Dernière mise à jour :
L'utilisation non autorisée de modèles, d'agents ou d'outils d'intelligence artificielle par les collaborateurs, sans l'approbation du département informatique, ce qui engendre des vulnérabilités de sécurité invisibles par la fuite de données et des actions autonomes non contrôlées.
Le « Shadow AI » (l'IA fantôme) représente une évolution significative du « Shadow IT ». Alors que le Shadow IT traditionnel impliquait des applications SaaS non approuvées (créant des silos de données), le Shadow AI introduit des risques actifs : la fuite de données exclusives dans les ensembles d'entraînement de modèles publics et le déploiement d'agents autonomes qui exécutent des actions en dehors de la gouvernance de l'entreprise. Une gestion efficace nécessite une détection au niveau du réseau (surveillance du trafic API vers les fournisseurs d'IA connus), la sensibilisation des collaborateurs et la mise à disposition d'alternatives approuvées et sécurisées plutôt qu'un blocage systématique.
Exemple concret :
Une équipe d'ingénierie logicielle utilise un assistant de codage public et gratuit pour déboguer un algorithme propriétaire. Les développeurs collent du code source sensible dans la fenêtre de saisie, sans savoir que les conditions d'utilisation de l'outil permettent au fournisseur d'utiliser les données d'entrée pour l'entraînement de ses modèles. Le code propriétaire est alors intégré au modèle public, ce qui pourrait permettre à des concurrents de reproduire l'algorithme ou d'exposer des vulnérabilités de sécurité au grand public.
