un problème de discipline.
C'est un signal de gouvernance absente.
L'invisibilité n'est pas un accident. C'est une structure.
Dans la quasi-totalité des organisations que nous observons, le Comex n'a pas de visibilité sur les usages IA réels de ses équipes. Pas parce que ces usages sont cachés intentionnellement, mais parce qu'aucune structure ne les rend visibles.
Les équipes utilisent ChatGPT, Claude, des outils de transcription, des assistants de rédaction. Elles ne le signalent pas parce qu'elles n'ont jamais eu de raison de le faire. La DSI ne le trace pas parce que ces usages passent par des comptes personnels ou des abonnements d'équipe qui n'apparaissent pas dans les inventaires. La direction générale ne le voit pas parce qu'elle n'a jamais demandé à le voir.
Ce n'est pas une défaillance de conformité. C'est une décision qui n'a pas été prise. Et l'absence de décision est elle-même une décision, avec des conséquences.
Trois niveaux de risque que la DSI ne peut pas gérer seule.
Ce que la DSI gère. Ce que le Comex doit décider.
La réponse DSI au shadow AI est une réponse de contrôle : inventorier les outils, bloquer les non-approuvés, définir une politique d'usage acceptable. C'est nécessaire. Ce n'est pas suffisant.
La réponse Comex est différente. Elle porte sur trois questions que la DSI ne peut pas trancher seule : quelles données sommes-nous prêts à externaliser et dans quelles conditions ? Quels processus critiques peuvent reposer sur des outils tiers, et lesquels ne le peuvent pas ? Quelle responsabilité assumons-nous vis-à-vis de nos régulateurs et de nos clients sur ces usages ?
Chez tointelligence, nous observons que les organisations qui traitent le shadow AI comme un problème IT produisent des politiques que personne ne suit. Celles qui le traitent comme une décision de gouvernance exécutive produisent un cadre que les équipes adoptent parce qu'il est cohérent avec leur réalité terrain. La différence n'est pas dans la sévérité de la politique. Elle est dans le niveau où la décision est prise.
Le shadow AI dit quelque chose que vous n'avez pas entendu.
Quand 40% des équipes utilisent des outils IA non approuvés, ce n'est pas un signe de rébellion. C'est un signal que la direction n'a pas encore produit de réponse utilisable à un besoin réel. Les équipes ont comblé un vide que la gouvernance n'a pas rempli.
Interdire ne résout pas ce vide. Cela le déplace. Les équipes trouvent d'autres chemins, ou ralentissent leurs processus, ou continuent à utiliser les mêmes outils en les cachant davantage. La seule réponse durable est de produire un cadre assez clair et assez rapide pour que le chemin officiel soit plus attractif que le contournement.
Trois décisions de gouvernance, pas de contrôle.
Décider d'avoir une image réelle des usages IA dans l'organisation. Pas l'image que la DSI construit à partir des inventaires officiels. L'image des usages réels, terrain, avec les données qui transitent. Cette décision appartient à la direction générale, pas à la DSI.
Décider explicitement ce qui peut être externalisé et ce qui ne peut pas l'être. Quelles données, quels processus, quels niveaux de criticité. Cette décision ne peut pas être déléguée à des équipes qui n'ont pas la visibilité stratégique pour l'arbitrer.
Produire un cadre d'usage approuvé qui fonctionne parce qu'il part de la réalité terrain, pas d'un idéal de conformité. Un cadre que les équipes peuvent suivre sans contourner leur efficacité opérationnelle. Ce cadre est une décision stratégique, pas une politique IT.