Détecter l’usage de l’IA par les salariés : méthodes et limites
Avant de rédiger une charte ou de bloquer quoi que ce soit, il faut savoir quels outils d’IA vos équipes utilisent réellement, et ce qu’elles leur confient. C’est le point de départ pour encadrer le Shadow AI. Six méthodes existent ; aucune ne voit tout, et chacune a un cadre légal à respecter.
Ce qu’on cherche à savoir
- Quels outils. ChatGPT, Copilot, Gemini, Claude, Le Chat, DeepL, mais aussi les assistants intégrés aux logiciels métier et les extensions de navigateur.
- Combien de postes et à quelle fréquence. Un usage ponctuel sur deux postes ne se traite pas comme un usage quotidien dans toute l’équipe commerciale.
- Quelles données en sortent. Des noms de clients, des contrats, des données de paie ou de santé n’ont pas le même enjeu qu’un texte public à reformuler.
- Avec quel compte. Un compte professionnel encadré par un contrat, ou un compte personnel que l’entreprise ne maîtrise pas.
Les six méthodes, ce qu’elles voient, ce qu’elles ratent
| Méthode | Ce qu’elle voit | Ce qu’elle rate | Effort |
|---|---|---|---|
| Questionnaire aux équipes | Les outils que les salariés pensent utiliser et acceptent de déclarer | L'usage non avoué, les volumes, les données confiées | Faible |
| Journaux du pare-feu, du proxy ou du DNS | Les connexions vers les domaines d'IA connus, poste par poste | Le contenu envoyé, les postes hors réseau (télétravail sans VPN), les téléphones, l'IA intégrée à un logiciel déjà autorisé | Moyen |
| Console Microsoft 365 ou Google Workspace | Les applications tierces auxquelles les comptes ont donné accès (OAuth), l'usage de Copilot ou de Gemini | Les sites utilisés sans connexion au compte professionnel, les comptes personnels | Faible à moyen |
| Inventaire des postes (outil de gestion de parc) | Les applications d'IA installées : ChatGPT de bureau, Claude, outils de code | Tout ce qui passe par le navigateur, la fréquence d'usage | Faible si l'outil existe |
| Passerelle de sécurité ou CASB | Les services cloud utilisés, parfois le contenu par inspection du trafic chiffré | Les postes qui ne passent pas par la passerelle ; coût et mise en œuvre lourds pour une PME | Élevé |
| Extension de navigateur et agent sur le poste | Les sites et applications d'IA réellement utilisés, les envois, et le type de données confiées, repéré sur le poste | Les navigateurs ou postes non équipés, les téléphones personnels | Moyen (déploiement) |
En pratique, une PME combine souvent deux sources : l’inventaire des postes pour les applications installées, et une mesure dans le navigateur pour les sites. Le questionnaire reste utile après coup, pour comprendre pourquoi les équipes utilisent tel outil.
Les limites communes à toutes les méthodes
- Le téléphone personnel. Aucun outil installé par l’entreprise ne voit ce qui se passe sur un appareil personnel. Seules la sensibilisation et une charte d’usage y répondent.
- L’IA intégrée aux logiciels. Un CRM ou un outil de visioconférence qui ajoute un assistant ne crée pas de nouveau domaine à surveiller : il faut le repérer dans les réglages de l’éditeur.
- Les nouveaux outils. Des services d’IA apparaissent chaque semaine. Une détection fondée sur une liste doit être mise à jour en continu.
- Une photographie, pas un film. Un relevé ponctuel donne un état des lieux. Pour suivre l’évolution, la mesure doit durer.
Le cadre légal à respecter
Mesurer l’usage de l’IA sur les postes de travail est un dispositif de contrôle de l’activité. Il est permis, à quatre conditions.
- Proportionnalité. Le dispositif doit être justifié par le but recherché et proportionné à ce but (Code du travail, article L1121-1). Compter les outils utilisés l’est plus facilement que lire les conversations.
- Information préalable des salariés. Aucune information les concernant ne peut être collectée par un dispositif qui n’a pas été porté à leur connaissance au préalable (article L1222-4).
- Consultation du CSE. Lorsqu’il existe, le CSE est informé et consulté avant la mise en œuvre de moyens permettant un contrôle de l’activité des salariés (article L2312-38).
- RGPD. Finalité définie, données réduites au nécessaire, durée de conservation limitée, inscription au registre des traitements.
Ce rappel est général et ne remplace pas l’avis d’un juriste sur votre situation.
Et ensuite ?
Une fois l’usage connu, trois décisions suivent : quels outils l’entreprise retient, quelles données ne doivent pas en sortir, et comment les déclarer. Le règlement européen sur l’IA attend notamment des employeurs qu’ils accompagnent leurs équipes dans l’usage de ces outils : Shadow AI et IA Act, ce que l’employeur doit savoir.
L’audit Shadow AI gratuit applique la sixième méthode pendant sept jours : une extension de navigateur et, sur Windows, un agent léger comptent les outils d’IA utilisés et le type d’informations qui leur sont confiées. Le texte ne quitte pas le poste, le rapport ne nomme personne, et une note d’information pour les salariés est fournie.
Comment savoir si mes salariés utilisent ChatGPT ?
Le leur demander donne une première idée mais sous-estime l'usage. Pour un constat fiable, il faut le mesurer : les journaux du pare-feu ou du proxy montrent les connexions vers les domaines d'IA, l'inventaire des postes montre les applications installées, et une extension de navigateur montre les sites réellement utilisés et ce qui y est envoyé. Chaque méthode a ses angles morts ; les combiner donne une image fidèle.
Ai-je le droit de surveiller l'usage de l'IA par mes salariés ?
Oui, si le dispositif est proportionné au but poursuivi, si les salariés en sont informés avant sa mise en place et si le CSE est informé et consulté lorsqu'il existe (Code du travail, articles L1121-1, L1222-4 et L2312-38). Le RGPD s'applique aussi : finalité définie, données minimisées, durée de conservation limitée, inscription au registre des traitements. Un dispositif qui compte les outils utilisés sans lire les textes est plus facile à justifier qu'une lecture des conversations.
Peut-on voir ce que les salariés écrivent dans ChatGPT ?
Techniquement, certains outils de sécurité le permettent en inspectant le trafic. Juridiquement, lire le contenu des échanges est difficile à justifier : c'est rarement proportionné au but, qui est de savoir quels outils sont utilisés et quels types de données en sortent. Repérer sur le poste qu'un texte contient par exemple un IBAN, sans transmettre le texte, répond au besoin sans lire la conversation.
Un blocage au pare-feu suffit-il ?
Non. Il ne voit pas l'usage depuis un téléphone personnel ou un réseau extérieur, il rate les outils qui ne sont pas sur sa liste, et il pousse l'usage vers ces canaux invisibles. Il peut compléter un dispositif de visibilité, pas le remplacer.