Shadow IA

Quand l’ombre de l’intelligence artificielle se teinte d’illicéité

Shadow IA, docteur Jekyll contre Mister Hyde ? (Image générée par IA)

Introduction

Le Shadow AI, ou intelligence artificielle fantôme, est un phénomène émergent qui désigne l'utilisation d'applications d'IA par des collaborateurs, voire des départements entiers, sans l'approbation du service informatique de leur entreprise.

Ce phénomène prend une ampleur inquiétante à mesure que les technologies d’IA deviennent plus accessibles, puissantes et intuitives, et leur usage illicite représente une menace sérieuse pour la sécurité des données, la réputation des entreprises et même l’intégrité des systèmes d’information.

Aux origines

Le Shadow AI est né de la démocratisation des technologies d'IA et de leur accessibilité croissante, souvent même gratuitement.

Avec l'essor des modèles de langage aussi puissant que ChatGPT, DeepSeek, Mistral AI, ou Gemini, pour ne citer qu’eux, ainsi que des outils d'automatisation basés sur l'IA, les employés ont commencé à contourner les processus de validation internes pour répondre à des besoins immédiats d’efficacité et de rapidité, ce qui améliore grandement leur productivité...

À l’image du Shadow IT (mêmes causes, mêmes effets) qui consiste à utiliser son matériel informatique personnel au travail, cet usage parallèle s’est développé très rapidement dans un contexte où les outils des entreprises étaient en retard sur les innovations technologiques, ce qui est très souvent le cas…

Ce contexte d'exploitation de l’IA en entreprise sans cadre formel ni sécurisé, donne naissance à un écosystème de pratiques non régulées, avec pour corollaire des risques «accidentels» mais aussi, potentiellement, une utilisation délibérément illicite.

Shadow IA : quels risques ?

• L’espionnage industriel et la fuite de données sensibles : des acteurs malveillants, comme des employés désireux de relâcher des informations confidentielles, ou des cybercriminels externes, peuvent utiliser des outils d’IA pour extraire, analyser et réaffecter des données stratégiques, personnelles, ou confidentielles.

• La génération de code malveillant : la puissance des modèles d’IA générative en termes de création de code peut être détournée pour créer, à l’intérieur du système de l’entreprise, des scripts ou des applications malveillantes autrement hors de portée de l’utilisateur lambda.

Les « hallucinations » de code, souvent évoquées lorsque ces modèles produisent du code erroné ou non sécurisé, pourraient être exploitées ou manipulées pour introduire volontairement des vulnérabilités dans les systèmes d’information, facilitant ainsi des attaques futures.

• Création et diffusion de faux contenus (deepfake) : l’IA peut être utilisée pour fabriquer des contenus visuels ou audio très réalistes, surtout à partir de données réelles puisées dans celles du réseau interne de l’entreprise.

Dans un contexte illicite, ces outils peuvent servir à créer de fausses preuves, à diffuser de la désinformation, ou à exercer une pression médiatique sur des entreprises et des institutions.

Une campagne de deepfakes bien orchestrée, basée sur des faits réels et de vraies données manipulées, peut gravement ternir la réputation d’une entreprise, ou influencer l’opinion publique à des fins néfastes, par exemple dans le cadre d’une opération de dénigrement.

Ces quelques exemples, très loin d’être exhaustifs, illustrent combien la frontière entre usage personnel non autorisé et utilisation illicite devient de plus en plus floue, surtout dans un environnement où les contrôles internes n’ont pas été adaptés à l’évolution des technologies informatiques.

Et les règlements ?

Rappelons qu’avec les nouvelles réglementations en vigueur tant en Suisse que dans l’Union européenne (nLPD, RGPD) l’entreprise ou l’institution est responsable des données qu’elle héberge, y compris celles de tiers comme des clients ou des fournisseurs.

Une utilisation illicite, avec diffusion ou utilisation non contrôlée de ces données numériques, expose l’entreprise à des sanctions civiles ou pénales.

Impact économique et réputationnel

En cas de compromission délibérée ou accidentelle via le Shadow AI, les répercussions peuvent être catastrophiques, potentiellement les mêmes que celles d’une cyberattaque.

Outre les pertes financières directes, l’image de l’entreprise peut être irrémédiablement ternie, ce qui affecterait la confiance des clients et des partenaires.

Une gestion compliquée

L’omniprésence du Shadow AI représente un problème important pour les équipes informatiques qui se retrouvent à gérer des pratiques non standardisées, pour lesquelles il n’existe souvent ni protocole de sécurité ni formation adaptée.

Ainsi, le phénomène Shadow AI est paradoxal : l’outil qui a le potentiel de révolutionner la gestion de l’information, de booster l’innovation et d’améliorer la prise de décision se transforme aussi en

vecteur de graves vulnérabilités s’il échappe au contrôle des services informatiques !

Prévention

Pour contenir et prévenir les dangers du shadowAI, il est impératif que les entreprises adoptent une approche proactive en matière de gouvernance et de gestion des technologies d’IA, comme de l’informatique en général.

Parmi les mesures recommandées figurent :

• La mise en place de politiques claires, encadrant l’usage des IA externes, avec des règles strictes quant à l’accès et à l’utilisation des données sensibles.

• La sensibilisation continue des collaborateurs aux risques liés aux nouvelles technologies non contrôlées, par le biais de formations régulières sur la cybersécurité et sur l’éthique numérique.

Nous ne le répéterons jamais assez, la formation reste le meilleur moyen de responsabiliser des collaborateurs, particulièrement quand la technologie court loin devant les possibilités d’adaptation des PME…

• La mise en place d’une veille technologique si possible externe, afin que les organes dirigeants de l’entreprise soient informés, par exemple au moyen d’un rapport semestriel, des évolutions de rupture susceptibles de perturber — mais aussi d’améliorer — le fonctionnement de l’entreprise.

• L’intégration et la supervision centralisées des outils d’IA, afin d’éviter le recours à des plateformes tierces, dont la sécurité n’est pas garantie, et qui pourraient être exploitées à des fins illicites.

• L’évolution rapide du règlement interne, qui doit suivre le rythme des innovations technologiques tout en encourageant l’usage de nouvelles technologies, sous peine d’un malus concurrentiel important.

Ces stratégies nécessitent une synergie entre les services informatiques et de ressources humaines, pour bâtir un environnement sécurisé, tout en continuant à bénéficier de l’innovation

offerte par l’IA.

Conclusion

Shadow IT hier, Shadow AI aujourd’hui, et demain ?

Telle est la marche des nouvelles technologies numériques actuelles : forcée, et extrêmement rapide, d’autant qu’elles s’additionnent entre elles pour démultiplier leurs effets.

Dès lors, la meilleure technique pour parer aux effets néfastes de tous les « shadows » présents et futurs, c’est d’intégrer de façon officielle ce qui se trouve à droite du mot, dans le cas présente l’AI !

Et si possible préventivement, car il est illusoire de penser que l’humain, quel qu’il soit, n’adoptera pas un outil qui lui permet de réaliser son travail plus efficacement, plus facilement, et ce d’autant plus que d’éventuelles conséquences néfastes ne sont pas directement perceptibles…