Dans la plupart des organisations que nous rencontrons, l'IA générative n'est pas un projet à lancer. C'est un usage déjà installé, arrivé par le bas, sans décision, sans cadre et sans traçabilité. On appelle cela le shadow AI, par analogie avec le shadow IT.
Ce n'est pas une dérive marginale. C'est la situation par défaut, et elle a une conséquence directe : la première question d'un comité de direction ne devrait pas être "faut-il s'y mettre", mais "que fait-on de ce qui tourne déjà".
Interdire produit un résultat mesurable : l'usage ne diminue pas, il devient invisible.
Ce que recouvre réellement le terme
Le shadow AI n'a rien de spectaculaire. Il ressemble à ceci : un chargé de mission qui fait reformuler une note dans un outil grand public, un commercial qui prépare une réponse à un appel d'offres, un juriste qui demande un résumé de contrat, un développeur qui colle un extrait de code.
Aucune de ces personnes ne cherche à contourner une règle. Dans la plupart des cas, il n'y a pas de règle. Elles font simplement ce que leur poste leur demande, avec un outil disponible et efficace.
C'est important, parce que le réflexe managérial habituel consiste à traiter le sujet comme un problème de discipline. Ce n'en est pas un.
Pourquoi l'interdiction ne règle rien
Interdire produit un résultat mesurable : l'usage ne diminue pas, il devient invisible. Il migre vers les téléphones personnels, les comptes privés et les outils que personne ne connaît.
Une organisation qui interdit sans encadrer se retrouve dans la pire configuration possible. Elle porte le risque, puisque l'usage continue. Et elle se prive des bénéfices, puisqu'elle ne peut ni former, ni outiller, ni vérifier.
L'interdiction a un usage légitime, mais étroit : elle sert à protéger des catégories de données précises, pas à supprimer une pratique généralisée.
Les trois risques, dans l'ordre où ils se produisent
Ce qui sort de l'entreprise. C'est le risque le plus fréquent et le plus sous-estimé. Selon l'outil et son paramétrage, ce que vos équipes saisissent peut être conservé, voire réutilisé. Un contrat en cours de négociation, un cahier des charges ou une note stratégique n'ont rien à faire dans un outil dont personne n'a lu les conditions.
Ce qui rentre sans vérification. Un résultat plausible n'est pas un résultat exact. Le risque n'est pas que l'outil se trompe, c'est qu'il se trompe de façon crédible et que personne ne le relise, parce que personne n'a été formé à savoir où regarder.
Ce qui devient une dépendance invisible. Quand un processus repose sur la méthode personnelle d'une seule personne, jamais documentée, l'entreprise ne s'en aperçoit que le jour de son départ.
Ce que vous découvrez en rendant l'usage visible
Le premier geste n'est ni technique ni juridique. Il consiste à demander, sans sanction annoncée, qui utilise quoi et pour quelles tâches.
Cette question, posée franchement, produit presque toujours trois surprises. L'usage est plus répandu que ce que la direction imaginait. Il est concentré sur quelques tâches précises, souvent les mêmes d'un service à l'autre. Et les personnes concernées attendaient un cadre plutôt qu'une autorisation tacite, parce qu'elles savent qu'elles avancent sans filet.
C'est aussi le meilleur point de départ pour un plan réaliste : vous ne partez pas d'une page blanche, vous partez d'usages réels et déjà valorisés par ceux qui les pratiquent.
Le cadre minimal, en une page
Un document long ne sera pas lu. Un cadre utile tient en une page et répond à quatre questions.
Quelles données ne sortent jamais, quel que soit l'outil. C'est la seule vraie interdiction, et elle doit être courte pour être retenue.
Quels outils sont validés, et pour quels usages. Un outil autorisé et paramétré vaut mieux que dix outils tolérés.
Ce qui doit être relu, et par qui. Tout ne mérite pas la même vigilance : un support interne et une clause contractuelle n'appellent pas le même niveau de contrôle.
Ce qu'on documente. Pour les livrables engageants, savoir ce qui a été produit avec assistance évite de découvrir la question au moment de la cession de droits.
Ce que la formation change, et ce qu'elle ne change pas
Une politique d'usage que personne n'a lue ne protège rien. Ce qui protège, c'est une équipe qui sait où sont les limites et pourquoi elles existent.
C'est le rôle d'une formation courte et concrète : elle transforme une règle écrite en réflexe, et elle donne aux équipes le niveau de maîtrise qui rend le contrôle possible. Elle ne remplace pas une décision de gouvernance, elle la rend applicable.
Ce qu'elle ne fera pas : régler un processus défaillant en amont, choisir vos outils à votre place, ni supprimer le besoin de vérifier.
Finançable par votre OPCO.