Shadow AI vs shadow IT : ce qui change vraiment pour une entreprise

Shadow AI et shadow IT désignent des outils utilisés sans validation. Le shadow IT fait sortir des données ; le shadow AI y ajoute une production de contenu et une aide à la décision que personne ne contrôle. Quatre différences en découlent, et elles rendent inopérants plusieurs réflexes hérités de l'informatique.

Shadow AI vs shadow IT : quelle est la vraie différence ?

Les deux notions partagent la même racine : un outil entre dans l'entreprise sans que l'entreprise l'ait décidé.

Le shadow IT est le terme historique. Il couvre les logiciels, services en ligne et matériels employés par les équipes en dehors du circuit informatique. Un espace de stockage ouvert pour partager un fichier trop lourd, un outil de gestion de tâches adopté par une équipe, un ordinateur personnel utilisé en déplacement. L'objet du problème est le contenant.

Le shadow AI est plus récent et plus étroit. Il désigne l'usage d'outils d'intelligence artificielle hors de tout cadre connu de l'entreprise. Sa définition complète et ses formes concrètes sont détaillées dans l'article qui explique ce qu'est le shadow AI. L'objet du problème n'est plus seulement le contenant, mais ce que l'outil fabrique.

Techniquement, le shadow AI est un sous-ensemble du shadow IT. Dans les faits, c'est un sous-ensemble qui change de nature, et c'est pour cela qu'il mérite un traitement propre.

Première différence : la nature du risque

Avec le shadow IT, le risque porte sur la donnée. Où est-elle hébergée, qui peut y accéder, que se passe-t-il si le service ferme ou si le collaborateur part. C'est un risque de confidentialité et de disponibilité, bien identifié depuis longtemps.

Avec le shadow AI, ce risque demeure intégralement — puis un second s'ajoute. L'outil renvoie un résultat, et ce résultat entre dans le travail. Une réponse plausible mais fausse rejoint une proposition commerciale, un chiffrage ou une note interne, sans que personne l'ait vérifiée.

Un troisième cas va plus loin encore : l'outil ne produit pas seulement du texte, il aide à décider. Un classement de candidatures, une évaluation de dossiers, une priorisation de demandes. Le risque cesse alors de porter sur des fichiers pour porter sur des personnes.

Deuxième différence : la vitesse d'adoption

Le shadow IT suppose une friction. Il faut installer un logiciel, créer un espace, parfois payer un abonnement, souvent convaincre une équipe. Cette friction laisse du temps à l'organisation pour réagir.

Le shadow AI n'en a presque aucune. Un onglet de navigateur, une adresse e-mail personnelle, zéro euro. L'adoption est individuelle et immédiate, elle ne demande l'accord de personne.

La conséquence pratique est simple. Un inventaire d'outils reste longtemps valable sur le parc logiciel. Sur les usages d'IA, il se périme bien plus vite. Le rythme de mise à jour attendu n'est pas le même.

Troisième différence : la visibilité technique

Un logiciel installé laisse des traces exploitables : une entrée dans l'inventaire du parc, un processus qui tourne, parfois une licence à renouveler. Le shadow IT finit par se voir.

Un onglet de navigateur ne laisse rien d'équivalent. Aucune installation, aucun poste modifié, aucune ligne dans un inventaire. C'est la raison pour laquelle les outils de découverte pensés pour le shadow IT ne remontent presque rien sur le shadow AI.

Un cas supplémentaire brouille encore la lecture : les fonctions d'assistance intégrées à des outils déjà validés. La suite bureautique de l'entreprise ajoute un assistant, la messagerie propose des réponses, l'outil de visioconférence transcrit les réunions. Personne n'a rien installé, personne n'a rien décidé, et un usage d'IA existe pourtant.

Quatrième différence : la responsabilité du résultat produit

Le shadow IT transporte et stocke. La question de responsabilité porte sur la donnée : qui l'a sortie, sous quel contrat, avec quelle base.

Le shadow AI produit. La question devient : qui répond de ce qui a été fabriqué. Un texte publié, une réponse envoyée à un client, un dossier écarté d'une sélection engagent l'entreprise, que l'outil ait été validé ou non. L'absence d'autorisation interne ne constitue pas une défense vis-à-vis d'un tiers.

Le règlement (UE) 2024/1689, dit AI Act, raisonne de la même façon. Il attache des obligations à l'entreprise qui déploie un système d'IA, indépendamment de la manière dont l'outil est arrivé chez elle. L'article 50 prévoit ainsi des obligations de transparence, notamment quand une IA interagit avec une personne. Elles sont applicables depuis le 2 août 2026. Pour situer ce qui concerne réellement une PME, commencez par le règlement IA européen côté PME.

Quels réflexes hérités du shadow IT échouent sur le shadow AI ?

Quatre méthodes qui fonctionnaient correctement sur les logiciels donnent peu de résultats ici.

• Le blocage réseau. Filtrer les domaines des principaux assistants ne fait rien contre un téléphone personnel posé à côté du clavier. L'usage ne disparaît pas, il sort du périmètre observable.
• La liste blanche d'applications. Elle autorise des outils, pas des fonctions. Un assistant activé dans une suite déjà approuvée passe au travers sans jamais avoir été examiné.
• L'inventaire annuel. Il suit un parc logiciel qui bouge lentement. Il ne suit pas des usages qui changent d'un mois sur l'autre.
• La détection automatique. Les détecteurs de texte généré ne prouvent rien, pour les raisons exposées dans la définition du shadow AI.

Le réflexe le plus coûteux reste l'interdiction pure et simple, qui déplace les usages hors de vue au lieu de les réduire. Ce raisonnement est développé dans l'article qui répond à la question faut-il interdire ChatGPT au travail.

Qu'est-ce qui reste transposable du shadow IT ?

Tout n'est pas à jeter. Quatre acquis se transposent très bien, à condition de changer l'unité de compte : on n'inventorie plus des logiciels, on inventorie des usages.

• La logique d'inventaire. Une ligne par usage : outil, service concerné, tâche, type de données saisies, personne responsable. C'est la matière du registre des usages IA.
• La nomination d'un responsable. Une personne identifiée, qui tranche les demandes et tient la liste à jour. Sans nom identifié, l'inventaire cesse d'être tenu et se périme.
• La règle écrite courte. Ce qui est autorisé, ce qui ne doit jamais être saisi, ce qui exige une relecture humaine. Une charte lisible vaut mieux qu'un règlement que personne n'ouvre.
• Le cycle de revue. Une revue périodique, plus rapprochée que pour le parc logiciel, parce que le rythme d'apparition des outils n'est pas comparable.

Un point de méthode, pour finir. La démarche décrite ici est déclarative : ce sont les personnes qui décrivent ce qu'elles utilisent, aucun usage n'est détecté techniquement. C'est ce qui la distingue d'un dispositif de surveillance. Son efficacité tient à une condition, développée elle aussi dans la définition du shadow AI : aucune sanction sur les usages antérieurs à la règle.

Questions fréquentes

Le shadow AI est-il simplement une forme de shadow IT ?

Formellement oui : il s'agit d'outils employés sans validation, comme le shadow IT. Mais la nature du risque diffère, parce que l'outil produit du contenu et parfois des éléments de décision. Un espace de stockage ouvert sans autorisation relève du shadow IT sans relever du shadow AI ; l'inverse n'existe pas.

Un outil d'IA validé par la direction peut-il produire du shadow AI ?

Oui, et c'est fréquent. Un assistant activé par défaut dans une suite déjà approuvée, employé pour une tâche qui n'a jamais été examinée, échappe au cadre tout en restant dans un outil officiel. La validation porte sur l'outil, le pilotage doit porter sur l'usage.

Faut-il tenir deux inventaires séparés, un pour les outils et un pour les usages d'IA ?

Un seul registre suffit, à condition qu'il décrive des usages et non des logiciels. Chaque ligne indique la tâche, le service, l'outil, les données concernées et le responsable. Un inventaire de parc informatique classique ne remonte pas ces informations et ne peut pas les remplacer.

Où en est votre entreprise ?

L'audit de maturité IA d'Harmonia évalue en 3 minutes vos usages, votre exposition et vos priorités. Gratuit, sans création de compte.

Lancer l'audit de maturité IA