Du Shadow IT au Shadow AI : une même logique, un même risque

Le Shadow IT n’a rien de nouveau : depuis plus de dix ans, les équipes métiers contournent les DSI pour adopter leurs propres outils. Un Trello créé pour un projet, un Google Form lancé pour une enquête interne, un Dropbox utilisé pour partager des fichiers sensibles… En apparence, ces initiatives répondent à un besoin immédiat. En réalité, elles créent une infrastructure parallèle, non sécurisée et invisible pour le SI.

Avec l’essor de l’IA générative, une nouvelle couche est en train d’apparaître : le Shadow AI. Même logique, mêmes mécanismes. Les collaborateurs copient un contrat dans ChatGPT, génèrent un compte rendu avec Otter.ai ou demandent à Notion AI de résumer une présentation. Ces pratiques offrent un gain de temps, mais elles exposent directement des données stratégiques à des services tiers, souvent hébergés hors UE.

L’histoire se répète : derrière l’agilité apparente se cache une perte de contrôle et un risque systémique.

Shadow IT, la première face cachée de la digitalisation

Le Shadow IT n’est pas un phénomène marginal ou ponctuel : il est né avec la démocratisation des SaaS et du cloud. Son principe est simple : les métiers, pressés par leurs besoins quotidiens, adoptent leurs propres outils numériques sans passer par la DSI. En apparence, c’est de l’agilité. En profondeur, c’est une rupture du contrôle du système d’information.

Quand les métiers choisissent leurs outils seuls

À mesure que les solutions cloud sont devenues accessibles en un clic, les services se sont équipés en dehors des processus classiques. Quelques exemples parlants :

• Les RH qui créent des formulaires Google Forms pour suivre les candidatures ou sonder les équipes, au lieu d’utiliser l’ATS officiel de l’entreprise.
• Les équipes marketing qui ouvrent un Trello ou un Asana personnel pour gérer une campagne, en partageant des accès par email plutôt que via un SSO sécurisé.
• Les chefs de projet qui stockent des documents confidentiels sur Dropbox ou Google Drive personnels pour collaborer plus vite avec des partenaires.

Ces pratiques partent rarement d’une volonté de contourner les règles. Elles répondent à un problème concret : un outil officiel jugé trop lourd, trop lent à configurer ou inadapté à un cas précis. Le Shadow IT est donc souvent la conséquence d’un écart entre les besoins du terrain et les solutions validées par la DSI.

Mais cet écart crée une seconde infrastructure numérique, parallèle, qui échappe au contrôle. Et c’est là que commence le vrai problème.

Les conséquences sur le SI

L’apparente efficacité du Shadow IT a un coût caché : une dégradation progressive de la cohérence et de la sécurité du système d’information.

1. Fragmentation des outils et des flux
2. Chaque service accumule ses propres applications. Résultat : les données clients, RH ou projets sont éparpillées entre plusieurs plateformes. La DSI perd la vision globale et l’entreprise multiplie les redondances.
3. Création de silos de données
4. Un Google Form RH ne communique pas avec l’ERP. Un Trello marketing ne parle pas au CRM. Ces silos compliquent la consolidation, génèrent des erreurs et rendent les reportings peu fiables.
5. Absence de traçabilité et gouvernance
6. Quand un collaborateur quitte l’entreprise, que deviennent ses accès Trello, ses fichiers sur son Drive perso ? Dans un Shadow IT, il n’y a pas de gestion centralisée des droits, ni de logs d’utilisation. Les données circulent sans filet, hors de tout contrôle.
7. Risque réglementaire et RGPD
8. Beaucoup d’outils cloud utilisés en Shadow IT sont hébergés hors UE, parfois soumis au Cloud Act. Résultat : des données sensibles (CV, contrats, données médicales) peuvent transiter vers des serveurs américains, en contradiction avec les exigences RGPD. Pour une entreprise, le risque juridique et réputationnel est majeur.

Une face cachée devenue structurelle

Le Shadow IT n’est pas seulement une pratique ponctuelle, c’est une conséquence logique de la digitalisation rapide des entreprises. Quand la DSI ne propose pas de solution agile, les métiers trouvent une alternative au prix de la cohérence et de la sécurité.

Et c’est cette même logique qui explique aujourd’hui l’essor du Shadow AI : une adoption massive, en dehors du SI, pour répondre à un besoin immédiat. Mais avec un risque encore amplifié, car cette fois, il ne s’agit plus seulement de stocker ou partager des données, mais de les injecter dans des systèmes d’IA externes.

Shadow AI, la nouvelle frontière

Après le Shadow IT, une nouvelle couche s’installe dans les entreprises : le Shadow AI. Le mécanisme est identique, mais l’ampleur du risque est plus grande. Les collaborateurs adoptent des outils d’intelligence artificielle générative sans passer par la DSI, pour répondre à un besoin immédiat de gain de temps ou de simplification. En apparence, rien de différent d’un Google Form ou d’un Trello personnel. En réalité, les conséquences sont beaucoup plus lourdes : il ne s’agit plus seulement de stocker ou de partager des données, mais de les transmettre à des systèmes externes capables de les traiter, les transformer et, dans certains cas, les conserver.

Une adoption massive et discrète

Le Shadow AI progresse de la même manière que le Shadow IT : par petites décisions individuelles, souvent prises pour pallier un manque perçu dans l’outillage officiel. Un recruteur colle un CV dans ChatGPT pour rédiger une synthèse de compétences. Un juriste demande à un LLM d’analyser les clauses d’un contrat. Un manager fait transcrire une réunion par Otter.ai pour gagner du temps sur le compte rendu.

Ces pratiques paraissent anodines. Elles ne nécessitent pas de mise en place complexe, ne demandent pas d’engagement financier important, et surtout, elles sont accessibles immédiatement. L’utilisateur saisit une donnée, obtient un résultat exploitable et se concentre à nouveau sur sa mission.

C’est précisément cette simplicité qui rend le Shadow AI difficile à repérer et à encadrer. Contrairement au déploiement d’un nouvel outil SaaS qui peut laisser des traces visibles (comptes créés, licences, facturation), l’usage d’une IA générative peut passer inaperçu : un simple navigateur web, une inscription gratuite, et la donnée est déjà partie hors du périmètre de contrôle.

Des risques amplifiés

Les risques du Shadow AI ne sont pas une duplication de ceux du Shadow IT, ils en sont une version aggravée.

1. Fuite de propriété intellectuelle
2. Lorsqu’un contrat, une offre commerciale ou un rapport stratégique est copié dans un outil d’IA générative, il quitte immédiatement l’environnement contrôlé de l’entreprise. Même si le service prétend ne pas réutiliser ces données, leur transmission à un tiers constitue une perte de maîtrise.
3. Dépendance accrue à des modèles opaques
4. L’utilisateur qui s’appuie sur l’IA générative pour valider un contrat, analyser une donnée ou préparer une note de synthèse délègue une part de sa décision à un système qu’il ne contrôle pas. Les modèles utilisés sont entraînés de manière opaque, sur des données non documentées, et leurs biais ou erreurs sont difficilement détectables.
5. Exposition réglementaire
6. Contrairement à un Trello ou à un Dropbox, l’IA générative ne se contente pas d’héberger ou de partager des fichiers. Elle transforme la donnée, parfois en la stockant pour affiner ses propres modèles. Cette transformation crée une difficulté supplémentaire pour la conformité réglementaire : impossible de garantir ce que devient réellement l’information une fois transmise.
7. Perte de souveraineté
8. La plupart des solutions d’IA générative les plus utilisées sont développées et hébergées en dehors de l’Europe. Les données traitées tombent alors sous le coup de réglementations étrangères, qui peuvent obliger les fournisseurs à donner accès à des tiers. Pour une entreprise, c’est une perte directe de souveraineté sur ses données stratégiques.

Une menace moins visible mais plus systémique

Le Shadow AI ne crée pas seulement des silos, il remet en cause la maîtrise même des données critiques de l’entreprise. Là où le Shadow IT fragmentait les flux, l’IA générative introduit une zone grise : des informations sensibles quittent le périmètre sécurisé, transitent par des systèmes tiers et reviennent sous forme de recommandations ou de documents que l’entreprise ne peut pas auditer.

Ce n’est plus seulement un problème de cohérence du système d’information, c’est un problème de confiance et de souveraineté. Les entreprises ne peuvent pas se contenter de constater l’usage, elles doivent anticiper et encadrer cette adoption, sous peine de voir leur patrimoine informationnel circuler hors de leur contrôle.

Le paradoxe agilité vs souveraineté

Le succès du Shadow IT comme du Shadow AI repose sur une réalité simple : les outils digitaux grand public sont devenus extrêmement accessibles. Un salarié n’a besoin que d’un navigateur web, d’une inscription en ligne et parfois d’une carte bancaire personnelle pour disposer d’un service performant. En quelques minutes, il contourne les lenteurs perçues du SI officiel. L’entreprise gagne en rapidité d’exécution… mais perd en maîtrise.

C’est tout le paradoxe : l’agilité se paie d’une perte de souveraineté. Les gains individuels sont visibles immédiatement, les risques collectifs apparaissent plus tard.

Des gains immédiats pour les équipes

Pour un collaborateur, le recours à un outil en Shadow IT ou en Shadow AI n’est pas une posture de défiance vis-à-vis de la DSI, mais une solution pragmatique. Les bénéfices sont évidents :

• Simplicité d’usage : l’outil est accessible, ergonomique, pensé pour l’utilisateur final. Pas besoin de formation longue ni de documentation lourde.
• Gain de temps : un formulaire en ligne, un tableau de suivi, un résumé généré par IA… autant de tâches accélérées qui permettent de se concentrer sur le cœur du métier.
• Autonomie : plus besoin d’attendre la validation d’un logiciel, le développement d’un module ou l’ouverture d’un ticket IT. L’équipe agit, parfois en quelques minutes.
• Efficacité visible : l’outil apporte rapidement une réponse tangible. Un manager obtient un reporting, un commercial une note de synthèse, un RH un retour d’enquête.

Cette perception d’efficacité explique la vitesse d’adoption. Elle alimente aussi un phénomène culturel : les collaborateurs estiment parfois que le SI officiel freine leur activité, tandis que ces solutions “off” leur donnent les moyens d’avancer.

Une perte de maîtrise pour l’entreprise

Mais ces gains individuels masquent une réalité structurelle : l’entreprise perd la maîtrise de ses flux et de ses données.

• Données hors SI : un CV collé dans un prompt d’IA, un contrat stocké sur un cloud externe, un reporting généré sur un outil non validé… autant de fragments critiques qui échappent au périmètre de sécurité.
• Absence de contrôle : la DSI ne sait pas quels outils sont utilisés, quelles données y circulent, ni quelles copies existent. Les flux deviennent invisibles et ingouvernables.
• Manque de garantie : aucun contrat de service, aucune assurance sur la localisation des données, aucune traçabilité sur leur traitement. Les informations sensibles peuvent être stockées, analysées ou réutilisées à des fins inconnues.
• Dépendance accrue : plus un outil non cadré devient central dans un processus, plus l’entreprise s’expose à une rupture brutale (arrêt du service, modification des conditions, changement d’hébergement).

Le Shadow IT fragmentait déjà les systèmes d’information. Le Shadow AI va plus loin : il altère la capacité de l’entreprise à savoir ce que deviennent ses données une fois transmises.

Une tension stratégique

Ce paradoxe illustre une tension profonde entre deux impératifs contradictoires :

• L’agilité opérationnelle, indispensable pour répondre à la pression du marché et aux besoins quotidiens.
• La souveraineté numérique, qui garantit que l’entreprise conserve la maîtrise de ses informations critiques.

Pour une DSI, le défi n’est pas d’interdire ces usages, car ils répondent à de vrais besoins métiers. Le défi est de canaliser l’agilité dans un cadre de gouvernance clair, en proposant des alternatives maîtrisées et souveraines.

Comment reprendre la main ?

Face à l’essor du Shadow IT et désormais du Shadow AI, les entreprises ne peuvent plus se contenter de constater. Fermer les accès ou interdire les outils est illusoire : les collaborateurs trouveront toujours une solution parallèle. La seule approche viable consiste à reprendre la main par une double logique : gouvernance claire et choix technologiques souverains.

Repenser la gouvernance IT

La première étape consiste à clarifier les règles du jeu. Beaucoup d’usages de l’IA générative ou d’outils SaaS se développent dans le flou : pas de consignes claires, pas de validation, pas d’audit. C’est ce vide qui favorise l’émergence d’un Shadow IT ou AI.

Trois actions concrètes peuvent être engagées :

1. Formaliser des chartes d’usage
2. Une charte spécifique aux outils cloud et IA doit préciser ce qui est autorisé, ce qui ne l’est pas, et dans quel cadre. Exemple : interdiction de coller des données personnelles ou contractuelles dans un service externe non validé, obligation d’utiliser des outils approuvés pour certaines tâches critiques.
3. Auditer les pratiques réelles
4. Il ne suffit pas de publier une règle. La DSI doit identifier quels outils sont effectivement utilisés en dehors du SI officiel. Cela passe par des entretiens, des relevés d’activité et parfois des solutions de monitoring. L’objectif n’est pas de sanctionner, mais de comprendre où les besoins métiers poussent à contourner les systèmes existants.
5. Intégrer l’IA dans le cadre de gouvernance
6. L’IA générative doit être traitée comme une brique technologique à part entière. Les règles de sécurité, de confidentialité et de conformité doivent s’y appliquer, au même titre qu’aux autres applications. Concrètement, cela signifie définir les données utilisables, les cas d’usage autorisés, et les validations nécessaires avant déploiement.

Une gouvernance adaptée ne vise pas à brider l’innovation, mais à canaliser l’agilité dans un cadre lisible et sûr.

Miser sur des alternatives souveraines

La deuxième étape est technologique : proposer des alternatives fiables aux usages sauvages. L’interdiction seule ne fonctionne pas. Les équipes métiers se tournent vers le Shadow IT ou AI parce qu’elles trouvent dans ces outils une simplicité et une efficacité immédiates. Pour éviter cela, l’entreprise doit offrir des solutions équivalentes en termes d’expérience… mais cadrées et souveraines.

L’idée n’est pas de couper les équipes de l’innovation, mais de leur donner un cadre maîtrisé où elles retrouvent la même valeur d’usage, sans compromettre la souveraineté ni la conformité.

Un équilibre entre agilité et maîtrise

Reprendre la main ne veut pas dire fermer la porte. Cela signifie reconnaître les besoins des métiers, leur fournir des alternatives adaptées, et maintenir la cohérence du SI. En pratique, une gouvernance claire et des solutions souveraines permettent de concilier les deux impératifs :

• l’agilité opérationnelle attendue par les équipes,
• et la souveraineté numérique indispensable pour l’entreprise.

Le Shadow AI ne disparaîtra pas, mais il peut être intégré dans un cadre solide. C’est à cette condition que l’innovation devient une force, et non une faille.

En bref

Le Shadow IT a montré à quel point les métiers pouvaient aller vite… et hors cadre.

Le Shadow AI reprend la même logique, mais avec un risque amplifié : des données sensibles qui quittent l’entreprise pour entraîner des modèles opaques.

La solution n’est pas de bloquer les usages, mais de cadrer et canaliser l’innovation : gouvernance claire, choix souverains, intégration maîtrisée dans le SI.

En clair : l’agilité sans souveraineté n’est pas une stratégie, c’est une faille.

‍