En bref. Pionarius analyse quatre risques liés à l’usage de l’IA dans une organisation : les données personnelles et confidentielles saisies dans des outils non maîtrisés, les outils non validés (le « shadow AI »), les réponses utilisées sans vérification et la dépendance à un seul collaborateur. Pour chacun, l’audit indique le niveau de risque observé, la référence officielle (CNIL, ANSSI, règlement européen sur l’IA) et la mesure à mettre en place.
Le shadow AI : un risque qui existe déjà
Le « shadow AI » désigne l’usage d’outils d’IA sans validation de l’organisation. Il ne relève pas de la mauvaise volonté : les collaborateurs cherchent à gagner du temps avec les outils qu’ils connaissent. Les chiffres disponibles montrent son ampleur :
- en France, 58 % des utilisateurs de l’IA générative au travail le font sans cadre défini par leur employeur, et 79 % n’ont reçu aucune formation (Salesforce et YouGov, décembre 2023) ;
- 37 % des utilisateurs n’en ont pas parlé à leur direction (étude Datacraft et Inria auprès de 14 organisations, juin 2025) ;
- dans une enquête BlackFog relayée par Le Monde Informatique en février 2026, 49 % des salariés interrogés utilisent des outils d’IA non approuvés, et une partie y saisit des données financières ou des informations sur leurs collègues.
Interdire ne suffit pas : l’usage se déplace sur les téléphones personnels. L’enjeu est de voir ce qui se passe, puis de proposer une alternative encadrée.
Les quatre risques que nous analysons
1. Les données personnelles et confidentielles
Un contrat client collé dans un outil gratuit, un tableau de salaires résumé par un assistant grand public, un compte rendu d’entretien transcrit par une extension : selon les conditions de l’outil, ces contenus peuvent être conservés ou réutilisés. La CNIL résume la règle dans sa fiche pratique destinée aux entreprises : « Partagez uniquement ce qui peut l’être. »
Ce que nous vérifions : les types de données saisis, les versions utilisées (gratuites ou entreprise), les conditions d’utilisation et le lieu d’hébergement. Mesures : classification simple des données, outils entreprise configurés, règles écrites dans une charte.
2. Les outils non validés
Extensions de navigateur, applications de transcription, connecteurs qui donnent à un outil d’IA l’accès à la messagerie ou aux fichiers partagés. Ces connexions sont souvent invisibles pour la DSI.
Ce que nous vérifions : les applications tierces autorisées, les extensions installées, les accès accordés. Mesures : liste d’outils autorisés, procédure de demande d’un nouvel outil, revue périodique des accès. Le guide de l’ANSSI sur la sécurité des systèmes d’IA générative (avril 2024) sert de référence pour les mesures techniques.
3. Les réponses non vérifiées
Une IA générative peut produire une réponse fausse avec beaucoup d’assurance : chiffre inventé, jurisprudence inexistante, calcul erroné. Le risque n’est pas l’erreur de l’outil, mais l’absence de relecture. La CNIL le rappelle : « La décision finale reste humaine. »
Ce que nous vérifions : les usages où le résultat part sans relecture (courriers clients, documents contractuels, chiffres). Mesures : règle de relecture par type de document, consignes testées, traçabilité de ce qui a été produit avec l’IA.
4. La dépendance à un collaborateur
C’est le risque dont on parle le moins. Souvent, une seule personne a construit les consignes, les automatisations et les habitudes qui font fonctionner l’IA dans un service. Si elle part, tout s’arrête, et personne ne sait comment cela marchait. La CNIL cite aussi le risque de devenir dépendant du système d’IA lui-même.
Ce que nous vérifions : qui a créé quoi, ce qui est documenté, ce qui ne l’est pas. Mesures : bibliothèque de consignes partagée, documentation des automatisations, formation d’un second référent.
La matrice des risques
| Risque | Exemple | Référence | Mesure |
|---|---|---|---|
| Données sensibles | Contrat client dans un outil gratuit | RGPD, fiche CNIL n° 4 | Classification, outil entreprise, charte |
| Outils non validés | Extension avec accès à la messagerie | Guide ANSSI 2024 | Liste d’outils autorisés, revue des accès |
| Réponses non vérifiées | Chiffre inventé dans un rapport | Fiche CNIL n° 4 | Règle de relecture par document |
| Dépendance | Un seul référent connaît les automatisations | Fiche CNIL n° 4 | Documentation, second référent |
Le cadre réglementaire, à jour d’octobre 2026
Le règlement européen sur l’IA est entré en vigueur le 1er août 2024. Le règlement omnibus numérique (règlement (UE) 2026/1744), publié au Journal officiel le 24 juillet 2026, a modifié son calendrier :
- depuis le 2 février 2025 : pratiques interdites et article 4 sur la maîtrise de l’IA, devenu une obligation de moyens : les entreprises doivent prendre des mesures pour favoriser la maîtrise de l’IA par leur personnel ;
- depuis le 2 août 2026 : obligations de transparence de l’article 50 (informer qu’on échange avec une IA, signaler les contenus générés) ;
- 2 décembre 2027 : obligations relatives aux systèmes à haut risque de l’annexe III (emploi, éducation, accès aux services essentiels…), au lieu du 2 août 2026 initialement prévu ;
- 2 août 2028 : systèmes à haut risque intégrés à des produits réglementés (annexe I).
Un usage RH comme le tri de candidatures peut relever du haut risque : c’est le type d’usage que l’audit signale dès maintenant, même si l’obligation est reportée.
Questions fréquentes
Faut-il interdire ChatGPT en entreprise ?
Une interdiction sans alternative déplace les usages vers des outils encore moins visibles. Il vaut mieux définir quelles données peuvent être utilisées, avec quels outils, et fournir une version entreprise configurée.
Peut-on mettre des données clients dans un outil d’IA ?
Seulement dans un outil dont les conditions garantissent que les données ne sont pas réutilisées, avec une base légale au sens du RGPD et une information des personnes. Avec une version gratuite grand public, la réponse est en général non.
La charte IA est-elle obligatoire ?
Aucun texte ne l’impose sous ce nom. Mais c’est l’outil le plus simple pour poser les règles d’usage, et la CNIL la recommande. Nous proposons un modèle de charte IA.
Que se passe-t-il si l’IA se trompe ?
L’organisation reste responsable de ce qu’elle envoie ou décide. D’où l’importance d’une règle de relecture adaptée à chaque type de document.
Passer à l’action
L’analyse des risques est la troisième étape de notre audit IA, après la cartographie des usages et le repérage des voleurs de temps. Pour faire le point sur les risques réels dans vos équipes, contactez-nous.
Sources
- CNIL et France Num, fiche IA n° 4 « Les précautions », mars 2025 : cnil.fr
- ANSSI, « Recommandations de sécurité pour un système d’IA générative », 29 avril 2024 : cyber.gouv.fr
- Salesforce et YouGov, étude France, décembre 2023 : actuia.com
- Datacraft et Inria, étude sur le shadow AI, 20 juin 2025 : siecledigital.fr
- BlackFog, enquête relayée par Le Monde Informatique, 2 février 2026 : lemondeinformatique.fr
- ActuIA, « Calendrier AI Act : ce qui s’applique, ce que l’omnibus reporte », 6 octobre 2026 : actuia.com
