Shadow IT et IA générative en entreprise : encadrer l’usage de ChatGPT, Copilot et Gemini par les salariés

La réponse courte : vos salariés utilisent déjà l’IA générative, que vous l’ayez autorisée ou non. Le risque n’est pas l’outil lui-même, c’est l’usage invisible : un contrat collé dans un chatbot gratuit, un fichier clients résumé avec un compte personnel, une extension de navigateur qui lit toutes les pages. Pour encadrer cela, quatre leviers dans cet ordre : fournir un outil validé sous contrat professionnel, écrire des règles simples sur les données interdites, découvrir puis bloquer les outils non validés, et former les équipes. Interdire sans proposer d’alternative ne fait que déplacer l’usage vers les téléphones personnels.

Chez ALLSAFE SOLUTIONS, nous accompagnons des PME à Casablanca et partout au Maroc sur ces questions, dans le cadre de notre offre de cybersécurité des entreprises au Maroc. Ce guide s’appuie sur des sources officielles : la CNDP, les recommandations de l’ANSSI française sur l’IA générative, et la documentation de Microsoft, Google et OpenAI. Nous n’avançons aucune statistique d’usage : les études disponibles divergent trop pour être citées sérieusement.

Shadow IT, shadow IA : de quoi parle-t-on ?

Le shadow IT regroupe tout ce que les salariés utilisent pour travailler sans validation du service informatique : un Dropbox personnel pour envoyer un dossier trop lourd, WeTransfer, une messagerie privée pour échanger avec un fournisseur, une application de prise de notes, une extension de navigateur « pratique ». Ce n’est presque jamais de la malveillance : c’est un salarié qui cherche à aller plus vite parce que l’outil officiel ne répond pas à son besoin.

Le shadow IA en est la forme la plus récente et la plus délicate. Un outil d’IA générative ne se contente pas de stocker un fichier : on lui donne le contenu même du travail, pour qu’il le résume, le traduise, le corrige ou l’analyse. Un tableau Excel de relances clients, un projet de contrat, un compte rendu de réunion de direction, un extrait de code : tout cela peut partir en quelques secondes vers un service dont l’entreprise ne connaît ni les conditions, ni la durée de conservation, ni le pays d’hébergement.

Les risques concrets pour une PME

Risque	Exemple typique	Conséquence
Fuite de données confidentielles	Un commercial colle la grille tarifaire et la liste des clients pour rédiger une offre	Données hors de contrôle, conditions d’utilisation inconnues
Données personnelles hors cadre	Un fichier RH ou des dossiers patients résumés avec un compte gratuit	Traitement non conforme à la loi 09-08
Comptes non maîtrisés	Abonnement IA payé par le salarié, lié à son adresse personnelle	Historique des conversations perdu ou conservé après son départ
Extensions et applications tierces	Extension « assistant IA » qui lit le contenu des pages, y compris la messagerie web	Accès large aux données, éditeur inconnu
Réponses fausses utilisées telles quelles	Clause juridique ou calcul repris sans vérification	Erreur professionnelle, engagement de l’entreprise
Code généré non relu	Script ou macro copié dans un outil de production	Faille ou comportement imprévu
Hameçonnage ciblé	Faux site « ChatGPT gratuit » ou fausse extension	Vol d’identifiants, voir les arnaques de phishing visant les PME

L’ANSSI, dans ses recommandations de sécurité pour un système d’IA générative publiées en avril 2024, classe les menaces propres à ces systèmes en trois familles : la manipulation de l’IA, l’infection des données et l’exfiltration d’informations. Pour une PME utilisatrice, c’est surtout la troisième qui compte : ce qui est saisi dans l’outil peut sortir du périmètre de l’entreprise. Le même guide recommande la relecture systématique du code généré par l’IA, une règle de bon sens à appliquer aussi aux textes juridiques et aux chiffres.

Ce que dit le cadre marocain

Il n’existe pas, à ce jour, de loi marocaine spécifique à l’IA générative en entreprise. Mais le cadre existant s’applique déjà :

• La loi 09-08 sur la protection des données à caractère personnel. Dans son communiqué du 18 mars 2025, la CNDP rappelle que les traitements d’intelligence artificielle utilisant des données personnelles relèvent de cette loi, et que les principes de transparence, de loyauté, de finalité déterminée, de proportionnalité et de sécurité s’imposent. La Commission a aussi lancé des travaux en vue d’une délibération dédiée à l’IA. Nous détaillons vos obligations dans loi 09-08 et CNDP : ce que doivent faire les entreprises.
• Les transferts de données à l’étranger, encadrés par la loi 09-08 : la plupart des services d’IA grand public traitent les données hors du Maroc. Avant d’autoriser un outil pour des données personnelles, vérifiez avec votre conseil juridique la base de ce transfert.
• La loi 05-20 sur la cybersécurité, pour les entités qu’elle concerne, qui impose une politique de sécurité des systèmes d’information : l’usage de l’IA doit y trouver sa place. Voir loi 05-20 et DGSSI : obligations des entreprises.
• Le secret professionnel et les engagements contractuels : un cabinet comptable, une clinique ou un cabinet d’avocats reste tenu au secret, quel que soit l’outil utilisé.

Comptes personnels ou offre professionnelle : la vraie différence

La question décisive n’est pas « quel chatbot ? », mais « sous quel contrat ? ». Les grands éditeurs distinguent clairement leurs offres grand public et professionnelles :

Outil	Offre professionnelle	Engagement publié par l’éditeur
Microsoft 365 Copilot et Copilot Chat	Connexion avec le compte professionnel Microsoft 365	Protection des données d’entreprise : les invites, les réponses et les données consultées via Microsoft Graph ne servent pas à entraîner les modèles de fondation
Gemini dans Google Workspace	Éditions Workspace éligibles	Les données client, invites comprises, ne servent pas à entraîner les modèles sans autorisation ou instruction préalable du client
ChatGPT	Business, Enterprise, API	Les données professionnelles ne servent pas à l’entraînement par défaut

Sources : documentation Microsoft Learn « Enterprise data protection », centre de confidentialité de l’IA générative de Google Workspace, politique de confidentialité entreprise d’OpenAI. Ces engagements évoluent : relisez-les au moment de votre choix.

Deux points de vigilance. D’abord, Microsoft précise que les requêtes de recherche web effectuées par Copilot passent par Bing, qui relève de conditions distinctes de celles de Microsoft 365. Ensuite, les agents et connecteurs tiers ajoutés à ces outils ont leurs propres conditions. Une offre professionnelle bien choisie règle la question de l’entraînement des modèles ; elle ne dispense ni de règles d’usage, ni de bons droits d’accès.

Si vous êtes déjà sur Microsoft 365 ou Google Workspace, commencez par l’assistant intégré à votre environnement : il hérite de vos comptes, de votre authentification forte et de vos droits de partage. Pour comparer les deux environnements, voir Microsoft 365 ou Google Workspace.

Notre méthode d’encadrement en 6 étapes

1. Faire l’état des lieux sans chasse aux sorcières. Journaux du pare-feu et du filtrage DNS, liste des extensions installées sur les navigateurs, et un court questionnaire anonyme : à quoi les équipes utilisent-elles l’IA, et pourquoi ?
2. Choisir un ou deux outils validés, sous contrat professionnel, rattachés aux comptes de l’entreprise avec authentification forte. Un outil officiel utile est la meilleure protection contre le shadow IA.
3. Écrire des règles d’usage d’une page, intégrées à la charte informatique (voir le modèle plus bas).
4. Classer les données en trois niveaux simples : public, interne, confidentiel. Seul le niveau confidentiel est interdit dans tout outil d’IA non validé.
5. Mettre en place les contrôles techniques : blocage des outils non validés, contrôle des extensions, prévention des fuites de données là où les licences le permettent.
6. Former et revoir. Une session courte avec des exemples concrets du métier, puis une revue trimestrielle des outils découverts et des demandes des équipes.

Les règles d’usage à donner aux salariés

Une règle que personne ne lit ne protège personne. Voici la trame que nous proposons, à adapter à votre activité :

• Autorisé : les outils validés, listés nommément, avec le compte professionnel.
• Interdit dans tout outil non validé : données clients et fournisseurs, données personnelles de salariés ou de patients, prix et marges, contrats, documents de direction, identifiants et mots de passe, code source.
• Toujours relire : une réponse d’IA est un brouillon. Les chiffres, références juridiques et engagements sont vérifiés par une personne avant tout envoi.
• Pas d’extension IA installée sans validation du service informatique.
• Pas d’abonnement personnel utilisé pour le travail : demandez une licence professionnelle.
• Signaler : un doute, une donnée envoyée par erreur, un outil utile à faire valider. Le signalement ne doit jamais être sanctionné, sinon personne ne signalera rien.

Ces règles se combinent naturellement avec votre programme de sensibilisation au phishing : mêmes sessions, mêmes réflexes.

Les contrôles techniques qui fonctionnent

Contrôle	Outil possible	Ce qu’il apporte
Découverte des applications cloud	Journaux FortiGate ou WatchGuard, Defender for Cloud Apps	Liste des services réellement utilisés ; Microsoft propose une catégorie « IA générative » avec un score de risque par application
Blocage par catégorie	Filtrage web du pare-feu, filtrage DNS	Bloque les outils non validés au niveau réseau, au bureau comme en télétravail selon l’architecture
Statut validé / non validé	Defender for Cloud Apps	Marquage des applications et blocage des non validées sur les postes intégrés
Prévention des fuites de données	Microsoft Purview DLP sur les postes et le navigateur	Peut bloquer le collage ou l’envoi de données sensibles vers des sites d’IA générative, selon les licences et navigateurs pris en charge
Contrôle des extensions	Intune ou stratégies de groupe	Liste blanche d’extensions de navigateur
Authentification forte	MFA, accès conditionnel	Les outils validés ne s’ouvrent qu’avec un compte professionnel protégé
Smartphones	MDM	Applications professionnelles séparées des applications personnelles

Ces fonctions dépendent de vos licences et de votre parc : nous les dimensionnons au cas par cas, sans vous faire acheter ce qui ne sert pas. Pour le socle Microsoft, voir sécuriser Microsoft 365 en 10 réglages et Microsoft Intune pour les PME ; pour les smartphones, la gestion des smartphones d’entreprise avec un MDM. Ces mesures s’inscrivent dans une démarche plus large, décrite dans Zero Trust pour une PME : par où commencer.

Un mot de prudence : aucun blocage n’est total. Un salarié peut toujours photographier un écran avec son téléphone personnel. C’est pourquoi l’outil validé et les règles comptent autant que la technique.

Les erreurs que nous rencontrons

1. L’interdiction sèche, sans outil de remplacement : l’usage passe sur les téléphones et devient invisible.
2. Des licences IA achetées sans revoir les droits de partage : un assistant connecté à la messagerie et aux fichiers retrouve tout ce que l’utilisateur peut déjà ouvrir, y compris des dossiers partagés trop largement.
3. Aucun inventaire des extensions de navigateur.
4. Une charte rédigée par le juridique seul, incompréhensible pour les équipes, et jamais présentée.
5. Des comptes IA rattachés à des adresses personnelles, impossibles à récupérer au départ du salarié.
6. Aucune revue des réponses de l’IA avant envoi à un client.

Checklist de démarrage

• Inventaire des outils d’IA et des extensions réellement utilisés.
• Un ou deux outils validés, sous contrat professionnel, avec MFA.
• Revue des droits de partage des fichiers avant d’activer un assistant connecté à vos données.
• Règles d’usage d’une page, intégrées à la charte informatique et signées.
• Classification simple des données : public, interne, confidentiel.
• Blocage des outils non validés au pare-feu ou au filtrage DNS.
• Prévention des fuites de données si vos licences le permettent.
• Session de formation et point de contact pour les demandes de nouveaux outils.
• Revue trimestrielle.

Comment nous vous accompagnons

Nous commençons par un état des lieux : outils découverts dans vos journaux, extensions, droits de partage, licences existantes. Nous proposons ensuite un ou deux outils adaptés à votre environnement, en tant que partenaire Microsoft et partenaire Google Workspace, rédigeons avec vous les règles d’usage, puis configurons les contrôles sur vos pare-feu, vos postes et vos smartphones. Les équipements et services que nous gérons sont supervisés 24/7, et un incident critique, comme une fuite de données suspectée, est pris en charge en moins de 15 minutes.

Pour aller plus loin, découvrez notre offre de cybersécurité des entreprises au Maroc et nos services cloud Microsoft 365 et Azure, puis demandez votre audit initial offert : nous vous répondons sous 24 h ouvrées.