Par Olivia Dubois
·
8 mai 2026
Le Shadow IA désigne l'utilisation d'outils d'intelligence artificielle par des collaborateurs sans validation, supervision ou visibilité suffisante de la DSI, du RSSI, du DPO ou des équipes achats. Il peut s'agir d'un assistant génératif public, d'une extension de navigateur, d'un outil SaaS intégrant de l'IA ou d'un agent connecté à des systèmes internes.
Le phénomène prolonge le Shadow IT, mais il augmente le niveau de risque : les données saisies dans un prompt peuvent contenir du code, des informations personnelles, des contrats, des captures d'écran ou des informations stratégiques difficiles à récupérer une fois transmises.
Le Shadow IA apparaît rarement par malveillance. Il vient surtout d'un écart entre la vitesse des besoins métier et la lenteur des circuits d'approbation.
Les collaborateurs adoptent ces outils pour :
Quand l'entreprise ne propose pas d'alternative claire, les équipes choisissent souvent l'outil le plus accessible, même s'il n'a pas été évalué.
| Critère | Shadow IT | Shadow IA |
|---|---|---|
| Objet | Applications SaaS, stockage, collaboration, messagerie | Assistants IA, modèles génératifs, agents, extensions IA |
| Donnée exposée | Fichiers et données stockées dans une application | Prompts, fichiers, captures, code, données personnelles |
| Détection | Dépenses, SSO, logs SaaS, trafic réseau | Plus difficile : comptes personnels, navigateur, API, extensions |
| Risque clé | Perte de visibilité et surface d'attaque élargie | Fuite de données, réutilisation de prompts, hallucinations, non-conformité |
| Cadre | RGPD, NIS2, DORA selon le contexte | RGPD, EU AI Act, NIS2, DORA, politiques internes IA |
La différence centrale est la nature des données. Un outil d'IA peut absorber des informations non structurées et sensibles dans une interaction très courte, sans achat, sans contrat et parfois sans trace dans les systèmes habituels.
Un prompt peut contenir un extrait de code source, une clause contractuelle, des informations clients, un fichier RH ou une stratégie commerciale. Si l'outil n'a pas été approuvé, l'entreprise ne sait pas toujours où ces données sont traitées, combien de temps elles sont conservées et si elles peuvent servir à améliorer le service.
Le Shadow IA complique les obligations du RGPD et de l'EU AI Act. Sans registre d'usage, il devient difficile de prouver la finalité du traitement, la base légale, la minimisation des données, la supervision humaine ou la classification du niveau de risque. Pour les organisations concernées par NIS2 ou DORA, l'absence de maîtrise des fournisseurs numériques devient aussi un sujet de résilience.
Quand une IA aide à trier des candidatures, analyser des dossiers clients ou produire des recommandations, l'entreprise doit savoir si la décision reste humaine, si les biais sont surveillés et si les résultats peuvent être expliqués. Le Shadow IA rend cette traçabilité fragile.
Les extensions IA peuvent lire le contenu de pages web, interfaces internes ou outils SaaS. Certaines demandent des permissions très larges. Sans inventaire ni politique claire, elles créent un angle mort pour la sécurité.
Ces usages peuvent être utiles. Le problème vient de l'absence de cadre, pas de l'IA elle-même.
Une stratégie efficace évite le réflexe du blocage général. Elle suit plutôt trois étapes.
Cartographier les outils IA utilisés réellement : domaines visités, connexions OAuth, extensions, dépenses, outils déclarés par les équipes et applications détectées dans le navigateur.
Évaluer chaque usage selon les données traitées, le département concerné, la criticité du processus, le fournisseur, le lieu d'hébergement et le niveau de risque EU AI Act.
Créer une politique d'usage lisible : données interdites, outils approuvés, cas nécessitant validation, règles de supervision humaine, formation des utilisateurs et processus d'incident.
Cette approche rejoint la gouvernance IA en entreprise : rendre les usages visibles, attribuer des responsabilités et permettre l'innovation dans un cadre maîtrisé.
Avanoo aide les entreprises à découvrir les outils SaaS et IA réellement utilisés, y compris ceux qui échappent aux achats ou au SSO. Les équipes peuvent identifier les usages à risque, prioriser les actions, engager les collaborateurs et construire un catalogue d'outils approuvés.
Le Shadow IA n'est pas seulement un problème de sécurité. C'est un signal : les équipes ont besoin d'IA, mais elles ont aussi besoin d'un cadre simple pour l'utiliser sans exposer les données, la conformité ou la confiance de l'entreprise.
Shadow AI Expert & Chief AI Officer
Olivia Dubois est Shadow AI Expert et Chief AI Officer chez Avanoo. Diplômée d'HEC Paris et ancienne consultante chez BCG, elle accompagne les entreprises dans la détection et la gouvernance du Shadow AI et du Shadow IT.
Découvrez comment Avanoo peut cartographier votre paysage SaaS et IA, réduire les risques et optimiser les coûts. Une plateforme fiable avec un accompagnement humain dédié.
