Par Tom Janssens · Fondateur, Easy Cyber Protection · Dernière revue 16 juillet 2026 · Comment nous écrivons

Gouvernance de l'IA fantôme pour PME : détecter, décider, garder le contrôle

Rédiger une politique IA est un travail d'une semaine. La garder vraie est la partie difficile : de nouveaux outils IA apparaissent chaque mois, le personnel les adopte sans demander, et la liste approuvée du trimestre dernier cesse discrètement de correspondre à la réalité. Ce guide couvre le volet gouvernance de l'IA fantôme pour les petites et moyennes entreprises (PME) : comment trouver les outils d'intelligence artificielle (IA) déjà utilisés, comment décider du sort de chacun, et comment garder le contrôle sans devenir la police de l'IA. Il se termine par un modèle de politique gratuit et modifiable.

Bureau au crépuscule avec un seul ordinateur portable allumé parmi d'autres éteints, symbole des outils IA non approuvés au travail — Les outils sont déjà dans les murs. La gouvernance décide de la suite.

Pourquoi une politique ne suffit pas

Une enquête KnowBe4 auprès d'organisations néerlandaises (rapport « From Agentic Risk to Human Wins », juin 2026 ; aucun chiffre belge publié) a mesuré l'écart : 50 % n'avaient pas de règles claires sur l'usage de l'IA, 27 % des collaborateurs se tournent vers des outils IA non approuvés quand les outils officiels manquent, et 58 % font déjà tourner des agents IA autonomes. Le chiffre révélateur est le dernier : l'usage de l'IA n'est plus seulement des personnes qui collent du texte dans des chatbots. C'est aussi du logiciel qui agit seul, branché par un collègue enthousiaste.

! La liste d'outils se périme. Les fournisseurs d'IA sortent produits et fonctions chaque mois. Une liste courte approuvée en janvier est incomplète en avril. Sans rythme de revue, la politique décrit un lieu de travail qui n'existe plus.
! Les nouveaux venus n'ont jamais vu la politique. La politique a été présentée une fois, dans une réunion d'équipe vieille de deux ans de rotation du personnel. La gouvernance signifie que la politique fait partie de l'accueil, pas du folklore.
! Les agents survivent à leurs créateurs. Un agent IA connecté à votre boîte mail ou à vos données clients continue de tourner quand le collègue qui l'a configuré change de rôle ou s'en va. Quelqu'un doit en être propriétaire, sinon personne ne l'est.
! La loi présume désormais que vous savez. À partir du 2 août 2026, l'article 50 du règlement européen sur l'intelligence artificielle (EU AI Act) exige des labels sur certains contenus générés par IA et des chatbots qui s'identifient. Impossible de respecter une obligation d'étiquetage pour des outils dont vous ignorez l'existence ; un inventaire à jour est le plancher légal, pas un bonus.

Étape 1 : Trouver ce qui est réellement utilisé

Détecter n'est pas surveiller. L'objectif est une image honnête, et l'honnêteté demande de la sécurité : annoncez que l'inventaire se fait sans reproche, puis combinez ce que les gens vous disent avec ce que vos systèmes savent déjà.

Demandez, anonymement

Un sondage en trois questions donne l'essentiel de l'image : quels outils IA utilises-tu pour le travail, pour quelles tâches, et avec quel type de données ? Anonyme, court, répété deux fois par an. Les gens répondent honnêtement quand la réponse ne peut pas leur nuire.

Suivez l'argent

Vérifiez les relevés de carte et les notes de frais à la recherche d'abonnements IA. Une charge de 20 € par mois est souvent la première preuve tangible d'un outil que personne n'a mentionné.

Utilisez les signaux que l'IT possède déjà

Votre partenaire IT peut lister les domaines IA avec lesquels votre réseau communique (via les logs DNS ou pare-feu) et les extensions de navigateur installées sur les machines gérées. Cela révèle les outils que le sondage a manqués, y compris ceux intégrés dans d'autres logiciels.

Posez la question aux fournisseurs

Vos fournisseurs de logiciels existants ajoutent sans cesse des fonctions IA à des outils déjà approuvés. Demandez à chaque fournisseur clé : lesquelles de vos fonctions envoient nos données vers un modèle IA, et où vont-elles ? L'IA fantôme vous est parfois livrée dans une mise à jour.

Étape 2 : Décider par outil : approuver, remplacer ou bloquer

Pour chaque outil découvert, prenez l'une de trois décisions. Les critères restent les mêmes à chaque fois : la saisie sert-elle à entraîner le modèle de quelqu'un d'autre, où les données sont-elles stockées, pouvez-vous obtenir un compte professionnel avec contrôle administrateur, et le fournisseur signe-t-il un contrat de sous-traitance des données ?

Approuvez les outils qui passent les critères et dont les gens ont manifestement besoin. Exigez des comptes professionnels, désactivez l'entraînement sur vos données là où le réglage existe, et inscrivez l'outil sur la liste approuvée avec un propriétaire interne désigné.
Remplacez les outils populaires qui échouent aux critères par un équivalent approuvé couvrant le même besoin. Une interdiction sans remplacement déplace simplement l'usage vers les téléphones privés. Le besoin est réel ; servez-le avec un outil que vous contrôlez.
Bloquez le petit reste : les outils qui traitent des données interdites sans conditions acceptables ni besoin légitime. Bloquez-les techniquement quand c'est possible, et dites pourquoi. Un blocage expliqué est respecté ; un blocage silencieux est contourné.

Les agents autonomes méritent une règle supplémentaire : traitez chaque agent IA comme une nouvelle recrue. Il reçoit un propriétaire (une personne responsable de ce qu'il fait), un périmètre écrit (quels systèmes il peut toucher, quelles données il peut lire) et une étape de départ (quand son propriétaire part, l'agent est réattribué ou éteint, et ses accès sont révoqués). Un agent sans propriétaire est un compte que personne ne surveille.

Étape 3 : Garder le contrôle avec une boucle trimestrielle

La gouvernance est le plus petit ensemble d'habitudes qui garde l'image à jour. Pour une PME, quatre habitudes suffisent :

Un registre, un responsable

Une page ou un tableur listant chaque outil et agent approuvé : nom, finalité, données autorisées, propriétaire interne, date de revue. Une personne désignée est responsable du registre lui-même. Si votre entreprise utilise déjà une plateforme de conformité, gardez le registre là, à côté des autres preuves.

Une revue trimestrielle

Quinze minutes, quatre questions : de nouveaux outils repérés depuis le trimestre dernier ? Des outils approuvés qui ne servent plus (retirez-les, fermez les comptes) ? Des conditions fournisseur modifiées ? Des agents sans propriétaire actuel ? Placez-la dans le même créneau que votre revue des correctifs ou des accès.

Accueil et départ

Les nouveaux collaborateurs reçoivent la politique IA avec leur ordinateur portable, pas par osmose. Les départs déclenchent une vérification : possédaient-ils des outils ou agents du registre ? Réattribuez avant de désactiver leurs comptes.

Une voie de signalement sans reproche

Décidez aujourd'hui à qui le personnel doit signaler quand des données finissent dans le mauvais outil, et promettez qu'aucun signalement ne sera puni. Vous ne pouvez limiter que les dégâts dont vous entendez parler, et vous en entendez parler vite seulement si signaler est sûr.

Le modèle de politique gratuit

Le téléchargement ci-dessous est une politique d'usage de l'IA complète et modifiable en texte brut (Markdown) : ouvrez-la dans Word, votre outil de politiques ou n'importe quel éditeur, remplacez les espaces réservés entre crochets par vos propres noms et outils, et vous avez une politique d'une page utilisable, plus le registre des outils IA et les règles pour agents de ce guide. Pas de mur d'email ; libre d'usage et d'adaptation.

La politique d'une page : outils approuvés, catégories de données interdites, obligation d'étiquetage, personne de contact
Le registre des outils IA et agents en tableau à remplir (outil, finalité, données autorisées, propriétaire, date de revue)
Les règles pour agents : propriétaire, périmètre, départ
La check-list de la revue trimestrielle, prête à coller dans une invitation d'agenda récurrente

Télécharger le modèle de politique (gratuit, Markdown)

Aussi disponible en anglais et en néerlandais ; changez de langue sur cette page pour télécharger cette version.

L'angle MSP

Pour les fournisseurs de services managés (MSP), la gouvernance de l'IA fantôme est un travail récurrent, ce qui en fait un meilleur service qu'une livraison de politique ponctuelle : les signaux de détection (DNS, extensions, abonnements) proviennent de systèmes que vous gérez déjà, la revue trimestrielle s'insère dans le rythme que vous tenez déjà pour les correctifs et les accès, et le registre trouve naturellement sa place à côté des preuves de conformité que vous conservez déjà. Livrez le modèle comme artefact de départ et la boucle trimestrielle comme le service.

FAQ

Quelle différence avec une politique d'usage acceptable de l'IA ?

La politique est le document ; la gouvernance est ce qui la garde vraie. Notre guide sur l'usage acceptable de l'IA détaille la rédaction de la politique d'une page en cinq étapes. Ce guide couvre ce qui l'entoure : trouver les outils, décider par outil, donner un propriétaire aux agents, et la revue trimestrielle qui empêche la politique de se périmer. Le modèle ci-dessous contient à la fois la page de politique et les éléments de gouvernance.

Ne peut-on pas simplement bloquer les outils IA au pare-feu ?

Le blocage a sa place, mais comme dernière étape, pas comme stratégie. Le personnel utilise les outils IA parce qu'ils font vraiment gagner du temps ; bloquez tout et l'usage migre vers les appareils privés où vous n'avez aucune visibilité. Approuvez ou remplacez d'abord, bloquez le reste, et dites toujours pourquoi un outil est bloqué.

Les fonctions IA de nos logiciels existants comptent-elles comme IA fantôme ?

Oui, et ce sont les plus faciles à manquer. Une mise à jour fournisseur peut ajouter un assistant IA qui envoie vos données vers un modèle sans que personne dans votre entreprise l'ait choisi. Demandez à vos fournisseurs clés quelles fonctions envoient des données vers des modèles IA et où elles vont, et consignez les réponses dans le même registre.

Quel est le minimum pour une entreprise de 10 personnes ?

Le modèle rempli une fois, un responsable désigné, et la revue trimestrielle de quinze minutes. C'est réellement suffisant à cette taille : l'enjeu n'est pas le volume de paperasse, c'est que quelqu'un puisse répondre à tout moment à « quels outils IA utilisons-nous, avec quelles données ? », y compris le 2 août 2026 quand les obligations d'étiquetage de l'EU AI Act s'appliqueront.