20 % des organisations ont subi une violation liée au shadow AI selon IBM. 97 % d'entre elles n'avaient aucun contrôle d'accès. Comment transformer la crise en pivot doctrinal plutôt qu'en exercice de communication.
Quatre familles d'incidents shadow AI remontent à la direction. La fuite de données via un LLM grand public, comme les trois incidents Samsung d'avril 2023 où des ingénieurs avaient collé du code source confidentiel dans ChatGPT en vingt jours, conduisant à l'interdiction de l'outil. La violation RGPD ou nLPD par traitement automatisé non déclaré, qui mobilise CNIL ou PFPDT. L'erreur opérationnelle issue d'une décision automatisée non supervisée, particulièrement en RH, en relation client ou en pricing. L'incident de confidentialité où un assistant IA contourne les politiques DLP, comme le bug Microsoft 365 Copilot révélé en février 2026 qui résumait des emails confidentiels en dehors du périmètre de protection.
Selon le rapport IBM Cost of a Data Breach 2025, 20 % des organisations interrogées ont subi une violation liée au shadow AI. 97 % d'entre elles n'avaient aucun contrôle d'accès IA en place. Le surcoût moyen documenté d'une violation liée au shadow AI atteint 670 000 dollars, en plus du coût de violation classique.
Source : IBM Cost of a Data Breach Report 2025, Ponemon Institute, 600 organisations, 17 secteurs, 16 pays.
En France, le rapport CNIL 2024-2025 dénombre 6 167 violations de données personnelles recensées en 2024 (+9,5 %) et 5 629 notifications (+20 %). Le bilan CNIL 2025 publié en mai 2026 documente 83 sanctions pour un cumul de 486,8 millions d'euros, deuxième année la plus active après 2023, dont 60 % via procédure simplifiée.
L'article 33 RGPD impose une notification à la CNIL sous 72 heures à compter de la prise de connaissance, sauf risque faible pour les personnes concernées. L'article 34 RGPD ajoute l'obligation d'informer les personnes concernées sans délai en cas de risque élevé. La séquence de décision typique se déroule entre H et H+24. Le DG arbitre la communication interne et externe. Le DSI confine techniquement. Le DPO qualifie la nature RGPD. La direction juridique prépare les notifications réglementaires. Le directeur de la communication tient le message prêt.
En Suisse, l'article 24 nLPD impose la notification au PFPDT "dans les meilleurs délais", sans le seuil 72 heures du RGPD. La différence majeure réside dans le régime de sanction : la nLPD prévoit des sanctions pénales personnelles visant la personne physique responsable, et non l'entreprise. Ce point est régulièrement sous-estimé par les dirigeants suisses.
La CNIL en France n'a pas le pouvoir de sanctionner pénalement les dirigeants, mais elle peut les nommer dans ses décisions, ce qui produit une pression réputationnelle directe. Le PFPDT en Suisse dispose du levier pénal personnel . La responsabilité du DG s'engage sur la faute de gestion en cas d'absence de procédure d'escalade IA documentée. Celle du DSI se joue sur le défaut de cartographie des outils en usage et le défaut de sécurité au sens de l'article 32 RGPD. Si l'incident implique un système IA à haut risque déployé, l'AI Act ajoute l'obligation de coopération avec les autorités de surveillance au titre de l'article 26.
La phase 1 (jours 1 à 7) couvre la qualification de l'incident, la notification réglementaire, la communication interne minimale. La phase 2 (jours 8 à 30) déclenche l'audit éclair des usages IA non documentés : interviews managers, scan des SaaS payés en notes de frais, analyse des logs proxy, classification des cas d'usage à arrêter, à encadrer ou à régulariser. La phase 3 (jours 31 à 90) installe une charte IA et crée un comité IA transverse réunissant juridique, IT, data, conformité et cybersécurité.
Le guide CIGREF-Numeum de mai 2025 cadre cette séquence. L'incident est l'opportunité d'institutionnaliser ce qui était reporté. Une direction qui sort d'un incident sans charte, sans comité, sans inventaire et sans procédure d'escalade n'a pas géré la crise. Elle l'a subie.
Jour 1 : qualification CNIL ou PFPDT, communication COMEX. Jours 2 à 3 : notification réglementaire si requise. Jours 4 à 7 : confinement technique, communication interne factuelle, audit des outils similaires en usage. Jours 8 à 15 : inventaire complet shadow AI, classification des risques, mesures correctives prioritaires. Jours 16 à 30 : rédaction d'une politique d'usage IA, désignation d'un référent unique, programme accéléré de littératie IA pour répondre à l'obligation de l'article 4 AI Act applicable depuis février 2025.
L'étude KPMG-Université de Melbourne (48 000 personnes dans 47 pays, début 2025) documente que 57 % des collaborateurs évitent de signaler leur usage de l'IA au travail. Un audit cité par Koul en 2026 sur une entreprise Fortune 500 a détecté 27 outils IA non autorisés en quatre jours après une interdiction générale. L'interdiction pure produit un effet inverse mesurable.
La doctrine émergente positionne la régulation comme cadre habilitant et non comme surveillance. Outils approuvés, espaces sandbox internes, formation, référent identifié. Le collaborateur sait où aller plutôt qu'où ne pas aller. C'est la condition pour que les usages remontent et soient gouvernés au lieu de se cacher.
VEIA intervient en position de tiers indépendant, distinct de l'auditeur cyber classique et du conseil juridique. Le livrable inclut la note 72 heures à signature DG, la cartographie complète des usages IA non documentés détectés sur 15 jours, la politique d'usage IA diffusable, la procédure d'escalade des incidents, le mandat du comité IA transverse, et le programme de littératie IA accéléré. L'objectif est de transformer l'incident en pivot doctrinal plutôt qu'en exercice de communication de crise.
Voir le format, sa durée, son livrable et ses conditions de mise en œuvre.
Séance de cadrage - identifier le format adapté à votre contexte.
VEIA.AI est le cabinet de conseil stratégique indépendant fondé par Christophe Picou. Spécialisation : gouvernance IA des dirigeants - COMEX, conseils d'administration, dirigeants institutionnels. Aucun partenariat commercial avec un éditeur ou un intégrateur.