Shadow AI : que faire quand vos salariés utilisent l'IA sans demander ?
En bref
Le shadow AI, c'est l'usage d'outils d'IA que la direction ne connaît pas ou n'a pas validés – typiquement ChatGPT gratuit ou d'autres applis sur le compte personnel du salarié. Le risque : des données personnelles et des informations confidentielles atterrissent chez un service sans contrat de sous-traitance (DPA), peut-être pour l'entraînement. Les interdictions fonctionnent rarement. Ce qui fonctionne, c'est une bonne alternative : des outils validés, une charte IA courte, une formation et un moyen simple de déclarer un nouvel usage.
Pourquoi cela arrive-t-il ?
Parce que l'IA rend service. Les salariés qui ont vu combien de temps une IA leur fait gagner s'en servent – même quand l'entreprise n'a rien décidé. Le problème n'est pas l'usage, mais les données qui finissent là où elles ne devraient pas.
Ce que vous pouvez faire dès demain
Choisissez un outil validé avec une offre professionnelle, rédigez une courte charte IA et donnez à chacun une courte formation. Avec GoalCube, vos salariés peuvent utiliser l'IA sur de vraies données sans que les noms quittent l'UE – il n'y a donc plus de raison de contourner les règles.
Comment faire
- Demandez sans sanctionner.Un sondage anonyme donne une image honnête.
- Proposez une bonne alternative.Une offre professionnelle avec contrat de sous-traitance (DPA), plus simple à utiliser que l'appli gratuite.
- Protégez les données automatiquement.Avec GoalCube, l'IA ne voit que des codes : vous pouvez utiliser l'IA sur de vraies données en toute sérénité.
- Rendez la déclaration facile.Un nouvel usage doit pouvoir être déclaré en une minute.
- Faites le suivi.GoalCube journalise chaque utilisation d'un jeu de données sans enregistrement et l'affiche en haut du tableau de bord.
Ce que dit la loi
- Articles 28 et 32 du RGPD
- Les données personnelles ne peuvent être confiées qu'à des prestataires liés par un contrat de sous-traitance et offrant une sécurité appropriée.
- Article 4 du RIA
- La maîtrise de l'IA concerne tout usage de l'IA au travail – y compris celui que la direction ignore.
Questions et réponses
Faut-il interdire ChatGPT ?
Une interdiction déplace généralement l'usage vers les téléphones personnels. Une alternative validée, qui protège les données, fonctionne mieux.
Est-ce une violation de données si un salarié a collé des données personnelles dans ChatGPT gratuit ?
Cela peut l'être. Évaluez-le comme une possible violation de données à caractère personnel, et notifiez l'autorité de contrôle (CNIL, APD ou CNPD) dans les 72 heures s'il est probable qu'elle présente un risque pour les personnes.
Comment GoalCube détecte-t-il le shadow AI ?
Si l'IA utilise un jeu de données sans enregistrement confirmé, c'est journalisé, et le tableau de bord affiche une alerte en haut.
Sources
Rédigé par La rédaction GoalCube. Dernière mise à jour 11 octobre 2026. GoalCube vous aide à respecter l’AI Act et le RGPD. Ce n’est pas un conseil juridique.
Soyez parmi les premiers.
Le lancement est prévu en novembre 2026. Inscrivez-vous : nous vous contacterons dès que vous pourrez commencer.