Shadow AI

Le shadow AI sur votre réseau : ce qui est visible et ce qui ne l'est pas

Le shadow AI, c'est l'usage de services et d'outils d'IA que l'organisation n'a pas approuvés : un chatbot dans le navigateur, un plugin d'IA, un assistant de code ou un modèle de langage installé sur un portable. Depuis le réseau, on voit quelles machines joignent quels services d'IA, quand et quel volume de données elles envoient. On ne voit pas ce qui a été saisi ou collé, car ce trafic est chiffré.

Le fait à retenir

L'article 4 du règlement sur l'IA (règlement (UE) 2024/1689) impose aux fournisseurs et aux déployeurs de systèmes d'IA de prendre des mesures pour favoriser la maîtrise de l'IA de leur personnel ; depuis sa modification par le règlement (UE) 2026/1744 en juillet 2026, il n'exige pas de garantir un niveau précis pour chaque personne. En vertu de l'article 113, il s'applique depuis le 2 février 2025.

Source : Regulation (EU) 2024/1689 (AI Act), Article 4 (AI literacy) and Article 113 (dates of application) — EUR-Lex

Ce que montre le réseau, et ce qu'il ne montre pas

La visibilité réseau répond à la première question de toute politique d'IA : qu'est-ce qui est réellement utilisé aujourd'hui ?

  1. 01Visible : les services d'IA utilisés

    Les connexions vers des services d'IA externes s'identifient par la destination et par le nom de serveur dans la négociation TLS : on voit quels services sont utilisés et à quelle fréquence, sans rien déchiffrer.

  2. 02Visible : qui les utilise, et dans quelle mesure

    Chaque connexion appartient à un hôte : on voit quelles machines ou quels segments utilisent des services d'IA et quel volume ils envoient, ce qui distingue une question rapide d'un gros envoi.

  3. 03Visible : les modèles exécutés en local

    Les modèles de langage exécutés sur vos propres machines apparaissent comme du trafic d'environnements d'exécution locaux, que NetSenX signale aussi.

  4. 04Invisible : le contenu

    Les prompts, les documents collés et les réponses circulent dans des sessions chiffrées. La surveillance réseau ne peut pas les lire, et NetSenX ne déchiffre jamais le trafic. Pour juger de ce qui a été partagé, il faut les journaux d'administration du service d'IA ou un outil de DLP.

Ce que NetSenX fait aujourd'hui

  • À partir de l'offre Pro, signale le trafic vers des services d'IA externes et vers des environnements de modèles de langage exécutés en local.
  • Montre quel hôte a joint quel service d'IA et quel volume de données a circulé, pour savoir ce qui est utilisé avant d'écrire la politique.
  • Analyse le trafic à partir des métadonnées sans jamais le déchiffrer : aucun contenu de prompt ne parvient à NetSenX.
  • Conserve les données clients dans l'UE et explique chaque alerte en langage clair.

Ce que NetSenX ne fait pas

NetSenX ne lit ni les prompts, ni les fichiers, ni les réponses, ne bloque pas les services d'IA et ne décide pas lesquels sont autorisés : ces décisions relèvent de votre politique d'IA, et leur application de votre proxy, de votre pare-feu ou des paramètres d'administration du service. Il ne voit l'usage de l'IA que sur les réseaux qu'il surveille ; un téléphone en données mobiles ou un portable à domicile échappe à sa vue.

Questions des acheteurs

Comment détecter le shadow AI sur mon réseau ?

Regardez les connexions sortantes vers des services d'IA : la destination et le nom de serveur dans la négociation TLS identifient le service sans rien déchiffrer. NetSenX signale ce trafic, ainsi que celui vers des modèles de langage exécutés en local, à partir de l'offre Pro.

La surveillance réseau voit-elle ce que les salariés tapent dans un chatbot d'IA ?

Non. Le contenu de la session est chiffré, et NetSenX ne le déchiffre jamais. Il montre qu'un hôte a utilisé un service d'IA, quand, et quel volume il a envoyé ; pour le contenu, il faut les journaux de la version entreprise du service ou un outil de DLP.

Le règlement sur l'IA nous oblige-t-il à encadrer l'usage de l'IA par les salariés ?

Si votre organisation utilise des systèmes d'IA dans son activité, l'article 4 du règlement lui impose de prendre des mesures pour favoriser la maîtrise de l'IA de son personnel, et cette obligation s'applique depuis le 2 février 2025 ; depuis juillet 2026, le texte modifié précise qu'aucun niveau précis ne doit être garanti pour chaque personne. Savoir quels services d'IA sont réellement utilisés est une première étape concrète ; votre conseil juridique vous dira ce qui s'applique d'autre à vous.

La détection du shadow AI est-elle incluse dans toutes les offres ?

Non. Elle fait partie de l'offre Pro et des offres supérieures. L'offre Free couvre la détection comportementale, par exemple du beaconing, des scans et des mouvements latéraux, sans limite de durée.

Sources

  1. Regulation (EU) 2024/1689 (AI Act), Article 4 (AI literacy) and Article 113 (dates of application) — EUR-Lex
  2. Regulation (EU) 2026/1744 (Digital Omnibus on AI), amending Article 4 of the AI Act — EUR-Lex
  3. Regulation (EU) 2016/679 (GDPR), Article 28 (processors) — EUR-Lex

Cette page est une information générale et ne constitue pas un conseil juridique. Vérifiez vos obligations auprès de votre autorité nationale ou de votre conseil juridique.

Pages associées

Essayez NetSenX sur votre propre réseau

Commencez avec l'offre Free pour 3 appareils au maximum, ou réservez une démo de 20 minutes.

Voir les tarifsRéserver une démo