« Shadow AI » : vos salariés utilisent l'IA sans vous le dire

L'expression vient du « shadow IT », l'informatique de l'ombre : les outils que les salariés installent sans passer par le service informatique. Avec l'IA générative, le phénomène a changé d'échelle. Un compte gratuit, une extension de navigateur, une application sur le téléphone : il suffit de quelques secondes pour coller un document dans un assistant d'IA.

Un phénomène massif

Plusieurs enquêtes convergent. Une étude de l'éditeur Software AG, fin 2024, estimait que la moitié des salariés utilisaient des outils d'IA non autorisés. Une enquête de BlackFog auprès de 2 000 salariés de grandes entreprises, relayée début 2026, aboutit à un chiffre comparable : 49 % reconnaissent utiliser l'IA sans l'accord de leur employeur, parfois avec des données sensibles. Dans la même enquête, 58 % de ceux qui utilisent des outils non approuvés se servent de versions gratuites.

Ces chiffres portent souvent sur de grandes organisations, mais rien n'indique que les PME soient épargnées : elles disposent rarement d'un outil officiel, ce qui pousse d'autant plus les salariés à se débrouiller seuls.

Pourquoi c'est un risque

Le problème n'est pas que les salariés utilisent l'IA : c'est souvent le signe qu'ils cherchent à gagner du temps. Le problème est qu'ils le font sans cadre.

• Les données sortent de l'entreprise. Un contrat, un fichier client, une fiche de paie collés dans un outil grand public partent vers un prestataire avec lequel votre entreprise n'a aucun contrat. Selon les réglages, ces contenus peuvent être conservés, voire servir à améliorer le service.
• Le RGPD n'est plus respecté. Envoyer des données personnelles vers un outil sans base légale ni garanties expose l'entreprise, pas seulement le salarié.
• Les résultats ne sont pas vérifiés. Une IA peut inventer un chiffre, une référence juridique ou une source. Utilisée en cachette, elle l'est rarement avec la prudence nécessaire.
• Personne ne sait ce qui a été fait. En cas d'erreur ou de fuite, impossible de retracer quel outil a reçu quelles informations.

L'exemple le plus cité reste celui de Samsung : en 2023, des ingénieurs ont transmis du code source confidentiel à ChatGPT. L'entreprise a ensuite restreint l'usage des IA génératives par ses salariés.

Interdire ne suffit pas

Le premier réflexe est souvent d'interdire. C'est rarement efficace : l'outil est sur le téléphone personnel, le besoin reste, et l'usage devient simplement invisible. Une interdiction sans alternative alimente précisément le shadow AI.

Quatre étapes pour reprendre la main

1. Faire le point, sans chercher de coupable. Demandez simplement à vos équipes quels outils elles utilisent, et pour quoi faire. Vous découvrirez des usages utiles… et quelques pratiques à corriger.
2. Proposer un outil officiel. Un assistant d'IA choisi par l'entreprise, avec un compte professionnel et un contrat qui encadre l'usage des données, répond au besoin sans exposer vos informations.
3. Fixer des règles claires et courtes. Quels outils, quelles données peuvent y aller, quelle vérification avant d'utiliser un résultat, à qui poser une question. Une charte d'une page vaut mieux qu'un règlement de vingt pages que personne ne lit.
4. Former. Les salariés n'ont pas conscience de prendre un risque. Une formation courte, avec des exemples de leur quotidien, change les comportements bien plus qu'une note de service. C'est aussi ce que demande l'article 4 de l'AI Act aux entreprises qui utilisent l'IA.

En résumé

Le shadow AI est moins un problème de discipline qu'un problème d'organisation. Les salariés qui utilisent l'IA en cachette sont souvent les plus motivés : donnez-leur un outil, des règles et une formation, et ce risque devient un levier de productivité.