Depuis l’apparition des grands modèles de langage tels que ChatGPT, Gemini, Claude ou encore les Intelligence Artificielle (IA) open-source, les usages professionnels ont explosé de manière quasi incontrôlée. Cette adoption rapide a introduit un nouveau risque dans les entreprises : la fuite involontaire ou volontaire d’informations sensibles via des outils d’IA. Ce phénomène, désigné sous le terme de « Shadow AI », bouleverse la gouvernance de la donnée et place le RSSI au coeur d’un défi inédit : encadrer l’utilisation de ces technologies sans nécessairement freiner l’innovation.
Cet article présente une analyse complète des risques liés à l’IA, une typologie des modèles existants et de leurs effets, ainsi qu’une étude détaillée du sujet sous l’angle de la GRC. Il s’achève par les grandes orientations stratégiques possibles, un cadrage DORA, et une série de recommandations opérationnelles permettant d’adopter une IA responsable, sécurisée et conforme.
Comprendre l’IA et ses différentes formes
L’Intelligence Artificielle n’est pas un bloc homogène. Différents types de modèles sont utilisés au sein des entreprises, chacun présentant des risques distincts. Les IA conversationnelles textuelles, telles que ChatGPT, Gemini, Copilot ou Claude, sont les plus populaires. Elles permettent de rédiger des documents, d’analyser des données ou d’automatiser des tâches, mais peuvent aussi absorber des informations sensibles directement saisies par l’utilisateur. Lorsque l’entreprise ne contrôle pas et ne sécurise pas l’outil, le risque principal réside dans la transmission de données confidentielles vers un acteur tiers.
Les IA multimodales introduisent une couche supplémentaire de complexité. Elles permettent d’envoyer non seulement du texte, mais aussi des images, des vidéos, des documents PDF ou des extraits de code. La capacité de l’outil à analyser des fichiers entiers augmente mécaniquement la surface de risque : un simple document partagé par un collaborateur peut contenir des métadonnées, des secrets, des données personnelles ou des informations stratégiques dont l’utilisateur n’avait pas conscience.
Les IA open-source ou auto-hébergées constituent un autre cas particulier. Elles peuvent théoriquement offrir un niveau de contrôle élevé, mais impliquent une gestion locale des modèles, des datasets (ensemble structuré de données utilisé pour entraîner, valider et tester des modèles), des logs et de l’infrastructure. Dans les faits, de nombreuses entreprises n’ont ni la maturité, ni la capacité technique, ni les ressources nécessaires pour garantir un environnement sécurisé. Le risque ne provient plus de l’externalisation des données, mais de la sécurité interne et des erreurs de configuration des plateformes locales.
Enfin, les IA spécialisées (juridiques, RH, médicales, développement logiciel, marketing, …) intègrent parfois leurs propres mécanismes d’apprentissage ou d’analyse de données. Elles constituent une zone grise en matière d’hébergement, d’entraînement et de réutilisation des données envoyées par l’utilisateur, car il est souvent difficile de savoir précisément où les données sont stockées, comment elles sont exploitées pour améliorer le modèle, et si elles peuvent être partagées ou réutilisées par l’éditeur. Cette opacité rend complexe l’évaluation des risques et la mise en place de garanties contractuelles solides. Leur usage expose donc l’entreprise à des risques spécifiques, liés au modèle économique de l’éditeur (par exemple, monétisation indirecte des données ou dépendance à un
service propriétaire) et à l’absence de transparence sur la gestion technique du produit, ce qui peut entraîner des problèmes de conformité réglementaire ou de protection des données sensibles.
Comme ces modèles sont très variés, il devient de plus en plus difficile pour le responsable de la sécurité informatique (RSSI) de définir un cadre commun qui s’applique à tous. Le risque n’est pas uniforme à toutes les IA car il dépend du modèle, de son mode d’hébergement, du fournisseur, du type de données et du niveau d’usage interne.
L’Émergence du Shadow AI : une nouvelle forme d’exfiltration involontaire.
L’une des problématiques les plus critiques apparues avec l’IA est celle du Shadow AI. Comme le Shadow IT avant lui, il désigne l’utilisation d’outils non validés par l’entreprise. Cependant, l’impact du Shadow AI est bien plus important, car ces outils traitent non seulement des données, mais aussi leur contexte, leur structure et leur sens.
Dans de multiples organisations, certains employés utilisent l’IA pour gagner du temps : rédaction d’e-mails, traduction de documents internes, génération de code, analyse de contrats ou préparation de présentations stratégiques. Sans formation ni gouvernance explicite, et dans un contexte où de nombreuses entreprises n’ont pas encore défini de politique claire concernant l’utilisation ou non de l’IA, les collaborateurs ignorent souvent qu’en saisissant un texte non anonymisé, un extrait de base de données ou un protocole interne, ils transmettent potentiellement des secrets d’affaires à une plateforme externe. Certaines plateformes conservent temporairement les données pour le débogage ou l’amélioration du modèle, ce qui peut représenter une violation directe des obligations réglementaires en matière de protection des données personnelles ou d’informations confidentielles.
Ce risque est aggravé par le caractère instantané, invisible et difficilement traçable de ces interactions. Contrairement à une fuite de données classique, la Shadow AI ne laisse pas nécessairement de logs réseau explicites et peut passer totalement sous les radars des outils de sécurité et du SOC. Elle est aujourd’hui considérée comme l’une des premières sources émergentes d’exfiltration involontaire dans les entreprises.
Les options stratégiques de l’entreprise : interdire, autoriser ou réguler ?
Face à ce phénomène, les dirigeants et les RSSI se trouvent devant trois grandes orientations possibles. Certaines entreprises choisissent l’interdiction totale, dans une logique de risque maximal. Mais cette approche crée souvent une frustration opérationnelle et encourage l’usage clandestin d’outils non maîtrisés ou parallèles. Les organisations qui adoptent cette stratégie se privent d’une innovation majeure, tout en générant un Shadow AI encore plus difficile à détecter.
D’autres optent pour une ouverture totale, en autorisant l’usage de l’IA générative sans réelle restriction. Cette stratégie accélère certes la productivité, mais elle repose sur une confiance extrême envers les fournisseurs et suppose que les collaborateurs adoptent automatiquement un comportement responsable. Dans les faits, elle expose l’entreprise à des risques juridiques, réglementaires, contractuels et opérationnels importants.
La majorité des entreprises ayant une gouvernance IT structurée privilégient un modèle hybride. Dans ce cadre, l’IA est autorisée, mais uniquement pour certains profils, avec des cas d’usage précis et une plateforme maîtrisée par l’entreprise. Ce modèle peut être soutenu par des plateformes d’IA internes, des proxys d’entreprise, des règles d’usage, des clauses de confidentialité adaptées ou des mécanismes
de filtrage automatisés. Cette démarche nécessite une gouvernance robuste, mais elle constitue l’approche la plus équilibrée entre innovation et sécurité.
Les enjeux GRC (Gouvernance, Risques et Conformité) de l’IA
La problématique de l’IA doit impérativement être abordée sous l’angle de la GRC. En termes de gouvernance, l’entreprise doit définir une politique claire, identifier les rôles et responsabilités, établir des contrôles d’usage et structurer un référentiel documentaire permettant de tracer les décisions. Sans cadre établi, l’utilisation de l’IA devient anarchique et impossible à superviser.
Sur le plan des risques, l’IA crée de nouvelles menaces tout en aggravant certaines vulnérabilités déjà connues. Elle peut conduire, par simple méconnaissance des utilisateurs, à la transmission non intentionnelle d’informations sensibles à un prestataire externe. Elle peut également produire des réponses erronées ou inventées, influencer de manière incorrecte les résultats fournis par les systèmes automatisés, et renforcer la dépendance technologique de l’entreprise, ce qui la rend plus fragile face aux défaillances ou changements de ses fournisseurs. La cartographie des risques doit être révisée pour intégrer ces nouveaux vecteurs et refléter la réalité des usages métiers.
La conformité est également centrale dans ce sujet. Le RGPD, DORA, NIS2, les obligations sectorielles, les règles internes d’hébergement ou encore les exigences contractuelles imposent un cadre strict à l’utilisation de l’IA. L’entreprise doit identifier les données personnelles impliquées, les clauses de traitement, les mesures techniques et organisationnelles, la localisation des données et les mécanismes de suppression. Elle doit également anticiper les audits et démontrer sa capacité à exercer un contrôle réel sur les modèles utilisés.
IA et DORA : Un Cadre Réglementaire Structurant
Le règlement DORA renforce la responsabilité des entreprises financières concernant la sécurité de leurs systèmes d’information et de leurs tiers. Dans le contexte de l’IA, cela implique plusieurs contraintes fortes. Une entreprise soumise à DORA doit démontrer qu’elle maîtrise les risques liés à ses prestataires, ce qui inclut les fournisseurs d’IA. Si un modèle externalisé traite des données critiques ou du code applicatif, l’entreprise doit être en mesure d’en évaluer l’impact sur la continuité d’activité, sur les risques opérationnels et sur la protection des données.
DORA impose également une gestion stricte et structurée des incidents. Or, lorsqu’une fuite survient par l’intermédiaire d’un prompt ou d’un document envoyé à une IA, il est souvent difficile d’en retrouver la trace, voire impossible, ce qui complique fortement la détection, l’analyse et la déclaration de l’incident. La réglementation exige aussi que l’entreprise renforce sa résilience opérationnelle, ce qui soulève la question de la dépendance aux fournisseurs d’IA externes. Une simple indisponibilité du service ou une modification soudaine de ses conditions contractuelles peut avoir un impact immédiat et potentiellement critique sur l’activité.
Ainsi, l’intégration de l’IA dans le périmètre DORA nécessite non seulement une cartographie spécifique, (c’est-à-dire une identification précise des modèles utilisés, des données qu’ils traitent, des fournisseurs impliqués et des risques associés), mais aussi des audits de conformité, un suivi des engagements contractuels, et la mise en place de mécanismes de supervision continus. Les entreprises qui se contentent d’autoriser l’usage d’outils externes sans intégrer ces éléments dans leur cadre DORA s’exposent alors à des non-conformités majeures.
Les solutions techniques et organisationnelles vers une IA maîtrisée et sécurisée
La mise en place d’une IA sécurisée repose sur plusieurs piliers. La première étape consiste à définir une architecture d’usage contrôlée. Cela peut inclure un proxy interne permettant de filtrer les prompts, de masquer les données sensibles ou d’ajouter des mécanismes d’anonymisation automatisée. Des solutions dédiées permettent de garantir qu’aucune donnée personnelle ou confidentielle n’est transmise en clair.
La mise en place d’une IA sécurisée repose sur plusieurs piliers. La première étape consiste à définir une architecture d’usage contrôlée. Cela peut inclure un proxy interne permettant de filtrer les prompts, de masquer les données sensibles ou d’ajouter des mécanismes d’anonymisation automatisée. Des solutions dédiées (comme des outils de Data Loss Prevention (DLP) appliqués aux flux IA, des plateformes d’IA d’entreprise intégrant des fonctions de chiffrement, ou encore des passerelles de sécurité capables d’analyser et de nettoyer les données avant envoi) permettent de garantir qu’aucune donnée personnelle ou confidentielle n’est transmise en clair.
Le second pilier concerne la maîtrise des plateformes. Les entreprises peuvent opter pour des IA commerciales enrichies de garanties contractuelles ou pour des IA internes hébergées sur des environnements maîtrisés, créant ainsi un cercle d’usage sécurisé. La formation des utilisateurs constitue également un pilier indispensable : un salarié formé comprend les données qu’il peut et ne peut pas transmettre, connaît les risques, et acquiert des réflexes de sécurité.
Des mécanismes de supervision doivent être développés, incluant des logs d’usage, le suivi des requêtes et l’intégration d’alertes en cas de comportement anormal. Enfin, des clauses contractuelles spécifiques doivent être introduites : interdiction d’entraînement sur les données de l’entreprise, localisation des données, suppression immédiate des données, traçabilité des incidents, et garanties de confidentialité renforcées.
Les solutions GRC : politiques, processus et contrôles
Du point de vue GRC, la mise en place d’une IA sécurisée nécessite une structuration documentaire robuste. Une politique d’usage de l’IA doit être rédigée et communiquée à l’ensemble des salariés. Cette politique doit définir les données autorisées, les cas d’usage acceptés, les outils approuvés et les interdictions explicites. Elle doit être complétée par des procédures détaillées, notamment celles relatives à la revue des prompts envoyés, à la gestion des incidents ou à la contractualisation des outils.
La cartographie des risques doit intégrer les modèles d’IA, les fournisseurs, les données traitées et les impacts potentiels. Des contrôles permanents doivent être mis en place pour vérifier le respect des bonnes pratiques et identifier les écarts. Enfin, l’entreprise doit prévoir un plan d’audit permettant de tester périodiquement la conformité de son usage de l’IA aux politiques internes et aux obligations réglementaires.
Conclusion
L’IA représente pour les entreprises une opportunité majeure d’améliorer leur efficacité, d’automatiser des tâches répétitives, d’accélérer la production de contenus et d’aider à la prise de décision, mais elle constitue également un risque de fuite de données qui met à l’épreuve les pratiques traditionnelles de gouvernance et de sécurité. Sans cadre, sans contrôle et sans formation, elle devient un vecteur d’exfiltration involontaire d’informations sensibles et un point de faiblesse critique dans le système d’information.
Comme pour l’émergence de toute nouvelle technologie, l’enjeu n’est pas d’interdire l’IA, mais de la maîtriser. Les entreprises doivent adopter une stratégie équilibrée, combinant innovation, sécurité, conformité et gouvernance. Celles qui réussiront seront celles capables de bâtir un cadre clair, documenté, contrôlé et auditable. Dans cette perspective, le RSSI, le DPO, le responsable GRC et la direction jouent un rôle central pour transformer l’IA d’une menace émergente en un levier de création de valeur durable.
