Shadow AI en PME : cartographier vos usages IA non déclarés en deux semaines

40 à 60% de l'usage réel de l'IA dans les PME et ETI françaises échappe totalement à la DSI, un shadow AI qui ne fait l'objet d'aucune déclaration ni d'aucun contrôle (constat terrain nachnouchi.com). Ce chiffre n'est pas une anomalie ponctuelle, c'est la norme dans la quasi-totalité des organisations que j'accompagne.

Lors d'une mission récente, une directrice administrative et financière m'assurait que son entreprise n'utilisait l'IA que via un seul outil validé par la direction. Deux semaines de cartographie plus tard, nous avions identifié sept outils différents utilisés par les équipes commerciales, RH et marketing, dont trois via des comptes personnels traitant des données clients. Aucun usage n'était malveillant, chaque collaborateur cherchait simplement à gagner du temps.

Cette invisibilité a un coût direct. D'abord budgétaire, avec des licences IA payées en double par plusieurs services qui ignorent l'existence les uns des autres. Ensuite juridique, puisque 80% des PME n'ont aucune gouvernance IA documentée, alors que le RGPD s'applique dès qu'une donnée personnelle transite par un outil non validé, avec ou sans AI Act. Enfin réputationnel, une fuite de données clients via un compte ChatGPT personnel exposant l'entreprise sans qu'elle en ait jamais eu conscience.

Cartographier ce shadow AI ne demande pas un audit de six mois. En deux semaines, un diagnostic structuré combine trois leviers : un questionnaire déclaratif anonyme envoyé à toutes les équipes, l'anonymat levant la peur de la sanction et faisant remonter les usages réels, une revue des dépenses par carte professionnelle et des accès SSO pour repérer les abonnements non validés, et des entretiens courts avec les managers de chaque service pour comprendre les cas d'usage concrets. C'est exactement le contenu du deuxième principe de gouvernance que je défends sur nachnouchi.com, cartographier le shadow AI avant de gouverner, et la première brique de l'étape Inventaire de la méthode IMPACT.

Gouverner un seul outil pendant que trois autres circulent sans contrôle ne protège rien. La cartographie du shadow AI n'est pas une étape punitive, c'est le point de départ obligé de toute gouvernance IA crédible, et elle se réalise en semaines, pas en mois. Un audit TransformAudit inclut cette cartographie complète dans son diagnostic de 5 jours ouvrés.