Shadow AI dans les PME : risques, ampleur et approche

Le shadow IT est un phénomène connu : des collaborateurs qui utilisent leurs propres outils et systèmes sans l’accord de l’IT. Le shadow AI en est la nouvelle variante. Il progresse plus vite qu’un service informatique ne peut suivre.

Ce livre blanc explique ce qu’est le shadow AI, quelle est son ampleur, quels risques il comporte et comment votre organisation peut y faire face sans freiner l’innovation.

Qu’est-ce que le shadow AI ?

Le shadow AI, c’est l’utilisation d’outils d’IA par des collaborateurs sans que l’organisation le sache ou l’ait autorisée. Il ne s’agit pas de malveillance. Il s’agit de collaborateurs qui veulent travailler mieux ou plus vite et qui utilisent pour cela des outils qu’ils ont trouvés de leur propre initiative.

Quelques exemples concrets : un collaborateur qui fait réécrire des e-mails clients par ChatGPT. Une personne des RH qui fait résumer des lettres de candidature par un outil d’IA. Un collaborateur marketing qui fait créer des images par un service d’IA gratuit. Un collaborateur financier qui utilise une extension de navigateur dotée d’IA pour analyser des tableurs.

Toutes ces situations ont deux points communs. L’organisation n’en sait rien. Et des données de l’entreprise sont traitées par des canaux que l’organisation n’a ni approuvés, ni évalués, ni encadrés par contrat.

L’ampleur du problème

L’usage de l’IA générative au travail a progressé rapidement. Une part importante de cet usage échappe à l’approbation, à la politique ou au regard de l’employeur. Dans le Work Trend Index de Microsoft et LinkedIn de mai 2024, trois quarts des travailleurs du savoir déclaraient utiliser l’IA au travail. Parmi ces utilisateurs, 78 % apportaient leurs propres outils d’IA au travail, ce qu’on appelle le « bring your own AI ». Ce phénomène touchait toutes les tranches d’âge, en particulier les plus jeunes.

Dans les petites et moyennes entreprises, cette part était encore un peu plus élevée, à 80 %. Microsoft utilise toutefois sa propre classification par taille d’entreprise. Le shadow AI est en outre particulièrement difficile à maîtriser dans les PME. Les grandes entreprises disposent plus souvent d’équipes de sécurité et de logiciels capables de repérer le trafic vers des services d’IA publics. C’est précisément ce qui manque souvent dans une PME.

Résultat : une organisation de plus petite taille a souvent peu de visibilité sur les outils d’IA utilisés par ses collaborateurs, sur les données qui y sont partagées et sur les risques qui en découlent.

Les risques

Le shadow AI comporte quatre types de risques.

1. Perte de données et vie privée

Lorsque des collaborateurs saisissent des données de l’entreprise dans des outils d’IA publics, ces données quittent l’organisation. Elles sont traitées sur des serveurs externes, éventuellement hors de l’UE. Selon l’outil, le type de compte, les paramètres et le contrat, elles peuvent aussi servir à améliorer des modèles d’IA.

Les extensions de navigateur sont une forme particulièrement risquée de shadow AI dès qu’elles disposent de droits étendus. Un collaborateur pense utiliser un bouton de résumé bien pratique. Pendant ce temps, l’extension peut lire le texte affiché à l’écran, y compris des e-mails confidentiels, des données financières et des informations clients. Cela peut devenir, en réalité, une fuite de données ou un traitement illicite, avec un vernis d’IA.

Ce n’est pas seulement un risque pour l’entreprise. C’est aussi un risque au regard du RGPD, la loi européenne sur la protection des données. En Belgique, l’Autorité de protection des données peut intervenir dès que le shadow AI entraîne un traitement illicite de données personnelles ou une fuite de données qui doit être notifiée.

2. Risques de qualité

Les outils d’IA produisent des textes qui semblent convaincants mais peuvent être factuellement faux. On parle d’hallucinations. Lorsque des collaborateurs non formés utilisent des textes générés par l’IA sans les vérifier, des informations erronées peuvent se retrouver dans la communication avec les clients, dans des rapports ou dans des décisions.

Un exemple concret : des avocats ont été sanctionnés et condamnés à des amendes pour avoir repris dans des actes de procédure une jurisprudence inventée par l’IA. L’IA avait tout simplement imaginé ces affaires. Personne ne l’avait vérifié avant le dépôt de l’acte.

3. Risques de conformité

Pour respecter l’EU AI Act, votre organisation doit savoir en pratique quels systèmes d’IA elle utilise et quel niveau de risque s’y rattache. Pour l’IA à haut risque, la loi impose en outre des exigences spécifiques en matière de documentation et d’utilisation. Si vous ne savez pas que des collaborateurs utilisent l’IA, vous ne pouvez pas en dresser l’inventaire. Et si une autorité de contrôle vous demande quels systèmes d’IA vous utilisez, « nous ne le savons pas » n’est pas une réponse convaincante. Ce que la loi vous demande en matière de littératie en IA figure sur la page EU AI Act.

L’EU AI Act interdit par ailleurs un certain nombre de pratiques que des collaborateurs pourraient utiliser sans s’en rendre compte. La reconnaissance des émotions des collaborateurs sur le lieu de travail ? Interdite, sauf pour des raisons médicales ou de sécurité. Utiliser l’IA pour sonder l’humeur des clients n’est pas automatiquement interdit. Cela touche toutefois à la transparence, au RGPD et à la protection des consommateurs. Attribuer aux personnes une note sur leur comportement (notation sociale) et les défavoriser ainsi de manière injustifiée ou disproportionnée ? Interdit. D’autres formes de notation peuvent relever du haut risque plutôt que de l’interdiction, selon leur finalité et leur effet. Nous expliquons séparément quand vous devez signaler l’usage de l’IA aux personnes concernées. Notre checklist de conformité EU AI Act gratuite vous aide à déterminer en dix étapes où en est votre organisation.

4. Risques de réputation

Imaginez qu’un client découvre que ses données confidentielles ont été traitées par un outil d’IA public. Ou qu’un candidat découvre que sa lettre de motivation a été résumée par ChatGPT sans son accord. Le dommage à la réputation peut être plus important que les conséquences juridiques.

Pourquoi interdire ne suffit pas

La première réaction face au shadow AI est souvent l’interdiction. Bloquer ChatGPT sur le réseau de l’entreprise. Interdire les extensions de navigateur dotées d’IA. Rédiger une politique stricte assortie de sanctions.

Interdire ne suffit pas. Bloquer les outils risqués peut être un volet nécessaire de votre politique. Mais une interdiction sans alternatives approuvées, sans politique et sans formation pousse généralement l’usage encore plus dans l’ombre. Les collaborateurs trouvent souvent un moyen de contourner l’interdiction. Le shadow AI est presque toujours le signe d’un besoin, pas d’une mauvaise volonté. Ne le voyez donc pas comme une rébellion. Voyez-le comme une étude de marché gratuite sur ce dont votre équipe a besoin. Et l’IA ne va pas disparaître : les organisations qui l’interdisent risquent de prendre du retard. Souvent, les gens tirent aussi tout simplement trop peu des outils qu’ils trouvent de leur propre initiative.

L’approche : canaliser au lieu de seulement bloquer

Le rôle du service informatique

L’IT peut bloquer des outils, surveiller le trafic réseau et gérer les licences professionnelles. Mais la politique doit venir de la direction, la formation des RH et le changement de culture de tout le monde. Que votre organisation soit fournisseur ou déployeur change ce que l’on attend de vous. Un fournisseur développe un système d’IA. Un déployeur l’utilise.

Une approche intelligente : utilisez votre pare-feu non seulement pour bloquer, mais aussi pour rediriger. Un collaborateur se rend sur un site d’IA qui n’a pas été approuvé ? Redirigez-le alors vers une page interne avec ce message : « Vous souhaitez utiliser l’IA ? Bonne idée. Utilisez notre environnement sécurisé et suivez d’abord la formation à la littératie en IA. »

Conclusion

Le shadow AI ne se résout pas par la seule interdiction. C’est le signe que votre organisation est en retard sur les besoins de ses collaborateurs. La solution n’est pas moins d’IA, mais une meilleure IA : approuvée, sécurisée et soutenue par une politique et une formation.

En prenant le shadow AI au sérieux, vous résolvez souvent deux problèmes à la fois. Le risque de conformité diminue. Et la productivité peut augmenter, car les collaborateurs travaillent avec de meilleurs outils et de manière plus sûre. Ce que la formation rapporte, nous l’avons calculé séparément.

Besoin d’aide pour vous attaquer au shadow AI dans votre organisation ? AIAdopt vous accompagne, de l’inventaire et de l’évaluation des risques jusqu’à la politique et la formation. Dans notre formation à la littératie en IA, le shadow AI revient dans les modules pour les collaborateurs, la direction et l’IT. Avec le Scan d’Adoption IA gratuit, vous dressez de façon anonyme l’inventaire des chatbots d’IA que vos collaborateurs utilisent de leur propre initiative. Vous préférez nous confier l’inventaire et l’évaluation des risques ? C’est possible via un AI Adoption Assessment. Sinon, contactez-nous tout simplement.

Source : Microsoft et LinkedIn, AI at Work Is Here. Now Comes the Hard Part, Work Trend Index 2024, publié le 8 mai 2024.

Rédigé par Rob Ummels en collaboration avec Claude (Anthropic). Responsabilité éditoriale finale : Rob Ummels.