Ce qui interpelle dans le dernier billet du Comité européen de la protection des données (CEPD), c’est un scénario somme toute assez banal que beaucoup d’entre nous ont sûrement déjà vécu. Un outil de transcription automatique qui rejoint une réunion sans que les équipes IT ou Compliance en soient informées, une petite porte dérobée à la vue de tous.

Il s’agit du Shadow AI. 👥 Ce n’est pas forcément un acte malveillant mais plutôt un raccourci vers la productivité qui crée, ce que le contrôleur européen Wiewiórowski appelle un « regulatory blind spot », soit un angle mort où les données entrent dans des systèmes sans base légale, sans clause de transfert international, sans aucune capacité à répondre à une demande d’exercice de droits.

🔍 L’approche du CEPD (EDPS) n’est pas un énième article sur les risques de l’IA en général. C’est un texte signé par le superviseur lui-même, à destination des institutions européennes, qui affirme ouvertement qu’interdire ne sert à rien si on ne propose pas d’alternative plausible.

💡 Ça veut dire quoi pour une structure ? Que la gouvernance IA n’est pas juste un projet IT mais une collaboration active entre DPO, équipes sécurité, métiers et direction. Le vrai levier n’est pas le blocage technique (même si les contrôles ont leur place) mais de rendre les outils conformes suffisamment attractifs pour que le détour par un LLM grand public ne paraisse plus la solution de facilité.

🤝 Nous accompagnons nos clients sur ces questions : cartographie des usages IA existants, qualification des risques réels, construction d’un cadre donnant aux équipes la liberté d’innover sans créer de chaînes d’incidents que l’on découvre six mois plus tard.

————————-

📎 Wojciech Wiewiórowski, CEPD, Managing Shadow AI’s Hidden Data Breach Risk, juin 2026 : https://www.edps.europa.eu/press-publications/press-news/blog/managing-shadow-ais-hidden-data-breach-risk_en