L’essor d’outils comme ChatGPT a bouleversé les habitudes de travail. Si leur usage promet efficacité et gain de temps, il entraîne aussi une dérive : le Shadow IA… Voici pourquoi cette pratique inquiète et comment y remédier.
En avril 2023, Samsung a autorisé l’usage de ChatGPT à titre expérimental au sein de certaines divisions. L’ambition était d’aider à la traduction de documents, à la relecture de code informatique et, de façon générale, à améliorer la productivité. Pourtant, peu après, Samsung a banni l’usage de cette IA générative et adopté plusieurs mesures préventives.
Que s’était-il passé entre-temps ? À trois reprises, des employés ont partagé des informations hautement confidentielles sur ChatGPT…
- Un employé s’est servi du Chatbot pour résumer des notes confidentielles relatives à la performance d’un projet interne. Ces notes incluaient des stratégies et décisions de direction.
- Un développeur qui souhaitait corriger des erreurs de programmation a copié-collé dans ChatGPT du code source provenant d’une application maison. Ledit code incluait des algorithmes exclusifs et des informations techniques critiques.
- Un troisième employé a soumis à ChatGPT des données de tests de performance sur des semi-conducteurs en vue d’obtenir des suggestions d’amélioration.
Suite à ces incidents, Samsung a été contraint de :
- Interdire l’usage non supervisé d’outils d’IA externes.
- Mener des campagnes de sensibilisation sur les risques liés à de telles pratiques.
- Développer des solutions alternatives d’IA afin de limiter la dépendance envers des applications généralistes non sécurisées.
L’IA fantôme
L’expérience menée par Samsung avait l’avantage d’être officielle. En réalité, le véritable souci concerne l’usage d’applications IA telles que ChatGPT, Claude ou Perplexity de façon isolée à l’insu du service informatique. On parle alors de Shadow IA ou IA fantôme.
Le terme lui-même est dérivé d’une autre pratique appelée le Shadow IT, laquelle fait référence à l’utilisation plus générale d’applications à l’insu du service informatique.
Le Shadow IA n’est pas un phénomène restreint. Une étude menée par Salesforce en 2023 a révélé que 18 % des employés français se servaient d’IA génératives à leur travail. Dans 49 % des cas, cette pratique était menée en dépit d’interdictions explicites. Des chiffres plus récents laissent entendre que près de 68% des salariés français sont adeptes du Shadow IA. Ils vont couramment se servir de ChatGPT ou Claude pour corriger des textes à vocation interne ou analyser des données relatives aux performances de l’entreprise. Or, une telle pratique n’est pas sans risques.
Les motivations
La facilité d’accès à des outils comme ChatGPT explique que le Shadow IA se soit développé ainsi. Les employés cherchent à améliorer leur efficacité ou à résoudre aisément des problèmes complexes. Ainsi, un responsable du marketing peut être tenté de mettre l’IA à contribution pour développer des campagnes sur des produits à lancer, mais encore confidentiels. Or, un grand nombre de collaborateurs n’ont pas connaissance des risques sécuritaires et juridiques liés à l’usage de solutions d’IA non supervisées.
Il se trouve aussi que certains employés estiment que le service informatique met trop de temps à répondre à leurs demandes. En conséquence, ils peuvent être tentés de faire appel à des solutions jugées pratiques et efficaces, d’autant qu’elles sont souvent gratuites.
Quels sont les risques liés au Shadow AI ?
Pourtant, le Shadow AI expose les entreprises à des risques de diverses natures.
Fuites de données
Faute de surveillance de l’utilisation de l’IA, les employés peuvent exposer par inadvertance des informations sensibles. Une enquête récente menée au Royaume-Uni a fait ressortir qu’une entreprise sur 5 au Royaume-Uni avait été confrontée à une fuite de données suite à l’usage d’IA générative par ses employés.
Incohérences
Le Shadow AI peut provoquer des incohérences dans les processus internes. Lorsque plusieurs départements utilisent des outils différents, il peut en résulter des résultats incohérents qui compliquent la prise de décision et réduisent l’efficacité globale.
Non-conformité avec les réglementations
Les entreprises sont tenues de respecter certaines normes concernant le traitement des données, telles que le RGPD. L’usage non contrôlé d’outils d’IA peut conduire à des violations involontaires de ces réglementations. Les amendes pour non-conformité peuvent atteindre jusqu’à 4 % du chiffre d’affaires.
Atteinte à la réputation
Il est possible que les résultats générés par des IA ne soient pas conformes aux normes de qualité d’une entreprise et dégradent alors la confiance des consommateurs. Ainsi, Sports Illustrated a été mis en cause pour avoir publié des articles générés par l’IA.
Comment y remédier ?
Trois approches peuvent être prises pour lutter contre le Shadow IA :
- l’interdire.
- accompagner l’inclusion de l’IA dans l’environnement de travail.
- sensibiliser les collaborateurs.
L’interdiction de l’utilisation de l’IA n’apparaît pas comme la panacée. « Elle génère encore plus d’usages cachés de l’IA », témoigne un cadre.
Accompagner cette évolution paraît plus adéquat. Il s’agit de se poser la question : quels sont les besoins exprimés par les collaborateurs pour de l’IA générative ? Est-il possible d’adopter une solution qui puisse faire l’objet d’une supervision par le service informatique ?
Sensibiliser les collaborateurs aux risques d’un usage non supervisé de l’IA est le point essentiel. Il est alors possible d’instaurer une charte d’utilisation à laquelle les collaborateurs seront prêts à adhérer.
En résumé, il importe de mettre en place des outils supervisés, d’établir un cadre clair, et surtout, de sensibiliser les équipes.
