Un collaborateur colle un compte rendu de réunion dans ChatGPT pour gagner une heure. Un autre fait traduire un contrat par un outil gratuit, depuis son compte personnel. Aucun des deux n’a prévenu personne, et aucun n’a de mauvaises intentions. Ce phénomène porte un nom : le « Shadow AI », l’usage d’outils d’IA au travail sans l’accord ni la connaissance de l’entreprise. Voici comment le repérer, pourquoi l’interdire ne suffit pas, et ce qui fonctionne mieux.
Le Shadow AI, une réalité chiffrée
Le terme dérive du « Shadow IT », qui désigne les logiciels utilisés sans validation de la direction informatique. Avec l’IA générative, le phénomène est plus rapide : il suffit d’un navigateur et d’une adresse e-mail.
Les ordres de grandeur sont parlants, mais à manier avec prudence. Une enquête publiée le 11 juin 2026 par PagerDuty, éditeur de logiciels, et réalisée par l’institut Wakefield Research, porte sur 1 250 salariés de grandes organisations (500 millions de dollars de chiffre d’affaires ou plus) aux États-Unis, au Royaume-Uni, en Australie et au Japon. Elle ne représente donc pas les PME françaises. Selon cette enquête :
- 66 % des répondants ont utilisé des outils d’IA au travail alors qu’ils pensaient que la politique de leur entreprise ne l’autorisait pas ;
- 43 % ont partagé des e-mails ou d’autres courriers, et 34 % des données clients, avec des outils d’IA publics.
Ces chiffres sont déclaratifs et proviennent d’un éditeur : retenez la tendance plutôt que le pourcentage exact. Une situation typique en formation : on demande qui utilise déjà un assistant d’IA pour son travail, et les stagiaires hésitent à répondre devant leur responsable, alors que l’entreprise n’a encore rien décidé.
Pourquoi vos salariés le font
Comprendre les raisons évite de chercher des coupables.
- Le gain de temps est immédiat. Rédiger, résumer, traduire : l’effet se voit dès le premier essai.
- Les outils sont accessibles. Une version gratuite suffit pour commencer.
- L’entreprise n’a rien proposé. Sans outil validé ni règle claire, chacun se débrouille.
- La règle n’est pas comprise. Une consigne du type « l’IA est interdite » reste abstraite quand on ne sait pas ce qui est réellement risqué.
Selon l’enquête PagerDuty, 53 % des personnes ayant utilisé un outil non autorisé ont reçu une consigne informelle d’arrêter, et 48 % ont subi des conséquences formelles. Autrement dit, la sanction existe, et l’usage continue.
Les risques concrets pour l’entreprise
Le problème n’est pas l’IA, mais ce qui y entre et la façon dont l’outil est utilisé.
Des données qui sortent de votre contrôle
La CNIL, l’autorité française de protection des données personnelles, rappelle que le prestataire qui opère un système d’IA peut réutiliser les données qu’on lui fournit. Elle invite les organismes à évaluer cette réutilisation et à adapter l’usage en conséquence. Elle précise aussi que les utilisateurs ne doivent pas partager d’informations confidentielles avec un service grand public, et recommande d’éviter la création de comptes avec des adresses e-mail personnelles.
Une responsabilité qui reste celle de l’entreprise
Toujours selon la CNIL, dans le cas général, c’est l’organisme utilisateur qui engage sa responsabilité légale en cas de mauvaise utilisation du système par son personnel. Que l’outil ait été autorisé ou non ne change donc pas, en pratique, la question qui vous sera posée : qu’aviez-vous mis en place pour encadrer cet usage ?
Des erreurs que personne ne vérifie
Un outil non validé est aussi un outil sans consigne de relecture. La CNIL insiste sur le fait qu’il ne faut pas reproduire telles quelles les sorties d’un système d’IA générative et qu’il faut en vérifier l’exactitude.
Pourquoi l’interdiction pure et simple échoue
Interdire est la réaction la plus courante, et la moins efficace. Le schéma est classique : la note de service est envoyée, l’usage ne disparaît pas, il devient invisible. Les salariés ne posent plus de questions, et vous perdez la seule chose qui permet de corriger : l’information.
Il existe des cas où l’interdiction est justifiée : un outil précis, des données particulièrement sensibles, une activité réglementée. Mais elle doit s’accompagner d’une alternative et d’une explication.
Les 5 mesures qui fonctionnent
1. Faire l’état des lieux sans chercher de coupable
Un questionnaire anonyme de 5 questions suffit : quels outils, pour quelles tâches, avec quels types de documents, à quelle fréquence, avec quel compte. Annoncez clairement qu’il ne sert pas à sanctionner.
2. Proposer un outil validé
C’est la mesure la plus efficace. Si vos équipes ont une solution qui fonctionne et dont les conditions d’utilisation des données ont été vérifiées, l’attrait des outils personnels diminue. La CNIL recommande de déterminer dans quelle mesure le prestataire peut réutiliser les données fournies, et d’en tirer les conséquences.
3. Fixer des règles courtes, centrées sur les données
Trois catégories suffisent : ce qui peut entrer partout (informations publiques), ce qui peut entrer uniquement dans les outils validés (documents internes courants), ce qui n’entre jamais (données personnelles, secrets d’affaires, documents sous confidentialité). La CNIL recommande de définir une liste des usages autorisés et interdits, par exemple de ne pas fournir de données personnelles au système. Nous détaillons la démarche dans notre article sur la charte d’usage de l’IA en entreprise.
4. Former, avec des cas réels du métier
La CNIL recommande de former et de sensibiliser les utilisateurs finaux, tant sur les usages interdits que sur les risques des usages permis. En pratique, une règle s’applique quand on a vu un exemple concret : le même prompt (la consigne donnée à l’outil) avec et sans donnée client. Notre sensibilisation à l’IA pour tous les collaborateurs est construite sur cette logique. Pour les équipes qui manipulent des données sensibles, la formation Sensibilisation aux risques liés à l’IA en entreprise va plus loin sur les risques.
5. Désigner un point de contact et ouvrir la discussion
La CNIL recommande de prévoir un point de contact pour remonter les difficultés et de recueillir régulièrement l’avis des utilisateurs. Choisissez une personne identifiée, accessible, qui répond vite aux demandes d’ajout d’outil. Si la réponse prend 3 mois, les salariés n’attendront pas.
Pour replacer ces mesures dans le cadre juridique plus large, vous pouvez consulter notre univers IA, légal et gouvernance.
Par où commencer cette semaine
Vous n’avez pas besoin d’un projet de plusieurs mois. En une semaine, vous pouvez diffuser le questionnaire anonyme, identifier 1 ou 2 outils à valider, et prévenir vos équipes qu’un cadre est en préparation. Cette seule annonce change le climat : elle signale que poser la question n’est pas risqué.
Cet article informe, il ne remplace pas un conseil juridique. Pour les usages touchant à des données personnelles, associez votre délégué à la protection des données (DPO) s’il y en a un, ou un conseil spécialisé.
À retenir
- Le Shadow AI désigne l’usage d’outils d’IA au travail sans accord de l’entreprise ; les enquêtes disponibles, souvent menées par des éditeurs, indiquent qu’il est répandu.
- Le risque principal est ce qui entre dans l’outil : données personnelles, documents confidentiels, comptes personnels.
- Selon la CNIL, c’est en général l’organisme utilisateur qui engage sa responsabilité en cas de mauvais usage par son personnel.
- Interdire sans alternative rend l’usage invisible : proposez un outil validé, des règles courtes et une formation.
- Commencez par un état des lieux anonyme : vous pouvez le lancer dès cette semaine.