Shadow AI.

Utilisation par les employés d'outils, modèles ou services d'IA sans la connaissance ni l'approbation des fonctions sécurité, vie privée ou gouvernance de l'organisation. Cette notion relève de la catégorie Sécurité de l'IA et du ML en cybersécurité.

Utilisation par les employés d'outils, modèles ou services d'IA sans la connaissance ni l'approbation des fonctions sécurité, vie privée ou gouvernance de l'organisation.

Le Shadow AI est l'héritier du Shadow IT à l'ère de l'IA. Les employés collent du code source, des contrats, des données clients ou des documents stratégiques dans des chatbots grand public, installent des copilotes de navigateur ou extensions IDE non approuvés, ou fine-tunent des modèles locaux sur des données confidentielles. Les risques : exfiltration, perte de propriété intellectuelle, non-conformité (RGPD, HIPAA), injection de prompt via des outils non managés, et sorties non contrôlées de modèles qui irriguent des décisions opérationnelles. La parade combine inventaire et politique IA, alternatives sanctionnées (GenAI d'entreprise avec DLP et audit), contrôles de sortie et CASB, flux en navigateur isolé et formation. Les programmes s'alignent souvent sur le NIST AI RMF et l'ISO/IEC 42001 pour intégrer le Shadow AI à la gouvernance globale.

Les défenses contre Shadow AI combinent habituellement des contrôles techniques et des pratiques opérationnelles, comme détaillé dans la définition ci-dessus.

Noms alternatifs courants : IA non sanctionnée, BYOAI.