La Shadow AI (ou IA fantôme / IA clandestine) désigne l’utilisation d’outils, d’applications ou de services d’Intelligence Artificielle par des collaborateurs d’une organisation, sans l’autorisation, la connaissance ou le contrôle du service informatique (DSI) ou de la direction.
C’est l’exact équivalent de la Shadow IT (le « système d’information parallèle »), mais appliqué à l’IA.
- Exemple Shadow IT : Un salarié utilise un compte Dropbox personnel ou un Trello non validé par l’entreprise pour stocker des fichiers de travail.
- Exemple Shadow AI : Un salarié utilise la version gratuite et publique de ChatGPT, Copilot ou Midjourney sur son poste de travail pour automatiser des tâches, sans que l’entreprise n’ait négocié de contrat de confidentialité avec l’éditeur de l’outil.
Les risques majeurs
Contrairement à un simple logiciel non validé, l’IA génère des risques spécifiques liés à la donnée :
- Fuite de données (Data Leakage) : C’est le risque n°1. Les collaborateurs copient-collent des données confidentielles (code source, stratégies, données clients, mots de passe) dans des modèles publics qui peuvent les stocker et les réutiliser pour entraîner leurs algorithmes.
- Non-conformité légale : Utilisation d’outils non conformes au RGPD, aux droits d’auteur ou aux réglementations sectorielles (ex: secret médical, bancaire).
- Hallucinations et réputation : Publication ou utilisation en interne de contenus générés par IA, non vérifiés, inexacts ou biaisés.
- Dette technique et silos : Prolifération d’outils qui ne communiquent pas avec le système d’information officiel de l’entreprise.