymisation, vérification des réponses, bonnes pratiques de partage et de conservation.
• Culture de déclaration : canal simple pour signaler un besoin ou un outil repéré, afin de corriger vite et sans stigmatiser.

En traitant l’IA comme un équipement de travail — évalué, testé, documenté, puis déployé — vous réduisez le contournement et sécurisez les gains de productivité.

Sur le même sujet : Shadow IA : comment sécuriser son SI face à l'IA invisible.