Shadow AI en entreprise : éviter les « champignons toxiques » et choisir des outils d’IA sûrs

IA clandestine au travail : une prolifération comparable aux champignons après la pluie

Le Shadow AI en entreprise désigne l’utilisation de systèmes, d’applications ou de fonctionnalités d’intelligence artificielle sans validation, sans inventaire ou sans contrôle suffisant de l’organisation.

Il ne s’agit donc pas uniquement d’un salarié qui ouvre discrètement ChatGPT dans son navigateur. L’IA clandestine peut aussi se cacher dans un logiciel de création, un lecteur de PDF, une extension, un outil de traduction, une plateforme de visioconférence ou une application métier récemment mise à jour.

Comme les champignons après une averse, ces fonctions apparaissent parfois en une nuit. Un bouton « Résumer », « Générer », « Améliorer », « Analyser » ou « Traduire » est ajouté à une interface déjà connue. Le collaborateur l’essaie pour gagner quelques minutes. Il copie un contrat, importe un rapport clinique ou téléverse une présentation stratégique.

Le geste paraît banal. Pourtant, l’entreprise ne sait pas toujours quel modèle traite les informations, dans quel environnement elles transitent, combien de temps elles sont conservées ni quels sous-traitants interviennent.

C’est là que commencent les risques du Shadow AI pour les entreprises.

Un outil peut être performant sans être adapté aux informations manipulées. Un peu comme un champignon parfaitement comestible devient dangereux lorsqu’il est confondu avec une variété voisine, une application d’IA peut être acceptable avec des contenus publics, mais inappropriée pour un secret d’affaires, un code source, un dossier médical ou un procédé industriel.

Le problème est d’autant plus difficile à maîtriser que les usages se superposent. Dans les organisations européennes observées par Netskope en 2026, 64 % des utilisateurs recouraient directement à des applications d’IA, mais 95 % utilisaient également des logiciels comportant des fonctions d’IA intégrées. L’intelligence artificielle agit donc souvent derrière l’interface, sans interaction directe avec un chatbot.

Intelligence artificielle non autorisée : combien de collaborateurs européens l’utilisent-ils réellement ?

Il n’existe pas un chiffre unique permettant de mesurer tous les usages cachés de l’intelligence artificielle par les collaborateurs.

Les études ne portent pas sur les mêmes populations et ne définissent pas toutes l’IA de la même manière. Certaines interrogent des salariés. D’autres analysent le trafic des entreprises clientes d’un fournisseur de cybersécurité. Les résultats doivent donc être lus comme des signaux complémentaires, et non additionnés.

À l’échelle de l’Union européenne, une enquête du Centre commun de recherche de la Commission européenne, fondée sur plus de 70 000 réponses dans les 27 États membres, indiquait en 2025 que 30 % des travailleurs utilisaient des outils d’IA au travail. Les usages concernaient principalement des tâches liées au texte, comme la rédaction et la traduction.

La télémétrie de Netskope fournit une autre photographie, centrée sur les organisations européennes observées par l’éditeur. Son rapport Europe 2026 indique que la proportion d’utilisateurs actifs d’applications d’IA est passée de 35 % à 65 % en une année.

Les entreprises ont parallèlement développé les solutions administrées par l’organisation. Malgré cette progression, 43 % des utilisateurs observés employaient encore des applications ou des comptes personnels, tandis que 15 % alternaient entre les environnements personnels et professionnels.

Cette multiplication ne concerne pas quelques plateformes célèbres. Dans une étude consacrée au Shadow AI et à l’IA agentique, Netskope indiquait suivre plus de 1 550 applications SaaS d’IA générative distinctes, contre 317 quelques mois auparavant.

La forêt est donc beaucoup plus vaste qu’elle n’en a l’air.

Outils IA invisibles : de Canva à Acrobat, où se cachent les risques de fuite de données ?

Les logiciels avec intelligence artificielle intégrée compliquent la détection du Shadow AI. Un collaborateur peut affirmer ne jamais utiliser ChatGPT tout en sollicitant quotidiennement plusieurs modèles présents dans ses outils habituels.

Canva propose, par exemple, des fonctions génératives pour rédiger, créer des images, modifier des visuels, traduire des contenus ou automatiser certaines opérations de conception.

Les conditions de traitement peuvent cependant dépendre du type de compte et des paramètres activés. Canva indique que les contenus des utilisateurs Teams, Business, Enterprise et Education ne servent pas à améliorer ses fonctionnalités d’IA. La plateforme précise également que les applications tierces connectées à son service sont soumises à leurs propres conditions et pratiques de confidentialité.

Adobe Acrobat utilise également une intelligence artificielle capable d’analyser des documents, de répondre à des questions et de produire des résumés. Adobe indique ne pas utiliser les données de ses clients pour entraîner ou affiner ses grands modèles de langage. L’éditeur précise aussi que la fonction doit être activée par l’utilisateur et qu’elle analyse les documents explicitement sélectionnés.

Ces garanties sont importantes. Elles ne rendent toutefois pas chaque utilisation automatiquement acceptable.

Le risque dépend notamment :

1. de la version du service ;
2. du type de compte utilisé ;
3. des paramètres de confidentialité ;
4. des applications tierces connectées ;
5. de la localisation du traitement ;
6. des données saisies ou importées ;
7. des engagements contractuels applicables à l’entreprise.

Un compte personnel gratuit ne doit pas être évalué de la même manière qu’une offre professionnelle administrée et contractualisée.

Les risques ne sont pas théoriques. Dans les incidents de violation des politiques de données recensés par Netskope en Europe, les données réglementées représentaient 59 % des cas, le code source 15 %, la propriété intellectuelle 13 %, et les mots de passe ou clés d’API 12 %. Ces chiffres concernent les organisations observées par Netskope, mais ils illustrent clairement les catégories d’informations susceptibles d’être exposées.

Pour savoir si un logiciel utilise une IA intégrée, l’audit doit vérifier cinq éléments essentiels :

1. la fonction réellement utilisée et la technologie qui l’alimente ;
2. le compte personnel ou professionnel depuis lequel elle est activée ;
3. les données saisies, importées, analysées ou générées ;
4. les règles de conservation, d’amélioration des modèles et de partage avec des tiers ;
5. les contrôles disponibles pour les administrateurs de l’entreprise.

Sans cette cartographie, l’organisation avance dans la forêt avec un panier rempli, mais sans guide pour distinguer une IA comestible d’une IA toxique.

IA fantôme en entreprise : comment distinguer les solutions comestibles des outils toxiques ?

Face au Shadow AI, le premier réflexe consiste parfois à interdire toutes les intelligences artificielles.

Cette stratégie semble rassurante. Elle fonctionne pourtant comme un panneau « cueillette interdite » planté au milieu d’une forêt immense : les champignons continuent de pousser et certains promeneurs poursuivent leur récolte à l’abri des regards.

Les collaborateurs utilisent l’IA parce qu’elle répond à un besoin concret. Ils veulent résumer un rapport, traduire un courrier, concevoir une présentation, nettoyer des données, corriger un texte ou retrouver une information dans un PDF.

Supprimer le bouton ne supprime pas le besoin. Cela risque plutôt de déplacer l’usage vers un compte personnel, une extension gratuite ou une application encore moins visible.

L’objectif n’est donc pas de choisir entre une entreprise sans IA et une entreprise envahie par les outils. Il consiste à créer un environnement dans lequel les solutions utiles peuvent être adoptées sans exposer les informations sensibles.

Pour y parvenir, l’organisation peut différencier trois catégories.

Les outils autorisés sont évalués, contractualisés et administrés par l’entreprise. Leur utilisation est permise pour des tâches et des données clairement définies.

Les outils autorisés sous conditions peuvent être employés avec des informations publiques, anonymisées ou non sensibles, mais pas avec des contrats, des données personnelles, des dossiers médicaux, des secrets industriels ou du code source confidentiel.

Les outils interdits présentent un risque incompatible avec les activités de l’organisation. Leur éditeur ne fournit pas les garanties nécessaires, leurs conditions sont trop imprécises ou leur fonctionnement implique un transfert de données non maîtrisé.

Cette classification remplace l’interdiction générale par une règle compréhensible. Elle donne aux collaborateurs un panier dans lequel déposer les bons outils, au lieu de les laisser improviser leur propre cueillette.

En Suisse, cette démarche ne relève pas uniquement de la prudence informatique. Le Préposé fédéral à la protection des données et à la transparence rappelle que la loi fédérale sur la protection des données, entrée en vigueur le 1er septembre 2023, s’applique directement aux traitements reposant sur l’intelligence artificielle. Une entreprise reste donc responsable du traitement des données personnelles, même lorsque l’application d’IA a été choisie individuellement par un collaborateur.

L’Office fédéral de la cybersécurité souligne par ailleurs que l’IA agit comme un catalyseur des tendances existantes dans le domaine de la cybersécurité. Elle ne remplace pas les risques classiques : elle peut les accélérer, les amplifier ou les rendre plus difficiles à repérer.

Pour une société suisse qui travaille avec des clients, des collaborateurs ou des filiales dans l’Union européenne, le cadre doit également tenir compte du règlement européen sur l’intelligence artificielle.

L’AI Act est entré en vigueur le 1er août 2024. Les obligations relatives à la maîtrise de l’IA et certaines interdictions sont applicables depuis le 2 février 2025. Le règlement est devenu largement applicable le 2 août 2026, même si certaines obligations concernant des systèmes à haut risque bénéficient encore de calendriers spécifiques.

Attendre qu’un incident survienne pour examiner les outils revient ainsi à goûter chaque champignon afin de découvrir s’il est toxique. Une approche plus sûre consiste à identifier l’espèce avant de la consommer.

Usages IA hors contrôle : auditer, sécuriser et sélectionner les applications autorisées

Un audit du Shadow AI ne doit pas se limiter à demander : « Utilisez-vous ChatGPT ? »

Cette question ne révèle qu’une petite partie de la forêt. Il faut rechercher toutes les fonctions capables d’analyser, de transformer, de générer, de classer ou de transmettre des informations à l’aide d’un système d’intelligence artificielle.

L’inventaire doit couvrir :

• les assistants conversationnels et les moteurs de recherche augmentés ;
• les outils de création graphique, vidéo ou audio ;
• les lecteurs de PDF et les logiciels bureautiques ;
• les extensions de navigateur ;
• les correcteurs, traducteurs et assistants de rédaction ;
• les plateformes de visioconférence et de transcription ;
• les outils de développement et de génération de code ;
• les logiciels de ressources humaines, de vente ou de marketing ;
• les applications métier intégrant une IA propriétaire ou libre ;
• les services auxquels les collaborateurs accèdent avec un compte personnel.

Cette cartographie répond à une question essentielle : comment détecter le Shadow AI dans une organisation ?

Il faut croiser plusieurs sources plutôt que de compter sur une déclaration spontanée.

Les entretiens avec les équipes révèlent les besoins et les habitudes. Les données d’authentification, les journaux de navigation, les factures, les cartes professionnelles et les extensions installées permettent de repérer des services méconnus.

Les contrats logiciels doivent également être relus. Une fonction d’IA peut avoir été ajoutée lors d’une mise à jour sans faire l’objet d’un nouvel achat ni d’une nouvelle analyse des risques.

La démarche doit toutefois rester transparente. Un audit présenté comme une chasse aux coupables encouragera les collaborateurs à masquer leurs usages. Un audit présenté comme un moyen d’obtenir de meilleurs outils et de sécuriser les informations produira des réponses plus utiles.

Une fois les applications repérées, chaque solution peut être évaluée à l’aide de dix questions.

1. Quelle tâche l’outil doit-il accomplir ?

Une application ne devrait pas être adoptée simplement parce qu’elle contient de l’IA. Son utilité doit répondre à un besoin précis : synthétiser des documents, assister la création, automatiser une recherche ou accélérer une opération métier.

2. Quelles informations lui seront confiées ?

Il faut distinguer les contenus publics des données internes, personnelles, médicales, financières, techniques ou stratégiques. Un outil acceptable pour créer une illustration générique peut être inadapté à l’analyse d’un dossier patient.

3. L’utilisation repose-t-elle sur un compte personnel ou professionnel ?

Les garanties, les paramètres de confidentialité et les contrôles administratifs peuvent varier fortement entre une version gratuite et une offre d’entreprise.

4. Les données servent-elles à entraîner ou à améliorer les modèles ?

L’entreprise doit obtenir une réponse claire et, lorsque le risque le justifie, un engagement contractuel. Un bouton de désactivation laissé à la charge de chaque utilisateur offre moins de maîtrise qu’un paramètre imposé par l’administrateur.

5. Combien de temps les informations sont-elles conservées ?

La durée de conservation doit couvrir les fichiers importés, les requêtes, les réponses, les journaux techniques et les sauvegardes.

6. Où les données sont-elles traitées ?

L’organisation doit identifier les lieux d’hébergement, les transferts internationaux et les sous-traitants susceptibles d’intervenir.

7. Quels contrôles techniques sont disponibles ?

Une solution professionnelle devrait proposer, selon le contexte, une authentification centralisée, une gestion des rôles, des journaux d’activité, un chiffrement, des restrictions de partage et des mécanismes de prévention des fuites de données.

8. Des applications tierces peuvent-elles accéder aux contenus ?

Un outil principal peut présenter de bonnes garanties tout en donnant accès à des extensions ou connecteurs régis par d’autres conditions.

9. Que prévoit le contrat en cas d’incident ?

Les responsabilités, les délais de notification, l’assistance, la propriété des contenus et les conditions de sortie doivent être examinés avant le déploiement.

10. L’entreprise peut-elle quitter facilement la solution ?

Les données, configurations et historiques doivent pouvoir être supprimés ou exportés. Sans procédure de sortie, une application initialement pratique peut devenir un piège difficile à refermer.

L’Agence de l’Union européenne pour la cybersécurité recommande d’aborder les systèmes d’IA comme des actifs intégrés aux infrastructures et aux processus de l’organisation, en tenant compte des composants, des données, des opérations et de l’ensemble du cycle de vie.

À partir de cette évaluation, l’organisation peut construire une liste d’outils d’IA autorisés.

Cette liste ne doit pas se résumer à une succession de marques. Pour chaque solution, elle doit préciser les usages permis, les données interdites, la version approuvée, le type de compte requis et la personne à contacter en cas de doute.

Par exemple :

• un assistant de rédaction peut être autorisé pour reformuler des contenus publics ;
• un outil de création visuelle peut être accepté pour des images génériques, mais pas pour des prototypes confidentiels ;
• un lecteur de PDF doté d’une IA peut être admis pour des documents publics et interdit pour des contrats non publiés ;
• un assistant de code peut être limité à certains dépôts ;
• un outil de transcription peut être accepté pour des réunions générales, mais exclu des consultations médicales ou des négociations stratégiques.

Cette précision rend la politique utilisable au quotidien.

Dire « soyez prudents avec l’IA » revient à conseiller à un cueilleur de ne pas se tromper. Dire « cette variété est autorisée dans ce panier, mais pas dans celui-ci » lui permet réellement d’agir.

La politique interne doit aussi indiquer ce qu’un collaborateur doit faire lorsqu’il découvre une nouvelle fonction :

1. décrire l’outil et le besoin ;
2. indiquer les données envisagées ;
3. transmettre la demande à l’équipe responsable ;
4. réaliser une évaluation proportionnée au risque ;
5. autoriser, limiter ou refuser l’utilisation ;
6. documenter la décision dans le catalogue interne.

Cette procédure évite que chaque demande devienne un projet interminable. Elle donne aussi à la DSI, à la sécurité, au service juridique, à la protection des données et aux métiers une base commune pour décider.

La formation joue enfin un rôle central. L’AI Act impose aux fournisseurs et aux organisations qui déploient des systèmes d’IA de prendre des mesures visant à développer la maîtrise de l’IA de leurs collaborateurs, en tenant compte de leurs connaissances, de leur expérience et du contexte d’utilisation.

Former ne signifie pas transformer chaque salarié en juriste ou en ingénieur. Les collaborateurs doivent surtout apprendre à reconnaître quatre signaux d’alerte :

• l’outil réclame un fichier ou un accès dont il n’a pas besoin ;
• les conditions de conservation ou d’entraînement sont imprécises ;
• l’utilisation passe par un compte personnel ;
• le contenu comprend une information que l’entreprise ne publierait jamais volontairement.

Une règle simple peut résumer le comportement attendu :

Ne saisissez pas dans une IA non validée ce que vous ne déposeriez pas sur le bureau d’un fournisseur inconnu.

Gouvernance de l’IA fantôme : pourquoi ISO/IEC 42001 devient-elle un avantage concurrentiel ?

Cartographier les outils ne suffit pas.

Une entreprise peut dresser aujourd’hui une liste précise de ses applications d’intelligence artificielle et la voir devenir obsolète quelques semaines plus tard. De nouvelles fonctions apparaissent, les modèles évoluent et les fournisseurs modifient leurs services.

Comment éviter de recommencer toute la cueillette après chaque pluie ?

La norme ISO/IEC 42001:2023 apporte une réponse structurée. Elle définit les exigences permettant d’établir, de mettre en œuvre, de maintenir et d’améliorer continuellement un système de management de l’intelligence artificielle, ou SMIA.

Elle s’adresse aux organisations de toutes tailles qui développent, fournissent ou utilisent des produits et des services reposant sur l’IA.

Son rôle n’est pas de déclarer qu’une technologie est bonne ou mauvaise une fois pour toutes. Elle installe une méthode pour identifier les usages, attribuer les responsabilités, évaluer les risques, contrôler les fournisseurs et suivre les systèmes d’IA pendant leur cycle de vie.

Pour reprendre l’analogie des champignons, ISO/IEC 42001 ne remet pas simplement aux collaborateurs une affiche montrant quelques espèces toxiques. Elle organise toute la cueillette : qui peut ramasser quoi, dans quelle forêt, avec quel panier, selon quels critères et avec quel contrôle avant la consommation.

Une certification ISO/IEC 42001 ne certifie pas individuellement chaque réponse produite par une intelligence artificielle. Elle ne garantit pas non plus qu’aucun incident ne se produira jamais.

Elle fournit une confirmation indépendante que le système de management de l’IA, dans le périmètre défini par l’organisation, répond aux exigences de la norme.

La certification est volontaire. Elle est délivrée par un organisme de certification indépendant, éventuellement accrédité par un organisme national d’accréditation. L’ISO élabore la norme, mais ne certifie elle-même aucune entreprise.

Cette nuance renforce la crédibilité du message. Une entreprise certifiée ne prétend pas que toutes ses intelligences artificielles sont infaillibles. Elle démontre qu’elle dispose d’un dispositif organisé pour les gouverner, surveiller leurs risques, traiter les écarts et améliorer ses pratiques.

Pour une organisation confrontée au Shadow AI, la mise en œuvre d’ISO/IEC 42001 présente plusieurs avantages concrets.

Rendre visibles les usages auparavant clandestins

La démarche pousse l’entreprise à examiner les assistants officiels, mais aussi les comptes personnels, les fonctions génératives intégrées aux logiciels et les outils apportés par les collaborateurs.

L’inventaire ne devient plus une opération exceptionnelle. Il s’inscrit dans un processus durable avec des propriétaires, des responsabilités et des règles de mise à jour.

Clarifier les rôles et les responsabilités

Qui décide qu’un outil peut être utilisé ? Qui vérifie ses conditions contractuelles ? Qui analyse les risques pour les données personnelles, les secrets industriels ou les informations médicales ? Qui supervise les résultats et traite les incidents ?

Le système de management permet d’attribuer des rôles précis. La direction fixe les objectifs. Les propriétaires métier définissent les besoins. Les spécialistes évaluent les risques. Les utilisateurs reçoivent des règles compréhensibles.

Transformer l’évaluation des risques en processus reproductible

Une application d’IA ne présente pas le même danger selon qu’elle reformule une publication destinée au public ou qu’elle analyse un dossier médical.

ISO/IEC 42001 conduit l’entreprise à évaluer les risques en fonction du contexte, de l’usage, des personnes concernées et des conséquences possibles.

Accélérer l’adoption des outils utiles

La gouvernance est parfois perçue comme un frein. Elle peut au contraire accélérer les décisions.

Lorsque les critères d’évaluation, les responsabilités et les niveaux de risque sont déjà définis, l’entreprise n’a plus besoin d’inventer un nouveau processus pour chaque outil.

Les applications peu sensibles peuvent suivre une validation allégée. Les usages impliquant des secrets d’affaires, des données médicales ou des décisions importantes bénéficient d’un examen approfondi.

La norme aide ainsi à remplacer le « non » prononcé par précaution par un « oui, sous ces conditions ».

Améliorer la traçabilité et la confiance

ISO présente la traçabilité, la transparence, la fiabilité et la démonstration d’un usage responsable parmi les principaux bénéfices d’ISO/IEC 42001.

Cet avantage peut devenir commercial.

Lors d’un appel d’offres, un client peut demander comment ses données seront utilisées, quels fournisseurs interviendront, qui supervisera l’IA et comment les incidents seront gérés.

Une entreprise dotée d’un SMIA documenté peut répondre avec des processus, des responsabilités et des preuves, plutôt qu’avec une déclaration générale de bonne intention.

Soutenir la conformité sans remplacer la loi

ISO/IEC 42001 aide à organiser la prise en compte des exigences juridiques et réglementaires. Elle peut soutenir la conformité en structurant les responsabilités, l’évaluation des risques, la documentation et la surveillance.

Elle ne remplace toutefois ni la législation suisse sur la protection des données, ni les règles sectorielles, ni les obligations applicables dans l’Union européenne.

La norme constitue la charpente de la maison. Les lois et les exigences contractuelles déterminent une partie des règles à respecter à l’intérieur.

Créer une boucle d’amélioration continue

Le monde de l’IA évolue trop rapidement pour qu’une politique rédigée une fois reste pertinente pendant plusieurs années.

ISO/IEC 42001 conduit l’entreprise à planifier son dispositif, le mettre en œuvre, mesurer son efficacité et corriger les écarts. Elle transforme la gouvernance en un système vivant, capable de réagir lorsqu’un fournisseur modifie son modèle, qu’une fonction apparaît ou qu’un incident révèle une faiblesse.

Valoriser les dispositifs déjà en place

Une organisation qui applique déjà des normes comme ISO/IEC 27001, ISO 9001 ou ISO 22301 ne repart pas nécessairement de zéro.

Les mécanismes de gestion documentaire, d’audit interne, de revue de direction, de traitement des non-conformités et d’amélioration continue peuvent être intégrés ou mutualisés.

ISO/IEC 27001 protège principalement la sécurité de l’information. ISO/IEC 42001 élargit le regard aux enjeux propres à l’IA : responsabilité, transparence, données, impacts, supervision humaine, performance des systèmes et usages acceptables.

La route vers la certification peut être organisée en dix étapes :

1. définir le périmètre du système de management de l’IA ;
2. réaliser un diagnostic de maturité et une analyse des écarts ;
3. inventorier les systèmes et les usages d’IA ;
4. établir la politique, les objectifs et les responsabilités ;
5. conduire les évaluations de risques et d’impacts ;
6. mettre en place les contrôles et la documentation ;
7. former les collaborateurs concernés ;
8. surveiller les indicateurs et traiter les incidents ;
9. réaliser un audit interne et une revue de direction ;
10. soumettre le système à un organisme de certification indépendant.

Cette préparation ne doit pas devenir une production de documents sans rapport avec le terrain.

Un bon SMIA doit se retrouver dans les décisions quotidiennes : choix d’un fournisseur, activation d’une fonction, utilisation d’un compte personnel, importation d’un document ou signalement d’un résultat douteux.

ISO/IEC 42001 offre ainsi une réponse durable au Shadow AI. Elle ne cherche pas à éliminer tous les champignons de la forêt. Elle permet à l’entreprise de connaître son environnement, de former les cueilleurs, de vérifier les espèces et de conserver une trace des décisions.

Conclusion — Encadrer le Shadow AI sans renoncer aux bénéfices de l’intelligence artificielle

Le Shadow AI ne se limite plus à quelques collaborateurs utilisant discrètement un assistant conversationnel.

Il se glisse désormais dans les outils de création, les lecteurs de PDF, les logiciels de traduction, les extensions de navigateur, les plateformes de réunion et une multitude d’applications métier.

Comme les champignons après la pluie, ces fonctions apparaissent rapidement. Certaines sont utiles, sûres et parfaitement adaptées aux besoins de l’entreprise. D’autres exposent silencieusement des contrats, des données personnelles, des secrets industriels, du code source ou des informations médicales.

Le véritable danger ne vient donc pas de l’intelligence artificielle elle-même. Il naît de l’absence de visibilité, de règles et de responsabilités.

Interdire tous les outils ne résout pas durablement le problème. Les collaborateurs continueront à chercher des moyens de gagner du temps, de résumer des documents ou d’automatiser des tâches répétitives.

En revanche, une entreprise peut leur proposer des alternatives approuvées, expliquer quelles informations peuvent être utilisées et mettre en place un processus rapide pour évaluer les nouvelles applications.

La première étape consiste à réaliser un audit du Shadow AI.

Quels outils sont déjà présents ? Quels comptes personnels sont utilisés ? Quelles données leur sont transmises ? Quelles fonctions d’IA ont été ajoutées à des logiciels existants ?

Sans cette cartographie, l’organisation avance dans la forêt sans savoir ce qui se trouve dans son panier.

La seconde étape consiste à transformer cet inventaire en une gouvernance durable.

La norme ISO/IEC 42001 fournit précisément un cadre pour définir les responsabilités, gérer les risques, contrôler les fournisseurs, former les utilisateurs et améliorer continuellement les pratiques.

Une certification ISO/IEC 42001 ne promet pas qu’aucune erreur ou fuite ne surviendra jamais. Elle permet cependant de démontrer qu’un système de management de l’intelligence artificielle a été organisé, documenté, contrôlé et soumis à un audit indépendant dans un périmètre clairement défini.

Pour les entreprises suisses, cette démarche peut devenir un véritable avantage concurrentiel. Elle renforce la confiance des clients, facilite les réponses aux appels d’offres, améliore la maîtrise des prestataires technologiques et prépare l’organisation aux exigences croissantes relatives à l’utilisation responsable de l’IA.

Passer d’une IA fantôme à une gouvernance certifiable

Seeger Consulting accompagne les entreprises dans la préparation à la certification ISO/IEC 42001, depuis le diagnostic initial et l’analyse des écarts jusqu’à la mise en œuvre du SMIA, la gestion des risques, l’audit interne et la préparation à l’audit de certification.

L’accompagnement ne s’arrête pas à la documentation.

Les collaborateurs doivent comprendre les risques, reconnaître les outils non autorisés et savoir comment réagir lorsqu’une nouvelle fonction d’IA apparaît.

Seeger Consulting propose des actions de sensibilisation et de formation destinées à développer une culture d’utilisation responsable. Selon les besoins de la mission, des partenaires spécialisés et des experts reconnus peuvent également être mobilisés pour apporter des compétences complémentaires.

Une gouvernance responsable doit aussi offrir des solutions concrètes.

Demander aux équipes de ne plus utiliser leurs outils personnels sans leur proposer d’alternative reviendrait à interdire la cueillette tout en laissant le réfrigérateur vide.

Des solutions souveraines existent en Suisse.

Grammateus, développée par SELABS.ai, réunit notamment un assistant conversationnel, la recherche dans des documents, la rédaction, la synthèse, la traduction, l’anonymisation, ainsi que la transcription et le résumé de réunions.

L’éditeur propose un déploiement local, hybride ou dans un centre de données suisse. Il indique également que la solution s’intègre à Outlook, Word et Teams grâce à des extensions dédiées.

Sans prétendre reproduire chaque fonction de Microsoft Copilot, Grammateus se rapproche ainsi de plusieurs usages professionnels recherchés par les entreprises : travailler sur des documents, assister la rédaction, synthétiser des informations, traduire des contenus et faciliter les réunions.

Son positionnement suisse et ses différents modes de déploiement peuvent constituer une réponse intéressante pour les organisations qui souhaitent mieux maîtriser leurs données et réduire le recours à des comptes d’IA personnels.

Comme pour tout fournisseur, les engagements annoncés doivent néanmoins être confirmés dans le contrat, les paramètres techniques et l’architecture retenue pour le déploiement.

L’enjeu n’est finalement pas de choisir entre innovation et sécurité. Il est de permettre aux équipes d’utiliser l’intelligence artificielle dans un environnement connu, évalué et gouverné.

Avant que les prochains outils ne poussent dans votre organisation, posez-vous trois questions :

• Savez-vous quelles intelligences artificielles vos collaborateurs utilisent déjà ?
• Pouvez-vous expliquer quelles données elles traitent et où elles sont hébergées ?
• Disposez-vous d’un système de gouvernance capable d’encadrer les nouveaux usages ?

Lorsque la réponse reste incertaine, le moment est venu de cartographier votre Shadow AI, de former vos collaborateurs et de préparer une gouvernance conforme aux principes d’ISO/IEC 42001.

Pour approfondir la démarche, Seeger Consulting propose le livre blanc « Guide pratique pour comprendre ISO/IEC 42001 et mettre en place une gouvernance IA responsable ».

Ce document premium de 25 pages est disponible depuis la page Ressources de Seeger Consulting, qui permet de consulter un aperçu et d’accéder au formulaire de demande.

Ne laissez pas vos collaborateurs distinguer seuls les champignons numériques comestibles des variétés toxiques. Téléchargez le livre blanc, évaluez la maturité de votre organisation et engagez une démarche de gouvernance responsable de l’intelligence artificielle.