Shadow AI : comment faire l'inventaire des usages dans votre PME
Vos équipes utilisent déjà des outils d'IA que vous n'avez pas choisis. Une méthode simple pour les recenser et poser les premières règles.
Une adoption qui précède les règles
Selon l'enquête de Bpifrance Le Lab publiée en juin 2025 auprès de 1 209 dirigeants de PME et ETI, plus de la moitié des entreprises utilisatrices s'appuient sur des solutions gratuites, et beaucoup n'analysent pas leurs données. Cette utilisation spontanée porte un nom : le shadow AI. Il désigne l'usage d'outils d'IA grand public par les salariés, sans cadre défini par l'entreprise.
Le risque concret
Le sujet n'est pas l'outil lui-même mais ce qu'on y saisit : données clients, contrats, informations financières ou personnelles. Ces données quittent l'entreprise sans que personne ne sache lesquelles, ni où.
Un inventaire en trois étapes
- Demander, sans sanction. Un court questionnaire anonyme : quels outils d'IA utilisez-vous, pour quelles tâches, avec quelles données ? Annoncez clairement l'objectif : comprendre, pas punir.
- Classer les usages. Trois catégories : sans risque (reformuler un texte public), à valider (traiter des données clients), interdit (saisir des données personnelles sensibles).
- Nommer un responsable. Une personne qui tient la liste, répond aux questions et fait évoluer les règles.
La charte d'usage en une page
Une bonne charte tient sur une page : les usages permis, ceux qui demandent validation, ceux qui sont interdits, le nom du responsable et la marche à suivre en cas de doute. Elle ne remplace pas un avis juridique : les points RGPD doivent être validés par votre DPO ou votre conseil.
Aller plus loin
L'inventaire est la première étape de la gouvernance des données et de l'IA, incluse dans le cadrage produit de 5 jours. Si votre question est plutôt de savoir quoi automatiser, voir l'audit IA.