Plus de la moitié des collaborateurs des entreprises suisses utilisent des outils d'IA de leur propre initiative, souvent en contournant l'IT. Ce qui ressemble à un gain de productivité pousse des données sensibles dans des canaux incontrôlés. Pour la direction, c'est un risque.
L’IA fantôme, c’est l’utilisation d’outils d’IA par les collaborateurs sans que la direction le sache ou ait posé des règles du jeu. Exemples : ChatGPT pour le courriel client, un traducteur libre pour le projet de contrat, un carnet de notes IA pour la séance de stratégie, le tout sur des comptes privés. Comme le relève la revue spécialisée PME Organisator dans une édition récente, cette pratique se répand plus vite que les entreprises ne peuvent la piloter. La plateforme spécialisée ICT Netzwoche a récemment chiffré l’ampleur. Plus de 57 % des collaborateurs utilisent des comptes privés à des fins professionnelles. Environ un tiers téléverse des données sensibles dans des outils non autorisés. La même analyse a paru en parallèle sur la publication spécialisée SwissCybersecurity, qui parle de la plus grande migration incontrôlée d’informations sensibles dans l’économie suisse.
Premièrement, la protection des données. Qui saisit des données personnelles ou des informations commerciales confidentielles dans un outil d’IA non autorisé risque une infraction à la loi sur la protection des données révisée. Des amendes jusqu’à 250 000 francs par responsable sont possibles. Deuxièmement, le secret d’affaires. Les saisies dans des modèles publics peuvent atterrir dans les données d’entraînement, surtout dans les versions gratuites. Logique de pricing, noms de clients ou esquisses de M&A n’y sont plus forcément les vôtres. Troisièmement, la cybersécurité. Comme le relève le portail juridique Law.ch dans un article récent, les cyberattaques contre les PME suisses montent en flèche, tandis que la vigilance baisse. L’IA fantôme agrandit encore la surface d’attaque, parce qu’elle hisse les schémas de phishing et de CEO fraud à un nouveau niveau de qualité.
La première réaction de nombreuses directions est l’interdiction. Cela ne fonctionne pas. Une interdiction déplace l’usage dans des canaux encore plus sombres et coûte la visibilité dont vous avez besoin pour piloter. Trois éléments sont plus efficaces. Une directive IA écrite d’une page, qui règle clairement quels outils sont autorisés, quelles données n’y ont jamais leur place et à qui s’adresser en cas de doute. Une licence d’entreprise payante pour un outil autorisé, afin que les collaborateurs aient une alternative sérieuse à portée de main. Et des formations régulières qui transforment une directive PDF en un véritable changement de comportement. Une analyse d’Organisator sur les tendances IA 2026 le résume : les introductions d’IA réussies se distinguent du peloton moins par la technologie que par des règles du jeu claires et une gouvernance visible.
Premièrement : un état des lieux lors de la prochaine séance de direction. Quels outils d’IA l’équipe utilise-t-elle actuellement, avec quelles données ? Les réponses honnêtes comptent, pas un climat d’audit. Deuxièmement : une liste de risques d’une page. Quels types de données ne doivent jamais aller dans un outil d’IA public, lesquels seulement dans une solution autorisée, lesquels sont non critiques. Troisièmement : une licence payante pour les 90 prochains jours. Mieux vaut un outil bien qu’en trois à moitié. Qui hésite ici continue de financer la variante fantôme sans le savoir. Quatrièmement : une formation de 60 minutes par trimestre. Pas un marathon PowerPoint, mais un exemple en direct par fonction : ce qui passe, ce qui ne passe pas, et pourquoi.
Sources
Articles complémentaires