Repérer le shadow AI dans votre entreprise

Le shadow AI, c'est l'usage d'outils d'IA par vos salariés sans que la direction le sache. Dans la plupart des PME, c'est la situation normale.

Ce qu'est le shadow AI

Un salarié teste un assistant d'IA sur son navigateur, avec son compte personnel. L'outil l'aide, il continue. Personne n'a rien demandé, personne n'a rien interdit.

Il n'y a ni faute ni mauvaise intention. Les outils sont gratuits, accessibles en trois clics, et souvent très efficaces.

Le risque n'est pas l'outil. Le risque est l'absence de règle et de trace.

L'IA grand public est arrivée par les salariés, pas par les services informatiques. Les usages ont donc précédé les politiques internes.

Le blocage technique fonctionne mal. Un outil bloqué sur le poste de travail reste accessible sur le téléphone personnel.

Partir du principe que le shadow AI existe chez vous est plus utile que de le nier. La question n'est pas de savoir s'il y en a, mais lesquels.

Comment la déclaration bottom-up le révèle

Harmonia ne détecte rien et ne surveille rien. Aucun mouchard, aucune analyse du trafic, aucune lecture des postes de travail.

Le principe est inverse : chaque salarié déclare ses propres usages. Présentée comme une responsabilisation, la démarche fait remonter des outils que personne n'aurait signalés autrement.

Vous invitez vos équipes de deux façons. Une invitation nominative par courriel, ou un lien d'invitation que vous partagez.

Ensuite, vous relancez les membres qui n'ont pas répondu. La relance se fait manuellement, un membre à la fois, depuis l'Espace équipe. dans le menu, cet écran s'appelle encore Tableau de bord équipe

Pour que cela marche, une condition : dire clairement qu'une déclaration ne déclenche aucune mesure disciplinaire. Une déclaration sert à cadrer, jamais à punir.

Quoi faire des outils découverts

Vous obtiendrez une liste, souvent plus longue que prévu. Traitez-la calmement, usage par usage.

• Autoriser les usages sans données sensibles et sans effet sur une personne. Notez-les au registre et passez.
• Encadrer les usages utiles mais exposés. Fixez une règle écrite : quelles données, quelle relecture humaine, quel niveau de risque.
• Remplacer quand l'usage est bon mais l'outil inadapté. Proposez une alternative professionnelle, sinon l'usage reviendra en douce.
• Interdire le petit nombre de cas réellement problématiques. Expliquez le motif, sinon l'interdiction ne tiendra pas.

Communiquez ensuite la décision à toute l'entreprise. Un salarié qui a déclaré et n'a jamais de retour ne déclarera pas la fois suivante.

Et ensuite

Invitez vos équipes à déclarer, par invitation nominative ou par lien partageable. Classez ensuite les usages remontés par niveau de risque. Vos règles écrites viendront alimenter vos documents de gouvernance.