Ce que « Shadow AI » recouvre vraiment

Le terme désigne l’usage, dans un cadre professionnel, d’outils d’intelligence artificielle qui n’ont été ni validés, ni cartographiés, ni encadrés par l’employeur. Un traducteur en ligne, un assistant rédactionnel, un générateur de comptes rendus : chacun peut, selon son fonctionnement, collecter, stocker, voire réutiliser les contenus soumis. La CNIL rappelle que ces usages engagent la protection des données personnelles, et que le RGPD s’applique dès qu’une donnée identifiante — directement ou indirectement — entre dans le circuit.

La difficulté tient à la banalité du geste. Coller un paragraphe dans une interface conversationnelle ne ressemble pas à un transfert de fichier ; c’en est pourtant un, et rien ne garantit, sans vérification, que la donnée ne quitte pas le périmètre de l’entreprise ni celui de l’Union européenne.

Les cinq vérifications à mener avant d’appuyer sur « Envoyer »

Les recommandations de la CNIL, transposées à l’usage quotidien, invitent à se poser cinq questions concrètes avant de confier quoi que ce soit à un outil d’IA :

  • Collecte : quelles données l’outil reçoit-il réellement ? Le prompt, les pièces jointes, les métadonnées ? Y a-t-il des informations personnelles, des éléments couverts par le secret professionnel, des données sensibles ?
  • Conservation : combien de temps ces contenus sont-ils gardés, et où ? La question de la durée et de la localisation des serveurs conditionne l’application du RGPD.
  • Réutilisation : les données soumises servent-elles à entraîner le modèle, à améliorer le service, à alimenter d’autres traitements ? Cette réutilisation doit être documentée par le fournisseur, pas devinée par l’utilisateur.
  • Suppression : existe-t-il un mécanisme pour effacer un historique, un compte, un contenu précis ? La CNIL rappelle que le droit à l’effacement fait partie des droits garantis par le RGPD.
  • Opposition : peut-on refuser certains usages secondaires, notamment l’entraînement du modèle sur ses propres saisies ?

Aucune de ces réponses ne se lit sur la page d’accueil d’un outil. Elles se cherchent dans les conditions d’utilisation, dans la politique de confidentialité, parfois dans les paramètres du compte. Le travail est fastidieux ; il est le prix de la conformité.

Ce que l’employeur doit poser, ce que le salarié ne peut pas décider seul

Le salarié qui utilise un outil non validé engage rarement sa seule responsabilité : l’employeur, en tant que responsable de traitement, reste comptable des données que ses équipes manipulent. La CNIL invite donc à concilier développement des systèmes d’IA et droits des personnes, ce qui suppose, côté organisation, une liste d’outils autorisés, des cas d’usage documentés, et une doctrine claire sur ce qui peut — ou ne doit jamais — être soumis à une IA externe.

Qu’on nous permette de nous étonner que, trois ans après l’entrée en scène massive de ces outils, tant d’entreprises en soient encore à découvrir l’ampleur des usages informels chez elles. La cartographie précède la règle ; sans elle, toute politique reste un vœu pieux.

Ce qui reste incertain

Les ressources publiées par la CNIL fixent des principes : elles ne remplacent pas l’examen contractuel de chaque service ni les évolutions à venir du cadre européen sur l’IA. Les pratiques des fournisseurs changent, les paramètres par défaut aussi. Un outil conforme aujourd’hui peut modifier ses conditions demain.

À surveiller

Relisez la charte informatique de votre employeur, vérifiez si une liste d’outils d’IA autorisés existe, et — à défaut — demandez-la. Pour vos usages personnels, prenez cinq minutes pour ouvrir les paramètres de confidentialité des IA que vous utilisez : l’option de refus d’entraînement, quand elle existe, n’est presque jamais activée par défaut.

Source : CNIL — https://www.cnil.fr/fr/particulier-intelligence-artificielle-ia