Le 7 septembre 2026, le National Cyber Security Centre (NCSC), l’agence britannique chargée de la cybersécurité, a publié une alerte sur la “shadow AI”, ou IA cachée. Le terme désigne l’usage d’outils d’intelligence artificielle (IA) non approuvés par l’organisation.
L’enjeu dépasse l’informatique : un salarié peut coller un contrat, un fichier de ressources humaines (RH), un rapport financier ou des données clients dans un outil externe sans trace officielle. Pour l’audit interne, la conformité, la protection des données et la norme ISO/IEC 27001, le risque devient très concret. À Libreville, une responsable RH ou un contrôleur de gestion peut déjà être concerné.
Articles récents
Droit d’auteur : Washington appuie OpenAI, risque ouvert
Google rapproche YouTube de la messagerie : opportunité et risque
Comment utiliser l’intelligence artificielle en finance ?
Certificat
Certificat Professionnel en Digitalisation et Outils Numériques pour la PME — Digitalisation de la PME
C’est quoi, concrètement ?
La “shadow AI”, c’est l’équivalent numérique d’un fichier critique qui circule hors procédure. Le travail avance, parfois plus vite, mais l’organisation ne sait plus où vont les informations. Avant, la “shadow IT” concernait surtout des logiciels, des comptes de stockage ou des applications utilisés sans autorisation. Avec l’IA, le risque change d’échelle : l’outil peut résumer, analyser, reformuler ou conserver des éléments sensibles selon ses propres conditions d’usage.
Le NCSC ne présente pas un test technique ni le lancement d’un produit. Il publie une alerte de cybersécurité et recommande de ne pas supposer que ces usages disparaîtront. Sa position est pragmatique : comprendre les besoins, donner de la visibilité, proposer des solutions approuvées et développer une culture sécurité positive. Le chiffre de 71 %, ainsi que celui de 51 % d’employés britanniques qui utiliseraient ces outils chaque semaine, vient d’une publication Microsoft. C’est une donnée publiée par une entreprise technologique, pas une statistique réglementaire indépendante.
Cas concret : que faire et que ne pas faire
Les questions à se poser avant d’agir
- Quand les salariés utilisent déjà l’IA sans validation officielle, qui porte la responsabilité opérationnelle et juridique dans notre organisation ?
- Qu’est-ce que cette alerte change pour l’audit interne, la conformité et la gouvernance des données ?
- Avons-nous un inventaire des outils IA utilisés par les équipes, y compris les comptes personnels et extensions de navigateur ?
- Quelles catégories de données sont interdites dans les outils IA non approuvés : clients, RH, santé, paie, contrats, secrets commerciaux ?
- Existe-t-il une procédure rapide pour demander l’autorisation d’un nouvel outil IA ?
- Les fournisseurs IA sont-ils évalués comme des sous-traitants ou prestataires critiques ?
- L’audit interne peut-il produire des preuves : politique IA, registre, formations, validations, incidents et plans d’action ?
French 
English 