L’IA est déjà utilisée au sein de votre organisation.
La question est de savoir si vous savez où, comment et par qui.
Dans tous les secteurs d’activité, les employés utilisent des outils d’IA générative pour rédiger des courriels, résumer des réunions, analyser des données, créer des présentations, examiner des contrats, générer du code et répondre à des questions plus rapidement que jamais.
Dans bien des cas, elles le font sans autorisation, sans surveillance ni encadrement.
Ce phénomène en pleine expansion est connu sous le nom d’« IA fantôme » — et, pour de nombreuses organisations, il est en train de devenir le prochain grand défi en matière de cybersécurité et de gouvernance.
Qu’est-ce que l’IA fantôme?
Le terme « Shadow AI » désigne l’utilisation d’outils, d’applications ou de services d’intelligence artificielle à l’insu des équipes informatiques, de sécurité, juridiques ou de conformité d’une organisation, et sans leur accord ni leur contrôle.
En voici quelques exemples :
– Le téléchargement de documents vers des outils d’IA accessibles au public
– L’utilisation de l’IA pour résumer des données clients
– La génération de code à l’aide d’assistants IA non autorisés
– Le partage d’informations internes à l’entreprise avec des plateformes d’IA
– La connexion d’outils d’IA aux systèmes de l’entreprise sans
La plupart des employés ne cherchent pas à créer des risques. Ils essaient simplement de travailler plus efficacement.
Dans le contexte actuel, il est d’une facilité déconcertante de s’exposer à des risques importants sans s’en rendre compte. Ce n’est pas un manquement de la part des employés. Il s’agit d’une lacune en matière de gouvernance.
Pourquoi Shadow AI connaît-elle une croissance aussi rapide?
Les outils d’IA sont incroyablement accessibles. La plupart ne nécessitent rien de plus qu’une adresse courriel et un navigateur Web.
Les employés n’ont besoin ni d’autorisation, ni de formation, ni de processus d’approvisionnement. Ils peuvent commencer à utiliser l’IA en quelques minutes.
Une étude récente menée par Microsoft a révélé que 75 % des travailleurs du savoir utilisent l’IA au travail, et que 78 % des utilisateurs d’IA apportent leurs propres outils au travail plutôt que de se fier aux solutions approuvées par l’entreprise.
La plupart des organisations se concentrent sur la gestion des technologies approuvées, tandis que les employés ont de plus en plus souvent recours à leurs propres appareils.
Le risque, ce n’est pas l’IA. C’est une IA hors de contrôle.
L’IA en soi n’est pas le problème. C’est le manque de visibilité qui pose problème.
Lorsque les organisations ignorent quels outils d’IA sont utilisés, elles ne peuvent pas répondre à des questions fondamentales :
– Quelles données sont partagées?
– Où ces données sont-elles stockées?
– Qui y a accès?
– Ces informations servent-elles à entraîner des modèles externes?
– Leur utilisation est-elle conforme aux exigences réglementaires?
On ne peut pas gérer ce qu’on ne peut pas mesurer. Pour la plupart des organisations, cet écart n’est pas hypothétique : il existe déjà. Le risque est bien réel et n’est pas quantifié.
Ce que les employés publient pourrait bien vous surprendre
La plupart des employés n’ont absolument pas conscience de tout cela lorsqu’ils cliquent sur « Téléverser ». Des organisations ont signalé que des employés partageaient :
– des renseignements sur les clients;
– des contrats;
– des rapports financiers;
– des politiques internes;
– de la propriété intellectuelle;
A tool being widely used does not mean it has been assessed, contracted, or cleared for regulated data. Widespread adoption is not a vendor review.
La conformité devient de plus en plus complexe
Que votre organisation soit assujettie à des réglementations telles que la loi HIPAA, le RGPD ou la Loi 25 du Québec, ou qu’elle adhère à des normes de sécurité comme la norme ISO 27001 ou SOC 2, les attentes sont les mêmes : vous devez être en mesure de démontrer où se trouvent vos données, qui y a accès et comment elles sont protégées.
Shadow AI introduit une part d’incertitude dans tous ces domaines.
Lorsqu’un employé télécharge des données assujetties à une réglementation sur une plateforme d’IA non autorisée, les obligations de conformité sont enfreintes à ce moment-là — quelle que soit son intention, et souvent sans qu’il soit possible de récupérer ou de supprimer ce qui a été partagé.
C’est l’une des raisons pour lesquelles les organismes de réglementation du monde entier accordent une attention croissante à la gouvernance de l’IA.
Pourquoi les employés se tournent-ils vers l’IA parallèle?
La réponse est généralement simple : cela leur permet de travailler plus vite.
Les employés se tournent vers l’IA « fantôme » pour les raisons suivantes :
– Ils veulent gagner du temps
– Ils veulent améliorer leur productivité
– Ils veulent obtenir de meilleures réponses
– Ils veulent de l’aide pour les tâches répétitives
– Ils veulent aller plus vite que ne le permettent les processus existants
– Un collègue leur a parlé d’un nouvel outil, ou ils l’ont simplement
Les organisations qui réagissent en imposant des interdictions générales constatent que les employés contournent tout simplement ces mesures — souvent par des voies moins visibles. L’adoption de l’IA « fantôme » n’est pas toujours motivée par des difficultés. Certains employés explorent un nouvel outil simplement parce qu’il leur semble intéressant.
On ne peut pas réprimer la curiosité par des mesures réglementaires. Ce qu’on peut faire, c’est rendre la voie autorisée suffisamment rapide et crédible pour que la plupart des gens la choisissent.
La meilleure approche : la gérer, ne pas la combattre
L’objectif n’est pas d’empêcher l’adoption de l’IA. L’objectif est de la régir.
Pour gérer l’IA fantôme, il ne faut pas commencer par dresser une liste d’outils. Il faut d’abord savoir ce dont on dispose déjà.
Détecter dès le début
Les organisations les plus avancées détectent l’IA fantôme dès la phase d’intention — en repérant les processus d’inscription, les autorisations OAuth et les événements de création de compte avant que les données ne soient partagées, et non après. Cela permet aux équipes de sécurité d’intervenir dès le début plutôt que de devoir réagir à une fuite de données.
Élaborer une politique à trois niveaux
La gouvernance nécessite une politique fondée sur les risques et comportant trois niveaux bien définis :
– Ce qui est autorisé
– Ce qui nécessite une autorisation préalable à l’utilisation
– Ce qui est interdit, quelle que soit l’intention
Les employés qui ont officiellement pris connaissance de cette politique ne peuvent pas prétendre par la suite qu’ils ignoraient les règles. Cette prise de connaissance constitue l’un des mécanismes de responsabilisation les plus efficaces qui soient : elle élimine l’argument de défense « je ne savais pas » sans pour autant nécessiter de sanction.
Mettre en place une voie d’évaluation accélérée
Lorsque les employés ont réellement besoin d’outils d’IA pour accomplir leur travail, la solution réside dans un processus d’approbation simplifié, assorti de critères clairs et d’un délai d’exécution court. Lorsque la voie officielle est plus rapide que la voie parallèle, la plupart des gens la choisiront.
Tout outil approuvé doit également répondre véritablement aux besoins de l’employé. Une solution lente ou trop restrictive engendre une fausse confiance, tandis que l’IA « fantôme » continue de fonctionner discrètement en arrière-plan.
La vraie question
La plupart des organisations utilisent déjà l’IA. Beaucoup l’ignorent tout simplement.
Plus les dirigeants s’obstinent à croire que l’adoption de l’IA se fait uniquement par des voies approuvées, plus le manque de visibilité s’accentue.
Le plus grand risque lié à l’IA auquel sont confrontées la plupart des organisations aujourd’hui n’est pas l’intelligence artificielle en soi.
C’est l’IA qu’ils utilisent sans le savoir — et tant qu’ils ne le sauront pas, ils ne pourront pas gérer les risques qu’elle engendre.
L’IA fantôme est déjà présente au sein de votre organisation. La question est de savoir si vous disposez de la visibilité, de la gouvernance et des contrôles nécessaires pour la gérer.
Si vous ne savez pas exactement où l’IA est utilisée, quelles données sont partagées ou comment élaborer une stratégie concrète de gouvernance de l’IA, Citadelis peut vous aider.
