L'essentiel
- Le Shadow AI désigne l'usage d'outils d'IA sans validation ni encadrement par l'entreprise.
- Le risque tient aux données saisies et à l'absence de traçabilité des contenus produits.
- Une interdiction générale prononcée sans recensement déplace les usages vers des terminaux personnels.
- La cartographie des usages précède la rédaction de la politique d'usage de l'IA.
Définition
Le Shadow AI recouvre tout usage d'un outil d'IA qui n'a pas été évalué, autorisé et encadré par l'entreprise.
La notion ne vise pas les seuls outils grand public consultés depuis un navigateur. Les fonctions d'IA activées dans des logiciels déjà déployés entrent aussi dans le périmètre, dès lors qu'elles n'ont fait l'objet d'aucune évaluation.
| Situation | Exemple de configuration | Point de vigilance |
|---|---|---|
| Compte personnel | Outil gratuit ou payant ouvert à titre individuel | Aucun engagement contractuel de l'éditeur envers l'entreprise |
| Compte professionnel non contractualisé | Abonnement pris par une équipe, réglé en note de frais | Achat hors circuit, conditions non revues par le juridique |
| Fonction intégrée | Assistant activé dans une suite bureautique ou un logiciel métier | Activation par défaut, souvent ignorée des systèmes d'information et de la conformité |
Exposition par fonction
Chaque fonction du laboratoire manipule des informations dont la saisie dans un outil non évalué engage l'entreprise.
| Fonction | Usage à vérifier | Données potentiellement exposées |
|---|---|---|
| Affaires réglementaires | Reformulation de sections de dossier, traduction de notices | Projets de dossier d'AMM non soumis, données qualité |
| Affaires médicales | Synthèse de publications, préparation de réponses médicales | Questions de professionnels de santé, stratégie scientifique |
| Pharmacovigilance | Résumé ou tri de signalements | Données de santé de patients |
| Marketing | Rédaction d'argumentaires et de supports | Plans de lancement, études de marché |
| Force de vente | Préparation de visites, rédaction de comptes rendus | Identité et échanges avec des professionnels de santé |
| Accès au marché | Préparation de dossiers de prix et de remboursement | Propositions tarifaires, hypothèses économiques |
| Qualité et production | Rédaction de procédures, analyse d'écarts | Procédures internes, données de lots |
| Ressources humaines | Rédaction d'offres, synthèse d'entretiens | Données de candidats et de collaborateurs |
Risques
Les risques se regroupent en quatre familles, qui appellent des mesures distinctes.
- Données personnelles
La loi n° 09-08 soumet le traitement de données personnelles à déclaration préalable ou à autorisation de la CNDP et encadre leur transfert à l'étranger.
- Confidentialité
Les informations saisies peuvent être conservées ou réutilisées selon les conditions d'utilisation de l'éditeur, à examiner outil par outil.
- Exactitude
Un contenu erroné ou une référence inexistante peut être intégré à un document scientifique, réglementaire ou promotionnel.
- Traçabilité
L'origine d'un contenu ne peut pas être reconstituée lors d'un audit, d'une inspection ou d'une réclamation.
Filiales de groupes européens : la politique du groupe peut transposer localement les exigences du règlement (UE) 2024/1689, dont l'obligation de maîtrise de l'IA par le personnel prévue à son article 4.
Méthode en trente jours
Quatre étapes conduisent du cadrage à l'arbitrage du comité de direction. Chacune produit un document opposable.
-
01 Cadrer
Semaine 1- Désigner un sponsor au comité de direction et un référent de la démarche.
- Associer les systèmes d'information, la conformité, le juridique et le pharmacien responsable.
- Fixer le périmètre : fonctions, sites, filiales.
- Annoncer la démarche comme un recensement, sans sanction attachée aux réponses.
Document produitNote de cadrage signée par le sponsor
-
02 Recenser
Semaines 2 et 3- Diffuser le questionnaire anonyme à l'ensemble du périmètre.
- Obtenir l'inventaire des fonctions d'IA activées dans les logiciels déployés.
- Conduire un entretien court avec chaque responsable de fonction.
- Soumettre au référent juridique tout relevé technique des accès réseau avant sa réalisation.
Document produitRegistre des usages renseigné
-
03 Qualifier
Semaine 4- Classer chaque usage dans la grille de qualification.
- Relever les usages déjà intégrés à des documents transmis hors de l'entreprise.
Document produitStatut proposé pour chaque usage
-
04 Arbitrer
Fin de semaine 4- Présenter le registre qualifié au comité de direction.
- Arrêter le statut de chaque usage et les mesures associées.
- Lancer la rédaction de la politique d'usage de l'IA et le plan de formation.
Document produitRelevé de décisions du comité de direction
Outil 1 : questionnaire anonyme
Dix questions, remplies en moins de cinq minutes. L'anonymat conditionne la sincérité des réponses.
- Quelle est votre fonction ?Liste fermée des fonctions du périmètre
- Au cours du dernier mois, avez-vous utilisé un outil d'IA générative pour votre travail ?Jamais, occasionnellement, chaque semaine, chaque jour
- Quels outils ?Liste des outils courants, avec un champ « autre »
- Avec quel type de compte ?Personnel gratuit, personnel payant, fourni par l'entreprise, je ne sais pas
- Sur quel terminal ?Poste de l'entreprise, ordinateur personnel, téléphone personnel
- Pour quelles tâches ?Rédaction, traduction, synthèse, analyse de données, présentations, autre
- Quels types d'informations avez-vous saisis ?Publiques, internes, confidentielles, relatives à des patients, à des professionnels de santé, à des collaborateurs
- Un contenu produit a-t-il été intégré à un document transmis hors de votre équipe ?Oui, non, je ne sais pas
- Ce contenu a-t-il été vérifié par une autre personne avant transmission ?Oui, non, sans objet
- Qu'est-ce qui faciliterait un usage encadré ?Règles écrites, outil fourni par l'entreprise, formation, autre
Règle de restitution : aucun résultat n'est présenté pour un groupe de moins de cinq répondants, afin qu'aucune réponse ne puisse être attribuée.
Outil 2 : grille de qualification
Le statut d'un usage se déduit de deux critères : la nature des données saisies et le cadre contractuel de l'outil.
| Données saisies | Outil sous contrat entreprise | Compte professionnel non contractualisé | Compte personnel |
|---|---|---|---|
| N1 publiques | Autorisé | Autorisé | Sous conditions |
| N2 internes | Autorisé | Sous conditions | Proscrit |
| N3 confidentielles | Sous conditions | Proscrit | Proscrit |
| N4 personnelles | Sous conditions | Proscrit | Proscrit |
- N1 publiques
- Informations déjà publiées : RCP publiés, publications scientifiques, textes réglementaires.
- N2 internes
- Documents de fonctionnement sans caractère stratégique ni personnel.
- N3 confidentielles
- Dossiers non soumis, prix, stratégie, données de lots, contrats.
- N4 personnelles
- Données relatives à des patients, professionnels de santé ou collaborateurs. Statut « sous conditions » subordonné à la revue juridique et aux formalités auprès de la CNDP.
Règle complémentaire : tout contenu destiné à un document scientifique, réglementaire ou promotionnel relève au minimum du statut « sous conditions », avec vérification par une seconde personne et conservation de la trace de production.
Outil 3 : registre des usages
Le registre consolide les réponses, les entretiens et l'inventaire technique. Il fonde la politique d'usage de l'IA.
| Colonne | Contenu attendu |
|---|---|
| Fonction | Fonction et site concernés |
| Usage | Tâche réalisée avec l'outil |
| Outil et compte | Nom de l'outil, type de compte, terminal |
| Données | Niveau le plus élevé saisi, de N1 à N4 |
| Destination | Usage interne ou document transmis à l'extérieur |
| Statut | Proposé par la grille, puis arrêté par le comité |
| Mesure | Action décidée et échéance |
| Référent | Responsable du suivi de la mesure |
Erreurs à éviter
Quatre décisions courantes privent la démarche de son résultat.
| Erreur | Conséquence |
|---|---|
| Interdire avant de recenser | Les usages deviennent invisibles sans disparaître |
| Questionnaire nominatif | Sous-déclaration et cartographie incomplète |
| Démarche confiée aux seuls systèmes d'information | Arbitrages rendus sans les fonctions métier ni la conformité |
| Clôture sans politique d'usage ni formation | Collaborateurs sans règle ni solution encadrée |
Suite de la démarche
À trente jours, le laboratoire dispose de trois documents :
- Registre des usages qualifié
- Relevé de décisions du comité de direction
- Mandat de rédaction de la politique d'usage de l'IA et du plan de formation
La rédaction de la politique d'usage de l'IA et la formation des équipes sont traitées dans la formation CON-301.
Formations rattachéesDonnées de santé : sécuriser les usages de l'IA · Comité de direction : gouverner l'IA et arbitrer ses usages
Références
- Loi n° 09-08 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel, promulguée par le dahir n° 1-09-15 du 22 safar 1430 (18 février 2009), Bulletin officiel n° 5714 du 7 rabii I 1430 (5 mars 2009).
- Règlement (UE) 2024/1689 du Parlement européen et du Conseil du 13 juin 2024 établissant des règles harmonisées concernant l'intelligence artificielle et modifiant les règlements (CE) n° 300/2008, (UE) n° 167/2013, (UE) n° 168/2013, (UE) 2018/858, (UE) 2018/1139 et (UE) 2019/2144 et les directives 2014/90/UE, (UE) 2016/797 et (UE) 2020/1828 (règlement sur l'intelligence artificielle), Journal officiel de l'Union européenne, série L, 12 juillet 2024.
Sigles
| Sigle | Signification |
|---|---|
| AMM | Autorisation de mise sur le marché |
| CNDP | Commission nationale de contrôle de la protection des données à caractère personnel |
| IA | Intelligence artificielle |
| RCP | Résumé des caractéristiques du produit |
| UE | Union européenne |
Dernière vérification : septembre 2026