← Tous les articles

L'IA fantôme est un risque de fuite de données, et non un débat sur la productivité

Rasmus Kjaer Damgaard, Co-founder · 3 août 2026

Cet article a été produit avec l'assistance de l'IA et revu par une personne. Rasmus Kjaer Damgaard assume la responsabilité éditoriale du contenu.

TL;DR : L’essai de 2026 du Contrôleur européen de la protection des données, intitulé « Managing Shadow AI's Hidden Data Breach Risk » (« Gérer le risque caché de fuite de données lié à l’IA fantôme »), a officialisé ce que les équipes de sécurité savaient déjà : l’utilisation non maîtrisée de l’IA constitue une faille potentielle de sécurité, et non une simple distraction pour la productivité. Le mécanisme est simple : un outil d’IA non approuvé est un sous-traitant non évalué, sans contrat, sans journalisation ni cartographie des données, ce qui rend impossible la notification d’une violation au titre de l’art. 33 en cas de fuite. La solution efficace ne consiste pas à interdire, mais à maintenir un registre des outils approuvés avec des limites de données par outil, une procédure de signalement protectrice et une alternative préférable.

Générez le registre et les règles en dix minutes avec notre générateur de politique IA gratuit.

Le mécanisme, expliqué simplement

Lorsqu’un employé copie-coller des informations clients dans un compte IA personnel, trois faits RGPD deviennent simultanément vrais :

1. Un traitement a eu lieu avec l’entreprise en tant que responsable de traitement, qu’il ait été approuvé ou non.
2. Aucun accord de sous-traitance n’existe (art. 28), donc aucun cadre contractuel ne régit ce que le fournisseur de l’outil fait des données, y compris s’il les utilise pour l’entraînement de ses modèles.
3. L’entreprise ne peut pas identifier une violation. Si l’outil fuit, entraîne mal ses modèles ou est compromis, l’obligation de notification sous 72 heures (art. 33) s’applique à un incident pour lequel il n’existe ni journal, ni inventaire, ni cartographie des données. Vous ne pouvez pas notifier précisément des flux de données que vous ignoriez.

Rien de tout cela ne nécessite que l’IA dysfonctionne. Le risque de fuite est structurel : les données quittent l’environnement contrôlé dès qu’elles sont collées.

Pourquoi les interdictions échouent et les registres fonctionnent

Bloquer les outils d’IA grand public au niveau du réseau pousse leur utilisation vers les téléphones et les machines personnelles, où la visibilité passe de partielle à nulle. Toutes les analyses sérieuses du problème, y compris le cadre supervisé cité plus haut, privilégient la gouvernance à l’interdiction :

Le registre joue un rôle central, car il transforme un problème sans limites (« les employés pourraient utiliser n’importe quoi ») en un problème circonscrit (« ces outils, ces limites, cette procédure pour en ajouter d’autres »). C’est également le premier document qu’une autorité de contrôle ou un client entreprise demandera à consulter.

Notre position sur ce sujet

Nordvec existe précisément pour résoudre ce problème : une plateforme unique hébergée dans l’UE, où les documents de l’entreprise sont recherchés avec citations, traçabilité et accord de traitement des données, au lieu d’un nombre inconnu d’outils grand public impossibles à auditer. Tel est notre intérêt dans ce sujet, exposé ouvertement. Les outils ci-dessous sont gratuits et utiles, que vous deveniez ou non client :

• Générateur de politique IA : le registre, les niveaux de données, l’obligation de signalement et le reste de la politique, générés à partir de réponses structurées avec les références juridiques associées à chaque section.
• Vérificateur de l’article 50 : identifie les obligations de transparence que votre utilisation de l’IA déclenche, avec un dossier de preuves.

Sources

• Contrôleur européen de la protection des données : « Managing Shadow AI's Hidden Data Breach Risk » (W. Wiewiórowski, 15 juin 2026)
• Règlement (UE) 2016/679, art. 28 (sous-traitants)
• Règlement (UE) 2016/679, art. 33 (notification des violations)
• Notre guide sur les obligations de transparence de l’article 50

Questions fréquemment posées

Qu'est-ce que l'IA fantôme ?

Les employés qui utilisent des outils d'IA pour le travail sans en informer ni obtenir l'approbation du service informatique : comptes ChatGPT privés, extensions de navigateur, assistants en version gratuite. L'organisation ne dispose ni d'un accord de sous-traitance, ni de visibilité sur les flux de données, ni de moyen de répondre aux questions d'une autorité de contrôle sur la destination des données.

Pourquoi l'IA fantôme pose-t-elle un problème au regard du RGPD et non simplement un problème de politique informatique ?

Parce que coller des données personnelles dans un outil d'IA constitue un traitement. Sans accord de sous-traitance (Art. 28), le transfert est non maîtrisé. Si l'outil s'entraîne sur les entrées ou les divulgue, l'entreprise fait face à une fuite de données personnelles qu'elle ne peut même pas évaluer, avec le délai de notification de 72 heures (Art. 33) qui court pour un incident dont elle ne dispose d'aucun journal.

Faut-il simplement bloquer les outils d'IA au niveau du pare-feu ?

Les interdictions poussent les utilisateurs à recourir à des appareils personnels où la visibilité est totalement nulle. La méthode qui fonctionne consiste en un registre des outils approuvés avec des limites de données par outil, une obligation de signalement protectrice et une alternative sanctionnée qui soit réellement suffisamment performante pour être préférée.

Comment identifier l'IA fantôme déjà utilisée ?

Interrogez service par service, de manière protectrice : quels outils, pour quelles tâches, avec quelles données. Amnistie d'abord, enregistrement ensuite. L'objectif de l'exercice est d'obtenir un registre précis et de déplacer l'usage, et non de sanctionner.