Shadow AI : supprimer un chat ChatGPT n'efface pas les données

Un coût en hausse

Gartner cite le rapport 2026 d'IBM sur le coût des fuites de données. Entre mars 2025 et février 2026, le shadow AI était impliqué dans 43 % des incidents, soit plus du double de l'année précédente. Le coût moyen d'un tel incident atteint 5,39 millions de dollars, soit environ 7,2 milliards de wons.

Où les données peuvent subsister

Les services d'IA peuvent conserver des informations au-delà de la conversation : journaux de requêtes et de réponses, systèmes de contrôle de sécurité, stockage temporaire, serveurs de sauvegarde. Selon les exemples généraux fournis par Gartner, les conversations supprimées et les journaux serveur peuvent rester environ 30 jours. Les données classées pour examen de sécurité peuvent être gardées de 2 à 7 ans, celles collectées pour l'entraînement de l'IA jusqu'à 5 ans. Les durées réelles dépendent du service, du type de compte et de la politique de traitement des données.

Lorsque les informations ont déjà servi à entraîner un modèle, leur suppression est encore plus délicate. Les données saisies se reflètent statistiquement dans les nombreux paramètres du modèle ; effacer le fichier d'origine n'en élimine donc pas complètement l'influence. Le « désapprentissage automatique », qui vise à retirer sélectivement une information, reste limité en pratique.

Que doivent faire les entreprises ?

En cas de fuite avérée, Gartner recommande de vérifier d'abord les réglages d'utilisation pour l'entraînement de l'IA et de bloquer toute nouvelle saisie. Il faut ensuite changer les mots de passe et identifiants exposés, demander la suppression au fournisseur et vérifier si les journaux et sauvegardes sont conservés ou effacés.

Interdire l'IA ne suffit pas. Les organisations doivent identifier les services utilisés par leurs salariés et les informations saisies, puis définir des services approuvés et des règles de gestion des données.