Gouvernance IA en entreprise : Shadow AI, charte, registre

1. Le Shadow AI : définition, et où il se niche

Le terme prolonge le « Shadow IT » — les logiciels installés sans l'aval de la direction. Mais l'IA aggrave le problème d'un cran : un tableur non déclaré stocke des données ; un outil d'IA générative les envoie à un tiers, les traite, et parfois les conserve. En PME, le Shadow AI se concentre à quatre endroits.

1. Les comptes IA personnels des salariés

Le cas le plus fréquent. Un commercial colle l'historique d'un client dans son assistant IA personnel pour préparer un rendez-vous. Un comptable y met un extrait de balance pour comprendre un écart. L'outil est gratuit, le compte est à leur nom : les données sortent de l'entreprise sans contrat, sans paramétrage de confidentialité, sans trace.

2. Les extensions de navigateur

Correcteurs augmentés, résumeurs de pages, assistants qui transcrivent les visios. Beaucoup lisent tout ce qui s'affiche à l'écran — y compris votre CRM et vos emails. Elles s'installent en deux clics, sans passer par personne.

3. Les fonctions IA activées par défaut dans vos logiciels

Votre CRM, votre outil de visio, votre suite bureautique ont tous ajouté des fonctions IA ces deux dernières années. Souvent activées par défaut, ou par un utilisateur curieux. Personne n'a décidé, personne n'a lu où partaient les données. C'est du Shadow AI sous licence officielle — payé par l'entreprise elle-même.

4. Les prestataires qui utilisent l'IA sans le dire

Votre agence, votre cabinet comptable, votre freelance : eux aussi ont adopté l'IA générative. Vos données clients transitent alors par leurs outils, que vous n'avez jamais évalués. Rares sont les contrats de prestation antérieurs à 2024 qui encadrent ce point : une question à poser à vos prestataires en place, une ligne à ajouter aux prochains contrats.

2. Détecter le Shadow AI en une matinée

Pas besoin d'un audit de trois semaines pour obtenir une première photographie fiable. Voici le déroulé que nous utilisons, calé sur une matinée.

• Le relevé des outils (1 h). Trois sources. Les abonnements logiciels qui apparaissent dans la comptabilité — y compris les petits montants passés en note de frais, c'est là que se cachent les comptes IA. La console d'administration de votre suite bureautique : la liste des applications tierces connectées aux comptes de vos salariés est souvent édifiante. Enfin, les extensions de navigateur installées sur un échantillon de postes.
• L'interrogation par métier (1 h 30). Quinze à vingt minutes par équipe — commerce, administration, production. Une seule question d'ouverture : « qu'est-ce qui vous fait gagner du temps en ce moment ? ». Jamais « utilisez-vous l'IA sans autorisation ? » : la question punitive fait mentir. Annoncez l'amnistie d'entrée de jeu : tout ce qui est déclaré ce matin est sans conséquence. L'objectif est la carte, pas les coupables.
• La consolidation (30 min). Un tableau à trois colonnes : l'outil, qui l'utilise, quelles données y passent. Cette feuille brute vaut plus qu'elle n'en a l'air : c'est la première version de votre registre des systèmes IA (section 4).

3. La charte IA : les quatre questions qu'elle doit trancher

Une charte IA n'est pas un document juridique de plus. C'est un arbitrage : ce que l'entreprise autorise, ce qu'elle interdit, et qui décide. Si votre charte ne tranche pas les quatre questions suivantes, elle décore.

Quels usages, pour quelles données ?

Le bon axe n'est pas l'outil, c'est la catégorie de données. Les outils changent sans arrêt ; vos catégories de données, non. Une grille simple suffit : données publiques, données internes, données personnelles, données sensibles ou stratégiques — et pour chacune, ce qui peut être saisi, où. Par catégorie d'usage ensuite : rédaction, analyse, code, images, chacune avec sa condition (relecture humaine, revue par un développeur, pas de personnes réelles en image).

Où la validation humaine est-elle obligatoire ?

Tout contenu envoyé à un client. Toute décision qui affecte un salarié ou un candidat. Tout prix, tout devis, tout engagement contractuel. L'IA propose, un humain assume — et la charte dit noir sur blanc où c'est non négociable.

Quels outils sont approuvés ?

Une liste courte, nominative, avec le type de compte (entreprise, jamais personnel) et les données admises. Et surtout : un circuit simple pour faire approuver un nouvel outil en quelques jours. Si demander l'autorisation prend un mois, vos équipes ne demanderont pas. C'est aussi là que se joue la souveraineté : pour les questions internes qui touchent des données sensibles, une alternative comme un chatbot IA souverain, hébergé en Europe, rend le service sans exporter vos données.

Comment signale-t-on un incident ?

Une donnée client collée par erreur dans un outil non approuvé, une réponse d'IA fausse partie chez un tiers : ça arrivera. La charte fixe quoi signaler, à qui, sous quel délai — et garantit qu'un signalement de bonne foi n'est jamais sanctionné. Sans cette garantie, les incidents existeront quand même ; vous n'en saurez simplement rien.

Pour ne pas partir d'une page blanche, nous avons rédigé un modèle complet — clauses en langage clair, grille de données, registre inclus — à adapter à votre contexte :

4. Le registre des systèmes IA : six colonnes qui changent un contrôle

Deux raisons de tenir un registre. La première est réglementaire : l'AI Act impose des obligations différentes selon vos systèmes — transparence pour les IA qui interagissent avec des personnes (article 50, applicable le 2 août 2026), exigences renforcées pour le haut risque de l'annexe III (échéance reportée au 2 décembre 2027 par le paquet Digital Omnibus). Impossible de savoir lesquelles vous concernent sans savoir ce qui tourne chez vous.

La seconde est pratique : le registre est le premier document que demandera un auditeur, un client grand compte ou un assureur. À peine 10 % des entreprises se déclarent prêtes à un audit (EY, 2025). La marche est moins haute qu'il n'y paraît : elle commence par un tableau. Six colonnes suffisent pour une PME.

Au premier passage, ne visez pas la perfection juridique dans la colonne « niveau de risque » : « interagit avec des personnes », « affecte des salariés ou candidats » suffisent pour prioriser. La qualification fine vient ensuite — c'est le point où un regard extérieur fait gagner du temps.

5. Qui porte ça dans une PME sans DPO ni DSI

La réponse honnête : pas un comité. Un binôme.

Le dirigeant tranche. Il signe la charte, arbitre les usages interdits, assume la position de l'entreprise. Le référent IA tient. Il maintient le registre, reçoit les signalements, répond aux questions du quotidien — « j'ai le droit de mettre ça dans l'outil ? ». Le référent n'a pas besoin d'être technique. La bonne personne est souvent celle qui gère déjà le RGPD ou la qualité — ou l'office manager qui connaît tous les outils de la maison.

La charge réaliste : la mise en place tient en une à deux journées — la matinée de détection, l'adaptation du modèle de charte, la première version du registre. Ensuite, une heure par mois suffit : inscrire les nouveaux outils, traiter les signalements, relire la charte quand un usage change.

Ce qu'il ne faut pas faire : créer un « comité IA » trimestriel sans pouvoir de décision. En PME, un comité qui ne tranche rien produit des comptes rendus, pas de la gouvernance. 57 % des dirigeants n'ont pas de stratégie IA (Bpifrance, juin 2025) : la gouvernance est justement le premier pas concret, avant même la stratégie — on ne pilote pas ce qu'on ne voit pas. Pour situer votre point de départ, commencez par notre score de maturité IA.

6. Les échéances à retenir (et le chiffre qu'on vous brandit à tort)

• RGPD : déjà applicable. N'attendez aucune échéance : toute donnée personnelle saisie dans un outil d'IA est un traitement au sens du RGPD, dès aujourd'hui. La CNIL a prononcé 83 sanctions en 2025, pour environ 487 millions d'euros d'amendes cumulées.
• AI Act, article 50 (transparence) : 2 août 2026. Vos interlocuteurs doivent savoir quand ils parlent à une IA ; certains contenus générés doivent être identifiables comme tels.
• AI Act, annexe III (systèmes à haut risque) : 2 décembre 2027, après le report décidé dans le paquet Digital Omnibus. Recrutement, évaluation des salariés, scoring : les obligations renforcées s'appliquent à cette date.

Et le chiffre qu'on vous brandit à tort : les sanctions maximales de l'AI Act — 35 millions d'euros ou 7 % du chiffre d'affaires mondial — prévues à l'article 99 s'appliquent uniquement aux pratiques interdites : manipulation, notation sociale, exploitation de vulnérabilités. Pas à votre chatbot, pas à votre tri d'emails. Si un prestataire agite ce montant pour vous vendre une conformité express avant le 2 août, méfiance : les manquements de transparence relèvent de paliers de sanction inférieurs — et se préviennent avec ce que décrit cet article.

Détecter, cadrer, enregistrer : c'est le socle, et il est à votre portée en interne avec le modèle fourni. L'étage au-dessus — cartographier les traitements, qualifier chaque système, remédier, documenter pour de bon — c'est un métier. C'est le nôtre : voir notre offre IA conforme RGPD & AI Act.