Ce qu’il faut retenir : le Shadow AI expose désormais les entreprises à des incidents bien réels sur leurs données. Dans une enquête menée auprès de responsables IT de grandes entreprises, près de 80 % déclarent avoir déjà subi une conséquence négative liée à l’IA générative, et 44 % l’introduction ou la fuite de données sensibles [2]. Pour protéger votre propriété intellectuelle, vous devez instaurer une gouvernance stricte incluant l’anonymisation des prompts et une charte d’usage claire. Adaliance, organisme de formation certifié Qualiopi, forme vos collaborateurs pour en faire une muraille de sécurité consciente, avec des formations pratiques et un accompagnement sur-mesure.
Le Shadow AI expose aujourd’hui un grand nombre d’entreprises à des fuites de données : les équipes IT n’ont de visibilité et de contrôle que sur moins de 20 % des applications IA réellement utilisées [1]. L’usage non supervisé d’outils d’intelligence artificielle générative transforme un geste banal – copier un contrat, un fichier client ou un reporting dans une IA – en une potentielle faille de sécurité.
Le blocage technique des plateformes reste insuffisant : 70 % des décideurs IT interrogés par ManageEngine déclarent avoir déjà identifié des usages d’IA non autorisés dans leur organisation [3]. Nous allons voir comment instaurer une gouvernance stricte et une culture de la sécurité des données ia pour transformer vos salariés en remparts cyber conscients.
- Les risques de l’usage sauvage de l’IA en entreprise (Shadow AI)
- IA et RGPD : quelles données peut-on transmettre aux LLM ?
- Rédiger et faire appliquer une charte d’usage de l’IA interne
- La sensibilisation des collaborateurs, pilier de la cybersécurité IA
Les risques de l’usage sauvage de l’IA en entreprise (Shadow AI)
Le Shadow AI expose les entreprises à des fuites de données via des outils non supervisés : les équipes IT et sécurité n’ont de visibilité et de contrôle que sur moins de 20 % des applications IA effectivement utilisées [1]. La solution réside dans une gouvernance humaine stricte, l’anonymisation systématique des prompts et une charte d’utilisation claire pour transformer chaque collaborateur en rempart cyber.
Fuite d’informations et illusion d’étanchéité des outils gratuits
Le Shadow AI désigne l’usage d’outils d’IA générative sans l’aval de votre DSI. Les versions gratuites créent une fausse impression de sécurité : l’interface ressemble à une conversation privée alors que les informations saisies sont traitées par un service tiers. Ces offres grand public n’apportent pas les mêmes garanties que les offres professionnelles.
Selon l’outil, l’offre souscrite et son paramétrage, les données partagées peuvent servir à améliorer les modèles. OpenAI indique par exemple que les données de ses offres Business, Enterprise et de son API ne sont pas utilisées par défaut pour entraîner ses modèles, alors que les conversations des comptes personnels peuvent l’être selon les réglages choisis [4]. Vos données confidentielles et votre propriété intellectuelle sortent alors de votre périmètre de maîtrise.
70 % des décideurs IT interrogés déclarent avoir déjà identifié des usages d’IA non autorisés dans leur organisation [3]. Ce chiffre souligne l’urgence d’agir.
Cette pratique fragilise votre périmètre de défense global. Il devient impératif de renforcer votre expertise cyber-sécurité pour contrer ces nouveaux vecteurs de menaces.
L’interdiction pure et simple s’avère rarement efficace. Vos collaborateurs contournent les blocages techniques dès qu’ils y trouvent un bénéfice de productivité immédiat.
- Historique des conversations stocké sur des serveurs tiers.
- Réutilisation éventuelle des données pour l’apprentissage, selon les conditions du fournisseur.
- Comptes personnels et outils non validés par l’entreprise.
- Connexion à des documents internes sans gouvernance suffisante.
- Risque de prompt injection lorsque l’IA exploite des contenus externes.
La vigilance humaine constitue votre première ligne de défense. Développer une solide culture de la donnée est donc vital pour l’organisation.
Vous devez passer d’une posture défensive à un accompagnement structuré. L’IA ne remplace pas le professionnel, elle l’augmente si elle est maîtrisée.
La conformité légale impose un cadre strict pour protéger vos actifs numériques. Le respect des réglementations protège votre responsabilité juridique.
Consultez l’étude de cas FIDH : Cyber protection et sécurité des données pour comprendre ces enjeux. La protection des données est un combat permanent.
La sécurité des données ia repose également sur le respect du RGPD. Ce cadre juridique définit vos obligations de traitement.
Apprendre à trier les informations avant chaque prompt devient indispensable.
IA et RGPD : quelles données peut-on transmettre aux LLM ?
Au-delà des risques techniques, la conformité juridique impose un cadre rigoureux sur la nature des informations traitées par les algorithmes.
Règles de tri entre données publiques, internes et personnelles/sensibles
Le RGPD s’applique dès qu’une donnée permet d’identifier une personne physique, directement ou indirectement. Vous portez la responsabilité du traitement lors de chaque prompt : finalité, base légale, minimisation et sécurité continuent de s’appliquer. La distinction entre données anonymes et identifiantes est donc votre premier rempart.
La CNIL rappelle qu’il ne faut soumettre à une IA que des informations que l’on est autorisé à partager, et jamais de données personnelles, confidentielles ou couvertes par un secret dans un service grand public dépourvu de garanties appropriées [5].
Une donnée saisie dans un prompt n’est pas pour autant intégrée aux poids du modèle : affirmer qu’elle devient impossible à supprimer serait excessif. En revanche, dès que des données personnelles sont confiées à un fournisseur tiers, vous devez vérifier les durées de conservation, les modalités d’effacement et l’exercice des droits. Soyez donc extrêmement vigilants avant toute validation d’envoi.
| Type de donnée | Définition | Risque IA | Autorisation de prompt |
|---|---|---|---|
| Données publiques | Open Data, FAQ, docs techniques | Faible : informations déjà diffusées | OUI |
| Données internes | Processus métiers, corpus internes | Moyen : fuite de secret industriel | SOUS CONDITIONS |
| Données confidentielles | Contrats, stratégie, propriété intellectuelle | Élevé : perte d’un actif immatériel | Uniquement sur outil autorisé |
| Données personnelles | Identifiants RH, fichiers clients | Élevé : violation de la vie privée | Sous conditions RGPD |
| Données sensibles | Santé, opinions, biométrie | Critique : préjudice grave | Non, sauf garanties renforcées |
Privilégiez des solutions dont les serveurs sont localisés en Europe. Attention toutefois : l’hébergement européen ne garantit pas à lui seul votre souveraineté numérique. Examinez toute la chaîne : fournisseur, sous-traitants, lieux de traitement, transferts éventuels et garanties contractuelles.
Intégrez la notion de » Privacy by Design » dès le choix de vos outils. Vos assistants doivent nativement limiter l’exposition des données.
Découvrez aussi Comment se mettre en conformité RGPD pour structurer votre démarche globale. C’est une étape structurante pour votre sécurité.
Votre DPO doit être associé avant tout déploiement significatif. Une analyse d’impact (AIPD) n’est pas systématique, mais elle s’impose lorsque le traitement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes. Ne négligez jamais cette étape réglementaire.
- Vérifier les CGU et la politique de confidentialité de l’outil
- Désactiver la réutilisation des conversations pour l’entraînement lorsque l’option existe
- Privilégier les offres professionnelles et les API offrant des garanties adaptées
- Sensibiliser au principe de minimisation
- Faire valider en interne les traitements les plus risqués
La conformité est un processus continu. Elle nécessite une surveillance constante des usages et des évolutions technologiques. Votre vigilance doit rester totale.
Cette rigueur permet de bâtir une charte d’utilisation concrète. Elle transforme vos collaborateurs en acteurs de la sécurité des données.
Rédiger et faire appliquer une charte d’usage de l’IA interne
Pour transformer ces principes juridiques en réflexes quotidiens, l’entreprise doit se doter d’un document de référence : la charte d’usage.
Structure d’une charte efficace + anonymisation des prompts
La charte ne doit pas être un frein mais un mode d’emploi. Elle instaure un cadre de confiance. Ce document guide vos équipes vers une utilisation responsable des outils.
Voici les 5 règles d’or de la confidentialité IA :
- Ne nommer clients ou collègues que dans un outil validé par l’entreprise, et seulement si la tâche l’exige : jamais dans un service grand public.
- Ne transmettre que les chiffres utiles à la tâche, arrondis ou en ordre de grandeur quand le détail n’apporte rien.
- Supprimer les identifiants directs, puis rechercher les identifiants indirects.
- Relire chaque prompt avant envoi et vérifier que l’outil est autorisé.
- Définir les cas où l’usage de l’IA doit être signalé ou soumis à validation.
Utilisez systématiquement la technique de l’anonymisation par variables : remplacer » Société X » par [Entreprise A] est un geste simple et efficace ; pour les chiffres, un arrondi ou un ordre de grandeur suffit le plus souvent, sauf si la tâche demandée repose sur la valeur exacte. Attention cependant à la portée réelle du geste : juridiquement, il s’agit le plus souvent d’une pseudonymisation, pas d’une anonymisation. En février 2026, le Conseil d’État a rappelé qu’une donnée pseudonymisée n’est anonyme que si le risque d’identification est insignifiant et la réidentification irréalisable en pratique [6].
Le Conseil du Formateur Expert Adaliance :
Une partie des équipes que j’accompagne travaille sur des données de santé. Dans ce domaine, la pseudonymisation ne doit jamais donner une fausse impression de sécurité : remplacer un nom par un identifiant ne suffit pas si une date d’acte, un code postal et un âge permettent encore de retrouver la personne.
En atelier, je fais donc chercher aux équipes les identifiants indirects qui subsistent dans leurs propres jeux de données. C’est souvent là qu’elles découvrent qu’un prompt qu’elles croyaient anonymisé ne l’était pas. Ce réflexe devient impératif dès que les données relèvent de l’article 9 du RGPD – santé, convictions religieuses, opinions politiques, orientation sexuelle, biométrie – ou du régime particulier du numéro de sécurité sociale : leur traitement est en principe interdit sauf exception, et une réidentification y causerait un préjudice bien plus lourd. Le bon réflexe n’est pas de masquer les noms, mais de se demander ce qui reste identifiable une fois les noms retirés.
Stéphane Girardot, Formateur et consultant en transformation des usages IA
Ces réflexes permettent de partager et collaborer efficacement en toute sécurité. La maîtrise technique contribue à protéger vos actifs immatériels.
La transparence vis-à-vis des clients demeure primordiale. Il n’existe cependant pas d’obligation générale de mentionner l’IA dans chaque email ou chaque livrable : les règles dépendent du contexte, des engagements contractuels et, dans certains cas, des obligations prévues par l’AI Act. Précisez dans la charte les situations où la mention est attendue.
Précisez les sanctions possibles en cas de non-respect. Restez toutefois pédagogique dans votre approche globale. La peur n’est pas un bon moteur pour l’adoption technologique.
Pensez aussi à sensibiliser les managers à l’IA. Ils sont les garants de l’application réelle de ces règles sur le terrain.
La charte doit rester évolutive. L’IA progresse vite, vos règles doivent suivre le rythme. Prévoyez des révisions régulières selon les nouveaux outils.
Annexer ce document au règlement intérieur ne lui confère pas automatiquement une valeur juridique. Si la charte prévoit des règles susceptibles d’avoir une portée disciplinaire, son articulation avec le règlement intérieur doit être examinée avec vos fonctions RH et juridiques.
La théorie ne suffit pas pour sécuriser vos flux. L’aspect humain et la formation deviennent alors indispensables pour ancrer ces pratiques.
La sensibilisation des collaborateurs, pilier de la cybersécurité IA
Aucun outil technique ne remplacera jamais le discernement d’un collaborateur bien formé aux enjeux de la data.
La technologie ne suffit pas sans formation humaine
L’acculturation constitue votre première ligne de défense. Un salarié comprenant réellement les risques sera beaucoup moins enclin à contourner les protocoles établis. Vous obtenez ainsi des collaborateurs capables de décider ce qu’ils peuvent confier à une IA.
Cette exigence est désormais réglementaire. Depuis le 2 février 2025, l’article 4 de l’AI Act impose aux organisations qui déploient des systèmes d’IA de développer la maîtrise de l’IA des personnes qui les utilisent pour leur compte, et les règles de surveillance et d’exécution s’appliquent depuis le 3 août 2026 [7]. Aucun niveau uniforme n’est imposé : la démarche doit être adaptée aux systèmes utilisés, au contexte et aux personnes concernées.
Adaliance déploie des parcours spécifiques pour encadrer l’usage de ces outils. Il devient alors possible de se former à un usage sécurisé de l’IA avec nos experts.
Évaluer votre maturité actuelle est indispensable avant toute action. Pensez à réaliser un Diagnostic de cybersécurité en entreprise complet.
La formation doit impérativement intégrer des ateliers pratiques et concrets. Manipuler l’IA en environnement contrôlé change nettement la perception du risque chez vos équipes.
Adaliance est un organisme de formation certifié Qualiopi au titre des actions de formation. Cette certification ouvre l’accès aux dispositifs de financement de la formation professionnelle, sans garantir à elle seule une prise en charge par votre OPCO : celle-ci dépend des critères du financeur et du dossier concerné. Nos dispositifs intègrent une évaluation des acquis en fin de parcours et un suivi de la mise en pratique quelques semaines après la session.
Vos managers doivent incarner ces bonnes pratiques au quotidien. Si la direction néglige les règles élémentaires, les équipes reproduiront inévitablement ces comportements à risque.
L’exemplarité managériale reste le moteur de votre gouvernance. Apprenez comment sensibiliser ses équipes à la cybersécurité durablement.
L’IA représente un gain de productivité réel lorsque son usage est cadré. La maîtrise humaine conditionne la pérennité de vos projets.
La sécurité n’est pas une option. C’est le socle indispensable de votre innovation future.
Contactez nos consultants pour bâtir un programme d’accompagnement sur-mesure adapté à vos enjeux.
La maîtrise de la sécurité des données ia repose sur une gouvernance stricte, l’anonymisation des prompts et une charte d’usage claire. Formez vos équipes pour qu’elles sachent ce qu’elles peuvent confier à une IA, et dans quelles conditions. L’IA ne remplace pas le professionnel, elle l’augmente si vous sécurisez votre innovation.
FAQ
Qu’est-ce que le Shadow AI en entreprise et pourquoi est-ce dangereux ?
Le Shadow AI désigne l’utilisation par les collaborateurs d’outils ou de fonctionnalités d’IA générative sans validation ni supervision de l’entreprise. Le danger majeur réside dans la fuite involontaire de données confidentielles ou d’informations clients vers des services tiers dont les conditions de traitement et de sécurité n’ont pas été évaluées.
Peut-on mettre des données clients dans ChatGPT ?
Oui, mais pas n’importe quelles données ni dans n’importe quelles conditions. Évitez les comptes gratuits grand public : pour traiter des données clients ou stratégiques, utilisez une offre professionnelle (Team, Enterprise ou API) offrant des garanties contractuelles sur la réutilisation des données. Le traitement doit rester conforme au RGPD, validé en interne, limité au strict nécessaire, et les informations nominatives pseudonymisées au préalable dans vos prompts.
Comment sensibiliser efficacement les salariés aux risques de l’IA ?
L’interdiction seule étant rarement efficace, privilégiez des ateliers pratiques de sensibilisation. Enseignez la méthode d’anonymisation des données, publiez une charte d’usage claire et fournissez des environnements IA professionnels sécurisés et validés par votre DSI.
Sources
[1] Zluri – The State of AI in the Workplace 2025 : étude portant sur plus de 160 organisations et plus de 400 000 utilisateurs ; les équipes IT et sécurité disposent d’une visibilité ou d’un contrôle sur moins de 20 % des applications IA utilisées.
[2] Komprise – AI, Data & Enterprise Risk Report, 2025 : près de 80 % des responsables IT interrogés déclarent avoir rencontré des conséquences négatives liées à l’IA générative, 44 % mentionnant l’introduction ou la fuite de données sensibles.
[3] ManageEngine – The Shadow AI Surge in Enterprises, 2025 : 70 % des décideurs IT interrogés déclarent avoir identifié des usages d’IA non autorisés dans leur organisation.
[4] OpenAI – documentation sur la confidentialité des données professionnelles : les données des offres Business, Enterprise et de l’API ne sont pas utilisées par défaut pour entraîner les modèles.
[5] CNIL – questions-réponses sur l’utilisation d’un système d’IA générative : recommandations sur les informations transmises aux services grand public et la sensibilisation des utilisateurs.
[6] Conseil d’État – décision n° 498628, 13 février 2026 : une donnée pseudonymisée n’est anonyme que si le risque d’identification est insignifiant et l’identification irréalisable en pratique.
[7] Commission européenne – Maîtrise de l’IA : questions et réponses, 2026 : l’article 4 de l’AI Act impose des mesures de développement de la maîtrise de l’IA depuis le 2 février 2025 ; règles de surveillance et d’exécution applicables depuis le 3 août 2026.