Gouvernance
Shadow AI : l’IA est déjà dans votre entreprise, sans cadre ni contrat.
Le shadow AI, ou shadow IA, désigne l’usage d’outils d’intelligence artificielle par les salariés sans validation ni cadre de l’entreprise : comptes personnels, applications mobiles, extensions de navigateur. Il ne se combat pas par l’interdiction. Il se réduit en fournissant un outil encadré, des règles écrites et une formation.
Par Denis Atlan, fondateur d’ENDKOO, qui mène les missions décrites ici. Publié le . Cet article décrit une pratique et un cadre réglementaire ; il ne constitue pas un conseil juridique et ne se substitue pas à l’analyse d’un avocat sur votre situation.
Ce que mesurent les études françaises
Le phénomène n’est plus marginal. Les deux enquêtes les plus récentes, menées sur des populations différentes, convergent : l’usage personnel domine, l’encadrement suit loin derrière.
| Chiffre | Ce qu’il mesure | Source et population |
|---|---|---|
| 42 % | des actifs qui utilisent l’IA dans leur travail s’en servent surtout avec un compte personnel, contre 29 % avec un compte professionnel | Ipsos bva pour Google, 2 041 actifs français, novembre 2025, publié en mars 2026 |
| 14 % | des actifs déclarent que leur entreprise a mis en place une politique interne d’utilisation de l’IA | même étude |
| 21 % | des salariés ont reçu une formation à l’IA dans un cadre professionnel ; 16 % dans les structures de moins de dix personnes | même étude |
| 61 % | des utilisateurs d’IA en entreprise passent par des comptes personnels au moins une fois par semaine, dont 38 % tous les jours | YouGov pour Microsoft France, 657 cadres et dirigeants du privé, janvier 2026 |
Une précision s’impose : utiliser un compte personnel ne veut pas toujours dire désobéir. Dans la plupart des entreprises, il n’existe tout simplement aucune règle à laquelle désobéir. C’est le chiffre de 14 % qui résume le problème, plus que celui de 42 %.
Sources : Ipsos bva pour Google et YouGov pour Microsoft France.
Pourquoi il apparaît
Le shadow AI n’est pas un problème de discipline. Il apparaît parce que l’outil fait gagner du temps à la personne qui l’utilise, immédiatement, et que l’entreprise n’a rien proposé à la place. Le salarié qui résume un appel d’offres de quarante pages en deux minutes ne se pose pas la question du contrat de traitement des données. Il se pose celle de son après-midi.
Interdire sans alternative ne supprime pas cet usage : cela le déplace sur le téléphone personnel, où plus rien n’est visible. C’est le mécanisme décrit dans IA et RGPD : ce que doit savoir un dirigeant de PME.
Les quatre risques réels
- La donnée sort sans contrat. Un document client collé dans un compte personnel quitte le périmètre de l’entreprise. Selon l’offre et les réglages du compte, son contenu peut être conservé ou servir à l’entraînement des modèles. Aucune trace ne permet de savoir ce qui est parti.
- La réponse n’est pas vérifiée. Un texte faux mais bien écrit passe la relecture plus facilement qu’un texte juste et maladroit. Sans règle sur ce qui doit être contrôlé, la vérification dépend de l’humeur de chacun.
- Le savoir part avec la personne. Les instructions qui marchent restent dans un historique personnel. Quand le salarié quitte l’entreprise, la méthode part avec lui, et ses collègues n’en ont jamais profité.
- L’entreprise ne peut rien montrer. Le RGPD exige de savoir qui reçoit les données. L’article 4 du règlement européen sur l’IA, dans sa rédaction issue du règlement (UE) 2026/1744, demande de prendre des mesures pour développer la maîtrise de l’IA des utilisateurs. Un usage que personne n’a recensé n’a fait l’objet d’aucune mesure.
Comment le repérer sans surveiller
Un sondage anonyme de trois questions suffit à établir une première image honnête : quels outils, pour quelles tâches, avec quels documents. L’anonymat est la condition de la franchise. Les notes de frais et les abonnements remboursés donnent un second indicateur, plus partiel.
La surveillance individuelle des postes est la mauvaise réponse : elle pose des questions de proportionnalité au regard du droit du travail et du RGPD, et elle rend le sondage inutile, car plus personne n’avoue ce qu’il fait.
Que faire, dans l’ordre
- Recenser. Le sondage ci-dessus, complété par une demi-journée d’entretiens avec les services les plus utilisateurs.
- Fournir un outil professionnel encadré. Une offre entreprise, dont les conditions de traitement des données sont connues et contractuelles. C’est l’étape que les entreprises sautent, et c’est elle qui fait baisser l’usage personnel.
- Écrire une charte d’utilisation. Deux pages : ce qui est autorisé, ce qui doit être vérifié, ce qui n’entre jamais dans un outil d’IA. Nous publions un modèle de charte d’utilisation de l’IA, lisible en entier et téléchargeable sans formulaire.
- Former et tracer. Une formation adaptée aux outils réellement utilisés transforme des pratiques clandestines et inégales en pratique commune, et elle laisse une trace : programme, participants, dates.
- Refaire le sondage à trois mois. C’est la seule façon de savoir si l’usage personnel a réellement baissé, plutôt que de le supposer.
Ce que nous ne recommandons pas. Une interdiction générale sans outil de remplacement, et une charte que personne ne lit. Les deux donnent le sentiment d’avoir traité le sujet, et les deux laissent l’usage exactement là où il était.
Ce que traitent nos formations
La formation AI Act, gouvernance et shadow IA produit l’inventaire et le projet de charte pendant la session. Les formations ChatGPT, Claude et Copilot reprennent en main l’outil que vos équipes utilisent déjà. Toutes sont certifiées Qualiopi et finançables par votre OPCO.
Questions fréquentes
Quelle différence entre shadow AI et shadow IT ?
Le shadow IT désigne tout outil informatique utilisé sans validation de l'entreprise : une messagerie, un service de partage de fichiers, un tableur en ligne. Le shadow AI en est un cas particulier, plus difficile à voir et plus risqué : l'outil ne se contente pas de stocker le document, il le lit, le reformule et produit une réponse que le salarié réutilise, parfois sans la vérifier.
Le shadow AI est-il illégal ?
L'usage d'un assistant conversationnel n'est pas illégal en soi. Ce qui expose l'entreprise, c'est ce qui y entre : des données personnelles de clients ou de salariés transmises à un service sans contrat ni information des personnes relèvent du RGPD. S'y ajoute l'article 4 du règlement (UE) 2024/1689, qui demande à l'entreprise de prendre des mesures pour développer la maîtrise de l'IA de ses utilisateurs : un usage que personne n'a recensé ne fait l'objet d'aucune mesure.
Faut-il interdire ChatGPT ou Claude dans l’entreprise ?
Une interdiction sans alternative déplace l'usage vers les téléphones personnels, où plus rien n'est visible. Elle se justifie pour des données précises — santé, dossiers de candidats, secrets de fabrication — pas pour l'outil en général. La réponse qui fonctionne est de fournir un outil professionnel encadré et d'écrire ce qui peut y entrer, ce qui doit être vérifié et ce qui en est exclu.
Comment savoir si nos salariés utilisent l’IA sans le dire ?
Le plus simple et le plus fiable est de le leur demander, de façon anonyme : quels outils, pour quelles tâches, avec quels documents. Les réponses sont presque toujours plus nombreuses que ce que la direction anticipe. Les notes de frais et les abonnements remboursés donnent un second indicateur. La surveillance individuelle des postes, elle, pose des questions de proportionnalité au regard du droit du travail et du RGPD, et elle tue la franchise du sondage.
Qui est responsable en cas de fuite de données par un outil d’IA ?
L'entreprise, en tant que responsable du traitement des données qu'elle a confiées à ses salariés. Le fait que l'outil ait été choisi par un salarié sans autorisation ne la décharge pas. C'est la raison pour laquelle une politique d'usage écrite et une formation tracée comptent : elles montrent que l'entreprise avait pris des mesures.