.svg)
Un lundi matin, une chargée de recrutement colle trente CV dans son compte ChatGPT personnel pour gagner une heure. Personne ne le lui a interdit, personne ne le lui a proposé non plus. C’est ça, le Shadow AI : l’IA que vos équipes utilisent déjà, en dehors de tout cadre.
Chez AI Sisters, cabinet de conseil en IA, on rencontre cette situation dans presque chaque entreprise que l’on accompagne. Voici ce que le Shadow AI recouvre, ce que mesurent les études sérieuses, les risques réels, et un plan en cinq étapes pour en sortir sans braquer personne.
En bref
- Le Shadow AI (ou shadow IA) désigne l’usage d’outils d’IA que l’entreprise n’a ni fournis ni validés : comptes personnels, extensions, enregistreurs de réunion.
- En France, 67 % des salariés qui utilisent l’IA passent par des outils non fournis par leur entreprise, selon OpinionWay pour Cegid (septembre 2026).
- Le risque principal est la fuite de données : informations clients, chiffres non publiés, documents internes.
- Interdire ne marche pas : l’usage passe sur le téléphone personnel et devient invisible.
- Ce qui marche : un outil validé, une charte d’une page, une formation. L’AI Act impose d’ailleurs de former les équipes depuis février 2025.
À lire aussi : AI Act : l’obligation de former vos équipes à l’IA et notre guide pour intégrer l’IA dans une entreprise.
Shadow AI : de quoi parle-t-on ?
Le Shadow AI, c’est l’usage par les salariés d’outils d’intelligence artificielle que l’entreprise ne connaît pas ou n’a pas autorisés. Le terme vient du « shadow IT », ces logiciels installés sans passer par la DSI. On parle aussi de shadow IA ou d’IA fantôme.
Il prend trois formes. La plus courante : un compte personnel sur ChatGPT, Claude ou Gemini, utilisé pour des tâches professionnelles. Ensuite, les extensions de navigateur qui lisent la page ouverte, y compris un CRM ou une messagerie. Enfin, les outils qui se branchent eux-mêmes sur vos systèmes : un enregistreur de réunion connecté à l’agenda, un agent relié à la boîte mail.
Dans la grande majorité des cas, il n’y a aucune malveillance. Le salarié a une tâche à finir, un outil gratuit la fait en deux minutes, et l’entreprise ne lui a rien donné d’équivalent.
Pour comprendre. Coller un document dans un compte IA personnel revient à l’envoyer à son adresse mail perso pour le relire chez soi. L’intention est bonne, mais le document quitte l’entreprise et vous ne savez plus qui le garde, ni combien de temps.
Ce que disent les études
Les chiffres sur le Shadow AI circulent beaucoup, et pas toujours avec leur source. Un « 73 % » revient souvent sans étude identifiable derrière. Voici ceux que l’on peut rattacher à une méthode publiée.
| Étude | Qui a été interrogé | Ce qui a été mesuré |
|---|---|---|
| OpinionWay pour Cegid, septembre 2026 | 2 006 salariés en Europe, dont 500 en France | 67 % des salariés français qui utilisent l’IA passent par des outils non fournis par l’entreprise. 39 % seulement disposent d’outils fournis |
| WatchGuard, juillet 2026 | 684 salariés d’entreprises de 50 à 500 personnes, 8 pays | 64 % reconnaissent utiliser des outils d’IA non autorisés |
| IBM, Cost of a Data Breach 2025 | Organisations ayant subi une violation de données | 1 sur 5 a connu une violation liée au Shadow AI. Un usage élevé ajoute en moyenne 670 000 dollars au coût |
| IBM, même rapport | Mêmes organisations | 37 % seulement ont une politique pour encadrer l’IA ou détecter le Shadow AI |
Deux réserves. Les enquêtes WatchGuard et OpinionWay reposent sur ce que les salariés déclarent, donc les chiffres réels sont plutôt plus hauts que plus bas. Et le chiffre d’IBM ne veut pas dire que chaque fuite coûte 670 000 dollars de plus : c’est l’écart moyen entre les organisations où le Shadow AI est très répandu et celles où il est rare.
Le constat de fond est stable d’une étude à l’autre : environ deux salariés sur trois qui utilisent l’IA le font hors du cadre prévu, et la plupart des entreprises n’ont ni outil officiel ni règle connue de tous.
Pourquoi interdire ne suffit pas
Le premier réflexe d’une direction est souvent de bloquer ChatGPT sur le réseau. L’exemple le plus cité date de mai 2023 : après que des ingénieurs ont collé du code source confidentiel dans ChatGPT, Samsung a restreint les outils d’IA générative sur ses appareils, selon Bloomberg.
Le blocage protège le réseau de l’entreprise, pas le téléphone du salarié. Sur Reddit, les administrateurs systèmes le répètent dans les fils consacrés au sujet : quand la direction bloque sans proposer d’alternative, l’usage continue, mais sur des appareils que plus personne ne voit. On passe d’un Shadow AI visible à un Shadow AI invisible.
L’autre effet est moins visible : les équipes qui respectent l’interdiction prennent du retard sur celles qui la contournent. Vos salariés les plus consciencieux sont pénalisés.
Pour comprendre. Interdire l’IA sans rien proposer, c’est comme fermer la machine à café de l’étage. Personne n’arrête le café : tout le monde descend au bistrot d’en face, et les conversations de bureau s’y tiennent à voix haute.
Les vrais risques, sans dramatiser
Le Shadow AI expose l’entreprise à des risques précis. Mieux vaut les nommer un par un.
| Risque | Exemple concret | Ce qui protège |
|---|---|---|
| Fuite de données | Un fichier clients collé dans un compte gratuit dont les conversations peuvent servir à entraîner le modèle | Un compte entreprise qui exclut vos données de l’entraînement |
| Données personnelles et RGPD | Des CV ou des fiches salariés traités hors de tout registre | Une règle claire sur les données RH et un outil validé |
| Secret des affaires | Des résultats financiers analysés avant leur publication | Une liste de données qui ne vont dans aucune IA |
| Erreurs non vérifiées | Un chiffre inventé par l’IA repris dans une note de direction | Une formation à la vérification des résultats |
| Conformité AI Act | Des équipes qui utilisent l’IA sans formation, alors que l’article 4 l’exige | Un programme de formation documenté |
Le dernier point est souvent oublié. Depuis le 2 février 2025, l’article 4 de l’AI Act demande aux entreprises qui utilisent des systèmes d’IA de s’assurer que leurs équipes ont un niveau suffisant de maîtrise de l’IA. Un usage massif et non encadré, c’est aussi une obligation de formation qui n’est pas remplie. Nous avons détaillé ce point dans notre article sur l’obligation de formation de l’AI Act.
Donnez à vos équipes un outil et une méthode
Des formations sur l’outil que vous avez choisi, avec vos documents et une charte adaptée à vos données.
Nos formations par outilRéserver un appelTrois situations courantes, et quoi faire
1. Les RH et les CV
Trier des candidatures prend des heures, et une IA lit trente CV en une minute. Le problème : ce sont des données personnelles, souvent avec adresse, âge et parcours. Dans un compte gratuit, elles sortent de tout cadre RGPD. Mieux vaut faire ce tri dans un outil validé, après avoir retiré les informations inutiles à la décision. Première tâche à proposer : la rédaction des offres d’emploi, qui ne contient aucune donnée personnelle.
2. La finance et les chiffres non publiés
Un contrôleur de gestion colle un export du mois dans une IA pour obtenir un commentaire de variance. Le gain est réel, mais ce fichier contient parfois des chiffres qu’aucun concurrent ne devrait voir avant l’annonce des résultats. Ici, la règle doit être nette : ces données ne vont que dans un outil validé, jamais dans un compte personnel. Notre formation IA pour la finance part de ce type de cas.
3. Les commerciaux et les enregistreurs de réunion
Un outil de prise de notes automatique se connecte à l’agenda, rejoint les visios et envoie un résumé à tous les participants, clients compris. C’est la forme de Shadow AI la plus discrète, car l’outil s’installe en un clic et agit seul. Il faut décider quels outils ont le droit de se connecter à la messagerie et à l’agenda, et le dire clairement. Pour les équipes qui veulent aller plus loin avec ce type d’outil, notre formation agents IA apprend à les cadrer.
Le plan en cinq étapes
L’objectif : que l’outil officiel devienne plus pratique que l’outil caché. Voici l’ordre que nous suivons avec nos clients.
- Faire l’état des lieux, sans sanction. Un questionnaire anonyme de cinq questions : quels outils, pour quelles tâches, avec quelles données. Si les réponses peuvent coûter cher à ceux qui les donnent, personne ne dira la vérité.
- Fournir un outil validé. ChatGPT Entreprise, Claude ou Copilot, selon vos outils existants. Les offres entreprise excluent par défaut vos données de l’entraînement des modèles. Notre page outils IA en entreprise compare les options.
- Écrire une charte d’une page. Trois niveaux de données, avec des exemples tirés de votre activité (voir le schéma ci-dessous). Un règlement de vingt pages ne sera pas lu.
- Former les équipes. Sur l’outil choisi, avec leurs vrais documents. C’est la formation qui fait basculer l’usage vers l’outil officiel, et c’est aussi ce que demande l’AI Act. Nos formations sont finançables par votre OPCO.
- Suivre et ajuster chaque trimestre. Taux d’utilisation de l’outil officiel, nouvelles demandes, nouveaux outils repérés. Pour chiffrer le gain, voyez notre méthode de calcul du ROI d’une formation IA.
Pour comprendre. La charte en trois niveaux fonctionne comme le tri des déchets : on ne demande pas à chacun de connaître la chimie du recyclage, seulement de savoir quelle poubelle utiliser. Trois couleurs, des exemples affichés, et le bon geste devient automatique.
Par où commencer dans votre entreprise ?
Un échange de 30 minutes pour faire le point sur les usages de vos équipes et choisir le bon outil.
Réserver un appelDiagnostic IA gratuitÀ retenir
- Le Shadow AI est l’usage d’outils d’IA non fournis ni validés par l’entreprise. Il touche environ deux utilisateurs de l’IA sur trois.
- Il naît surtout d’un besoin réel et de l’absence d’outil officiel, rarement d’une mauvaise intention.
- Bloquer les outils déplace l’usage vers les téléphones personnels, où il devient invisible.
- Les risques à traiter en priorité : données clients et RH, chiffres non publiés, outils qui se connectent seuls à vos systèmes.
- Le plan qui marche : état des lieux, outil validé, charte d’une page, formation, suivi trimestriel.
- Former les équipes n’est pas optionnel : l’AI Act l’exige depuis février 2025.
Sources
- OpinionWay pour Cegid, L’intelligence artificielle en entreprise, portée par les salariés et les ETI, 3 septembre 2026.
- WatchGuard, Employees Drive Rising Cybersecurity Risk As Shadow AI and Unsafe Work Habits Surge, 14 juillet 2026.
- IBM, Cost of a Data Breach Report 2025, juillet 2025.
- TechRepublic, IBM Report: Shadow AI and Poor Governance Linked to Costlier Breaches, 2025.
- Union européenne, Règlement (UE) 2024/1689 sur l’intelligence artificielle, article 4, 13 juin 2024.
- Bloomberg, Samsung Bans Staff’s AI Use After Spotting ChatGPT Data Leak, 2 mai 2023.
