Il y a un moment où un collaborateur a un problème et cherche une solution. Un texte qui doit aller plus vite, un jeu de données qui doit être plus clair, un client qui veut une réponse aujourd'hui même. Le guichet informatique prend trop de temps, ou il n'y a pas de guichet du tout. Alors on crée un compte, on installe une extension, on souscrit un abonnement sur une carte de crédit que personne ne contrôle. Pas par mauvaise volonté. Par pression du travail.
C'est ainsi que naît l'IA fantôme (shadow AI). Pas comme une révolte contre la politique en place, mais comme une réponse pratique à une lacune dans cette politique. Et elle ne disparaît pas d'elle-même, car la raison de son apparition — une tâche qui avance plus vite avec l'IA que sans elle — subsiste tant que la politique n'offre pas d'alternative. Interdire ne change pas la tâche. Cela change seulement si vous savez que l'outil est utilisé.
Un aperçu des logiciels approuvés indique ce qui a été demandé et accordé. Il ne dit rien sur ce qui est réellement utilisé. Entre ces deux listes se trouve un écart qui s'élargit à mesure que les outils IA deviennent plus accessibles : pas d'installation, pas de processus d'achat, juste un navigateur et un compte. Une extension de navigateur ayant accès à votre messagerie échappe à tout processus d'achat et à tout inventaire, alors que l'accès dont elle dispose est tout aussi sensible qu'un système approuvé. Celui qui ne regarde que la liste informatique ne voit qu'une partie de la réalité et l'appelle le tout.
La seule façon de savoir ce qui est réellement utilisé, c'est de le demander. Pas comme une question de contrôle assortie d'une sanction à la fin, mais comme un inventaire sans conséquences pour ceux qui coopèrent. Dès que les collaborateurs suspectent qu'une réponse honnête mènera à un entretien avec un responsable, l'information ne disparaît pas — elle passe simplement dans la clandestinité. Le même outil continue de fonctionner, mais de manière moins visible. Une organisation qui souhaite connaître l'ampleur de l'IA fantôme doit donc d'abord régler la condition sous laquelle elle obtiendra la réponse. Il ne s'agit pas d'une question de perte de confiance, mais d'une question d'ordre : d'abord la visibilité, ensuite la politique.
Une fois l'inventaire recueilli, quelque chose d'exploitable apparaît : une liste d'outils classés par rôle et par niveau de risque, pas par bien ou mal. Un outil qui réécrit du texte pour un usage interne présente un risque différent d'un outil qui traite des données clients ou prépare des décisions. Certains de ces outils sont nés d'un usage individuel qui s'est transformé en standard de service — voir un service disposant de son propre abonnement — et méritent plutôt une formalisation qu'une interdiction. D'autres ont été mis en place ponctuellement pour un projet qui est désormais terminé, mais l'accès reste ouvert ; c'est le schéma décrit dans une installation test qui n'a jamais été désactivée. La classification déterminera ce qui est nécessaire : parfois rien, parfois un ajustement, parfois une intégration dans la structure de gouvernance existante.
L'objectif de cette approche n'est pas de désigner tous ceux qui ont lancé un outil sans autorisation. L'objectif est de savoir ce qui fonctionne, qui l'utilise, et quel risque y est attaché — afin qu'un administrateur, un CIO ou un General Counsel puisse répondre à cette question lorsqu'elle est posée, en interne ou en externe. Cela requiert une méthode d'inventaire fixe qui ne s'arrête pas à une seule ronde, car de nouveaux outils apparaissent constamment. La manière dont cet inventaire est construit dans la pratique, y compris la question de savoir qui l'exécute et à quelle fréquence, est décrite dans comment construire un inventaire IA.
La structure de gouvernance elle-même — quelles règles s'appliquent à quel niveau de risque, quels délais et quelles obligations en découlent — est un sujet distinct disposant de son propre contenu actualisé, qui n'est pas répété ici. Ce qui compte sur cette page, c'est le mécanisme : obtenir de la visibilité sans couper le flux d'information, et traduire cette visibilité en une classification qui s'articule avec ce que l'organisation a déjà mis en place en matière de gestion des risques.
L'inventaire qui met à jour l'IA fantôme ne le fait souvent pas uniquement pour des outils isolés. Il révèle aussi qu'un fournisseur a ajouté de l'IA à un système déjà en usage, sans qu'une discussion distincte ait eu lieu à ce sujet — le schéma derrière un fournisseur qui a intégré de l'IA dans son produit — et que des informations sensibles de l'entreprise sont parfois simplement collées dans une fenêtre de chat publique, comme décrit dans des données d'entreprise dans une fenêtre de chat gratuite. Toutes ces formes partagent la même origine : une tâche pour laquelle l'IA fonctionne plus vite que le processus existant.
Cette constatation mène logiquement à une autre question, indépendante de l'approbation et du risque : quelle part du travail lui-même est adaptée à une prise en charge par l'IA. Le scan de travail de FTE TO AI calcule cela tâche par tâche, sur la base de ce que le travail comprend réellement, et montre où l'automatisation peut reprendre une part réelle du temps — comme point de départ vers une discussion sur ce qui peut être planifié à partir de là, et non comme substitut à la question de gouvernance qui est au centre de cette page.
Vraag maar. Governance begint bij weten wat er draait — ook wat niemand heeft goedgekeurd.
Answers come from this site’s knowledge base. Not tailored advice, and not a scan of your company.