Pourquoi le Shadow AI révèle un manque de formation à l'intelligence artificielle

Le Shadow AI désigne l'utilisation d'outils d'intelligence artificielle qui n'ont pas été validés ou encadrés par l'entreprise. Un collaborateur peut donc par exemple utiliser ChatGPT avec son compte personnel pour rédiger un rapport, demander à Claude d'analyser un contrat ou encore utiliser Gemini pour résumer une réunion, sans que ces usages ne soient connus du service informatique. Ces outils numériques, accessibles en quelques clics depuis un navigateur ou des applications mobiles, échappent alors complètement à la DSI et au système d'information de l'entreprise.

En l'absence de cadre clair, des données confidentielles peuvent être transmises à des services d'IA externes, des informations sensibles peuvent être utilisées dans des prompts, ou encore des contenus erronés peuvent être intégrés dans des livrables sans avoir été vérifiés. Le Shadow AI soulève ainsi des enjeux de cybersécurité, de confidentialité, de conformité réglementaire, mais également de protection de la propriété intellectuelle de l'entreprise. Lorsqu'un collaborateur copie un extrait de son CRM ou l'historique d'un échange avec leurs clients, c'est même toute la relation-client qui peut se retrouver exposée.

Contrairement à ce qu'on pourrait penser, le Shadow AI n'est pas l'apanage des grandes entreprises, quelle que soit leur taille, toutes les organisations peuvent être confrontées à ce phénomène. Start-up, ETI ou grands groupes, de nombreuses entreprises françaises découvrent ainsi ces nouveaux usages bien après leur apparition dans les équipes.

Contrairement aux idées reçues, le Shadow AI ne traduit généralement pas une volonté des collaborateurs de nuire à leur entreprise.

Ce phénomène peut tout simplement être expliqué par le fait que les salariés privilégient avant tout les outils avec lesquels ils ont déjà leurs habitudes et qu'ils jugent les plus efficaces pour répondre à leurs besoins quotidiens. Car avec la transformation numérique, les salariés ont pris l'habitude d'innover par eux-mêmes et de tester de nouvelles solutions dès qu'elles répondent à leurs problématiques opérationnelles.

Cette situation est d'autant plus paradoxale que le Shadow AI apparaît fréquemment dans des entreprises qui disposent déjà d'un outil d'intelligence artificielle.

En l'absence de formation et d'une conduite du changement adaptée, les collaborateurs continuent souvent d'utiliser les solutions qu'ils connaissent le mieux, plutôt que celles officiellement mises à leur disposition. Autrement dit, le Shadow AI en dit souvent plus long sur la maturité de l'entreprise que sur le comportement de ses collaborateurs.

Face au Shadow AI, certaines entreprises choisissent d'interdire purement et simplement les outils d'intelligence artificielle, cette approche radicale peut sembler rassurante, mais celle-ci se révèle bien trop souvent complètement inefficace.

Lorsqu'un collaborateur estime qu'un outil lui permet de travailler plus vite, d'améliorer la qualité de son travail ou tout simplement d'obtenir des primes, celui-ci trouvera souvent un moyen de continuer à l'utiliser sous les radars en utilisant son ordinateur personnel, son smartphone ou un compte privé.

Cette situation est d'autant plus risquée, car les responsables informatiques perdent toute visibilité sur les données traitées, les modèles utilisés et les pratiques adoptées par les équipes, tandis que du côté des collaborateurs, quant à eux, continuent d'utiliser l'intelligence artificielle sans accompagnement ni sensibilisation. Pour la sécurité informatique comme pour le management, c'est le pire des scénarios, car le risque persiste mais devient invisible.

Le véritable défi n'est donc pas d'empêcher les collaborateurs d'utiliser l'intelligence artificielle, mais de leur donner un cadre clair pour le faire, en définissant des règles claires, en sensibilisant leurs collaborateurs et en investissant dans la formation IA. C'est pourquoi les entreprises doivent associer la direction générale, la DSI, la fonction RH et les directions métiers, y compris les directions financières, afin de piloter ensemble ces enjeux stratégiques et technologiques.

Encadrer le Shadow AI ne relève pas d'une simple décision technique, car pour les décideurs, il s'agit d'intégrer l'intelligence artificielle à une véritable stratégie de transformation, pensée à l'échelle de toute l'organisation.

1. Cartographier les usages existants Avant de fixer des règles, il est essentiel de comprendre quels outils sont déjà utilisés, par quelles équipes et pour quelles tâches. Cet état des lieux, mené avec la DSI et les responsables de l'architecture d'entreprise, permet d'identifier les données exposées et les bases de données concernées.

2. Proposer des outils validés et sécurisés Une fois les besoins identifiés, l'entreprise doit mettre à disposition des solutions digitales intégrées à ses systèmes d'information, afin d'offrir une alternative aussi simple que les outils grand public. C'est aussi un enjeu de cyberdéfense, car chaque usage ramené dans un cadre maîtrisé réduit la surface d'exposition de l'entreprise.

3. Définir une charte IA claire La charte IA précise les données autorisées, les outils validés et les bonnes pratiques à respecter, sans se transformer en une liste d'interdictions que personne ne lira. Rédigée avec la fonction RH et les directions métiers, elle s'inscrit naturellement dans le programme de transformation de l'entreprise.

4. S'appuyer sur les managers et des ambassadeurs IA Le manager digital joue un rôle clé, car c'est lui qui aide ses équipes à repenser leurs processus et à s'adapter aux nouveaux usages. En désignant des ambassadeurs IA dans chaque service, l'entreprise diffuse les bonnes pratiques et ancre durablement l'intelligence artificielle dans sa culture d'entreprise.

Ces leviers ne produisent toutefois de résultats que si les collaborateurs savent réellement utiliser les outils mis à leur disposition, et c'est précisément là que la formation entre en jeu.

Lorsque les usages de l'intelligence artificielle se développent sans cadre, le Shadow AI apparaît naturellement. En investissant dans une formation IA, les entreprises donnent à leurs collaborateurs les connaissances et les bonnes pratiques nécessaires pour adopter ces technologies en toute sécurité. Cette montée en compétences permet aussi de développer de nouvelles compétences utiles au quotidien, de la gestion de projet à l'expérience-client.

Une formation IA permet d'expliquer la charte IA de l'entreprise aux collaborateurs, les données qui peuvent être partagées dans les LLM (modèle d'IA), comment choisir le bon modèle d'intelligence artificielle selon les usages, quelles sont les limites des IA génératives et comment vérifier la fiabilité des réponses produites.

Enfin, la formation contribue également à construire une véritable culture de l'intelligence artificielle, les collaborateurs comprennent les enjeux liés à la confidentialité, à l'éthique de l'intelligence artificielle, au traitement des données et à l'automatisation. Insuffler une culture digitale de ce type ne se décrète pas, elle se construit dans la durée, avec des formats collaboratifs qui favorisent l'agilité et le partage des bonnes pratiques entre les équipes.

Ils deviennent ainsi acteurs et moteurs de la transformation digitale de leur entreprise plutôt que simples utilisateurs d'outils. En ce sens, la formation est l'un des meilleurs moyens d'accompagner la transformation, en transformant un usage subi en véritable levier de digitalisation pour l'ensemble de l'organisation.