Shadow AI : vos salariés collent des données confidentielles dans ChatGPT (et comment y mettre fin en PME)

Un commercial colle un fichier client dans ChatGPT pour rédiger un mail. Un comptable demande à l'IA de "résumer ce contrat". Une assistante fait relire une fiche de paie. Personne n'a de mauvaise intention, mais à chaque fois, des données confidentielles quittent votre entreprise et partent sur des serveurs que vous ne contrôlez pas. C'est le **Shadow AI** : l'usage non encadré de l'IA générative par vos salariés. En 2026, c'est probablement le risque le plus sous-estimé dans les PME françaises. La bonne nouvelle : on ne le règle pas en interdisant, mais en encadrant.

Le Shadow AI, c'est quoi exactement ?

Le Shadow AI désigne toute utilisation d'outils d'IA générative (ChatGPT, Gemini, Claude, Copilot, Perplexity, ou des dizaines d'assistants intégrés) sans validation ni cadre de l'entreprise. C'est le cousin du "Shadow IT" : les employés adoptent un outil utile plus vite que l'entreprise ne réagit. Le problème n'est pas l'outil, c'est l'absence de règles autour de lui.

Concrètement, le danger vient de trois zones : ce que vos salariés saisissent (données clients, contrats, code source, RH), où ça part (comptes gratuits personnels, sans garanties contractuelles) et ce qu'il en reste (historiques, entraînement éventuel du modèle, comptes non professionnels que l'entreprise ne maîtrise pas). Une donnée collée dans un compte gratuit personnel échappe totalement à votre contrôle.

Pourquoi une PME devrait s'en inquiéter dès maintenant

Le risque RGPD est réel

Envoyer des données personnelles (clients, salariés, patients) dans un service IA sans base légale ni encadrement, c'est un traitement de données non maîtrisé. En cas de contrôle CNIL ou de fuite, c'est vous, le responsable de traitement, qui répondez, pas l'éditeur de l'outil. Pour une PME, l'enjeu n'est pas qu'une amende théorique : c'est la perte de confiance de vos clients.

Le secret des affaires et le code fuitent aussi

Des cas réels ont montré des développeurs collant du code propriétaire dans une IA pour le déboguer, ou des dirigeants y déposant un business plan. Une fois la donnée sortie, vous ne pouvez plus la reprendre. Devis, marges, fichiers prospects, brevets en préparation : tout ce qui fait la valeur de votre entreprise peut partir en quelques clics.

L'interdiction pure ne marche pas

Bloquer ChatGPT au pare-feu donne l'illusion du contrôle. En pratique, les salariés basculent sur leur téléphone personnel ou un autre outil, et vous perdez toute visibilité. Interdire sans alternative, c'est fabriquer du Shadow AI, pas le supprimer. L'objectif est d'offrir un usage sûr et officiel.

Comment encadrer l'IA générative sans tuer la productivité

1. Cartographier l'usage réel

Avant toute règle, mesurez. Demandez simplement à chaque service quels outils IA sont utilisés et pour quoi faire. Vous serez surpris. Cette cartographie honnête, sans sanction, vous donne la base pour décider ce qu'on autorise, ce qu'on encadre, ce qu'on bannit.

2. Basculer vers des versions professionnelles

Les offres "entreprise" ou "Team" des grands acteurs (ChatGPT Enterprise, Microsoft Copilot avec engagement de données, Gemini for Workspace) offrent une garantie clé : vos données ne servent pas à entraîner les modèles et bénéficient d'un cadre contractuel. Fournir un accès officiel et payant à quelques outils validés coûte bien moins cher qu'une fuite, et supprime la tentation des comptes perso.

3. Rédiger une charte IA simple et lisible

Pas besoin d'un document de 40 pages. Une charte d'une page qui répond à trois questions : quels outils sont autorisés, quelles données ne doivent JAMAIS y être saisies (données personnelles, financières, contractuelles, mots de passe, code sensible), et qui contacter en cas de doute. Le principe d'or à marteler : "si tu n'oserais pas l'envoyer par mail à un inconnu, ne le colle pas dans une IA".

4. Régler les paramètres et former

Dans les comptes autorisés, désactivez l'entraînement sur vos conversations quand l'option existe, et gérez la conservation des historiques. Puis formez, même en une heure : montrer un exemple concret de fuite marque plus les esprits que dix pages de règles. Une équipe qui comprend le risque devient votre meilleur pare-feu.

La checklist Shadow AI pour votre PME

Pour agir cette semaine : (1) recensez les outils IA réellement utilisés ; (2) choisissez 1 à 3 outils officiels en version pro ; (3) rédigez une charte d'une page avec la liste des données interdites ; (4) désactivez l'entraînement et réglez les historiques sur les comptes validés ; (5) formez vos équipes avec un cas concret ; (6) désignez un référent IA pour les questions. Simple, mais cela transforme un angle mort en un usage maîtrisé.