Du Shadow IT au Shadow AI : que risquent les organisations qui choisissent d’interdire l’IA à leurs salariés ?

Face à l’émergence des solutions d’IA (ChatGPT, Bard, …), les entreprises font face à des craintes légitimes pour la sécurité et la confidentialité de leurs données.

Pour autant, interdire leur usage peut s’avérer risqué, voire contreproductif : au-delà des risques pour la compétitivité des organisations, l’interdiction pure et simple de l’IA fait peser un risque fort de « shadow AI ».

Découvrez comment des solutions techniques émergentes peuvent libérer le potentiel de l’IA au sein de votre organisation en toute sécurité.

Pour lutter contre le Shadow AI, favorisez un usage encadré et sécurisé de l’IA grâce à des solutions techniques émergentes comme le français SAFEBRAIN

Shadow IT : un risque bien identifié et accentué par la multiplication des applications cloud

Le Shadow IT, en bon français « informatique clandestine », désigne l’utilisation de matériel ou de logiciels informatiques, par un département ou une personne, sans que le service informatique ou de sécurité de l’organisation ne l’ait approuvé, ou même qu’il n’en ait connaissance.

L’avènement des services et applications basés sur le cloud, la démocratisation des devices personnels et la frontière toujours plus ténue entre les sphères professionnelles et personnelles ont renforcé le risque de Shadow IT ces dernières années. Typiquement, les applications susceptibles de relever du Shadow IT incluent des applications de messagerie instantanée, de partage de fichiers, de gestion de projet, de vidéoconférence, etc.

Par le contournement des politiques d’entreprise, leur utilisation expose les organisations à des risques sérieux en matière de sécurité, le département informatique ne disposant pas de visibilité et n’exerçant aucun contrôle sur les services et applications adoptés par les salariés.

Ces risques comprennent notamment la sécurité des données, la conformité aux réglementations, la perte de contrôle de l’environnement informatique, la fragmentation des données, la duplication des efforts et le manque de visibilité et de contrôle.

Du Shadow IT au Shadow AI

Le Shadow AI, « l’IA clandestine » est une extension du concept de « Shadow IT ». Il désigne spécifiquement à l’utilisation de solutions d’IA telles que ChatGPT et Bard sans l’approbation de l’entreprise. Citons par exemple l’utilisation de ChatGPT sur les devices personnels de salariés pour corriger du texte, générer du contenu ou pour rédiger un email à un client. Les cas d’utilisation de l’IA en dépit des politiques mises en place par les organisations se multiplient. Là encore, et malgré des avantages indéniables, l’utilisation « clandestine » de ces solutions soulève de sérieuses préoccupations concernant la sécurité et la confidentialité des données.

L’essor de l’IA déclenche un schéma similaire à celui du « Shadow IT » lorsque des départements tels que le marketing, la supply chain et les RH décident de déployer eux-mêmes des solutions d’IA. Cette adoption généralisée entraînera la prolifération d’un environnement de modèles de « Shadow AI ».

Peter Sondergaard – Chairman of the Board, 2021.ai

Pour les organisations, indépendamment des règles mises en place, le Shadow AI se traduit en effet par des risques bien réels :

• La perte de contrôle des données : les solutions d’IA aspirent une grande quantité de données pour fonctionner. Sans contrôle ni supervision, il est possible que des données sensibles de l’entreprise soient exposées ou utilisées de manière inappropriée.
• Les failles de sécurité : le Shadow AI peut introduire des vulnérabilités dans les systèmes de l’entreprise, car les solutions utilisées ne sont pas soumises aux mêmes contrôles de sécurité que celles approuvées par le service IT.
• Les problèmes de conformité : l’utilisation de solutions d’IA non autorisées peut entraîner des problèmes de conformité avec les réglementations en vigueur, telles que le RGPD. L’entreprise peut être tenue responsable de l’utilisation incorrecte ou non autorisée de données personnelles.
• La perte d’efficacité : « l’émiettement » des applications, et l’émergence d’usages hétérogènes au sein des organisations peuvent réduire le potentiel de collaboration et l’efficacité opérationnelle.

Une politique d’entreprise trop restrictive favorise le Shadow AI

En les interdisant complètement, l’entreprise se prive de ces opportunités au risque d’hypothéquer sa compétitivité et la montée en compétences de ses salariés à moyen et long termes.

Favoriser un usage encadré et sécurisé de l’IA par le triptyque : sensibilisation, procédures et solutions techniques

Plutôt que d’interdire complètement l’utilisation de l’IA, il est préférable de mettre en place des mesures d’encadrement pour minimiser les risques tout en permettant aux employés de bénéficier des avantages de cette technologie. Voici quelques suggestions :

• Sensibilisation et formation : Il est essentiel de fournir une formation adéquate aux employés sur les risques liés à l’utilisation de l’IA et sur les bonnes pratiques à adopter. Cela permettra de sensibiliser les employés aux enjeux de sécurité et de confidentialité des données, ainsi qu’aux limites et aux utilisations appropriées de l’IA.
• Gouvernance et procédures : des politiques claires concernant l’utilisation de l’IA en entreprise permettent de définir les outils et les plateformes autorisés, ainsi que les mesures de sécurité et de confidentialité à mettre en place. Des procédures de contrôle doivent également permettre de superviser l’utilisation de l’IA et de détecter toute activité suspecte.
• Solutions techniques sécurisées : Il existe aujourd’hui des solutions techniques qui permettent de sécuriser l’utilisation de l’IA en entreprise. C’est par exemple la vocation d’outil comme SAFEBRAIN, une solution française émergente qui ajoute des surcouches de sécurité, d’anonymisation et de confidentialité aux principales solutions d’IA génératives existantes. Outre les garanties offertes par SAFEBRAIN en termes de sécurité ou de respect du cadre réglementaire (RGPD), cette solution offre des fonctionnalités de collaboration inédites permettant aux organisations d’adopter l’IA de manière optimale.