Le Shadow AI, c’est-à-dire l’utilisation d’outils d’intelligence artificielle sans validation ni encadrement interne, se développe rapidement au sein des entreprises. Si les outils d’IA peuvent améliorer certains processus et contribuer à la productivité, leur utilisation non maîtrisée peut exposer les organisations à des risques juridiques importants en matière de protection des données, de cybersécurité, de confidentialité ou de conformité réglementaire (notamment au Règlement IA).
Le Shadow AI: une source de risques multiples
L’utilisation d’outils d’IA non autorisés peut rapidement fragiliser la conformité d’une entreprise au RGPD.
À titre d’exemple, en l’absence d’un cadre interne régissant les usages de l’IA, des collaborateurs peuvent être amenés à recourir à des outils d’IA pour analyser, résumer ou traduire des documents contenant des données à caractère personnel.
Dans une telle situation, les données sont susceptibles d’être traitées en dehors des garanties juridiques, techniques et organisationnelles prévues par l’entreprise, ce qui accroît le risque de violation de données à caractère personnel.
Par ailleurs, l’absence de gouvernance des usages de l’IA complique la capacité de l’entreprise à démontrer qu’elle a mis en œuvre des mesures techniques et organisationnelles appropriées, conformément aux exigences du RGPD.
Dans un tel contexte, l’organisation s’expose à des injonctions de mise en conformité, à des sanctions administratives ou encore à des risques d’atteinte à sa réputation.
Le Shadow AI présente également des enjeux majeurs en matière de confidentialité.
En effet, l’utilisation non encadrée d’outils d’IA peut conduire à l’introduction, dans ces systèmes, de secrets d’affaires ou d’informations stratégiques propres à l’entreprise, susceptibles d’être réutilisés ou exposés, parfois sans que l’entreprise en ait connaissance.
Une divulgation dans de telles circonstances peut compromettre la capacité de l’organisation à invoquer la protection juridique des secrets d’affaires, faute de dispositions raisonnables et suffisantes pour maintenir le secret.
Enfin, sans être exhaustif, le recours à des outils d’IA non validés peut également soulever des difficultés au regard des exigences de cybersécurité, notamment celles issues de la directive NIS2, ainsi que des enjeux en matière de propriété intellectuelle.
Notre conseil :
Face au développement du Shadow AI en entreprise, une politique interne claire définissant les principes d’utilisation de l’IA constitue un élément majeur de conformité et de gestion des risques. Une telle politique permettrait, par exemple, de définir les cas d’usage autorisés, les catégories de données pouvant être traitées. Une politique IA sert également de socle pour organiser la sensibilisation des collaborateurs sur les bonnes pratiques en la matière.
La mise en place d’une gouvernance IA s’avère également pertinente dès lors qu’elle permet de coordonner l’usage de l’IA, ce qui contribue à assurer sa cohérence et son efficacité.
Pour toute question relative au Shadow AI ou à la mise en place d’une politique IA et/ou d’une gouvernance IA, l’équipe Creactivity reste à votre disposition.
