À retenir
Pour le binôme RSSI et DPO, le Shadow AI soulève deux risques immédiats : la transmission de données personnelles vers des outils dépourvus d’accord de sous-traitance RGPD (article 28) et l’utilisation non encadrée de l’IA au regard de l’article 4 de l’AI Act. La réponse tient dans un registre partagé, le masquage des prompts à la source et des preuves de formation.
2. Relier chaque risque de Shadow AI aux textes RGPD et AI Act applicables
Pour la majorité des usages bureautiques et métiers (synthèse, rédaction, traduction, aide au code), votre entreprise agit en qualité de déployeur d’IA à usage général et non de fournisseur d’IA à haut risque. Concentrez vos efforts sur les articles directement opposables à vos usages internes.
| Texte et article | Écart créé par le Shadow AI | Contrôle conjoint RSSI + DPO |
|---|---|---|
| RGPD art. 5(1)(c) - Minimisation | Copie intégrale de dossiers clients ou RH alors qu’un texte pseudonymisé suffirait | Masquage automatique des données personnelles dans le brouillon et exemples fictifs |
| RGPD art. 28 et Chapitre V - Sous-traitants et transferts | Comptes IA gratuits sans DPA entreprise, liste de sous-traitants ni garanties de transfert | Restriction aux tenants professionnels sous contrat ; détection des comptes personnels |
| RGPD art. 32 et 33 - Sécurité et violations | Envoi de secrets, données sensibles ou fichiers vers des services non audités | Blocage des prompts/fichiers sensibles et journalisation limitée aux métadonnées |
| RGPD art. 35 - AIPD et vie privée au travail | Outils de surveillance capturant tous les prompts bruts ou la navigation privée | Contrôles proportionnés enregistrant classifications et empreintes, jamais les prompts bruts |
| AI Act art. 4 - Maîtrise de l’IA (depuis fév. 2025) | Équipes utilisant l’IA sans formation aux hallucinations, biais et limites de confidentialité | Onboarding dédié, micro-formations par métier et validation versionnée de la charte IA |
| AI Act art. 5 et Annexe III - Usages interdits ou à haut risque | Adoption sauvage d’outils d’analyse d’émotions ou de tri automatisé de candidatures RH | Validation préalable obligatoire DPO + RSSI pour tout outil RH, biométrique ou agentique |
Références : EUR-Lex - Règlement (UE) 2024/1689 (AI Act, articles 4, 5 et 26) · EUR-Lex - Règlement (UE) 2016/679 (RGPD, articles 5, 28, 30, 32 et 35) · CNIL - Les fiches pratiques IA et protection des données · Commission européenne - Pacte pour l’IA et pratiques de maîtrise de l’IA (article 4)
3. Vérifier le DPA, l’absence d’entraînement et le compte réellement utilisé
N’approuvez jamais un éditeur IA uniquement sur son nom commercial : l’offre grand public et l’offre Entreprise d’un même fournisseur obéissent à des régimes RGPD opposés. Avant d’autoriser des données internes, validez quatre critères avec le DPO : signature d’un DPA conforme à l’article 28, exclusion contractuelle et technique de l’entraînement sur vos données, durée de rétention maîtrisée et garanties d’hébergement ou de transfert.
Assurez-vous ensuite que les équipes utilisent effectivement ce tenant professionnel. La détection locale du contexte de compte dans le navigateur évite le piège classique où l’entreprise finance des licences professionnelles pendant qu’une partie des salariés continue d’utiliser un compte personnel dans un autre onglet.
Références : EUR-Lex - Règlement (UE) 2016/679 (RGPD, articles 5, 28, 30, 32 et 35) · CNIL - Les fiches pratiques IA et protection des données
4. Protéger les prompts dans le respect de la vie privée des salariés
La CNIL et ses homologues européens encadrent strictement la surveillance des postes de travail au titre des articles 5, 13 et 35 du RGPD. Enregistrer l’intégralité des prompts saisis ou l’historique complet de navigation crée à la fois un risque juridique disproportionné et une base de données sensible supplémentaire à défendre.
Appliquez le principe de protection des données dès la conception : ciblez uniquement les interactions IA définies, masquez les identifiants directement dans le brouillon avant envoi, et ne conservez dans vos journaux que la catégorie déclenchée, l’horodatage et l’empreinte cryptographique. Informez individuellement les salariés et consultez le CSE conformément au Code du travail.
Références : EUR-Lex - Règlement (UE) 2016/679 (RGPD, articles 5, 28, 30, 32 et 35) · CNIL - Les fiches pratiques IA et protection des données · Documentation Elba - Capacités de l’extension navigateur et minimisation des données
5. Documenter concrètement l’article 4 de l’AI Act (maîtrise de l’IA)
Applicable depuis le 2 février 2025, l’article 4 de l’AI Act concerne tous les déployeurs et demande des actions proportionnées aux fonctions et connaissances des équipes. Constituez un dossier simple et opposable en réunissant trois preuves : une charte IA concise avec prise de connaissance versionnée, des modules courts adaptés aux profils (développeurs, fonctions support, RH, commerce) et des rappels contextuels lors d’un usage à risque.
Références : EUR-Lex - Règlement (UE) 2024/1689 (AI Act, articles 4, 5 et 26) · Documentation Elba - Formation et validation de documents PDF
Comment Elba accompagne les RSSI et DPO européens
Elba est conçu selon une architecture respectueuse de la minimisation des données : les bases de données européennes sont hébergées sur OVHcloud (et sur Neon en région US East pour les clients américains), et la classification IA s’exécute sur OVHcloud AI Endpoints à Gravelines (France), sans aucun entraînement de modèle sur les données clients et sans stockage des prompts bruts ni du contenu des fichiers (seuls les classifications, empreintes SHA-256 et métadonnées nécessaires sont conservés).
Sur Chrome, Edge, Firefox 128+ et Safari 26+, Elba recense les outils de Shadow AI, distingue localement les comptes professionnels, personnels ou déconnectés, bloque les domaines ou envois sensibles et masque dans le brouillon les données personnelles, données de santé, secrets, données financières et termes confidentiels sur ChatGPT, Claude, Gemini et Copilot. En complément, le module Formation délivre des formations IA multilingues, des micro-rappels contextuels (plafonnés à un par collaborateur tous les sept jours) et le recueil horodaté de votre charte IA en PDF.
Références : Documentation Elba - Capacités de l’extension navigateur et minimisation des données · Documentation Elba - Formation et validation de documents PDF · Documentation Elba - FAQ sécurité et confidentialité
Checklist conjointe RSSI & DPO (Shadow AI, RGPD et AI Act)
Vos cases cochées restent sur cette page et sont réinitialisées à son rechargement.
Questions fréquentes
Utiliser ChatGPT, Claude ou Copilot fait-il de notre entreprise un fournisseur d’IA à haut risque ?
Non pour des usages courants d’assistance à la rédaction, de synthèse ou de développement : l’entreprise agit comme déployeur d’IA à usage général. Elle reste néanmoins soumise depuis le 2 février 2025 à l’article 4 sur la maîtrise de l’IA, aux interdictions de l’article 5, et aux obligations propres aux déployeurs à haut risque si elle utilise l’IA pour le tri de candidatures RH ou l’évaluation des salariés (Annexe III).
Coller des données clients dans un chatbot grand public constitue-t-il une violation du RGPD ?
Transmettre des données personnelles identifiables à un éditeur tiers sans contrat de sous-traitance conforme à l’article 28 ni base légale constitue une divulgation non autorisée que le DPO doit analyser au titre des articles 32 et 33 du RGPD selon la sensibilité des données et les paramètres de conservation du service.
Faut-il mener une AIPD (article 35) avant d’activer un contrôle navigateur sur l’IA ?
Évaluer la proportionnalité du dispositif avec votre DPO (sous forme d’AIPD ou d’analyse documentée) est fortement recommandé. Choisir une solution qui cible uniquement les outils IA définis, masque les données dans le brouillon et ne stocke aucun prompt brut facilite directement cette validation.
Où Elba traite-t-elle la classification des prompts pour ses clients européens ?
Pour la région UE, Elba héberge ses bases principales sur OVHcloud et exécute ses classifications IA via OVHcloud AI Endpoints à Gravelines (France), sans entraînement sur les données clients et sans conservation du texte brut des prompts.
Sources et documentation
Documentation de référence utilisée pour ce guide. Les paramètres et les éditions disponibles évoluent : consultez les sources avant de modifier vos réglages.
- EUR-Lex - Règlement (UE) 2024/1689 (AI Act, articles 4, 5 et 26)
- EUR-Lex - Règlement (UE) 2016/679 (RGPD, articles 5, 28, 30, 32 et 35)
- CNIL - Les fiches pratiques IA et protection des données
- Commission européenne - Pacte pour l’IA et pratiques de maîtrise de l’IA (article 4)
- Documentation Elba - Capacités de l’extension navigateur et minimisation des données
- Documentation Elba - Formation et validation de documents PDF
- Documentation Elba - FAQ sécurité et confidentialité