{"id":14,"date":"2026-08-22T17:31:58","date_gmt":"2026-08-22T15:31:58","guid":{"rendered":"https:\/\/ia.weve.fr\/blog\/shadow-ai-entreprise-usages-invisibles\/"},"modified":"2026-08-31T14:09:40","modified_gmt":"2026-08-31T12:09:40","slug":"shadow-ai-entreprise-usages-invisibles","status":"publish","type":"post","link":"https:\/\/capiaresponsable.fr\/blog\/shadow-ai-entreprise-usages-invisibles\/","title":{"rendered":"Shadow AI : rep\u00e9rer les usages invisibles dans une PME"},"content":{"rendered":"<p>Le Shadow AI d\u00e9signe les usages d\u2019outils d\u2019intelligence artificielle qui se d\u00e9veloppent sans visibilit\u00e9, validation ou accompagnement de l\u2019entreprise. Pour les rep\u00e9rer sans surveiller les salari\u00e9s, partez des t\u00e2ches r\u00e9ellement r\u00e9alis\u00e9es, proposez un canal d\u00e9claratif sans sanction automatique, organisez un atelier court et consignez uniquement les informations n\u00e9cessaires pour d\u00e9cider : finalit\u00e9, donn\u00e9es, outil, r\u00e9sultat et contr\u00f4le humain.<\/p>\n<nav class=\"article-toc\" aria-labelledby=\"sommaire-titre\">\n    <strong id=\"sommaire-titre\">Sommaire du guide<\/strong><\/p>\n<ol>\n<li><a href=\"#definition\">Qu\u2019est-ce que le Shadow AI ?<\/a><\/li>\n<li><a href=\"#pourquoi-invisible\">Pourquoi ces usages restent-ils invisibles ?<\/a><\/li>\n<li><a href=\"#portes-entree\">Les cinq portes d\u2019entr\u00e9e \u00e0 cartographier<\/a><\/li>\n<li><a href=\"#signaux\">Quels signaux doivent alerter ?<\/a><\/li>\n<li><a href=\"#questionnaire\">Les 10 questions \u00e0 poser aux \u00e9quipes<\/a><\/li>\n<li><a href=\"#atelier\">Organiser un atelier de d\u00e9couverte<\/a><\/li>\n<li><a href=\"#prioriser\">Comment prioriser les usages d\u00e9couverts ?<\/a><\/li>\n<li><a href=\"#reagir\">Que faire lorsqu\u2019un usage est identifi\u00e9 ?<\/a><\/li>\n<li><a href=\"#premieres-24-heures\">Les premi\u00e8res 24 heures apr\u00e8s une d\u00e9couverte<\/a><\/li>\n<li><a href=\"#faq-shadow-ai\">Questions fr\u00e9quentes<\/a><\/li>\n<li><a href=\"#sources\">Sources officielles<\/a><\/li>\n<\/ol>\n<\/nav>\n<h2 id=\"definition\">Qu\u2019est-ce que le Shadow AI ?<\/h2>\n<p>Le terme d\u00e9crit une situation simple : un salari\u00e9 utilise une fonction ou un service d\u2019IA pour une t\u00e2che professionnelle, mais cet usage n\u2019est pas connu des personnes qui pilotent les outils, les donn\u00e9es ou les risques de l\u2019entreprise. Il peut s\u2019agir d\u2019un agent conversationnel ouvert avec un compte personnel, d\u2019une extension de navigateur, d\u2019un assistant de r\u00e9daction int\u00e9gr\u00e9 \u00e0 un logiciel ou d\u2019une fonction apparue apr\u00e8s une mise \u00e0 jour.<\/p>\n<p>L\u2019ANSSI emploie l\u2019expression \u00ab shadow IA \u00bb pour d\u00e9signer l\u2019utilisation de solutions d\u2019IA g\u00e9n\u00e9rative grand public sans approbation ou supervision des services informatiques. Dans une PME sans service informatique structur\u00e9, la personne charg\u00e9e de cette supervision peut \u00eatre la direction, un prestataire, un r\u00e9f\u00e9rent num\u00e9rique ou un responsable m\u00e9tier d\u00e9sign\u00e9.<\/p>\n<div class=\"guide-callout\">\n    <strong>Ce que le terme ne dit pas<\/strong><\/p>\n<p>\u00ab Shadow AI \u00bb n\u2019est pas une cat\u00e9gorie juridique qui rend automatiquement un usage interdit. C\u2019est un signal de gouvernance : l\u2019entreprise ne peut pas appr\u00e9cier un usage dont elle ignore la finalit\u00e9, les donn\u00e9es, l\u2019outil et les cons\u00e9quences.<\/p>\n<\/div>\n<p>Un usage invisible peut \u00eatre anodin, par exemple trouver trois formulations \u00e0 partir d\u2019informations publiques. Il peut aussi exposer un fichier clients, un contrat, un CV, du code confidentiel ou une d\u00e9cision importante. La priorit\u00e9 n\u2019est donc pas de compter tous les clics, mais d\u2019obtenir assez de contexte pour distinguer les situations.<\/p>\n<h2 id=\"pourquoi-invisible\">Pourquoi les usages IA restent-ils invisibles dans une PME ?<\/h2>\n<p>La plupart de ces usages ne naissent pas d\u2019une volont\u00e9 de contourner l\u2019entreprise. Ils apparaissent parce qu\u2019un outil est accessible en quelques secondes et r\u00e9pond \u00e0 un irritant quotidien : reformuler un email, pr\u00e9parer un tableau, r\u00e9sumer un document, traduire une r\u00e9ponse ou acc\u00e9l\u00e9rer une recherche.<\/p>\n<p>Plusieurs causes se cumulent souvent :<\/p>\n<ul>\n<li>aucune liste claire des outils accept\u00e9s ou des usages \u00e0 valider ;<\/li>\n<li>un compte personnel d\u00e9j\u00e0 disponible alors que l\u2019outil professionnel demande une proc\u00e9dure ;<\/li>\n<li>une fonction IA ajout\u00e9e discr\u00e8tement dans un logiciel d\u00e9j\u00e0 utilis\u00e9 ;<\/li>\n<li>la crainte d\u2019\u00eatre sanctionn\u00e9 en d\u00e9clarant un essai ;<\/li>\n<li>une r\u00e8gle g\u00e9n\u00e9rale comme \u00ab ne mettez rien de sensible \u00bb, sans exemples m\u00e9tier ;<\/li>\n<li>une \u00e9quipe qui parle des outils, mais jamais des t\u00e2ches pour lesquelles ils sont utilis\u00e9s.<\/li>\n<\/ul>\n<p>Une interdiction g\u00e9n\u00e9rale peut \u00eatre n\u00e9cessaire dans certaines situations, mais elle ne suffit pas \u00e0 rendre les pratiques visibles. Si aucune solution acceptable ni aucun canal de question n\u2019est propos\u00e9, certains besoins continuent simplement hors du radar. La d\u00e9marche de d\u00e9couverte doit donc produire une r\u00e9ponse utile pour l\u2019utilisateur : autorisation, alternative, pr\u00e9caution ou explication du refus.<\/p>\n<h2 id=\"portes-entree\">Les cinq portes d\u2019entr\u00e9e du Shadow AI \u00e0 cartographier<\/h2>\n<p>Ne limitez pas l\u2019inventaire aux sites conversationnels connus. Un usage peut appara\u00eetre sans nouvelle installation visible, \u00e0 l\u2019int\u00e9rieur d\u2019un outil d\u00e9j\u00e0 pay\u00e9 par l\u2019entreprise ou dans une prestation externe.<\/p>\n<div class=\"guide-table-wrap\">\n<table>\n<thead>\n<tr>\n<th>Porte d\u2019entr\u00e9e<\/th>\n<th>Exemple dans une PME<\/th>\n<th>Question de d\u00e9couverte<\/th>\n<th>Premi\u00e8re v\u00e9rification<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td>Service web grand public<\/td>\n<td>R\u00e9sum\u00e9, r\u00e9daction ou analyse depuis un navigateur.<\/td>\n<td>Quel contenu est copi\u00e9 et avec quel compte ?<\/td>\n<td>Usage, donn\u00e9es, r\u00e9glages et conditions actuelles.<\/td>\n<\/tr>\n<tr>\n<td>Fonction int\u00e9gr\u00e9e<\/td>\n<td>Assistant apparu dans la messagerie, le CRM ou la bureautique.<\/td>\n<td>La fonction acc\u00e8de-t-elle au document ouvert ou \u00e0 d\u2019autres espaces ?<\/td>\n<td>Acc\u00e8s, activation, journalisation et administration disponibles.<\/td>\n<\/tr>\n<tr>\n<td>Extension de navigateur<\/td>\n<td>Reformulation ou synth\u00e8se de la page consult\u00e9e.<\/td>\n<td>Quelles pages et permissions l\u2019extension peut-elle lire ?<\/td>\n<td>\u00c9diteur, permissions, mises \u00e0 jour et possibilit\u00e9 de d\u00e9sactivation.<\/td>\n<\/tr>\n<tr>\n<td>Compte ou appareil personnel<\/td>\n<td>Essai sur smartphone pour pr\u00e9parer un contenu professionnel.<\/td>\n<td>Les informations ou r\u00e9sultats quittent-ils l\u2019environnement g\u00e9r\u00e9 ?<\/td>\n<td>Nature des donn\u00e9es, partage, continuit\u00e9 et alternative professionnelle.<\/td>\n<\/tr>\n<tr>\n<td>Prestataire ou sous-traitant<\/td>\n<td>Livrable pr\u00e9par\u00e9 avec une IA non mentionn\u00e9e.<\/td>\n<td>Quel syst\u00e8me, quelles donn\u00e9es et quel contr\u00f4le ont \u00e9t\u00e9 utilis\u00e9s ?<\/td>\n<td>Instructions, contrat, confidentialit\u00e9 et cha\u00eene de fournisseurs.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<p>Cette cartographie d\u00e9crit des canaux, pas des fautes individuelles. Elle aide \u00e0 poser les bonnes questions lors d\u2019un achat, d\u2019une mise \u00e0 jour logicielle, d\u2019une int\u00e9gration ou d\u2019une nouvelle prestation.<\/p>\n<h2 id=\"signaux\">Quels signaux doivent alerter sans surveiller les salari\u00e9s ?<\/h2>\n<p>Les signaux utiles concernent le fonctionnement de l\u2019entreprise, pas l\u2019observation permanente des individus. Commencez par les situations suivantes :<\/p>\n<ol class=\"guide-rules\">\n<li><strong>Des r\u00e9sultats apparaissent sans m\u00e9thode connue.<\/strong><span>Un texte, une image, un calcul ou une synth\u00e8se est produit beaucoup plus vite, mais personne ne sait expliquer les sources et les v\u00e9rifications r\u00e9alis\u00e9es.<\/span><\/li>\n<li><strong>Des comptes personnels interviennent dans une t\u00e2che professionnelle.<\/strong><span>L\u2019outil n\u2019est pas forc\u00e9ment inadapt\u00e9, mais les conditions, r\u00e9glages et possibilit\u00e9s de reprise par l\u2019entreprise restent inconnus.<\/span><\/li>\n<li><strong>Des extensions ou assistants apparaissent dans les logiciels.<\/strong><span>Navigateur, messagerie, visioconf\u00e9rence, CRM ou suite bureautique peuvent transmettre du contenu \u00e0 un fournisseur suppl\u00e9mentaire.<\/span><\/li>\n<li><strong>Un prestataire livre un r\u00e9sultat assist\u00e9 par IA sans l\u2019indiquer.<\/strong><span>Demandez quel outil a \u00e9t\u00e9 utilis\u00e9, avec quelles donn\u00e9es et quel contr\u00f4le, surtout si la prestation implique des informations non publiques.<\/span><\/li>\n<li><strong>Une m\u00eame t\u00e2che est test\u00e9e dans plusieurs outils gratuits.<\/strong><span>La dispersion multiplie les comptes, les conditions d\u2019utilisation et les lieux o\u00f9 des donn\u00e9es ont pu \u00eatre copi\u00e9es.<\/span><\/li>\n<li><strong>Les \u00e9quipes ne savent pas \u00e0 qui poser une question.<\/strong><span>L\u2019absence de r\u00e9ponse rapide transforme un doute de deux minutes en usage durable non document\u00e9.<\/span><\/li>\n<\/ol>\n<p>\u00c9vitez de confondre d\u00e9tection et surveillance constante. La CNIL rappelle que le contr\u00f4le de l\u2019activit\u00e9 des personnes employ\u00e9es doit \u00eatre justifi\u00e9, proportionn\u00e9, transparent et respecter les r\u00e8gles applicables. Un inventaire d\u00e9claratif des t\u00e2ches, un atelier et un canal de demande sont g\u00e9n\u00e9ralement de meilleurs points de d\u00e9part qu\u2019un dispositif intrusif collectant les conversations ou les frappes au clavier.<\/p>\n<h2 id=\"questionnaire\">Les 10 questions \u00e0 poser aux \u00e9quipes<\/h2>\n<p>Pr\u00e9sentez ce questionnaire comme un outil d\u2019am\u00e9lioration, pas comme un interrogatoire. Demandez d\u2019abord les t\u00e2ches, puis les outils. Les r\u00e9ponses peuvent \u00eatre recueillies par \u00e9quipe afin d\u2019\u00e9viter de constituer inutilement un historique individuel.<\/p>\n<div class=\"guide-checklist\">\n<ol>\n<li><strong>Quelle t\u00e2che r\u00e9p\u00e9titive ou difficile essayez-vous d\u2019acc\u00e9l\u00e9rer ?<\/strong><\/li>\n<li><strong>\u00c0 quel moment une IA intervient-elle : recherche, cr\u00e9ation, r\u00e9sum\u00e9, classement, traduction ou d\u00e9cision ?<\/strong><\/li>\n<li><strong>Quel outil, quelle fonction int\u00e9gr\u00e9e ou quelle extension utilisez-vous ?<\/strong><\/li>\n<li><strong>Le compte est-il personnel, professionnel ou fourni par un prestataire ?<\/strong><\/li>\n<li><strong>Quelles informations sont saisies, import\u00e9es ou accessibles automatiquement ?<\/strong><\/li>\n<li><strong>Ces informations concernent-elles des clients, salari\u00e9s, candidats, partenaires ou personnes identifiables ?<\/strong><\/li>\n<li><strong>Le r\u00e9sultat reste-t-il interne ou est-il envoy\u00e9 \u00e0 un client, publi\u00e9 ou utilis\u00e9 dans une d\u00e9cision ?<\/strong><\/li>\n<li><strong>Qui v\u00e9rifie les faits, les chiffres, les sources, le ton et les effets possibles ?<\/strong><\/li>\n<li><strong>Que se passe-t-il si la r\u00e9ponse est fausse, biais\u00e9e, divulgu\u00e9e ou indisponible ?<\/strong><\/li>\n<li><strong>Quelle r\u00e8gle, alternative ou validation vous aiderait \u00e0 utiliser l\u2019outil correctement ?<\/strong><\/li>\n<\/ol>\n<\/div>\n<p>Ne demandez pas une copie de toutes les conversations par d\u00e9faut. Pour une premi\u00e8re cartographie, la finalit\u00e9, les cat\u00e9gories de donn\u00e9es, le fournisseur, le type de compte, le destinataire du r\u00e9sultat et le contr\u00f4le attendu suffisent souvent. Une investigation plus d\u00e9taill\u00e9e doit r\u00e9pondre \u00e0 un besoin identifi\u00e9 et \u00eatre encadr\u00e9e.<\/p>\n<h2 id=\"atelier\">Comment organiser un atelier de d\u00e9couverte en 45 minutes ?<\/h2>\n<p>Un atelier court permet de faire \u00e9merger davantage de situations qu\u2019un formulaire envoy\u00e9 sans explication. R\u00e9unissez quatre \u00e0 huit personnes repr\u00e9sentant plusieurs m\u00e9tiers et annoncez que l\u2019objectif est d\u2019am\u00e9liorer les r\u00e8gles, pas d\u2019\u00e9tablir une liste de fautes.<\/p>\n<div class=\"guide-table-wrap\">\n<table>\n<thead>\n<tr>\n<th>Temps<\/th>\n<th>\u00c9tape<\/th>\n<th>Livrable<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td>5 min<\/td>\n<td>Expliquer le Shadow AI et donner deux exemples sans citer de personne.<\/td>\n<td>Un cadre commun et non punitif.<\/td>\n<\/tr>\n<tr>\n<td>10 min<\/td>\n<td>Chacun note les t\u00e2ches pour lesquelles une IA est utilis\u00e9e, test\u00e9e ou envisag\u00e9e.<\/td>\n<td>Une carte par t\u00e2che, sans conversation copi\u00e9e.<\/td>\n<\/tr>\n<tr>\n<td>10 min<\/td>\n<td>Regrouper les cartes par m\u00e9tier et par finalit\u00e9.<\/td>\n<td>Des familles d\u2019usages compr\u00e9hensibles.<\/td>\n<\/tr>\n<tr>\n<td>10 min<\/td>\n<td>Ajouter les donn\u00e9es, le destinataire et le contr\u00f4le humain.<\/td>\n<td>Les premi\u00e8res informations de priorisation.<\/td>\n<\/tr>\n<tr>\n<td>7 min<\/td>\n<td>Classer : poursuivre, encadrer ou suspendre pour analyse.<\/td>\n<td>Une orientation initiale, non juridique.<\/td>\n<\/tr>\n<tr>\n<td>3 min<\/td>\n<td>Nommer un responsable et fixer la prochaine revue.<\/td>\n<td>Une suite concr\u00e8te et dat\u00e9e.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<p>Si l\u2019\u00e9quipe est r\u00e9ticente, commencez par une collecte anonyme des t\u00e2ches, puis discutez collectivement des cat\u00e9gories. L\u2019anonymat ne doit pas servir \u00e0 dissimuler un incident n\u00e9cessitant une r\u00e9ponse, mais il peut faciliter la d\u00e9couverte initiale des pratiques.<\/p>\n<h2 id=\"prioriser\">Comment prioriser les usages d\u00e9couverts ?<\/h2>\n<p>Ne cherchez pas \u00e0 mener une analyse exhaustive de cinquante usages en m\u00eame temps. Utilisez trois axes simples : sensibilit\u00e9 des informations, port\u00e9e du r\u00e9sultat et niveau de contr\u00f4le humain.<\/p>\n<div class=\"guide-table-wrap\">\n<table>\n<thead>\n<tr>\n<th>Orientation<\/th>\n<th>Exemple<\/th>\n<th>Action initiale<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td><strong class=\"status-ok\">Poursuivre avec r\u00e8gles simples<\/strong><\/td>\n<td>Pr\u00e9parer un plan \u00e0 partir de contenus publics, avec relecture avant usage.<\/td>\n<td>Documenter l\u2019outil, la t\u00e2che et la v\u00e9rification attendue.<\/td>\n<\/tr>\n<tr>\n<td><strong class=\"status-review\">Encadrer rapidement<\/strong><\/td>\n<td>R\u00e9sumer des notes internes ou produire un contenu envoy\u00e9 \u00e0 un client.<\/td>\n<td>R\u00e9duire les donn\u00e9es, v\u00e9rifier le compte et formaliser la validation m\u00e9tier.<\/td>\n<\/tr>\n<tr>\n<td><strong class=\"status-stop\">Suspendre pour analyse<\/strong><\/td>\n<td>Traiter des donn\u00e9es personnelles ou confidentielles, classer des candidats, assister une d\u00e9cision importante ou connecter une base interne.<\/td>\n<td>Arr\u00eater l\u2019usage concern\u00e9 sans g\u00e9n\u00e9raliser la sanction, r\u00e9unir les personnes comp\u00e9tentes et examiner le cas pr\u00e9cis.<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<p>Ce tri n\u2019est ni une qualification r\u00e9glementaire ni une validation de s\u00e9curit\u00e9. Il sert \u00e0 d\u00e9cider o\u00f9 concentrer l\u2019analyse. La CNIL recommande de partir d\u2019un besoin concret, de confronter l\u2019usage aux caract\u00e9ristiques de la solution et d\u2019examiner notamment la possible r\u00e9utilisation des donn\u00e9es par le fournisseur.<\/p>\n<h3>Exemple d\u2019une ligne de registre<\/h3>\n<div class=\"guide-table-wrap\">\n<table>\n<thead>\n<tr>\n<th>T\u00e2che<\/th>\n<th>Outil et compte<\/th>\n<th>Donn\u00e9es<\/th>\n<th>R\u00e9sultat<\/th>\n<th>Contr\u00f4le<\/th>\n<th>D\u00e9cision<\/th>\n<\/tr>\n<\/thead>\n<tbody>\n<tr>\n<td>Pr\u00e9parer trois objets d\u2019email commercial<\/td>\n<td>Outil approuv\u00e9, compte professionnel<\/td>\n<td>Description publique de l\u2019offre, aucun fichier client<\/td>\n<td>Brouillon interne<\/td>\n<td>Relecture marketing avant envoi<\/td>\n<td>Autoris\u00e9 avec ces limites, revue trimestrielle<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n<p>Une ligne exploitable vaut mieux qu\u2019un registre tr\u00e8s d\u00e9taill\u00e9 que personne ne met \u00e0 jour. Ajoutez uniquement les colonnes n\u00e9cessaires \u00e0 vos d\u00e9cisions et indiquez la date de derni\u00e8re revue.<\/p>\n<h2 id=\"reagir\">Que faire lorsqu\u2019un usage invisible est identifi\u00e9 ?<\/h2>\n<p>La premi\u00e8re r\u00e9ponse influence les futures d\u00e9clarations. Une sanction automatique peut inciter les \u00e9quipes \u00e0 dissimuler les essais suivants. \u00c0 l\u2019inverse, ignorer syst\u00e9matiquement les r\u00e8gles envoie le signal que la protection des donn\u00e9es et la qualit\u00e9 des r\u00e9sultats sont secondaires.<\/p>\n<ol>\n<li><strong>Comprendre la t\u00e2che et le b\u00e9n\u00e9fice recherch\u00e9.<\/strong> Ne commencez pas par le nom de l\u2019outil.<\/li>\n<li><strong>V\u00e9rifier s\u2019il existe une urgence.<\/strong> Donn\u00e9es sensibles transmises, secret d\u2019acc\u00e8s, publication erron\u00e9e ou d\u00e9cision importante peuvent justifier un arr\u00eat imm\u00e9diat et une r\u00e9ponse \u00e0 incident.<\/li>\n<li><strong>R\u00e9duire l\u2019exposition.<\/strong> Suspendre seulement l\u2019usage concern\u00e9, supprimer les acc\u00e8s inutiles lorsque c\u2019est possible et pr\u00e9server les \u00e9l\u00e9ments factuels n\u00e9cessaires.<\/li>\n<li><strong>Choisir une orientation.<\/strong> Autoriser avec limites, proposer une solution approuv\u00e9e, demander une analyse compl\u00e9mentaire ou expliquer le refus.<\/li>\n<li><strong>Mettre \u00e0 jour les r\u00e8gles communes.<\/strong> Un cas r\u00e9el doit am\u00e9liorer les exemples, la liste d\u2019outils et le canal de demande.<\/li>\n<li><strong>Planifier une revue.<\/strong> Les fonctions, comptes et conditions des fournisseurs \u00e9voluent ; une d\u00e9cision ancienne peut devenir inadapt\u00e9e.<\/li>\n<\/ol>\n<h2 id=\"premieres-24-heures\">Les premi\u00e8res 24 heures apr\u00e8s la d\u00e9couverte d\u2019un usage<\/h2>\n<p>Les vingt-quatre heures constituent ici un rep\u00e8re interne pour \u00e9viter l\u2019inaction, pas un d\u00e9lai r\u00e9glementaire universel. Commencez par comprendre la t\u00e2che et le b\u00e9n\u00e9fice attendu. V\u00e9rifiez ensuite les donn\u00e9es transmises, les acc\u00e8s, la diffusion du r\u00e9sultat et l\u2019existence \u00e9ventuelle d\u2019une urgence. D\u00e9cidez enfin si le cas peut continuer avec des limites, doit utiliser une alternative, n\u00e9cessite une analyse compl\u00e9mentaire ou doit \u00eatre suspendu.<\/p>\n<figure class=\"article-figure infographic-scroll\" tabindex=\"0\" aria-label=\"Infographie d\u00e9filable horizontalement sur petit \u00e9cran\">\n    <img src=\"https:\/\/capiaresponsable.fr\/blog\/wp-content\/uploads\/2026\/08\/shadow-ai-reponse-4-decisions.webp\" alt=\"Infographie pr\u00e9sentant quatre d\u00e9cisions apr\u00e8s la d\u00e9couverte d\u2019un usage d\u2019intelligence artificielle invisible\" width=\"1200\" height=\"675\" loading=\"lazy\" decoding=\"async\"><figcaption>Comprendre, s\u00e9curiser, d\u00e9cider et capitaliser : quatre \u00e9tapes pour traiter le cas pr\u00e9cis sans instaurer une surveillance permanente.<\/figcaption><\/figure>\n<div class=\"guide-callout\">\n    <strong>Pr\u00e9server les faits utiles sans collecter toutes les conversations<\/strong><\/p>\n<p>Notez l\u2019outil, le compte, la t\u00e2che, les cat\u00e9gories de donn\u00e9es, les destinataires et l\u2019heure approximative. Si une exposition de donn\u00e9es personnelles est possible, transmettez ces \u00e9l\u00e9ments au contact comp\u00e9tent afin qu\u2019il qualifie la situation et applique, si n\u00e9cessaire, la proc\u00e9dure d\u00e9di\u00e9e.<\/p>\n<\/div>\n<p>La derni\u00e8re \u00e9tape est collective : ajoutez une ligne au registre, am\u00e9liorez l\u2019exemple dans la politique interne, nommez un responsable et fixez une date de revue. Une d\u00e9couverte bien trait\u00e9e doit r\u00e9duire le risque du prochain usage, pas seulement fermer un compte.<\/p>\n<p><strong>Apr\u00e8s l\u2019inventaire :<\/strong> consolidez les r\u00e9ponses dans un <a href=\"https:\/\/capiaresponsable.fr\/blog\/registre-usages-ia-pme\/\">registre l\u00e9ger des usages IA<\/a>, transformez les arbitrages en <a href=\"https:\/\/capiaresponsable.fr\/blog\/politique-ia-interne-pme\/\">politique interne compr\u00e9hensible<\/a> et diffusez des <a href=\"https:\/\/capiaresponsable.fr\/blog\/chatgpt-entreprise-regles-salaries\/\">r\u00e8gles simples pour les IA g\u00e9n\u00e9ratives<\/a>.<\/p>\n<div class=\"guide-cta\">\n<div><span>Premi\u00e8re cartographie<\/span><\/p>\n<h2>Rendez vos usages IA visibles<\/h2>\n<p>Le diagnostic gratuit aide \u00e0 identifier vos familles d\u2019usages, vos premi\u00e8res vigilances et jusqu\u2019\u00e0 trois priorit\u00e9s de travail.<\/p>\n<\/div>\n<p>    <a class=\"button\" href=\"https:\/\/capiaresponsable.fr\/diagnostic\">\u00c9valuer mes usages<\/a>\n<\/div>\n<section class=\"article-faq\" id=\"faq-shadow-ai\" aria-labelledby=\"faq-titre\">\n<h2 id=\"faq-titre\">Questions fr\u00e9quentes sur le Shadow AI<\/h2>\n<details>\n<summary>Le Shadow AI est-il automatiquement ill\u00e9gal ?<\/summary>\n<p>Non. Le terme d\u00e9crit d\u2019abord un manque de visibilit\u00e9 ou de validation. La situation doit \u00eatre examin\u00e9e selon la t\u00e2che, les donn\u00e9es, les personnes concern\u00e9es, le fournisseur, le r\u00f4le de l\u2019entreprise et l\u2019utilisation du r\u00e9sultat. Certains usages pourront \u00eatre encadr\u00e9s simplement ; d\u2019autres n\u00e9cessiteront une analyse ou un arr\u00eat.<\/p>\n<\/details>\n<details>\n<summary>Comment d\u00e9couvrir les usages sans surveiller les salari\u00e9s ?<\/summary>\n<p>Interrogez les t\u00e2ches par \u00e9quipe, organisez un atelier, ouvrez un canal de d\u00e9claration et demandez seulement les informations n\u00e9cessaires \u00e0 la d\u00e9cision. Tout dispositif de contr\u00f4le doit poursuivre un objectif explicite, \u00eatre proportionn\u00e9 et transparent ; la collecte permanente des conversations n\u2019est pas un point de d\u00e9part raisonnable.<\/p>\n<\/details>\n<details>\n<summary>Faut-il interdire tous les outils IA non approuv\u00e9s ?<\/summary>\n<p>Une suspension peut \u00eatre justifi\u00e9e pour certains outils ou certaines donn\u00e9es. Elle doit s\u2019accompagner d\u2019une r\u00e8gle compr\u00e9hensible, d\u2019un canal de validation et, lorsque le besoin m\u00e9tier est l\u00e9gitime, d\u2019une alternative. Une interdiction seule ne produit pas automatiquement une cartographie des pratiques.<\/p>\n<\/details>\n<details>\n<summary>Un compte personnel est-il toujours interdit ?<\/summary>\n<p>L\u2019entreprise doit fixer sa r\u00e8gle selon ses usages et les solutions disponibles. Pour un contenu professionnel, un compte personnel complique souvent la ma\u00eetrise des r\u00e9glages, des acc\u00e8s, des donn\u00e9es et de la continuit\u00e9. Il ne doit pas \u00eatre utilis\u00e9 pour contourner la liste interne ou traiter des informations non valid\u00e9es.<\/p>\n<\/details>\n<details>\n<summary>Les fonctions IA int\u00e9gr\u00e9es aux logiciels doivent-elles \u00eatre recens\u00e9es ?<\/summary>\n<p>Oui lorsqu\u2019elles interviennent r\u00e9ellement dans une t\u00e2che ou acc\u00e8dent \u00e0 des contenus professionnels. Une fonction ajout\u00e9e \u00e0 une messagerie, un navigateur ou une suite bureautique peut modifier les flux de donn\u00e9es sans que l\u2019utilisateur installe un nouvel outil visible.<\/p>\n<\/details>\n<details>\n<summary>\u00c0 quelle fr\u00e9quence mettre \u00e0 jour le registre des usages IA ?<\/summary>\n<p>Pr\u00e9voyez une revue r\u00e9guli\u00e8re, par exemple trimestrielle, et une mise \u00e0 jour lorsqu\u2019un outil, une fonction, une donn\u00e9e, un fournisseur ou une finalit\u00e9 change. La bonne fr\u00e9quence d\u00e9pend du rythme r\u00e9el des usages ; l\u2019important est de d\u00e9signer un responsable et de dater les d\u00e9cisions.<\/p>\n<\/details>\n<\/section>\n<h2 id=\"sources\">Sources officielles consult\u00e9es<\/h2>\n<ul class=\"official-sources\">\n<li><a href=\"https:\/\/www.cnil.fr\/fr\/utiliser-lia-generative-dans-les-tpe-et-pme\">CNIL \u2014 Utiliser l\u2019IA g\u00e9n\u00e9rative dans les TPE et PME<\/a>.<\/li>\n<li><a href=\"https:\/\/www.cnil.fr\/fr\/comment-deployer-une-ia-generative-la-cnil-apporte-de-premieres-precisions\">CNIL \u2014 Comment d\u00e9ployer une IA g\u00e9n\u00e9rative ?<\/a>.<\/li>\n<li><a href=\"https:\/\/www.cnil.fr\/fr\/controle-de-lactivite-des-personnes-employees\">CNIL \u2014 Le contr\u00f4le de l\u2019activit\u00e9 des personnes employ\u00e9es<\/a>.<\/li>\n<li><a href=\"https:\/\/messervices.cyber.gouv.fr\/documents-guides\/Document_Analyse_de_risques_FR.pdf\">ANSSI \u2014 Analyse de risques des syst\u00e8mes d\u2019IA<\/a>.<\/li>\n<li><a href=\"https:\/\/messervices.cyber.gouv.fr\/guides\/recommandations-de-securite-pour-un-systeme-dia-generative\">ANSSI \u2014 Recommandations de s\u00e9curit\u00e9 pour un syst\u00e8me d\u2019IA g\u00e9n\u00e9rative<\/a>.<\/li>\n<li><a href=\"https:\/\/cyber.gouv.fr\/actualites\/synthese-de-la-menace-sur-lia-generative-face-aux-attaques-informatiques\/\">ANSSI \u2014 Synth\u00e8se 2026 de la menace sur l\u2019IA g\u00e9n\u00e9rative face aux attaques informatiques<\/a>.<\/li>\n<\/ul>\n<p><small>Sources relues le 31 ao\u00fbt 2026. Les outils, fonctionnalit\u00e9s et conditions des fournisseurs \u00e9voluent : v\u00e9rifiez les documents actuels avant de valider un usage.<\/small><\/p>\n","protected":false},"excerpt":{"rendered":"<p>Canaux d\u00e9claratifs, cinq portes d\u2019entr\u00e9e, atelier et r\u00e9ponse en quatre d\u00e9cisions : une m\u00e9thode transparente pour cartographier les usages IA.<\/p>\n","protected":false},"author":0,"featured_media":67,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[1],"tags":[],"class_list":["post-14","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-non-classe"],"_links":{"self":[{"href":"https:\/\/capiaresponsable.fr\/blog\/wp-json\/wp\/v2\/posts\/14","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/capiaresponsable.fr\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/capiaresponsable.fr\/blog\/wp-json\/wp\/v2\/types\/post"}],"replies":[{"embeddable":true,"href":"https:\/\/capiaresponsable.fr\/blog\/wp-json\/wp\/v2\/comments?post=14"}],"version-history":[{"count":2,"href":"https:\/\/capiaresponsable.fr\/blog\/wp-json\/wp\/v2\/posts\/14\/revisions"}],"predecessor-version":[{"id":66,"href":"https:\/\/capiaresponsable.fr\/blog\/wp-json\/wp\/v2\/posts\/14\/revisions\/66"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/capiaresponsable.fr\/blog\/wp-json\/wp\/v2\/media\/67"}],"wp:attachment":[{"href":"https:\/\/capiaresponsable.fr\/blog\/wp-json\/wp\/v2\/media?parent=14"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/capiaresponsable.fr\/blog\/wp-json\/wp\/v2\/categories?post=14"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/capiaresponsable.fr\/blog\/wp-json\/wp\/v2\/tags?post=14"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}