Shadow IT et outils d’IA non autorisés dans les universités : les repérer, les trier, les valider

Toute université utilise des logiciels que la DSI n’a jamais examinés : assistants d’IA gratuits, extensions de navigateur, outils d’enquête payés sur des crédits de recherche, robots de transcription qui rejoignent les réunions. Ce guide explique pourquoi ce phénomène existe, quels risques il présente au regard du RGPD et de NIS2, comment repérer ces outils avec les consoles d’administration dont vous disposez déjà, et comment construire un processus de validation que les chercheurs utiliseront réellement.

Publié le 9 octobre 2026 · Sources vérifiées le 9 octobre 2026

Également disponible en: English · Svenska · Nederlands · Norsk · Suomi · Dansk · Español · Português

1. Qu’est-ce que le shadow IT, et qu’est-ce que l’IA fantôme ?

Le shadow IT désigne les logiciels, services cloud ou matériels utilisés pour le travail universitaire sans passer par l’examen habituel de l’établissement par la DSI, la sécurité des systèmes d’information, la protection des données et les achats. L’IA fantôme (shadow AI) en est la part qui concerne des services d’IA : assistants conversationnels, aides à la rédaction, robots de réunion, outils de transcription, de traduction et de recherche bibliographique. Aucun de ces termes ne suppose une mauvaise intention. La plupart des cas de shadow IT naissent parce que quelqu’un avait un travail à faire.

Une équipe de recherche de l’université du Maryland, comté de Baltimore (UMBC), qui a étudié le shadow IT dans l’enseignement supérieur au moyen d’une étude de cas et d’une enquête auprès de professionnels de l’informatique, le décrit comme des logiciels ou matériels présents dans un système ou un réseau mais situés hors du processus d’examen habituel du service informatique responsable. Ces travaux recensent aussi des facteurs possibles de vulnérabilité aux incidents de sécurité liés, dont le degré de décentralisation de l’informatique et l’attitude de l’établissement envers le shadow IT.

Dans une université européenne, on trouve typiquement :

• un enseignant qui utilise un générateur de quiz par IA gratuit avec une liste d’étudiants ;
• une équipe de recherche qui transcrit ses entretiens avec une application de transcription grand public ;
• un département qui paie un outil d’enquête en ligne avec une carte d’achat ;
• une application « Se connecter avec Microsoft » ou « Se connecter avec Google » à laquelle un agent a donné accès à sa messagerie, à son agenda ou à ses fichiers ;
• une extension de navigateur qui lit chaque page ouverte par l’utilisateur pour corriger la grammaire ou résumer le texte ;
• un assistant de réunion par IA qui rejoint les réunions en ligne et les enregistre.

2. Pourquoi le shadow IT est endémique dans les universités

Les universités comptent parmi les organisations les plus décentralisées d’Europe. C’est une force pour la recherche et l’enseignement, et la raison pour laquelle un processus central de validation sera toujours en retard sur les usages réels.

• Liberté académique et autonomie locale. Les chercheurs choisissent leurs méthodes et leurs outils, et les composantes et départements disposent souvent de leurs propres informaticiens et budgets.
• Achats sur crédits de recherche. Les projets de recherche achètent des services sur leurs crédits, parfois avec une carte d’achat ou par note de frais personnelle, sans que les achats centraux ni le délégué à la protection des données n’en aient connaissance.
• Offres gratuites. De nombreux outils sont gratuits pour les particuliers. Pas d’achat, donc pas de procédure d’achat, alors que les obligations du RGPD suivent les données, et non la facture.
• Extensions de navigateur et compléments. Ils s’installent en quelques secondes, ont souvent besoin d’autorisations étendues pour lire le contenu des pages et échappent aux inventaires logiciels classiques.
• Consentement OAuth. Dans Microsoft Entra ID, la documentation de Microsoft indique que, par défaut, « all users are allowed to consent to applications for permissions that don’t require administrator consent » (tous les utilisateurs peuvent consentir aux applications pour les autorisations qui ne requièrent pas le consentement d’un administrateur). Un utilisateur peut donc connecter une application tierce à sa propre messagerie sans que personne d’autre ne le voie.
• Assistants d’IA. L’IA générative est arrivée plus vite que les cycles d’achat. Les universités ont réagi par des consignes et des services institutionnels, mais les outils grand public restent à un onglet de distance.
• Chercheurs invités, étudiants et partenaires extérieurs. Ils apportent leurs propres outils et comptes, et la collaboration entre établissements fait transiter des données par des services qu’aucune université n’a validés.

Analyse de Validemic Le shadow IT est aussi un signal. Lorsque beaucoup de personnes utilisent le même outil non autorisé, cela signifie en général que l’établissement ne propose pas de solution acceptable, ou que le processus de validation est trop lent ou trop difficile à trouver. Considérez les résultats du repérage comme une liste de besoins non satisfaits autant que comme une liste de risques.

3. Les risques : RGPD, transferts, entraînement de l’IA, sécurité, accessibilité, licences, NIS2

Le risque n’est pas que les outils non autorisés soient toujours moins bons que les outils validés. C’est que personne n’a vérifié, et que personne ne peut donc démontrer que les obligations ci-dessous sont respectées.

Obligations du responsable du traitement (art. 24, 28 et 32 du RGPD)

Lorsque des personnels utilisent un outil pour le travail universitaire, l’université est normalement responsable de ce traitement. L’article 24 du RGPD impose au responsable du traitement de mettre en œuvre des mesures techniques et organisationnelles appropriées et d’être en mesure de démontrer que le traitement est conforme au règlement. L’article 28, paragraphe 1, prévoit que le responsable du traitement « fait uniquement appel à des sous-traitants qui présentent des garanties suffisantes », et l’article 28, paragraphe 3, exige un contrat écrit avec chaque sous-traitant. L’article 32 impose une sécurité adaptée au risque. Un outil gratuit accepté d’un clic sous une licence grand public n’est en général couvert par aucun contrat de l’article 28 avec l’université, et un registre des activités de traitement (art. 30) qui ne mentionne pas l’outil est incomplet. Notre page sur le RGPD présente ces articles en détail.

L’autorité néerlandaise de protection des données (Autoriteit Persoonsgegevens, AP) en a tiré la conclusion pratique pour les assistants conversationnels d’IA. Dans son avertissement du 6 août 2024, elle indiquait : « Often, employees use the chatbots on their own initiative and contrary to the agreements made with the employer » (souvent, les salariés utilisent les assistants conversationnels de leur propre initiative et contrairement aux accords conclus avec l’employeur). Si des données personnelles ont été saisies dans cette situation, il y a selon l’AP violation de données ; lorsque l’usage de l’assistant relève de la politique de l’organisation, « it is not a data breach, but often not permitted by law » (ce n’est pas une violation de données, mais ce n’est souvent pas autorisé par la loi). Les violations peuvent devoir être notifiées dans les 72 heures (art. 33). Voir notre guide sur la gestion des violations de données dans les universités.

Transferts internationaux

De nombreux outils gratuits sont exploités depuis l’extérieur de l’Espace économique européen. Le chapitre V du RGPD (à partir de l’art. 44) n’autorise les transferts qu’avec un instrument de transfert, comme une décision d’adéquation ou des clauses contractuelles types. Une personne qui s’inscrit à un service grand public ne met pas ces instruments en place pour le compte de l’université. Notre guide sur le cadre de protection des données UE-États-Unis et l’outil sur les mécanismes de transfert présentent les options.

Entraînement de l’IA sur les données déposées

L’AP a averti que « Most companies behind the chatbots store all data entered » (la plupart des entreprises qui exploitent ces assistants conservent toutes les données saisies), souvent sans que la personne qui les saisit s’en rende compte. L’université de Copenhague a indiqué à ses personnels en mai 2024 que la plupart des outils d’IA générative conservent les saisies des utilisateurs et s’en servent pour développer leurs modèles sous-jacents, et leur a demandé de n’utiliser que l’outil sous licence de l’établissement. Le centre d’IA d’Oxford relève que les versions grand public obligent les utilisateurs à suivre eux-mêmes la politique du fournisseur et à refuser eux-mêmes l’entraînement. Les offres comptent : les offres éducation et entreprise prévoient souvent des conditions d’entraînement et de conservation différentes des offres gratuites. Nos fiches sur ChatGPT, Grammarly, Otter.ai, DeepSeek et Microsoft Copilot présentent, offre par offre, ce que chaque fournisseur documente publiquement.

Sécurité

Les applications non examinées disposant d’un accès OAuth aux messageries ou aux fichiers constituent un vecteur d’attaque. La documentation de Microsoft sur Defender for Cloud Apps relève que les applications OAuth « often behave unnoticed » (passent souvent inaperçues) tout en détenant des autorisations étendues sur les données d’autres applications. Les extensions de navigateur peuvent lire et modifier le contenu des pages, y compris celles des systèmes de l’université. Les outils développés en interne présentent aussi un risque : l’étude de cas de l’UMBC a relevé des vulnérabilités typiques, comme des failles XSS (cross-site scripting) et des injections SQL, dans un système de gestion des financements développé en interne.

Accessibilité

Les universités publiques sont en général des organismes du secteur public au sens de la directive (UE) 2016/2102 relative à l’accessibilité des sites internet et des applications mobiles des organismes du secteur public. Un outil qu’un enseignant impose à tous ses étudiants, mais dont personne n’a vérifié l’accessibilité, peut exclure les étudiants en situation de handicap. Voir notre page sur la directive sur l’accessibilité des sites internet.

Violations de licence

Les conditions grand public sont rédigées pour des particuliers. Elles peuvent limiter l’usage à des fins non commerciales ou personnelles, accorder au fournisseur des droits étendus sur les contenus déposés ou interdire de déposer des contenus dont l’utilisateur n’est pas titulaire. Les personnels qui déposent des contenus de bibliothèque sous licence, des manuscrits non publiés ou les données d’autrui peuvent enfreindre la licence ou les droits des auteurs. Les conditions de l’université d’Utrecht pour les outils d’IA non validés demandent par exemple aux personnels de ne pas déposer de contenus protégés par le droit d’auteur, confidentiels ou propriétaires, ni d’entretiens enregistrés.

Obligations NIS2 relatives à la chaîne d’approvisionnement, le cas échéant

NIS2 (directive (UE) 2022/2555) permet aux États membres d’inclure les établissements d’enseignement, « en particulier lorsqu’ils mènent des activités de recherche critiques » (art. 2, paragraphe 5, point b), et les organismes de recherche peuvent être concernés à part entière. Les entités concernées doivent prendre des mesures de gestion des risques comprenant « la sécurité de la chaîne d’approvisionnement, y compris les aspects liés à la sécurité concernant les relations entre chaque entité et ses fournisseurs ou prestataires de services directs » (art. 21, paragraphe 2, point d), ainsi que la gestion des actifs. Des services que personne ne connaît ne peuvent pas être couverts par ces mesures. L’inclusion de votre université dans le champ dépend de la transposition nationale ; notre guide NIS2 pour les universités et la page sur NIS2 font le point pays par pays.

Règlement sur l’IA : maîtrise de l’IA

En vertu du règlement européen sur l’IA, tel que modifié par le règlement (UE) 2026/1744, les déployeurs doivent prendre des mesures pour favoriser la maîtrise de l’IA des personnels qui utilisent des systèmes d’IA (art. 4). Un établissement qui ignore quels systèmes d’IA utilisent ses personnels aura du mal à remplir cette obligation. Voir notre guide du règlement sur l’IA pour les universités.

4. Ce que disent les autorités et les organismes sectoriels

Aucune autorité européenne de protection des données n’a édicté de règle spécifique au shadow IT universitaire, mais plusieurs ont publié des recommandations sur l’IA générative qui s’appliquent directement.

Les lignes directrices nationales suédoises couvrent d’autres domaines que la protection des données, dont les achats et le droit du travail : un rappel utile que la réponse à l’IA fantôme n’est pas seulement un projet de protection des données. Pour les autres autorités nationales, consultez directement leurs pages sur l’IA ; notre guide des services d’IA nordiques présente les services mutualisés proposés par les réseaux nationaux de recherche et d’enseignement.

5. Repérer le shadow IT : sept techniques

Le repérage ne nécessite pas de nouveau produit pour démarrer. La plupart des universités détiennent déjà les données dans leur plateforme d’identité, leur système financier et leurs journaux réseau. Combinez plusieurs sources, car chacune ne voit qu’une partie du tableau.

Technique 1 : audit des consentements OAuth dans Microsoft Entra ID

Dans Microsoft Entra ID, toute application tierce à laquelle un utilisateur ou un administrateur a donné accès apparaît comme application d’entreprise avec ses autorisations. Le guide de Microsoft sur l’examen des autorisations accordées aux applications d’entreprise explique comment voir, pour chaque application, le consentement administrateur et le consentement utilisateur. Une limite à noter : les autorisations accordées par les utilisateurs ne peuvent pas être révoquées depuis l’onglet de consentement utilisateur du portail ; Microsoft renvoie pour cela à Microsoft Graph ou à PowerShell.

1. Exportez la liste des applications d’entreprise avec les autorisations déléguées, le nombre d’utilisateurs ayant consenti et l’éditeur.
2. Signalez les applications ayant accès à la messagerie, aux fichiers, aux agendas ou à l’annuaire, celles d’éditeurs non vérifiés et celles qui comptent de nombreux utilisateurs.
3. Modifiez le paramètre de consentement utilisateur. Microsoft recommande d’autoriser le consentement utilisateur « only for applications that have been published by a verified publisher » (uniquement pour les applications publiées par un éditeur vérifié), et sa stratégie intégrée le limite en outre aux autorisations que vous classez à faible impact (voir Configure how users consent to applications).
4. Activez le workflow de consentement administrateur, pour que les utilisateurs qui ne peuvent pas consentir puissent envoyer une demande. Selon Microsoft, la demande est envoyée par e-mail aux administrateurs désignés comme réviseurs, qui la traitent, puis l’utilisateur est informé. Ce workflow devient la porte d’entrée de votre voie rapide.

La modification des paramètres de consentement ne vaut que pour les consentements futurs ; Microsoft précise que les autorisations existantes restent inchangées : l’audit et la modification de la stratégie sont donc tous deux nécessaires.

Technique 2 : accès des applications tierces dans Google Workspace

Les administrateurs Google Workspace gèrent les applications tierces dans les commandes des API. La page d’aide de Google Control which apps access Google Workspace data décrit une liste des applications ayant accédé aux données Google, avec le nombre d’utilisateurs et les services demandés, ainsi que quatre niveaux d’accès par application : fiable, limité, données Google spécifiques et bloqué. Les administrateurs peuvent aussi définir le sort des applications non configurées, restreindre les champs d’application à haut risque pour des services comme Gmail et Drive, et permettre aux utilisateurs de demander l’accès à une application, qui apparaît alors pour examen. Les éditions Education disposent de paramètres distincts pour les utilisateurs de moins de 18 ans. Google indique que les données sur les applications ayant accédé aux données peuvent mettre 24 à 48 heures à apparaître.

Technique 3 : journaux d’authentification unique

Les journaux de connexion d’Entra ID, de Google ou du fournisseur d’identité de l’établissement montrent les fournisseurs de services auprès desquels les personnes s’authentifient, y compris les services connectés par fédération d’identités. Les journaux d’authentification unique ne montrent que les outils qui utilisent la connexion institutionnelle : ils ne révèlent donc pas les outils gratuits utilisés avec des comptes personnels, mais, combinés à l’audit OAuth, ils font apparaître les outils utilisés avec une adresse e-mail universitaire sur la page de connexion propre au fournisseur.

Technique 4 : notes de frais et cartes d’achat

Demandez au service financier un extrait annuel des transactions par carte et des notes de frais dont le nom du commerçant évoque un abonnement logiciel. Regroupez par fournisseur et par centre de coûts. C’est souvent le seul moyen de repérer les services payants achetés sur crédits de recherche. Cela indique aussi à qui s’adresser, puisque chaque transaction est associée à un titulaire de carte ou à un demandeur nommé.

Technique 5 : DNS, proxy et CASB

Des journaux DNS ou proxy agrégés montrent les services cloud consultés depuis le réseau du campus. Un courtier de sécurité d’accès au cloud (CASB) y ajoute un catalogue et des niveaux de risque. Microsoft présente Defender for Cloud Apps comme un outil qui utilise le trafic réseau et un catalogue d’applications pour identifier les applications utilisées, et qui évalue les applications découvertes au regard de « more than 90 risk indicators » (plus de 90 indicateurs de risque). D’autres produits CASB fonctionnent de manière comparable. Les réseaux universitaires sont ouverts et beaucoup de personnes travaillent hors du campus : considérez cette source comme un échantillon plutôt que comme un inventaire complet.

L’analyse du réseau et des journaux est en elle-même un traitement de données personnelles des personnels et des étudiants. Utilisez si possible des données agrégées, limitez les accès, fixez une durée de conservation, informez les personnels dans la mention d’information, et associez le DPO et, le cas échéant, les représentants du personnel avant de commencer. Notre outil de pré-évaluation AIPD aide à déterminer si une AIPD est nécessaire pour ce contrôle lui-même.

Technique 6 : interroger les personnes

Une courte enquête, anonyme par défaut, auprès des départements et des équipes de recherche permet souvent de trouver des outils qu’aucun journal ne montre : logiciels installés sur les postes, outils utilisés sur des appareils personnels et services utilisés par des partenaires extérieurs d’un projet. Posez trois questions : quels outils non inscrits sur la liste des outils autorisés utilisez-vous pour l’enseignement, la recherche et l’administration ; quelles données y entrent ; et de quoi auriez-vous besoin de la part de l’université pour cesser de les utiliser. Renouvelez l’enquête chaque année.

Technique 7 : gestion des extensions de navigateur

Sur les postes gérés, les stratégies de navigateur permettent de voir et de contrôler les extensions. Le guide de Microsoft sur la gestion des extensions Microsoft Edge par stratégies de groupe décrit ExtensionInstallBlocklist et ExtensionInstallAllowlist (tout bloquer avec « * » puis autoriser les extensions listées), ExtensionSettings pour bloquer les extensions qui demandent certaines autorisations, et runtime_blocked_hosts pour empêcher les extensions de lire ou modifier certains sites, comme votre système de gestion de la scolarité. Ajouter une extension installée à la liste de blocage la désactive sans la désinstaller. Chrome propose des stratégies équivalentes.

Analyse de Validemic Une première étape raisonnable n’est pas de bloquer toutes les extensions, ce qui perturberait la recherche et l’enseignement, mais d’utiliser runtime_blocked_hosts pour tenir les extensions à l’écart des systèmes qui contiennent les données les plus sensibles (scolarité, RH, finances, plateformes de recherche en santé) et de construire une liste d’autorisation à partir des extensions que le repérage montre réellement utilisées.

Vous évaluez un fournisseur en ce moment ? Validemic analyse ses documents au regard du RGPD et du règlement sur l’IA, et cite la source de chaque constat. Essayer l’espace de démonstration

6. Un modèle de tri selon les données et l’intégration

Une fois la liste établie, il faut décider où consacrer l’effort d’examen. Deux questions font l’essentiel du travail : quelles sont les données les plus sensibles que l’outil traitera, et quelle est la profondeur de son intégration aux systèmes de l’université ? Utilisez la classification de l’information de votre établissement si elle existe (de nombreuses universités utilisent trois ou quatre classes, par exemple public, interne, confidentiel et strictement confidentiel ou « rouge »).

Les délais de décision sont des objectifs de planification, pas des exigences légales. Ajoutez deux modificateurs. Les fonctionnalités d’IA qui génèrent des contenus sur des personnes, évaluent des étudiants ou formulent des recommandations font monter l’outil d’un niveau, car l’analyse des rôles, l’usage pour l’entraînement et la position au regard du règlement sur l’IA doivent être vérifiés. Un outil déjà utilisé par beaucoup de personnes avance dans la file, car l’exposition existe déjà.

7. Une voie rapide de validation

La voie rapide a pour but de rendre la voie officielle plus rapide que la voie non autorisée pour la plupart des demandes. Elle ne fonctionne que si elle est facile à trouver, demande peu d’informations et répond vite.

1. Une porte d’entrée unique. Un formulaire court, accessible depuis le portail de services informatiques, les pages de consignes sur l’IA et le message du workflow de consentement administrateur. À titre de comparaison, le questionnaire de l’université d’Utrecht sur les outils d’IA demande environ 30 minutes.
2. Vérifier s’il existe déjà une réponse. Avant tout examen, consultez les trois listes. Si l’outil est déjà autorisé, ou si une solution autorisée convient, répondez le jour même.
3. Trier. Appliquez la matrice données et intégration. Consignez le niveau et sa justification.
4. Recueillir une seule fois les éléments du fournisseur. Pour le niveau 1, les conditions publiques, la politique de confidentialité et les paramètres suffisent en général. À partir du niveau 2, demandez au fournisseur le contrat de sous-traitance, la liste des sous-traitants ultérieurs, le mécanisme de transfert et les preuves de sécurité. Notre générateur de questionnaire fournisseur gratuit produit un questionnaire adapté au niveau.
5. Décider avec des conditions. La plupart des décisions de la voie rapide sont des « autorisé sous conditions » : connexion institutionnelle uniquement, entraînement désactivé, aucune donnée personnelle au-delà des comptes utilisateurs, cours ou projet nommé uniquement, réexamen dans 12 mois.
6. Publier le résultat. Ajoutez l’outil à la bonne liste pour que la personne suivante obtienne une réponse immédiate. Mettez à jour le registre des activités de traitement (voir notre modèle de registre).
7. Surveiller. Les conditions ne valent que ce que valent les conditions du fournisseur. Surveillez les changements de sous-traitants ultérieurs et de politiques, et revérifiez lorsque le fournisseur ajoute des fonctionnalités d’IA. Notre outil gratuit d’alertes sur les sous-traitants ultérieurs peut aider.

Précisez qui décide. À Utrecht, la faculté qui utilise un outil autorisé le paie, en général en l’achetant directement auprès du fournisseur. À Cambridge, les outils d’IA générative sous licence autres que les outils centraux ne sont pas interdits, mais « must be procured in accordance with any applicable procurement policy or process » (doivent être achetés conformément à la politique ou à la procédure d’achat applicable), et le département en porte le risque. Les deux modèles fonctionnent s’ils sont formalisés par écrit.

8. Autorisé, autorisé sous conditions, non autorisé

Les listes sont le résultat le plus visible du processus et le principal levier pour faire évoluer les pratiques. L’université d’Utrecht utilise exactement trois issues pour les outils d’IA dans l’enseignement : autorisé, autorisé sous conditions et refusé. Les outils autorisés peuvent être utilisés selon leurs conditions et celles attachées à la validation.

Gardez la liste « non autorisé » courte et factuelle. Une longue liste d’outils interdits incite à chercher le suivant qui n’y figure pas. Une liste courte assortie de solutions claires est plus efficace. Pour savoir ce que d’autres établissements autorisent, voir les outils d’IA autorisés dans les universités européennes et, pour la rédaction de la politique, notre modèle de politique d’IA pour les universités.

9. Comment font les universités européennes

Les pages ci-dessous montrent les principales briques en pratique : une solution institutionnelle, des règles sur les données liées à la classification, une position sur les outils non autorisés et une voie pour demander un examen. Elles ont été vérifiées le 9 octobre 2026. Les citations sont reproduites dans leur langue d’origine, avec une traduction entre parenthèses.

Analyse de Validemic La tendance est constante d’un pays à l’autre : proposer d’abord une bonne solution institutionnelle, rattacher les règles sur les données à la classification existante et dire clairement ce qui n’est pas autorisé. L’élément le moins souvent publié est la voie de demande pour tout le reste. Utrecht est un bon exemple d’établissement qui publie la procédure, le questionnaire et les issues possibles.

10. Parler aux chercheurs et aux enseignants

La plupart des cas de shadow IT sont le fait de personnes qui cherchent à bien faire leur travail. Une communication qui les traite comme le problème tend à rendre les usages encore moins visibles. Quelques principes aident :

• Commencer par la solution. « Utilisez UU AI-Chat, Aalto AI Assistant ou GPT UiO pour cela » est plus utile que « n’utilisez pas ChatGPT ». Chaque entrée « non autorisé » doit indiquer une solution de remplacement.
• Fonder les règles sur les données, pas sur les marques. L’AP recommande aux organisations d’indiquer clairement à leurs salariés quelles données ils peuvent ou non saisir. Des règles fondées sur des classes de données restent valables lorsque de nouveaux outils apparaissent.
• Proposer un examen sans sanction. Invitez les départements à déclarer les outils qu’ils utilisent déjà et examinez-les sans conséquence pour les personnes qui les ont déclarés. Les données de repérage sont bien plus utiles quand les gens coopèrent.
• Répondre vite. Publiez un délai cible pour les décisions de la voie rapide et rendez compte de son respect.
• Expliquer le motif en une phrase. « L’offre gratuite utilise vos saisies pour l’entraînement et ne prévoit pas de contrat de sous-traitance » est compris ; « non conforme » ne l’est pas.
• Utiliser les canaux existants. L’appui à la recherche, la bibliothèque, les centres de pédagogie et les informaticiens des composantes ont la confiance des enseignants-chercheurs. Informez-les en premier.
• Se rattacher aux processus de recherche. Interrogez sur les outils dans le plan de gestion des données et le dossier éthique, pour que l’examen des outils ait lieu avant la collecte des données, et non après.

La formation contribue aussi à l’obligation, prévue par le règlement sur l’IA, de prendre des mesures en faveur de la maîtrise de l’IA. Notre guide le RGPD et les outils d’IA dans la recherche s’adresse aux chercheurs et peut leur être transmis directement.

11. Des indicateurs pour mesurer les progrès

Choisissez un petit nombre d’indicateurs que vous pouvez extraire des systèmes dont vous disposez déjà. Présentez des tendances, pas des chiffres isolés.

12. Un plan sur 90 jours

Ce plan suppose une petite équipe disposant de temps de la sécurité informatique, du bureau du DPO et des achats. Adaptez le périmètre à la taille de votre établissement.

Au bout de 90 jours, le travail devient routinier : le formulaire de demande alimente la voie rapide, le repérage est relancé chaque mois et les listes sont revues au moins une fois par an. La révocation des consentements existants et la migration des utilisateurs hors des outils non autorisés prennent plus de temps et doivent intervenir une fois qu’une solution de remplacement est en place.

Sources

1. Règlement (UE) 2016/679 (RGPD), articles 24, 28, 30, 32, 33 et 44 (consulté le 9 octobre 2026).
2. Directive (UE) 2022/2555 (NIS2), article 2, paragraphe 5, et article 21 (consulté le 9 octobre 2026).
3. Règlement (UE) 2024/1689 (règlement sur l’IA), article 4, et règlement (UE) 2026/1744 (Omnibus numérique sur l’IA) (consulté le 9 octobre 2026).
4. Directive (UE) 2016/2102 relative à l’accessibilité des sites internet et des applications mobiles des organismes du secteur public (consulté le 9 octobre 2026).
5. Autoriteit Persoonsgegevens : Caution: use of AI chatbot may lead to data breaches, 6 août 2024 (en anglais, consulté le 9 octobre 2026).
6. IMY : GDPR vid användning av generativ AI, IMY-2024-9162, 5 février 2025 (en suédois, consulté le 9 octobre 2026).
7. IMY : National guidelines for generative AI in public administration are launched (en anglais, consulté le 9 octobre 2026).
8. CNIL : IA, la CNIL finalise ses recommandations sur le développement des systèmes d’IA, 22 juillet 2025 (consulté le 9 octobre 2026).
9. Jisc : Generative AI, a primer, mis à jour le 1^er février 2024 (en anglais, consulté le 9 octobre 2026).
10. Microsoft Learn : Configure the admin consent workflow (en anglais, consulté le 9 octobre 2026).
11. Microsoft Learn : Configure how users consent to applications (en anglais, consulté le 9 octobre 2026).
12. Microsoft Learn : Review permissions granted to enterprise applications (en anglais, consulté le 9 octobre 2026).
13. Aide Google Workspace Admin : Control which apps access Google Workspace data (en anglais, consulté le 9 octobre 2026).
14. Microsoft Learn : Overview of Microsoft Defender for Cloud Apps (en anglais, consulté le 9 octobre 2026).
15. Microsoft Learn : Use group policies to manage Microsoft Edge extensions (en anglais, consulté le 9 octobre 2026).
16. UMBC Cyber Defense Lab : Shadow IT in Higher Education: Survey and Case Study for Cybersecurity, 2021 (en anglais, consulté le 9 octobre 2026).
17. Trinity College : Higher Education Community Vendor Assessment Toolkit (HECVAT) (en anglais, consulté le 9 octobre 2026).
18. Université d’Utrecht : Allow-listing process for AI tools (en anglais, consulté le 9 octobre 2026).
19. Université d’Utrecht : Conditions of use of AI tools by teachers and educational support staff (en anglais, consulté le 9 octobre 2026).
20. Université d’Utrecht : AI platforms at UU (en anglais, consulté le 9 octobre 2026).
21. Université d’Oxford, AI Competency Centre : GenAI tool features (en anglais, consulté le 9 octobre 2026).
22. Université de Cambridge : Data protection guidance on AI (en anglais, consulté le 9 octobre 2026).
23. Université d’Édimbourg : Generative AI guidance for staff (en anglais, consulté le 9 octobre 2026).
24. Université de St Andrews : Approved AI software (en anglais, consulté le 9 octobre 2026).
25. Université de Reading : Generative AI and AI meeting assistants (en anglais, consulté le 9 octobre 2026).
26. Université d’Helsinki : Generative artificial intelligence at the University (en anglais, consulté le 9 octobre 2026).
27. Université Aalto : Aalto AI Assistant (en anglais, consulté le 9 octobre 2026).
28. Université d’Amsterdam : UvA AI Chat (en anglais, consulté le 9 octobre 2026).
29. Université d’Uppsala : AI tool for students (en anglais, consulté le 9 octobre 2026).
30. KTH Institut royal de technologie : AI services (en anglais, consulté le 9 octobre 2026).
31. Université d’Oslo : GPT UiO and red data (en anglais, consulté le 9 octobre 2026).
32. Université de Copenhague : Three guidelines and a new tool for using AI, 8 mai 2024 (en anglais, consulté le 9 octobre 2026).
33. Université d’Aarhus : Microsoft 365 for students (en anglais, consulté le 9 octobre 2026).

À propos de cette page

Sources vérifiées le 9 octobre 2026. Nous avons lu la documentation d’administration de Microsoft et de Google, les pages des autorités de protection des données et les pages des universités citées ci-dessus ; les textes juridiques européens sont cités d’après leur version au Journal officiel. Les citations en anglais sont reprises telles quelles, avec notre traduction entre parenthèses. Les pages des universités changent souvent : vérifiez la version en vigueur avant de vous appuyer sur un détail. Lorsque nous donnons notre propre interprétation, elle est signalée comme une analyse de Validemic. Les délais de décision de la section sur le tri sont des objectifs de planification, pas des exigences légales. Cette page fournit une information générale et ne constitue pas un conseil juridique ; le droit national, les accords conclus avec les représentants du personnel et les politiques propres à votre établissement peuvent ajouter des exigences, en particulier pour le contrôle de l’usage de l’informatique par les personnels. Si vous repérez une erreur ou souhaitez suggérer un autre exemple universitaire, contactez-nous et nous corrigerons la page.