Shadow AI en PME : cartographier vos usages IA non déclarés en deux semaines
40 à 60% des usages IA en PME échappent à la DSI. La méthode concrète en deux semaines pour les cartographier avant l'audit RGPD ou AI Act.
40 à 60% de l'usage réel de l'IA dans les PME et ETI françaises échappe totalement à la DSI, un shadow AI qui ne fait l'objet d'aucune déclaration ni d'aucun contrôle (constat terrain nachnouchi.com). Ce chiffre n'est pas une anomalie ponctuelle, c'est la norme dans la quasi-totalité des organisations que j'accompagne.
Lors d'une mission récente, une directrice administrative et financière m'assurait que son entreprise n'utilisait l'IA que via un seul outil validé par la direction. Deux semaines de cartographie plus tard, nous avions identifié sept outils différents utilisés par les équipes commerciales, RH et marketing, dont trois via des comptes personnels traitant des données clients. Aucun usage n'était malveillant, chaque collaborateur cherchait simplement à gagner du temps.
Cette invisibilité a un coût direct. D'abord budgétaire, avec des licences IA payées en double par plusieurs services qui ignorent l'existence les uns des autres. Ensuite juridique, puisque 80% des PME n'ont aucune gouvernance IA documentée, alors que le RGPD s'applique dès qu'une donnée personnelle transite par un outil non validé, avec ou sans AI Act. Enfin réputationnel, une fuite de données clients via un compte ChatGPT personnel exposant l'entreprise sans qu'elle en ait jamais eu conscience.
Cartographier ce shadow AI ne demande pas un audit de six mois. En deux semaines, un diagnostic structuré combine trois leviers : un questionnaire déclaratif anonyme envoyé à toutes les équipes, l'anonymat levant la peur de la sanction et faisant remonter les usages réels, une revue des dépenses par carte professionnelle et des accès SSO pour repérer les abonnements non validés, et des entretiens courts avec les managers de chaque service pour comprendre les cas d'usage concrets. C'est exactement le contenu du deuxième principe de gouvernance que je défends sur nachnouchi.com, cartographier le shadow AI avant de gouverner, et la première brique de l'inventaire des usages.
Gouverner un seul outil pendant que trois autres circulent sans contrôle ne protège rien. La cartographie du shadow AI n'est pas une étape punitive, c'est le point de départ obligé de toute gouvernance IA crédible, et elle se réalise en semaines, pas en mois. Si vous souhaitez en parler, contactez-moi.
Questions fréquentes
Qu'est-ce que le shadow AI et pourquoi touche-t-il autant les PME ?
Le shadow AI désigne les usages IA non déclarés à la direction ou à la DSI. 40 à 60% de l'usage réel de l'IA en PME/ETI y échappe, un constat terrain observé sur nachnouchi.com et non une étude externe chiffrée.
Combien de temps faut-il pour cartographier le shadow AI d'une entreprise ?
Un diagnostic structuré permet de cartographier l'essentiel des usages en deux semaines, en combinant questionnaire déclaratif anonyme, revue des dépenses et des accès SSO, et entretiens courts avec les managers de chaque service.
Pourquoi un questionnaire anonyme fonctionne-t-il mieux qu'un audit direct ?
L'anonymat lève la peur de la sanction, ce qui fait remonter des usages réels que les collaborateurs cacheraient autrement par crainte d'être identifiés comme responsables d'un outil non validé.
Quel pourcentage de PME françaises n'a aucune gouvernance IA documentée ?
80% des PME n'ont aucune gouvernance IA documentée (nachnouchi.com).
Le RGPD s'applique-t-il aux usages IA non déclarés par les équipes ?
Oui. Le RGPD s'applique dès qu'une donnée personnelle transite par un outil d'IA, validé ou non par la direction, indépendamment du calendrier de l'AI Act.
Par où commencer pour traiter le shadow AI ?
La cartographie du shadow AI est la première brique de l'inventaire des usages, dès la première semaine, et le deuxième des huit principes de gouvernance défendus sur nachnouchi.com.
Le shadow AI est-il le signe d'un problème de discipline des équipes ?
Non, dans la grande majorité des cas observés, les collaborateurs cherchent seulement à gagner du temps, pas à contourner une règle. Ceci est une observation terrain, pas une étude chiffrée externe.
Que risque une entreprise qui ignore son shadow AI ?
Un gaspillage budgétaire lié à des licences redondantes, un risque juridique au titre du RGPD et de l'AI Act, et un risque réputationnel en cas de fuite de données via un compte personnel non validé.