Le shadow AI désigne l'usage d'outils d'IA au travail à l'insu de l'organisation ou sans son accord. La gouvernance du shadow AI est l'ensemble de règles et de contrôles qui amènent cet usage à la lumière. Pour une équipe marketing, une politique d'une page suffit pour démarrer : outils approuvés, classes de données, relecture humaine, journalisation et circuit d'incident.
Points clés
- Le shadow AI est un comportement normal de personnes qui cherchent à travailler plus vite ; les politiques de pure interdiction tendent à le rendre invisible.
- Les principaux risques sont la fuite de données, les affirmations non vérifiées, le droit d'auteur, la dérive du ton de marque et les engagements non consignés.
- Une bonne politique tient sur une page et répond à cinq questions : quels outils, quelles données, qui relit, ce qui est journalisé, et que faire en cas de problème.
- Associez la politique à une liste d'outils approuvés qui soient réellement assez bons pour être utilisés.
- Révisez la page chaque trimestre ; les outils et les règles évoluent vite.
Qu'est-ce que le shadow AI ?
C'est tout outil d'IA, extension, module complémentaire ou agent que le personnel utilise pour travailler sans validation de l'IT, du juridique ou du responsable marketing. Un rédacteur qui colle le brief d'un client dans un chatbot gratuit en est le cas classique. Tout comme un freelance qui utilise un générateur d'images que le contrat ne mentionne pas.
La cause n'est généralement pas la mauvaise intention. Les gens adoptent l'outil qui les aide. La même pression alimente la prolifération des outils d'IA, qui est autant un problème de coût qu'un risque.
Pourquoi le shadow AI compte-t-il pour le marketing ?
Le marketing manipule des données clients, des plans non publiés, des documents confidentiels de clients et des affirmations publiques. Chacun de ces éléments peut mal tourner à cause d'une IA non approuvée.
- Fuite de données. Des données confidentielles ou personnelles saisies dans un outil dont les conditions permettent de les conserver ou de les utiliser pour l'entraînement.
- Affirmations fausses. Les modèles inventent des statistiques, des citations et des prix. Voir les hallucinations de l'IA en marketing.
- Droits et transparence. Propriété floue des contenus générés, et absence de mention là où les règles l'exigent.
- Dérive de marque. Quand beaucoup de personnes rédigent des prompts différents, le contenu produit ne ressemble à personne.
- Engagements cachés. Des agents qui répondent aux clients ou publient sans laisser de trace. Notre article sur le registre fantôme traite ce sujet.
Existe-t-il un cadre reconnu sur lequel s'appuyer ?
Oui. Le National Institute of Standards and Technology (NIST) américain a publié son AI Risk Management Framework le 26 janvier 2023 comme ressource volontaire. Le NIST a aussi publié un profil pour l'IA générative (NIST-AI-600-1) le 26 juillet 2024 pour aider les organisations à identifier les risques propres à l'IA générative. Le cadre est écrit pour des organisations qui conçoivent ou déploient de l'IA : une équipe marketing doit donc en emprunter les idées — gouverner, cartographier, mesurer et gérer — plutôt que l'adopter en entier. La page du NIST indique que le cadre est en cours de révision : vérifiez donc la version en vigueur.
Votre responsable juridique, sécurité ou protection des données devra peut-être aussi appliquer des règles locales. Cet article ne constitue pas un conseil juridique.
Que doit dire la politique d'une page ?
Utilisez ces six sections. Limitez chacune à quelques lignes.
- Objet et périmètre. Qui est concerné : les salariés, les freelances et les agences qui travaillent pour votre marque.
- Outils approuvés. Une liste nominative, avec un responsable et un moyen de demander un nouvel outil. Tout ce qui est hors liste exige une approbation préalable.
- Classes de données. Précisez ce qui peut aller dans quel outil.
- Public (contenu publié) : autorisé dans les outils approuvés.
- Interne (plans, brouillons) : outils approuvés avec conditions professionnelles uniquement.
- Confidentiel (données clients, lancements non publiés, contrats) : uniquement les outils approuvés pour cet usage.
- Données personnelles (noms de clients, e-mails, listes d'audience) : pas dans les outils d'IA, sauf validation préalable de la protection de la vie privée.
- Relecture humaine. Une personne nommée vérifie les faits, les chiffres, les citations, les affirmations, le ton de marque et les formulations juridiques avant toute publication. Utilisez notre checklist QA pour les contenus d'IA.
- Journalisation. Consignez l'outil, la date, l'objectif et le relecteur pour les travaux publiés assistés par l'IA. Les agents qui agissent seuls ont besoin d'une piste d'audit et d'une étape d'approbation.
- Incidents. Si des données sensibles ont été collées dans un outil non approuvé, ou si une affirmation fausse a été publiée : prévenez le contact désigné dans un délai fixé, ne supprimez pas les preuves, et n'attendez aucun reproche pour un signalement précoce.
Comment mettre au grand jour les usages de shadow AI existants ?
- Demandez d'abord. Lancez un court sondage sans reproche : quels outils d'IA utilisez-vous, et pour quoi faire ?
- Triez les réponses en approuver, remplacer et arrêter.
- Proposez une bonne option approuvée pour chaque tâche courante, sinon la liste sera ignorée.
- Formez brièvement. Une heure sur la politique et sur la vérification des résultats de l'IA. Voir comment former les marketeurs juniors à l'IA.
- Révisez chaque trimestre et mettez à jour la liste d'outils.
FAQ
Le shadow AI est-il la même chose que le shadow IT ?
C'en est une forme. Le shadow IT désigne tout logiciel non approuvé ; le shadow AI en est le cas spécifique à l'IA, avec des risques supplémentaires liés à l'utilisation des données pour l'entraînement et aux contenus qui paraissent justes sans l'être.
Faut-il interdire les outils d'IA ?
Une interdiction générale est difficile à faire respecter et pousse généralement l'usage dans l'ombre. Une liste approuvée claire, assortie de règles sur les données, offre aux équipes une voie sûre vers le même bénéfice.
Qui doit porter la politique d'IA dans une équipe marketing ?
Le responsable marketing doit la porter au quotidien, avec l'apport du juridique, de la sécurité et de la protection des données. Nommez une seule personne pour que les questions aient un destinataire.
Les freelances et les agences doivent-ils la suivre ?
Oui. Intégrez la politique aux contrats ou aux briefs, et demandez à vos partenaires quels outils d'IA ils utilisent pour votre travail et quelles données ils y saisissent.
À quelle fréquence mettre à jour la politique ?
Révisez-la chaque trimestre et chaque fois qu'un nouvel outil, une nouvelle loi ou un incident change la donne. Une page périmée est pire que pas de page, car elle donne un faux sentiment de sécurité.
Sources
- NIST, AI Risk Management Framework.
- Articles de SOMIN : Le registre fantôme et Les hallucinations de l'IA en marketing.
