Gouvernance IA · Suisse
Shadow AI, LPD et AI Act : le guide des entreprises suisses
Mis à jour le 21 juillet 2026 · 18 min de lecture
L’intelligence artificielle entre rarement dans une entreprise par une seule porte. Un collaborateur utilise un chatbot personnel pour résumer un contrat. Une équipe commerciale installe une extension capable d’analyser ses appels. Un développeur transmet un extrait de code à un assistant. Un manager génère une synthèse à partir d’un document contenant des informations sur ses employés.
Pris séparément, chacun de ces usages peut sembler anodin. Ensemble, ils créent un environnement que l’entreprise ne sait plus totalement inventorier, sécuriser ni documenter : le Shadow AI, prolongement du Shadow IT à l’ère des modèles génératifs et des agents autonomes.
Pour une organisation suisse, le problème ne se limite pas à la cybersécurité. Dès qu’un outil d’IA traite des données personnelles, la Loi fédérale sur la protection des données peut s’appliquer. L’AI Act européen ajoute une autre dimension selon le système utilisé, le rôle de l’organisation et son rattachement au marché européen.
Ce guide explique comment distinguer Shadow IT et Shadow AI, articuler correctement LPD suisse et AI Act européen, évaluer les usages les plus risqués et construire un dispositif de gouvernance qui protège les données sans bloquer les gains de productivité recherchés par les équipes.
L’objectif n’est pas de promettre une conformité automatique. Il est de répondre à quatre questions essentielles : quels outils sont utilisés, quelles données leur sont confiées, quelles obligations peuvent s’appliquer et quelles preuves l’entreprise est-elle capable de produire ?
Ce contenu est informatif et ne constitue pas un avis juridique. Toute situation concrète doit être analysée avec un conseil qualifié.
En bref : ce que les dirigeants doivent retenir
- Le Shadow AI n’est pas une catégorie juridique autonome.
- Un usage non approuvé peut néanmoins entraîner des traitements de données soumis à la LPD.
- L’AI Act s’applique selon le rôle de l’organisation, le système concerné, l’usage et son rattachement au marché européen.
- Bloquer tous les outils ne résout pas nécessairement le besoin métier.
- La première étape consiste à inventorier les usages, les données, les fournisseurs et les décisions concernées.
- TrustAI ne doit pas être présenté comme une « conformité automatique ».
Qu’est-ce que le Shadow AI ?
| Dimension | Shadow IT | Shadow AI |
|---|---|---|
| Objet | Logiciel ou service non approuvé | Modèle, assistant ou fonction IA non approuvé |
| Données | Stockage et traitement | Prompts, fichiers, contexte, sorties et inférences |
| Risque supplémentaire | Fragmentation du SI | Réponses erronées, décisions opaques, réutilisation incontrôlée |
| Exemples | SaaS personnel, stockage cloud | Chatbot public, extension IA, agent autonome |
Définition du Shadow AI
Le Shadow AI désigne l’utilisation d’applications, de modèles, d’extensions, d’API ou d’agents d’intelligence artificielle sans visibilité, validation ou gouvernance suffisante de l’organisation. L’outil peut être public, intégré à une suite bureautique, installé localement ou accessible via un compte personnel.
Quelle différence entre Shadow IT et Shadow AI ?
Le Shadow IT porte d’abord sur des logiciels ou services non approuvés. Le Shadow AI ajoute une dimension propre aux modèles génératifs : les prompts, le contexte fourni, les sorties produites et les décisions qui s’en inspirent peuvent créer des risques distincts de simple fragmentation du système d’information.
Exemples d’usages concernés
- résumer un contrat dans un compte personnel ;
- analyser un fichier client dans un assistant public ;
- générer du code à partir d’un extrait de dépôt interne ;
- rédiger une évaluation RH nominative ;
- utiliser une extension de navigateur ayant accès aux pages consultées ;
- connecter un agent à une messagerie ou à un CRM sans validation.
DONNÉE À VÉRIFIER – SOURCE REQUISE : fréquence et impact réels de ces usages chez un client donné.
Pourquoi le Shadow AI apparaît-il ?
Des besoins métiers non couverts
Les collaborateurs adoptent souvent l’IA pour réduire une friction immédiate : rédiger, synthétiser, rechercher ou automatiser une tâche répétitive. Lorsque l’offre interne ne couvre pas ce besoin, l’usage personnel comble le vide.
Des procédures d’approbation trop lentes
Une gouvernance fondée uniquement sur l’interdiction ou sur des délais d’homologation trop longs favorise les contournements. Les équipes privilégient alors la vitesse au détriment de la traçabilité.
Une offre officielle jugée insuffisante
Accès restreint, ergonomie limitée, absence d’intégrations ou manque de formation peuvent rendre la solution approuvée moins attractive que l’outil public.
Une frontière devenue invisible
Des fonctions d’IA sont désormais intégrées aux navigateurs, suites bureautiques, CRM et outils SaaS. L’employé n’a pas toujours conscience d’utiliser un modèle génératif ou un agent.
Quels risques le Shadow AI crée-t-il ?
Divulgation de données personnelles
- données clients et prospects ;
- données d’employés ;
- données sensibles ;
- métadonnées ;
- pièces jointes et historiques de conversation.
Divulgation d’informations confidentielles
- contrats ;
- code source ;
- stratégies ;
- secrets d’affaires ;
- informations financières non publiques.
Absence de traçabilité
Question centrale : l’entreprise peut-elle déterminer qui a utilisé quel outil, avec quelles données, pour produire quelle sortie ?
Décisions fondées sur des réponses non vérifiées
Le risque augmente lorsque la sortie influence un recrutement, une relation client, une décision financière ou une communication publique sans contrôle humain documenté.
Multiplication des fournisseurs et des transferts
- le fournisseur ;
- les sous-traitants ;
- les lieux de traitement ;
- les durées de conservation ;
- l’utilisation éventuelle des données pour améliorer un service.
DONNÉE À VÉRIFIER – SOURCE REQUISE : conditions exactes de chaque fournisseur au moment de la publication.
Shadow AI et LPD suisse : quelles obligations ?
Le préposé fédéral à la protection des données et à la transparence rappelle que la LPD s’applique aux traitements de données recourant à l’intelligence artificielle. En cas de risque élevé, une analyse d’impact peut être requise.
La LPD s’applique-t-elle aux outils d’IA étrangers ?
La question déterminante n’est pas seulement la nationalité du fournisseur, mais le traitement de données personnelles et le rôle de l’entreprise suisse en tant que responsable ou sous-traitant du traitement.
Quels principes de la LPD sont concernés ?
- licéité ;
- bonne foi ;
- transparence ;
- proportionnalité ;
- finalité ;
- exactitude ;
- sécurité ;
- protection des données dès la conception et par défaut.
Quand une analyse d’impact est-elle nécessaire ?
Il ne faut pas affirmer qu’un usage précis exige automatiquement une analyse d’impact sans examen juridique du cas concret.
- Des données personnelles sont-elles traitées ?
- Le traitement est-il susceptible d’entraîner un risque élevé ?
- Des données sensibles, du profilage ou des décisions importantes sont-ils concernés ?
- Les risques peuvent-ils être réduits par des mesures documentées ?
- Une consultation spécialisée est-elle nécessaire ?
Que faut-il documenter ?
- finalité ;
- catégories de données ;
- utilisateurs ;
- fournisseur ;
- destinataires ;
- transferts ;
- conservation ;
- mesures de sécurité ;
- risques ;
- décisions et validations.
Surveillance des usages et données des employés
En Suisse, le traitement des données d’employés doit notamment respecter la proportionnalité, la transparence et les règles du droit du travail. Une surveillance des usages IA ne peut pas être improvisée : l’information préalable des personnes concernées et la finalité du contrôle doivent être claires.
Shadow AI et AI Act : quel lien réel ?
Le Shadow AI est-il interdit par l’AI Act ?
Non : le terme « Shadow AI » ne désigne pas en lui-même une pratique automatiquement interdite. En revanche, un usage non inventorié peut empêcher l’entreprise de savoir quelles obligations s’appliquent ou de démontrer qu’elles sont respectées.
Une entreprise suisse peut-elle être concernée ?
- présence ou activité dans l’Union européenne ;
- mise sur le marché d’un système dans l’UE ;
- déploiement d’un système concerné ;
- sortie du système utilisée dans l’UE ;
- rôle de fournisseur, déployeur, importateur ou distributeur.
DONNÉE À VÉRIFIER – SOURCE REQUISE : conclusion pour une entreprise précise après analyse juridique.
Quel est le calendrier applicable en 2026 ?
Dernière vérification éditoriale : 21 juillet 2026. Le calendrier évoluant avec les actes d’application, cette section doit être révisée avant chaque mise à jour importante.
- entrée en vigueur le 1er août 2024 ;
- application des interdictions et de l’obligation de maîtrise de l’IA depuis le 2 février 2025 ;
- obligations visant les modèles d’IA à usage général applicables depuis le 2 août 2025 ;
- plusieurs obligations supplémentaires applicables à partir du 2 août 2026 ;
- calendriers spécifiques ou prolongés pour certaines catégories de systèmes à haut risque.
Quelles obligations peuvent être rendues impossibles par le Shadow AI ?
- inventaire des systèmes ;
- identification du rôle de l’organisation ;
- classification du risque ;
- documentation ;
- maîtrise de l’IA ;
- transparence ;
- supervision humaine ;
- conservation de preuves ;
- gestion des incidents.
LPD et AI Act : ne pas confondre les deux cadres
La LPD protège avant tout les données personnelles. L’AI Act encadre la mise sur le marché et l’utilisation de systèmes d’IA. Un même usage peut relever des deux cadres, sans qu’ils soient interchangeables.
| Question | LPD suisse | AI Act européen |
|---|---|---|
| Objet principal | Protection des données personnelles | Mise sur le marché et utilisation de systèmes d’IA |
| Déclencheur | Traitement de données personnelles | Système, rôle, risque et rattachement territorial |
| Acteurs | Responsable et sous-traitant | Fournisseur, déployeur, importateur, distributeur |
| Contrôles | Finalité, proportionnalité, sécurité, transparence | Classification, documentation, supervision, transparence |
| Shadow AI | Flux de données non maîtrisés | Systèmes ou usages non inventoriés |
Un même usage peut relever de la LPD, de l’AI Act, du droit du travail, de la cybersécurité et des engagements contractuels.
Comment évaluer votre exposition au Shadow AI
Étape 1 : inventorier les outils
Inclure les applications, fonctions intégrées, API, extensions, modèles locaux et agents.
Étape 2 : inventorier les cas d’usage
Ne pas se limiter au nom de l’outil. Documenter la tâche réellement effectuée.
Étape 3 : cartographier les données
Classer les informations selon leur sensibilité et leur finalité.
Étape 4 : identifier les décisions influencées
Repérer les sorties pouvant affecter des employés, clients, candidats ou partenaires.
Étape 5 : attribuer un propriétaire
Chaque cas d’usage doit avoir un responsable métier et un référent de contrôle.
Étape 6 : classer et prioriser
Ce classement interne ne remplace pas la classification juridique de l’AI Act.
- autorisé ;
- autorisé sous conditions ;
- interdit ou suspendu.
Plan d’action pour reprendre le contrôle sans bloquer l’innovation
Publier une règle provisoire immédiatement
Définir ce qui ne doit jamais être envoyé dans un outil public : données personnelles, secrets, accès et informations stratégiques.
Fournir un point d’entrée approuvé
Sans alternative simple, l’interdiction renforce le Shadow AI. Un workspace contrôlé réduit la friction tout en maintenant un cadre.
Masquer ou bloquer les données sensibles
Avant le transit vers un modèle, les informations sensibles peuvent être détectées, masquées ou bloquées. Aucun système ne remplace le jugement humain et les politiques métier.
Tenir un registre des usages IA
- outil ;
- propriétaire ;
- finalité ;
- données ;
- fournisseur ;
- risque ;
- validation ;
- date de révision.
Former les équipes par métier
La formation adaptée au métier relie les obligations de maîtrise de l’IA aux situations concrètes des équipes.
Mettre en place des journaux et des preuves proportionnés
Les preuves doivent permettre de retracer les décisions et incidents sans transformer l’outil en surveillance abusive.
Réévaluer les outils et contrats
Contrôler périodiquement conditions, intégrations, sous-traitants et fonctionnalités nouvelles.
Comment TrustAI peut soutenir cette démarche
Diagnostic Shadow AI
TrustAI propose une évaluation indicative de l’exposition aux usages IA non cadré, pour identifier les zones de risque et prioriser les actions.
Point d’entrée IA approuvé
Le workspace TrustAI vise à offrir un espace de travail IA sous gouvernance, afin de réduire le recours aux comptes personnels pour les tâches professionnelles.
Fonctionnalités décrites selon la documentation produit publique ; détail exact selon forfait et configuration.
Masquage et minimisation
Le Vault TrustAI est conçu pour détecter et masquer certaines données sensibles avant transit vers un modèle, dans une logique de minimisation.
Fonctionnalités décrites selon la documentation produit publique ; détail exact selon forfait et configuration.
Politiques, budgets, journaux et preuves
Selon le forfait, TrustAI met en avant des politiques d’usage, des budgets, des logs et des éléments de preuve pour documenter l’activité.
Fonctionnalités décrites selon la documentation produit publique ; détail exact selon forfait et configuration.
Ce que TrustAI ne remplace pas
TrustAI n’est pas un cabinet juridique et ne délivre ni avis juridique personnalisé ni certification de conformité. L’analyse contractuelle, le droit du travail et les décisions de gouvernance restent de la responsabilité de l’entreprise et de ses conseillers.
Checklist Shadow AI, LPD et AI Act
Local checklist only — no data is stored on the server.
Questions fréquentes
Qu’est-ce que le Shadow AI ?
Le Shadow AI désigne l’usage d’outils ou de fonctions d’intelligence artificielle sans approbation, visibilité ou gouvernance suffisante de l’organisation. Il prolonge le Shadow IT à l’ère des modèles génératifs et des agents. Le risque porte autant sur les données confiées au modèle que sur les décisions prises à partir de ses sorties.
Quelle est la différence entre Shadow IT et Shadow AI ?
Le Shadow IT concerne surtout des logiciels ou services non approuvés. Le Shadow AI ajoute les prompts, le contexte, les sorties et les inférences d’un modèle. Un chatbot public peut créer des risques de confidentialité, d’erreur et d’absence de preuve même s’il ne ressemble pas à un « logiciel métier » classique.
La LPD suisse s’applique-t-elle à ChatGPT et aux autres outils d’IA ?
Dès qu’un outil d’IA traite des données personnelles pour le compte d’une entreprise suisse, la LPD peut s’appliquer indépendamment de la nationalité du fournisseur. L’analyse porte sur le rôle de l’entreprise, la finalité, la proportionnalité, la sécurité et la documentation du traitement.
Le Shadow AI est-il interdit par l’AI Act ?
Non. L’AI Act n’interdit pas le terme « Shadow AI ». En revanche, un usage non inventorié peut empêcher l’organisation d’identifier son rôle, de classer un système ou de démontrer le respect d’obligations de documentation, de transparence ou de supervision humaine.
L’AI Act peut-il concerner une entreprise suisse ?
Oui, selon l’activité, le marché et le rôle. Une entreprise suisse peut être concernée si elle met un système sur le marché de l’UE, le déploie, ou si ses sorties sont utilisées dans l’Union. Chaque cas doit être examiné juridiquement.
Une entreprise peut-elle surveiller les usages IA de ses employés ?
Une surveillance est possible uniquement dans un cadre proportionné, transparent et conforme au droit du travail et à la protection des données. Les finalités, la durée et les modalités doivent être clarifiées. Une surveillance opaque ou excessive crée elle-même un risque juridique.
Faut-il interdire tous les outils d’IA publics ?
Pas nécessairement. L’interdiction pure peut renforcer le contournement si aucun point d’entrée approuvé n’existe. Une approche plus durable combine règles claires, alternative contrôlée, masquage des données sensibles, formation et preuves proportionnées.
Par où commencer pour réduire le Shadow AI ?
Commencez par inventorier outils et cas d’usage, cartographier les données, identifier les décisions influencées, publier une règle provisoire et fournir un espace approuvé. Ensuite, priorisez les usages à risque élevé et documentez les validations.
Ressources officielles et méthode de mise à jour
Cette page doit être révisée lorsque la LPD, l’AI Act, les lignes directrices du PFPDT ou les actes d’application européens évoluent. Date de dernière vérification éditoriale : 21 juillet 2026.
Pour aller plus loin
Vous ignorez encore quels outils IA sont réellement utilisés dans votre organisation ?
Commencez par le diagnostic Shadow AI de TrustAI afin d’identifier vos principales zones d’exposition et les actions à traiter en priorité.
Évaluer mon exposition au Shadow AIÉvaluation indicative. Elle ne constitue ni un avis juridique ni une certification de conformité.