Vos employés utilisent des outils d'IA en cachette (« shadow AI ») : que faire, sans interdire ?

Le scénario en bref

Exemple, inventé pour illustrer. Dans un cabinet médical fictif de six personnes, la secrétaire doit répondre à un patient mécontent. Pour gagner du temps, elle copie le courrier du patient, avec son nom, sa date de naissance et le détail de son traitement, dans un assistant d'IA grand public ouvert sur son téléphone, et demande une réponse « polie mais ferme ». La réponse est excellente. Personne ne lui a interdit de le faire. Personne ne le lui a autorisé non plus, et personne ne sait que le cabinet a, ce jour-là, confié des données de santé à un service en ligne dont il n'a jamais lu les conditions.

C'est ce qu'on appelle le « shadow AI » (l'IA de l'ombre) : des outils d'intelligence artificielle utilisés au travail sans que la direction le sache ni l'ait organisé. Ce n'est pas de la mauvaise volonté. C'est presque toujours une personne consciencieuse qui veut aller plus vite.

Ce que disent les chiffres

En Belgique, l'usage a bondi en un an. Selon Statbel, l'office belge de statistique, plus d'une entreprise sur trois (34,5 %) utilisait au moins une technologie d'IA en 2025, contre 24,7 % un an plus tôt. Du côté des personnes, l'usage va encore plus vite :

Lisez la dernière ligne avec la précédente : beaucoup d'entreprises hésitent, faute de savoir-faire, pendant que leurs salariés ont déjà commencé de leur côté. Selon Eurostat, parmi les personnes en âge de travailler qui utilisent ces outils, plus de la moitié s'en servent pour leur travail. Si personne ne l'organise dans votre entreprise, cela se fait quand même, avec des comptes personnels.

Où est le vrai risque ?

L'IA générative (celle qui rédige, résume ou traduit à partir d'une simple demande) n'est pas dangereuse en soi. Le risque tient à deux choses très concrètes.

1. Les données qu'on y colle

Ce qu'un employé copie dans un outil en ligne part chez le fournisseur de cet outil. Selon les réglages, cela peut être gardé dans un historique ou servir à améliorer l'outil. L'Autorité de protection des données (APD) le rappelle dans sa brochure d'avril 2026 sur l'IA et la vie privée : prudence avant de saisir des informations sensibles, comme des informations médicales ou des données financières, dans un agent conversationnel ; masquez ce qui permet de reconnaître une personne (nom, adresse, âge) ; et vérifiez les paramètres par défaut, notamment l'historique des conversations et l'entraînement de l'IA, souvent activés d'office.

Avec un compte personnel gratuit, c'est l'employé qui accepte ces conditions, pas l'entreprise. Vous n'avez alors ni contrat, ni maîtrise des réglages, ni moyen de savoir ce qui a été envoyé.

2. Les réponses qu'on croit sur parole

Une IA conversationnelle peut se tromper avec aplomb : inventer une référence, un chiffre, un article de loi. La Commission européenne cite ce risque, appelé « hallucination », comme le premier point à expliquer aux employés qui utilisent ces outils. Un courrier, un devis ou une note rédigés avec l'IA doivent donc toujours être relus par quelqu'un qui connaît le sujet.

Pourquoi interdire ne marche pas

Interdire semble la solution la plus sûre ; c'est souvent la moins sûre. L'outil est gratuit, il tient dans un téléphone et il fait gagner du temps : une interdiction ne supprime pas le besoin, elle déplace l'usage hors de votre vue, sur des comptes personnels, sans aucune règle. Vous perdez au passage la possibilité de choisir un outil dont le contrat protège vos données.

Le bon réflexe est l'inverse : reconnaître que l'IA rend service, et offrir une voie officielle plus confortable que la voie cachée. Personne n'a de raison de se cacher pour utiliser l'outil que l'entreprise lui fournit.

Ce que la loi vous demande déjà

Le règlement européen sur l'intelligence artificielle, l'AI Act, concerne aussi les PME qui se contentent d'utiliser des outils d'IA. Son article 4 demande aux entreprises qui utilisent l'IA de prendre des mesures pour développer la maîtrise de l'IA de leur personnel, c'est-à-dire les connaissances nécessaires pour s'en servir en comprenant ses limites et ses risques. Cette obligation s'applique depuis le 2 février 2025 ; son texte a été réécrit en juillet 2026, mais elle reste une obligation.

Dans ses questions-réponses sur la maîtrise de l'IA, la Commission européenne prend un exemple très proche du vôtre : des employés qui utilisent une IA conversationnelle pour rédiger des textes publicitaires ou pour traduire. Sa réponse : oui, ils doivent être informés des risques propres à ces outils, par exemple les hallucinations. Ce qu'il faut retenir :

• Pas de certificat obligatoire ni de format imposé : une formation adaptée à vos usages suffit.
• Gardez une trace : une simple note interne des formations et des consignes données.
• Le mode d'emploi de l'outil ne suffit pas : pour la Commission, se contenter de le faire lire risque d'être inefficace.
• Le contrôle a commencé : les règles de surveillance s'appliquent depuis le 2 août 2026, sous la responsabilité des autorités nationales.

S'y ajoute le RGPD, que vous connaissez déjà : coller des données de patients ou de clients dans un outil en ligne, c'est les confier à un tiers. Vous devez pouvoir dire lequel, pour quoi faire, et avec quelles garanties. En cas de doute, l'Autorité de protection des données publie ses recommandations sur l'IA.

Le plan en cinq gestes, dès lundi matin

1. Demandez, sans sanction. Un court questionnaire anonyme ou un tour de table : quels outils d'IA utilisez-vous, pour quoi faire, avec quel type d'information ? Annoncez d'emblée que personne ne sera puni. Vous découvrirez des usages utiles que vous voudrez garder.
2. Choisissez un outil officiel. Une version professionnelle, au nom de l'entreprise, dont le contrat précise que vos données ne servent pas à entraîner l'outil, et qui vous permet de gérer les comptes et de couper un accès quand quelqu'un quitte l'entreprise. Un abonnement professionnel coûte toujours moins cher qu'une fuite de données.
3. Écrivez la règle en une page. Les usages autorisés, ce qu'on ne colle jamais (le tableau ci-dessus), l'obligation de relire avant d'envoyer, et à qui poser une question en cas de doute. Une page lue vaut mieux que vingt pages ignorées.
4. Formez une heure. Comment bien formuler une demande, comment masquer un nom (« M. X », « le patient »), pourquoi tout relire. Notez la date et les participants : c'est votre trace pour l'AI Act.
5. Revoyez tous les six mois. Les outils changent vite. Refaites le tour de table, mettez la page à jour, fermez les comptes qui ne servent plus.

Aucun de ces gestes ne demande de compétence technique. Ils demandent surtout que la direction montre l'exemple, en utilisant elle-même l'outil officiel.

Dans un cabinet de santé : une règle de plus

Les données de santé font partie des données les plus protégées par le RGPD. La règle à afficher est simple : aucune donnée qui permet de reconnaître un patient dans un outil d'IA grand public, même pour « juste reformuler ». Pour un courrier, l'IA peut aider à trouver le ton ou la structure ; le nom, le diagnostic et le traitement s'ajoutent ensuite, à la main, dans votre logiciel habituel.

Ce que DeepIT peut faire avec vous

DeepIT gère l'informatique de PME et de cabinets de santé à Bruxelles. Nous pouvons vous aider à faire l'inventaire des outils utilisés, à choisir et configurer un outil professionnel adapté à votre taille, et à rédiger avec vous votre règle d'usage d'une page. L'objectif n'est pas de freiner vos équipes, mais de leur permettre d'utiliser l'IA sans ouvrir de porte.

Voir aussi notre gestion externalisée.

Encadrer l'usage de l'IA→