Shadow AI
IA de l'ombre · Agents fantômes · Shadow agents
Le Shadow AI, ou IA de l'ombre, désigne les outils et les agents d'IA adoptés dans une organisation hors de tout cadre et de toute supervision donc invisibles pour sa gouvernance. L'agent fantôme va un cran plus loin puisqu'il agit en plus de conseiller, sans figurer dans aucun registre.
Un signal avant d'être une faute
Le Shadow AI pousse là où l'organisation n'a pas dit ce qui était permis et où les équipes tranchent seules. Il en dit au moins autant sur un besoin non satisfait que sur une désobéissance. L'interdire règle peu de choses et a tendance à faire passer l'usage sous la table : la décision de Samsung en 2023 de restreindre les outils génératifs après que du code sensible y a été collé montre à quelle vitesse le sujet remonte à la direction. La réponse la plus durable le traite comme une question d'hygiène et préfère un usage déclaré et borné à un usage caché, même quand ce dernier rend mieux.
Les 4 portes d'entrée
- Le développement interne par une équipe pressée.
- La fonctionnalité qui s'active dans un outil déjà installé.
- L'outil personnel qu'un salarié apporte.
- Le fournisseur qui automatise sa propre prestation sans en informer son client.
Comment le repérer
L'analyse du réseau en trouve une partie. Les décisions elles-mêmes en révèlent davantage : partez de la carte et guettez 3 signaux.
- Un délai de traitement qui s'effondre sans explication.
- La régularité soudaine d'un travail qui variait d'une personne à l'autre.
- Une dépense récurrente modeste hors de tout budget de projet identifié.
Que faire d'un agent trouvé
Un agent qu'on découvre ne se supprime pas par principe. Il entre à l'inventaire avec sa finalité, son fournisseur, ses données, ses utilisateurs et son contrat puis reçoit une note de criticité, un niveau d'autonomie et un responsable. C'est l'inscription qui en fait un objet gouvernable. L'OCDE range les shadow agents parmi les préoccupations croissantes des organisations qu'elle a interrogées.
Questions fréquentes
Pourquoi le Shadow AI est-il dangereux ?
Les risques principaux sont des données qui sortent de l'organisation, des décisions dont personne ne sait qu'elles sont automatisées et aucune trace à produire quand on la demande. Pour un agent fantôme, il faut y ajouter des actes accomplis sans responsable.
Faut-il interdire ChatGPT et les outils similaires en entreprise ?
Une interdiction générale pousse souvent l'usage vers des comptes personnels. Une courte liste d'outils approuvés, des règles claires sur les données et un moyen simple de demander un nouvel outil fonctionnent généralement mieux.
Où en est votre organisation ?
ACF Score mesure votre gouvernance agentique en une dizaine de minutes, le vérificateur AI Act indique les obligations qui vous concernent et ACF Control applique vos règles avant qu'un agent n'agisse.
Termes liés
Sources primaires
Rédigé par Vincent Dorange, créateur de l'Agentic Commerce Framework®. Dernière mise à jour : .