Shadow AI : pourquoi l’IA fait revenir le problème du héros — et comment le BPM le résout

La shadow AI (ou « IA fantôme ») désigne l’utilisation d’outils d’IA personnels, de prompts et d’automatisations en dehors des processus et de la gouvernance d’une entreprise. La shadow AI recrée le « problème du héros » : le savoir-faire se concentre entre quelques personnes au lieu d’appartenir à l’organisation. La solution n’est pas d’interdire l’IA. La solution consiste à intégrer le savoir-faire en IA dans les processus métier sous forme d’actifs versionnés, approuvés et auditables.

Depuis environ vingt ans, j’observe la communauté de la gestion des processus résoudre l’un des plus anciens problèmes des organisations. Aujourd’hui, je vois ce problème revenir par une nouvelle porte. Cet article explique pourquoi, quels sont les enjeux, et comment le logiciel BPM — y compris ce que nous préparons dans la prochaine version de HEFLO — peut fermer cette porte sans ralentir les personnes qui l’ont ouverte.

Qu’est-ce que la shadow AI ?

La shadow AI désigne toute utilisation de l’intelligence artificielle au travail qui se fait en dehors des outils, processus et contrôles approuvés par l’organisation. La shadow AI inclut le compte ChatGPT personnel d’un analyste, un GPT personnalisé créé par un responsable commercial, une bibliothèque de prompts enregistrée dans une application de notes privée, ou un script qui appelle un modèle d’IA avec des données de l’entreprise.

La shadow AI n’est pas la même chose que le shadow IT. Le shadow IT concerne les logiciels non approuvés. La shadow AI concerne le raisonnement non approuvé : les décisions, jugements et techniques qu’un outil d’IA applique pour le compte de quelqu’un.

L’ampleur est bien réelle. Le Work Trend Index 2024 de Microsoft et LinkedIn, fondé sur 31 000 travailleurs du savoir dans 31 pays, a révélé que 78 % des utilisateurs d’IA apportent leurs propres outils d’IA au travail (Microsoft, mai 2024).

En bref, la shadow AI n’est pas un comportement marginal : c’est ainsi que la plupart des travailleurs du savoir ont adopté l’IA au départ.

Comment le BPM a-t-il résolu le « problème du héros » au cours des 20 dernières années ?

Le problème du héros est simple. Dans de nombreuses organisations, les connaissances critiques résident dans la tête d’une seule personne. Cette personne sait comment l’exception est traitée, quel client bénéficie d’un traitement spécial et quel fournisseur nécessite une seconde vérification. L’organisation devient l’otage de cette personne.

Au cours des deux dernières décennies, le mouvement du BPM — associations professionnelles, organismes de certification, consultants et fournisseurs de logiciels BPM — a travaillé patiemment sur ce problème. La méthode consistait à transférer les connaissances tacites des personnes vers des processus explicites :

1. Modéliser le processus dans une notation partagée telle que BPMN 2.0.
2. Documenter les règles qui existaient auparavant dans la mémoire de quelqu’un.
3. Automatiser le flux afin que le processus s’exécute de la même manière à chaque fois.
4. Mesurer et améliorer le processus au lieu de dépendre de la mémoire individuelle.

Le résultat a été un changement culturel. La personne n’a pas cessé d’être importante. Elle a cessé d’être indispensable. L’intelligence a été déplacée dans le processus, où toute l’organisation pouvait la voir, l’auditer et l’améliorer.

Autrement dit, la plus grande réussite du BPM n’a pas été l’automatisation — mais le transfert des connaissances organisationnelles des individus vers les processus.

Pourquoi l’IA fait-elle revenir le problème du héros ?

Les premiers utilisateurs de l’IA obtiennent des résultats concrets. Ils rédigent de meilleures propositions, trient les demandes plus rapidement et analysent des documents en quelques minutes. Toute organisation devrait vouloir compter davantage de personnes comme eux.

Le problème, c’est où réside le savoir-faire. La technique du premier utilisateur vit dans des prompts personnels, des assistants personnalisés privés et des automatisations que seule cette personne comprend. Le diagramme de processus indique toujours « Analyser la demande ». Le vrai travail se déroule dans un onglet de navigateur que l’organisation ne peut pas voir.

C’est à nouveau le problème du héros, sous une forme plus aiguë. L’ancien héros portait le savoir dans sa tête. Le nouveau héros porte le savoir dans sa tête et dans un ensemble d’outils d’IA qui exécutent une partie du travail. Lorsque le nouveau héros s’en va, l’organisation perd à la fois le savoir et la machinerie.

Le Work Trend Index a également révélé que 52 % des utilisateurs de l’IA hésitent à admettre qu’ils utilisent l’IA pour leurs tâches les plus importantes (Microsoft, mai 2024). Un savoir-faire invisible ne peut pas être gouverné, partagé ni amélioré.

Pourquoi la shadow AI est-elle plus risquée que l’ancien silo de connaissances ?

La shadow AI est plus risquée que l’ancien silo de connaissances, car elle combine la dépendance à des individus avec une exécution hors de tout contrôle. Le tableau ci-dessous compare trois époques de la connaissance organisationnelle.

Les données de sécurité confirment le risque. Le rapport Cost of a Data Breach Report 2026 d’IBM a révélé que les incidents impliquant la shadow AI ont plus que doublé en un an, passant de 20 % à 43 % (IBM, juillet 2026).

En définitive, la shadow AI concentre à la fois le savoir-faire et le risque dans des endroits que l’organisation ne peut pas voir.

Les entreprises devraient-elles interdire les outils d’IA personnels ?

Non. Interdire les outils d’IA personnels pénalise les personnes qui créent le plus de valeur, et cela fonctionne rarement. Les premiers utilisateurs de l’IA sont, en pratique, les nouveaux concepteurs de processus métier. Ils découvrent de meilleures façons d’effectuer le travail.

L’argument le plus fort en faveur du premier utilisateur mérite d’être énoncé clairement. Le premier utilisateur n’a pas attendu l’autorisation parce que l’organisation ne proposait aucune alternative encadrée. Les prompts du premier utilisateur sont souvent meilleurs que n’importe quelle procédure officielle. Traiter cette personne comme un problème de conformité revient à gaspiller la meilleure source d’amélioration de l’organisation.

Le bon objectif est la capture, pas la punition. L’organisation devrait recueillir ce que les premiers utilisateurs ont construit, le transformer en actifs partagés et le redistribuer à tous — avec les contrôles que les outils personnels ne peuvent pas fournir.

Comment transférer le savoir-faire en IA des personnes vers les processus ?

Le transfert du savoir-faire en IA vers les processus suit la même logique que celle appliquée par le BPM aux connaissances tacites, adaptée à l’IA. Nous l’appelons le cadre Hero-to-Process, en cinq étapes :

1. Découvrir. Cartographier où l’IA est déjà utilisée dans chaque processus : quelles tâches, quelles personnes, quelles invites, quelles données.
2. Codifier. Transformer les meilleures techniques en compétences écrites — guides pratiques et politiques qu’un agent IA peut lire — sous la responsabilité d’une personne désignée.
3. Lier. Rattacher des agents IA à des tâches spécifiques dans le modèle BPMN, avec des limites explicites sur ce que l’agent peut lire, écrire et dépenser.
4. Gouverner. Versionner chaque agent, compétence et intégration, et exiger l’approbation d’une personne autre que l’auteur avant l’exécution d’une version.
5. Améliorer. Mesurer chaque révision à l’aide des données d’exécution et des retours humains, puis publier une meilleure version au lieu de modifier sur place.

Le cadre transforme le talent individuel en IA en capacité organisationnelle. L’adopteur précoce devient l’auteur d’une compétence qui sert toute l’entreprise.

En pratique, le cadre Hero-to-Process applique à l’IA la discipline originelle du BPM : rendre les connaissances explicites, attribuées et mesurables.

Quelles fonctionnalités avancées les logiciels BPM devraient-ils offrir pour gouverner l’IA ?

Gouverner l’IA nécessite des fonctionnalités avancées qui vont au-delà d’une fenêtre de chat ajoutée à un modeleur. Une plateforme BPM prête pour l’IA devrait offrir au moins sept capacités :

1. Agents de processus avec limites — un plafond sur l’effet (lecture, écriture réversible, écriture irréversible), sur le coût et sur la durée par exécution.
2. Compétences comme actifs versionnés — un savoir-faire rédigé une fois, détenu, approuvé et réutilisé par de nombreux agents.
3. Liaison au niveau de la tâche — l’agent travaille sur une tâche BPMN spécifique et ne voit que les champs autorisés par cette tâche.
4. Humain dans la boucle par conception — les valeurs rédigées par l’IA restent en attente jusqu’à ce qu’une personne les confirme ; les actions irréversibles attendent une confirmation explicite.
5. Intégrations approuvées — chaque outil ou connecteur qu’un agent peut appeler est examiné et approuvé, y compris les outils provenant de serveurs MCP externes.
6. Une piste d’audit complète — chaque action de l’IA est enregistrée avec l’acteur, la version, l’effet et le résultat.
7. Une boucle de retour d’information — les évaluations, escalades et corrections sont transformées en actions d’amélioration.

Ces fonctionnalités d’automatisation avancées sont ce qui distingue l’automatisation des processus gouvernée d’un ensemble d’expériences personnelles avec l’IA.

C’est pourquoi, à l’ère de l’IA, les « fonctionnalités BPM avancées » désignent des fonctionnalités de gouvernance — limites, versions, approbations et audit — et pas seulement davantage d’IA.

Que sont les compétences d’agent, et pourquoi conservent-elles le savoir-faire ?

Une compétence d’agent est un ensemble écrit de consignes qu’un agent IA lit avant d’effectuer un type de travail : comment trier une demande d’assistance, comment vérifier une facture par rapport à une commande, quelle politique d’achat s’applique. Une compétence est la technique de l’adopteur précoce transformée en actif organisationnel.

Les compétences conservent le savoir-faire pour trois raisons :

• Les compétences sont distinctes de tout agent individuel. Une seule modification apportée à une compétence atteint tous les agents qui l’utilisent.
• Les compétences ont des propriétaires et des versions. L’auteur d’une compétence peut partir ; la compétence reste, avec son historique.
• Les compétences peuvent être mesurées. Chaque révision peut être comparée à la précédente sur des exécutions réelles.

Dans la prochaine version de HEFLO, les compétences se déclinent en deux types. Une politique est une règle qui s’applique à un périmètre — un environnement, une organisation, un processus, un agent ou un participant. Une compétence est quelque chose qu’un agent sait faire et qu’il emporte avec lui. Chaque compétence dispose d’une ligne d’index qui indique à l’agent quand la lire, d’un contenu Markdown, d’une note de modification et d’un cycle d’approbation.

Comment gagner en traçabilité sur l’usage de l’IA ?

Pour gagner en traçabilité, chaque action de l’IA doit être enregistrée par rapport à l’instance de processus où elle s’est produite, avec la version exacte de l’agent qui a agi. Gouvernance et traçabilité doivent faire partie de la plateforme de processus, et non d’un projet de surveillance distinct.

Une configuration d’IA traçable répond à quatre questions pour toute instance de processus :

1. Qui a agi ? Une personne, un agent ou le système.
2. Avec quelle version ? La révision approuvée exacte de l’agent et de ses compétences.
3. Quel a été l’effet ? Lecture seule, modification réversible en attente de confirmation ou action irréversible confirmée par une personne.
4. Combien cela a-t-il coûté ? Les ressources consommées par chaque étape.

Dans l’espace de gouvernance de HEFLO AI, la piste d’instance affiche ces réponses ligne par ligne pour tout numéro d’instance. Les administrateurs et les auditeurs peuvent également examiner l’utilisation par agent, les exceptions telles que les auto-approbations ou les actions refusées, ainsi que chaque modification de la configuration de l’IA.

Comment l’IA gouvernée soutient-elle la conformité ?

L’IA gouvernée soutient la conformité en produisant des preuves, et non des promesses. Gouvernance et conformité dépendent de la capacité à montrer aux régulateurs, aux auditeurs et aux clients ce qu’un système d’IA a fait et qui l’a autorisé.

Une approche basée sur les processus produit ces preuves comme sous-produit du travail normal :

• Séparation des tâches. Dans HEFLO AI, la personne qui a rédigé ou soumis une version ne peut pas être son seul approbateur, sauf si l’organisation le configure explicitement ; une auto-approbation par un administrateur unique nécessite une justification et apparaît dans le rapport des exceptions.
• Journaux d’audit exportables. Le journal d’audit de l’IA peut être exporté en CSV ou en JSON Lines ; l’exportation ne contient jamais de transcriptions, de valeurs de champs ni de clés.
• Conservation contrôlée. La durée de conservation des transcriptions peut être définie entre 30 et 365 jours, et sa modification nécessite l’approbation d’un autre administrateur.
• Accès auditeur limité dans le temps. Les auditeurs obtiennent un accès en lecture seule avec une date d’expiration et une vérification en deux étapes obligatoire.

Les cadres réglementaires tels que le règlement européen sur l’IA (Règlement (UE) 2024/1689) et le RGPD renforcent les exigences en matière de documentation et de supervision. Cet article ne constitue pas un avis juridique ; chaque organisation doit cartographier ses propres obligations avec un conseiller qualifié.

En termes simples, la conformité de l’IA est bien plus facile lorsque la plateforme de processus enregistre par défaut les approbations, les versions et les actions.

Quelle est la place du MCP dans une stratégie d’IA gouvernée ?

Le Model Context Protocol (MCP) est une norme ouverte qui permet aux assistants et agents d’IA de se connecter à des systèmes externes via une interface commune. Le MCP est important pour la shadow AI dans deux directions.

Entrant : des assistants externes agissant sur la plateforme de processus. Dans la prochaine version de HEFLO, un administrateur pourra activer un serveur MCP afin que Claude, ChatGPT, Mistral ou un autre client MCP puisse travailler avec HEFLO. L’assistant agit avec les propres autorisations de la personne, et les actions qui ne peuvent pas être annulées — comme la publication d’un processus — nécessitent une confirmation dans HEFLO lui-même. Le serveur MCP est désactivé par défaut.

Sortant : des systèmes externes devenant des outils d’agent. Un administrateur peut enregistrer un serveur MCP externe, comme un CRM, et importer ses outils en tant que connecteurs d’agent. Chaque connecteur comporte un effet analysé et doit être approuvé avant qu’un agent puisse l’appeler.

C’est le pont entre l’IA personnelle et l’IA gouvernée. Les personnes conservent les assistants qu’elles apprécient. L’organisation garde le contrôle sur ce que ces assistants peuvent toucher.

En d’autres termes, le MCP permet aux organisations d’accueillir les outils d’IA que les personnes utilisent déjà — selon les conditions de la plateforme de processus.

Qu’apportera HEFLO AI à vos processus ?

HEFLO AI est actuellement en préversion avant sa sortie. HEFLO AI met l’intelligence artificielle au service des processus métier : des agents de processus qui exécutent des tâches ou y contribuent, un chat IA qui suit l’utilisateur d’une page à l’autre, un assistant qui modélise les processus dans l’éditeur, et une connexion MCP pour les assistants IA externes. Chaque action effectuée par un agent est gouvernée, auditée et mesurée en crédits d’IA.

Les blocs de construction correspondent directement au cadre Hero-to-Process :

Trois choix de conception dans HEFLO AI répondent directement au problème du héros :

1. Une liaison peut seulement restreindre, jamais élargir. Un agent lié à une tâche ne peut jamais faire plus que ce que sa version approuvée autorise.
2. Rien ne s’exécute sans approbation. Chaque nouvelle version d’un agent, d’un connecteur ou d’une compétence est approuvée avant son exécution, et une version approuvée ne change jamais ; une modification devient une nouvelle version.
3. La propriété survit aux personnes. Lorsqu’un propriétaire d’agent quitte l’organisation ou perd son accès, l’agent continue de fonctionner, et les administrateurs transfèrent la propriété depuis une vue dédiée au lieu de perdre l’actif.

Résultat net : dans HEFLO AI, le savoir-faire de l’adopteur précoce devient une compétence versionnée, l’agent devient un participant au processus, et la propriété appartient à l’organisation.

Comment les autres fournisseurs de BPM abordent-ils la gouvernance de l’IA ?

Tous les fournisseurs sérieux de BPM et d’orchestration de processus s’accordent désormais à dire que l’IA a sa place au sein de processus gouvernés. Chacun apporte de véritables atouts :

• Camunda propose une orchestration agentique basée sur BPMN pour des architectures pilotées par les développeurs et indépendantes des fournisseurs.
• Appian intègre des agents dans les processus, avec un fort accent sur les charges de travail réglementées et critiques.
• Pega combine des capacités agentiques avec une gestion des cas et une prise de décision approfondies.
• SAP Signavio relie l’intelligence des processus à des agents conversationnels pour les entreprises centrées sur SAP.
• Bizagi propose des agents IA configurés en langage naturel sur une base BPMN 2.0.
• Ofelia (anciennement Bonitasoft) a lancé une offre d’orchestration d’IA agentique gouvernée, avec une approbation humaine intégrée au flux, aux côtés de Bonita BPM.

Les différences résident dans le modèle de déploiement, l’adéquation avec l’écosystème, l’effort de mise en œuvre et le coût. HEFLO privilégie une approche low-code et cloud-native, où les équipes métier peuvent modéliser, automatiser et gouverner l’IA dans le même environnement, sans projet d’ingénierie distinct.

L’IA gouvernée au sein des processus devient la norme du marché ; le choix dépend de l’adéquation, de l’effort et du coût.

Le savoir-faire en IA de votre organisation est-il en danger ? Une auto-évaluation en 10 questions

Répondez par oui ou par non. Chaque « non » indique un endroit où le savoir-faire en IA peut échapper à vos processus.

1. Savez-vous quelles tâches de processus sont déjà réalisées avec l’aide de l’IA ?
2. Savez-vous quels outils et comptes d’IA sont utilisés pour ces tâches ?
3. Vos meilleures techniques d’IA sont-elles consignées quelque part appartenant à l’entreprise ?
4. Chaque technique d’IA a-t-elle un responsable désigné ?
5. La technique survivrait-elle si son auteur partait demain ?
6. Chaque modification apportée à une technique d’IA passe-t-elle par quelqu’un d’autre que son auteur ?
7. Pouvez-vous dire, pour un cas donné, ce qu’une IA a fait et avec quelle version ?
8. Les valeurs rédigées par l’IA attendent-elles une confirmation humaine avant d’être prises en compte ?
9. Les intégrations de l’IA avec d’autres systèmes sont-elles examinées avant utilisation ?
10. Mesurez-vous si une nouvelle version d’une technique d’IA est plus performante que l’ancienne ?

Sept réponses « non » ou plus indiquent que l’organisation dépend de héros de l’IA. Le cadre Héros-vers-Processus est un point de départ pratique.

Remettez l’intelligence dans le processus

La communauté du BPM a passé vingt ans à enseigner aux organisations une leçon simple : les personnes sont essentielles, mais aucune personne ne devrait être indispensable. L’IA ne change pas cette leçon. L’IA la rend à nouveau urgente.

Les organisations qui réussiront avec l’IA ne seront pas celles qui auront les meilleurs ingénieurs de prompts. Les organisations qui réussiront avec l’IA seront celles dont les prompts, les compétences et les agents vivent dans leurs processus — versionnés, approuvés, traçables et améliorés par tous. Gouvernance et traçabilité ne sont pas des obstacles à l’adoption de l’IA ; elles sont ce qui permet à l’adoption de l’IA de durer.

C’est ce que nous intégrons dans la prochaine version de HEFLO. J’ai hâte d’en dire plus à l’approche du lancement.

Questions fréquentes

Qu’est-ce que la shadow AI ?

La shadow AI désigne l’utilisation d’outils, de prompts ou d’automatisations d’IA au travail en dehors des outils, processus et contrôles approuvés par l’organisation. La shadow AI inclut les comptes personnels de chatbots, les assistants personnalisés privés et les scripts qui envoient des données de l’entreprise à des modèles d’IA sans supervision.

Pourquoi la shadow AI représente-t-elle un risque pour les entreprises ?

La shadow AI représente un risque, car elle concentre le savoir-faire entre les mains de certaines personnes et exécute le travail en dehors de toute piste d’audit. Lorsque la personne quitte l’entreprise, les connaissances et les outils partent aussi. La shadow AI peut également exposer les données de l’entreprise à des services situés en dehors de la gouvernance.

Les entreprises doivent-elles interdire ChatGPT et les autres outils d’IA personnels au travail ?

Interdire les outils d’IA personnels produit généralement l’effet inverse. Une meilleure approche consiste à capturer ce que les premiers utilisateurs ont construit, à le transformer en actifs partagés et gouvernés, puis à connecter les outils que les personnes apprécient à la plateforme de processus selon des règles claires.

Comment une entreprise peut-elle capturer le savoir-faire en IA de ses employés ?

Une entreprise peut capturer le savoir-faire en IA en cartographiant les endroits où l’IA est utilisée, en formalisant les meilleures techniques sous forme de compétences détenues, en liant les agents d’IA à des tâches de processus spécifiques, en approuvant chaque version et en mesurant chaque révision. C’est le cadre Hero-to-Process.

Qu’est-ce qu’une compétence d’agent dans un logiciel BPM ?

Une compétence d’agent est une consigne écrite qu’un agent d’IA lit avant d’effectuer un type de travail, comme un guide d’assistance ou une politique d’achat. Dans un logiciel BPM, une compétence est versionnée, attribuée à un responsable et approuvée, de sorte qu’un seul changement atteint chaque agent qui l’utilise.

Un logiciel BPM peut-il gouverner des agents d’IA et des assistants d’IA ?

Oui. Un logiciel BPM peut lier des agents d’IA à des tâches de processus, limiter ce qu’ils lisent et écrivent, exiger une confirmation humaine pour les actions sensibles, approuver chaque version et journaliser chaque action. Grâce au MCP, un logiciel BPM peut également gouverner des assistants d’IA externes qui agissent sur la plateforme.

Quelles sont les fonctionnalités avancées d’un logiciel BPM pour l’IA ?

Les fonctionnalités avancées du BPM pour l’IA incluent des agents avec des limites d’effet et de coût, des compétences versionnées, la liaison des agents aux tâches BPMN, la confirmation humaine, des connecteurs approuvés et une piste d’audit complète.

Comment HEFLO suit-il ce que l’IA a fait dans un processus ?

HEFLO AI enregistre chaque étape d’IA par rapport à l’instance de processus dans un Instance Trail qui montre l’acteur, la version de l’agent utilisée, l’effet, le résultat et les crédits consommés. Les administrateurs et les auditeurs peuvent également examiner l’utilisation par agent, les exceptions et les changements de configuration. HEFLO AI est actuellement en version preview.

Puis-je connecter Claude ou ChatGPT à HEFLO ?

Dans la prochaine version de HEFLO, un administrateur pourra activer un serveur MCP qui permet à Claude, ChatGPT, Mistral ou tout autre client MCP de se connecter à HEFLO. L’assistant agit avec les propres autorisations de l’utilisateur, et les actions irréversibles nécessitent une confirmation dans HEFLO.

Comment garantir la gouvernance et la traçabilité de l’IA dans les processus ?

Pour garantir la gouvernance et la traçabilité de l’IA, les agents d’IA doivent être intégrés aux processus : chaque version doit être approuvée par une autre personne, chaque action doit être enregistrée avec la version utilisée, et chaque action irréversible doit être confirmée par un humain.