Le « shadow AI », un risque déjà présent
Le « shadow AI » désigne l'usage d'outils d'IA par les collaborateurs en dehors de tout cadre validé par l'entreprise. Le phénomène est massif : la facilité d'accès des outils grand public conduit les salariés à y recourir spontanément, pour gagner du temps. Le problème n'est pas l'outil, mais l'absence de règles : que se passe-t-il quand un collaborateur colle un contrat confidentiel, un fichier clients ou du code propriétaire dans un service en ligne ? Les données peuvent échapper au contrôle de l'entreprise.
Quels sont les risques concrets ?
| Risque | Nature | Cadre concerné |
|---|---|---|
| Fuite de données personnelles | Saisie de données clients/RH dans un outil externe | RGPD |
| Divulgation de secrets d'affaires | Partage de code, contrats, données stratégiques | Secret des affaires |
| Résultats erronés ou biaisés | Décisions fondées sur des sorties non vérifiées | Responsabilité de l'entreprise |
| Défaut de transparence | Contenus générés diffusés sans mention adéquate | Article 50 |
| Personnel non formé | Usage sans compréhension des limites de l'IA | Article 4 (littératie) |
| Contrefaçon / droits de tiers | Réutilisation de contenus protégés | Propriété intellectuelle |
L'obligation de littératie (art. 4) s'applique déjà
Beaucoup l'ignorent, mais une obligation directe pèse sur les entreprises depuis le 2 février 2025 : l'article 4 impose à tout fournisseur et déployeur de systèmes d'IA de prendre des mesures soutenant la [littératie](/ressources/litteratie-ia-article-4) de l'IA des membres de leur personnel — et de toute personne agissant pour leur compte — qui interviennent dans l'exploitation et l'utilisation de ces systèmes. Autrement dit, dès lors que vos salariés utilisent l'IA dans un cadre professionnel, vous devez veiller à leur compréhension : capacités, limites, risques, bon usage. La formation n'est plus optionnelle.
La charte d'usage de l'IA générative
L'outil central de cet encadrement est une charte d'usage (ou politique interne). Elle traduit, en règles concrètes et compréhensibles, ce qui est autorisé et ce qui ne l'est pas. Une charte utile précise notamment :
- les outils approuvés par l'entreprise (et l'interdiction d'y verser certaines catégories de données) ;
- les données à ne jamais soumettre à un outil externe (données personnelles, confidentielles, stratégiques) ;
- l'obligation de vérification humaine des résultats avant toute décision ou diffusion ;
- les règles de transparence lorsqu'un contenu généré est publié (article 50) ;
- les enjeux de [propriété intellectuelle](/ressources/ia-propriete-intellectuelle-droit-auteur) et de respect des droits de tiers ;
- les contacts et points de contrôle (référent IA, DPO) en cas de doute.
Comment poser un cadre conforme ?
- 01
Cartographier les usages réels
Identifiez les outils déjà utilisés par les équipes et les données qui y transitent, sans stigmatiser les collaborateurs.
- 02
Fournir des outils maîtrisés
Proposez des solutions professionnelles offrant des garanties sur la confidentialité et le traitement des données.
- 03
Rédiger et diffuser une charte
Formalisez règles d'usage, données interdites, vérification humaine et transparence dans une charte accessible.
- 04
Former le personnel (article 4)
Déployez une formation à la littératie de l'IA : capacités, limites, risques et bonnes pratiques, pour satisfaire l'obligation légale.
Questions fréquentes
L'AI Act interdit-il aux salariés d'utiliser ChatGPT ?
Non. L'AI Act n'interdit pas l'usage professionnel des outils d'IA générative. Il impose en revanche un socle : garantir la littératie de l'IA du personnel (article 4) et respecter les obligations pertinentes (transparence de l'article 50, RGPD). L'enjeu est d'encadrer l'usage, pas de le proscrire.
Dois-je vraiment former mes salariés à l'IA ?
Oui. Depuis le 2 février 2025, l'article 4 impose aux fournisseurs et déployeurs de prendre des mesures soutenant la littératie de l'IA du personnel qui exploite ou utilise des systèmes d'IA. Le règlement (UE) 2026/1744 a précisé qu'aucun niveau individuel n'a à être garanti, sans supprimer l'obligation d'agir. La formation est une obligation directe, indépendante du niveau de risque des outils employés.
Que risque-t-on si un salarié saisit des données confidentielles dans un outil externe ?
Une perte de contrôle sur ces données, avec des conséquences potentielles au titre du RGPD (données personnelles) et du secret des affaires (informations stratégiques). Selon l'outil, les données peuvent être conservées ou réutilisées. D'où l'importance d'interdire clairement la saisie de telles données et de fournir des solutions maîtrisées.
Une charte d'usage de l'IA est-elle obligatoire ?
L'AI Act n'impose pas formellement une charte, mais c'est l'outil le plus efficace pour organiser la conformité et la maîtrise des risques. Associée à la formation (article 4) et à des outils approuvés, elle matérialise votre démarche et protège l'entreprise comme les salariés. Sa mise en place peut aussi relever du dialogue social selon les cas.