Le risque caché de l'IA fantôme et comment y remédier

Les responsables informatiques ont passé des années à mettre en place des cadres de sécurité, à appliquer des politiques de conformité et à gérer les risques à l'échelle de l'entreprise. Puis l'IA générative a fait son apparition, et les employés ont commencé à résoudre les problèmes de leur propre chef.

Il en résulte ce que l'on appelle désormais l'IA fantôme : des outils grand public non approuvés utilisés dans toute l'organisation sans supervision informatique, sans contrôle de sécurité ni mesures de gouvernance. Selon le rapport Enterprise AI  de Nitro, le problème est bien plus répandu que ne le pensent la plupart des organisations, et les risques vont bien au-delà des simples violations de politiques.

L'ampleur réelle de l'IA fantôme

L'enquête menée auprès de plus de 1 000 professionnels a révélé que 68 % des cadres et 50 % des employés utilisent des outils d'IA non approuvés au travail. Il ne s'agit pas d'incidents isolés ou de cas marginaux. L'utilisation non approuvée de l'IA est devenue un comportement par défaut, tous postes et niveaux hiérarchiques confondus.

Ce qui est plus préoccupant, c'est ce que les employés font avec ces outils. Un employé sur trois a traité des données confidentielles via des plateformes d'IA non vérifiées. Cela inclut des informations sur les clients, des documents financiers, des documents juridiques et de la propriété intellectuelle transitant par des outils dont les pratiques de traitement des données sont inconnues, sans piste d'audit et sans visibilité pour les équipes informatiques ou de conformité. Pour les organisations des secteurs réglementés, cela crée un risque immédiat de non-conformité. Pour toutes les organisations, cela engendre des risques de sécurité des données difficiles à évaluer et presque impossibles à corriger a posteriori.

Pourquoi les employés se tournent-ils vers des outils d'IA non approuvés ?

L'instinct est de considérer l'IA « fantôme » comme un manquement à la conformité qui nécessite des politiques plus strictes et une application plus rigoureuse. Mais les données de l'enquête révèlent une autre réalité. Les employés n'utilisent pas d'outils non approuvés parce qu'ils veulent contourner le service informatique ou ignorer les protocoles de sécurité. Ils les utilisent parce que les alternatives approuvées ne répondent pas à leurs besoins. Les outils autorisés sont lents à accéder, difficiles à utiliser, ou n'existent tout simplement pas pour les tâches que les employés doivent accomplir.

Lorsqu'une personne doit résumer un contrat de 50 pages avant une réunion dans 30 minutes, elle utilisera tout ce qui lui permettra d'accomplir cette tâche. Lorsque le processus approuvé exige de soumettre un ticket, d'attendre l'accès et de suivre une formation avant d'utiliser un outil d'IA, les employés trouveront un moyen plus rapide. L'IA fantôme est le symptôme de besoins non satisfaits et le signe que les outils d'IA d'entreprise ne suivent pas le rythme de ce dont les employés ont réellement besoin.

Mettre au jour le fossé en matière d'ergonomie qui alimente le risque lié à l'IA fantôme

La même enquête a révélé que 68 % des dirigeants ressentent une pression pour fournir de meilleurs outils d'IA à leurs équipes, tandis que seulement 57 % des employés ressentent une pression pour utiliser les outils d'IA déjà fournis. Cet écart met en lumière le problème fondamental : les organisations investissent dans des capacités d'IA, mais ces capacités ne parviennent pas aux employés d'une manière adaptée à leurs flux de travail réels.

Une formation supplémentaire n'est pas la solution. Les données de l'enquête montrent que lorsqu'un outil est intuitif et utile, les utilisateurs l'adoptent sans formation approfondie. Lorsqu'il nécessite un effort important pour y accéder ou l'apprendre, ils trouvent des alternatives. Cela crée une dynamique complexe pour les responsables informatiques. Ils sont chargés de la sécurité et de la gouvernance, mais ils ne peuvent pas sécuriser des outils qu'ils ne contrôlent pas. Et ils ne peuvent pas contrôler les outils si les employés ne les utilisent pas.

Concilier facilité d'utilisation et gouvernance dans l'IA fantôme

Pour combler le fossé de l'IA fantôme, il faut travailler simultanément sur la gouvernance et la facilité d'utilisation. Se concentrer sur l'un sans l'autre ne produira que des résultats incomplets.

Du côté de la gouvernance, les organisations ont besoin de politiques claires concernant les outils d'IA approuvés, la manière dont les données doivent être traitées et les types de contenu qui ne doivent jamais être traités par l'IA. Les employés doivent comprendre les risques liés à l'utilisation d'outils non validés, en particulier lorsqu'ils traitent des informations sensibles. Et le service informatique a besoin de visibilité sur les modèles d'utilisation de l'IA pour identifier les lacunes et les risques émergents.

Mais les politiques seules ne suffiront pas à changer les comportements si les outils approuvés ne sont pas aussi faciles à utiliser que les alternatives grand public auxquelles les employés ont déjà recours. En matière d'ergonomie, les responsables informatiques doivent évaluer les outils d'IA de la même manière que les employés. Est-ce que cela m'aide à faire mon travail plus rapidement ? Puis-je y accéder sans passer par des étapes fastidieuses ? Est-ce que cela fonctionne avec les outils que j'utilise déjà ? Si la réponse à l'une de ces questions est non, l'adoption en pâtira, quelle que soit la robustesse des fonctionnalités de sécurité.

Comment créer des outils d'IA que les employés utiliseront réellement

L'approche la plus efficace pour réduire l'IA fantôme consiste à faire en sorte que le choix sécurisé soit le choix le plus simple. Cela signifie intégrer des capacités d'IA directement dans les flux de travail documentaires sur lesquels les équipes s'appuient au quotidien, plutôt que de demander aux employés d'adopter des outils distincts ou de modifier leurs processus établis.

L'approche de Nitro reflète ce principe. Des outils tels que Document Assistant, Table Extract et Smart Redact sont conçus pour résoudre des tâches spécifiques et fréquentes au sein des flux de travail PDF et documentaires que les employés utilisent déjà. Il n'y a pas d'application distincte à utiliser, pas de connexion supplémentaire, ni de courbe d'apprentissage susceptible de freiner l'adoption.

La sécurité et la conformité sont intégrées dès la conception plutôt que d’être ajoutées comme des contraintes limitant la facilité d’utilisation. Les données sont traitées lors de sessions temporaires sans conservation. Tous les outils d’IA sont conformes aux normes SOC 2, ISO 27001 et HIPAA. Et comme ces outils fonctionnent dans un environnement réglementé, le service informatique conserve une visibilité et un contrôle sans créer d’obstacles pour les utilisateurs finaux. Lorsque les employés peuvent accomplir leurs tâches assistées par l’IA à l’aide d’outils approuvés qui fonctionnent aussi bien que les alternatives grand public, l’IA fantôme devient inutile.

La voie à suivre pour une utilisation régulée de l'IA dans les entreprises

L'IA fantôme représente un fossé entre ce dont les employés ont besoin et ce que les organisations fournissent actuellement. Les responsables informatiques qui la traitent uniquement comme un problème de gouvernance continueront à mener les mêmes combats à mesure que de nouveaux outils grand public apparaissent et que les employés continuent à trouver des solutions de contournement.

Ceux qui s'attaqueront au fossé sous-jacent en matière d'ergonomie constateront que l'adoption suivra naturellement. Lorsque les outils approuvés seront véritablement plus faciles à utiliser et plus efficaces que les alternatives, les employés les utiliseront. Les risques de sécurité diminueront, les risques de non-conformité s'amenuiseront et le service informatique retrouvera une visibilité sur la manière dont l'IA est utilisée dans l'ensemble de l'organisation. Les données de l'enquête mettent clairement en évidence les enjeux. Avec deux tiers des cadres et la moitié des employés utilisant déjà des outils non approuvés, c'est maintenant qu'il faut agir pour remédier à l'IA fantôme.

Pour découvrir l'intégralité des conclusions sur l'IA fantôme, l'adoption en entreprise et ce qui distingue les implémentations d'IA réussies des autres, lisez le rapport : «  Enterprise AI: The Reality Behind the Hype  ».