Le shadow AI, c'est quoi au juste ?

« Shadow AI », ça sonne comme un thriller. La réalité est plus banale, et plus répandue : quelqu’un au marketing colle une liste de clients dans un chatbot pour la nettoyer. Quelqu’un aux opérations bâtit un petit outil avec un assistant IA pour suivre des demandes, et il devient discrètement vital. Quelqu’un rédige le résumé d’un contrat dans un outil dont personne, à la sécurité, n’a jamais entendu parler.

Aucune de ces personnes n’est imprudente. Elles font leur travail plus vite. C’est tout l’enjeu, et c’est précisément pour ça que le shadow AI n’est pas vraiment un problème « d’IA ».

Une définition de travail

Le shadow AI, c’est l’écart entre l’IA que votre organisation a sanctionnée et l’IA que votre organisation utilise réellement. C’est la seconde moitié (celle que vous ne voyez pas) qui pose problème.

C’est le descendant direct du « shadow IT », ce vieux phénomène des employés qui utilisent des applis et des services cloud non sanctionnés. Mais deux choses rendent la version IA plus tranchante :

La barrière à l’entrée est nulle. Monter une base de données clandestine demandait jadis un certain effort. Coller des données dans une fenêtre de chat n’en demande aucun.
Les données partent quelque part à l’entrée, pas seulement à la sortie. Avec une appli SaaS, on s’inquiète de l’endroit où les données sont stockées. Avec les outils d’IA, le moment sensible, c’est souvent le prompt lui-même : ce qui est envoyé, à qui, et si ça entraîne quoi que ce soit.

Pourquoi c’est un problème de visibilité, pas de discipline

L’instinct, c’est de présenter ça comme des gens qui enfreignent les règles. Ce cadrage mène droit au mauvais remède (plus de règles, des e-mails plus sévères) et passe à côté de ce qui se passe vraiment : les gens attrapent l’outil qui supprime la friction, à chaque fois. Si la voie sanctionnée est plus lente que la voie de l’ombre, c’est la voie de l’ombre qui gagne. Elle gagne toujours. Vous ne battrez pas le confort à coups de discipline.

Alors la question utile n’est pas « comment arrête-t-on les gens ? ». C’est : « pourquoi ne voyons-nous pas ce qu’ils font déjà, et pourquoi la voie sûre est-elle la voie lente ? » Le shadow AI est un symptôme. La maladie, c’est l’écart entre la vitesse à laquelle les gens ont besoin d’avancer et la vitesse à laquelle vos outils approuvés le leur permettent.

Les formes que prend le shadow AI

Il est utile de nommer les variantes, parce qu’elles portent des risques différents :

Le shadow input : alimenter en données d’entreprise ou personnelles un outil que personne n’a vérifié. Le risque, c’est la fuite et l’exposition à la conformité.
Le shadow output : expédier du contenu, du code ou des décisions générés par l’IA sans relecture. Le risque, c’est l’exactitude et la responsabilité.
Les shadow tools : bâtir avec l’IA de petites applis et automatisations qui deviennent de vraies infrastructures sans jamais être possédées, documentées ni gouvernées. Le risque, c’est celui que personne ne voit venir : un processus critique qui tourne sur quelque chose sans propriétaire et sans interrupteur.

Ce troisième cas, c’est le géant silencieux. Un prototype qui « marche, tout simplement » est partagé, puis on s’appuie dessus, puis il collecte des données, et voilà que vous avez un système de référence qui existe entièrement hors des livres.

Une façon plus saine d’y penser

Les organisations qui s’en sortent bien ne commencent pas par une interdiction. Elles commencent par deux gestes :

Faire de la voie sûre la voie rapide. Si utiliser l’IA de la manière approuvée est aussi rapide que par la voie de l’ombre, l’essentiel de l’ombre s’évapore tout seul. Les gens n’étaient pas attachés à l’outil non sanctionné ; ils étaient attachés au fait de ne pas attendre.
Rendre l’usage visible par conception. On ne peut pas gouverner ce qu’on ne voit pas. Le but n’est pas la surveillance : c’est que, lorsqu’un outil bâti par l’IA se met à collecter de vraies données, il apparaisse sur une carte plutôt que dans l’onglet de navigateur de quelqu’un.

Remarquez qu’aucun de ces deux gestes n’est « dire non ». Dire non ne fait que pousser l’activité plus loin dans l’obscurité, soit l’exact opposé de ce que vous voulez.

C’est le problème auquel nous pensons sans arrêt chez Bailey. Quand quelqu’un construit quelque chose avec l’IA et le met en ligne, le résultat ne devrait pas être une nouvelle ombre, il devrait être l’inverse : une chose visible, bornée et coupable dès le premier jour, sans que personne ait à ouvrir un ticket pour qu’il en soit ainsi. Le remède au shadow AI, ce n’est pas moins d’IA. C’est une IA qui arrive déjà gouvernée.