Journal — IA & confidentialité · DSI · RSSI · DPO

Shadow AI : ni interdire l'IA, ni fermer les yeux — la troisième voie

30 août 2026 — Neutralyse

Le shadow AI n'est pas un risque futur : c'est l'usage, aujourd'hui, d'outils d'IA personnels sur des données professionnelles — hors de tout contrôle. L'interdire ne fonctionne pas (l'usage devient invisible), l'ignorer non plus (chaque copier-coller devient une décision juridique solitaire). La troisième voie : offrir un canal officiel plus pratique que le contournement, où les données sensibles détectées sont neutralisées localement avant l'envoi — avec relecture de ce qui part.

Pourquoi l'interdiction échoue toujours

Parce que l'IA rend un service réel et immédiat. Face à une interdiction, l'usage ne s'arrête pas : il migre vers le téléphone personnel, le compte privé, l'onglet discret — précisément là où ni DPA, ni réglages d'entreprise, ni journalisation ne s'appliquent. Une politique qui ne peut pas être vérifiée n'est pas une politique : c'est un vœu.

Ce que le shadow AI expose vraiment

• Données clients et RH collées dans des comptes grand public, avec les réglages par défaut.
• Secrets techniques (extraits de code, clés, architecture) dans des historiques hors de votre contrôle.
• Impossibilité de répondre à un client ou à la CNIL : « qu'avez-vous envoyé à l'IA ? » — personne ne sait.
• Une conformité AI Act ingérable : on ne peut pas être transparent sur un usage qu'on ne voit pas.

La troisième voie : un canal officiel qui gagne la comparaison

La seule politique qui tient est celle que les équipes préfèrent au contournement : un chat IA officiel, aussi rapide que ChatGPT, où le caviardage des données sensibles est automatique et local — l'IA reçoit [PERSON_1] et [IBAN_1] à la place des valeurs détectées. Les collaborateurs n'ont plus de tri à faire : ils collent, l'outil protège, la réponse revient restaurée. Et l'organisation retrouve ce que le shadow AI lui avait pris : la visibilité (qui utilise quoi), la preuve (ce qui est parti, message par message), la maîtrise (modèles autorisés, plafonds par équipe).

Déployer en une semaine, sans projet

• Jour 1 : ouvrir le canal gratuit en mode local — aucune donnée ne sort, aucune carte bancaire.
• Jour 2-3 : ajouter le dictionnaire de termes maison (clients, projets, produits).
• Jour 4-5 : basculer les équipes volontaires sur le mode Équipe (pool de crédits, plafonds, modèles autorisés).
• Ensuite : publier la règle simple — « l'IA, oui, par le canal protégé » — enfin vérifiable, rapport d'audit à l'appui.

Dernière vérification éditoriale : 1^er septembre 2026 — relecture interne Neutralyse (équipe AIGENGO), sans validation juridique externe à ce jour. Cet article est une information générale, pas un avis juridique.