Oui, vos salariés utilisent très probablement déjà ChatGPT ou d'autres IA génératives avec des données de l'entreprise : les études disponibles convergent, une large part des collaborateurs le fait, le plus souvent sans en informer leur hiérarchie. Ce shadow AI expose votre PME à des fuites de données confidentielles, à des manquements au RGPD et à des décisions fondées sur des réponses erronées. La réponse efficace n'est pas l'interdiction, qui échoue systématiquement, mais une gouvernance pragmatique : charte claire, outils validés et alternatives maîtrisées.
Le shadow AI : massif, invisible et déjà installé
Le shadow IT désigne les outils utilisés sans validation de la DSI ; le shadow AI en est la déclinaison la plus explosive. La barrière d'entrée est nulle : un navigateur, un compte gratuit, et n'importe quel collaborateur reformule un e-mail client, résume un contrat ou débogue du code interne. Le phénomène touche tous les services, du commercial aux ressources humaines en passant par la finance et la technique, et il échappe aux outils de supervision classiques puisqu'il passe par des sites web grand public. Dans la plupart des PME, il n'existe ni charte, ni liste d'outils validés, ni la moindre visibilité sur ces usages.
Les risques concrets pour votre entreprise
La fuite de données confidentielles
Chaque prompt contenant un extrait de contrat, une liste de clients, des chiffres financiers ou du code source envoie ces données sur les serveurs d'un tiers. Sur les versions grand public de nombreux outils, ces contenus peuvent être conservés et, selon les paramètres, utilisés pour améliorer les modèles. Le précédent est notoire : dès 2023, Samsung a restreint l'usage de ChatGPT après que des ingénieurs y ont collé du code source confidentiel.
Le RGPD et les données personnelles
Coller des données de salariés, de candidats ou de clients dans un outil grand public constitue un traitement de données personnelles sans base légale claire, souvent assorti d'un transfert hors Union européenne. En cas de contrôle de la CNIL ou de plainte, c'est l'entreprise qui est responsable, pas le salarié qui a fait la manipulation.
La propriété intellectuelle
Votre savoir-faire, qu'il s'agisse de méthodes, de code ou de documents commerciaux, perd en confidentialité dès qu'il transite par des services non contractualisés. À l'inverse, le statut juridique des contenus générés reste incertain : intégrer sans contrôle du code ou des textes produits par une IA peut créer des risques de contrefaçon.
Les réponses erronées prises pour argent comptant
Les modèles génératifs produisent des réponses plausibles mais parfois fausses. Des professionnels ont déjà été sanctionnés pour avoir remis des documents fondés sur des références inventées par un chatbot, notamment dans le domaine juridique. Sans règle de vérification humaine, une hallucination peut se retrouver dans un devis, un contrat ou un conseil client.
Pourquoi l'interdiction pure et simple échoue
Bloquer les sites d'IA sur le réseau de l'entreprise déplace simplement l'usage vers les téléphones personnels, où vous n'avez plus aucune visibilité. Les gains de productivité sont réels et vos équipes ne renonceront pas à un outil qui leur fait gagner du temps chaque jour. L'interdiction produit donc le pire des scénarios : l'usage continue, mais caché, sans formation ni garde-fous. Les entreprises qui ont interdit totalement ces outils ont généralement fini par faire marche arrière ; mieux vaut encadrer d'emblée.
Construire une charte IA pragmatique
Une bonne charte tient en quelques pages et répond à trois questions : quels outils, quelles données, quelles pratiques.
- Outils validés : une liste courte d'outils approuvés, avec le type de compte requis (entreprise, jamais personnel), révisée régulièrement.
- Classification des données : ce qui peut être partagé avec une IA (informations publiques, contenus internes anonymisés) et ce qui ne le peut jamais (données personnelles, code propriétaire, données clients, secrets d'affaires).
- Règles d'usage : vérification humaine systématique avant toute utilisation externe, mention des contenus générés quand c'est pertinent, interdiction de laisser une IA prendre seule une décision engageante.
- Processus simple : un canal pour faire valider un nouvel outil en quelques jours, faute de quoi le shadow AI reprend le dessus.
- Exemples concrets : dix cas pratiques parlants valent mieux que dix pages de principes abstraits.
Accompagnez la charte d'une formation courte : c'est d'ailleurs une obligation de l'IA Act depuis février 2025 pour toute organisation utilisant l'IA.
Les alternatives maîtrisées
- Comptes entreprise : les offres professionnelles des grands fournisseurs excluent contractuellement l'entraînement sur vos données et offrent une gestion centralisée des accès. Le coût, généralement de l'ordre de 20 à 60 € par utilisateur et par mois, est faible au regard du risque couvert.
- Passerelle interne : un portail unique connecté aux modèles via API, avec journalisation des échanges, filtrage des données sensibles et règles adaptées par service.
- IA hébergée en interne : pour les données les plus sensibles, des modèles open source déployés sur votre infrastructure gardent tout en interne, au prix d'un investissement plus conséquent.
Reprendre la main sur le shadow AI est un projet de quelques semaines, pas de plusieurs mois : inventaire des usages réels, charte, choix des outils, formation. Le mener avec un partenaire qui maîtrise à la fois la technique et la conformité permet de transformer un risque diffus en avantage de productivité assumé.