Pendant que la direction se demande si elle va « se mettre à l’IA », une partie des salariés s’en sert déjà. Sur un compte personnel, gratuit, sans en parler. Ils collent un mail client à reformuler, un compte rendu à résumer, un bout de tableur à analyser. Ce phénomène a un nom : le shadow AI, l’usage d’outils d’IA sans validation ni cadre de l’entreprise. Et il est bien plus répandu que ne le croient les dirigeants.
Le shadow AI n’est pas un problème de salariés indisciplinés. C’est le signal que l’IA est utile au travail et que l’entreprise n’a pas encore fourni d’outil ni de règles. Interdire ne fait que pousser ces usages plus loin dans l’ombre. La bonne réponse tient en quatre leviers : une charte simple, des outils validés, des offres entreprise qui n’entraînent pas le modèle sur vos données, et un minimum de formation.
À jour : juin 2026. Sources officielles (IBM, Bpifrance, CNIL) citées au fil du texte et en fin d’article.
Le shadow AI en chiffres (2025) :
- 1 organisation sur 5 a déjà subi une violation de données liée à du shadow AI
- 670 000 $ : le surcoût moyen d’une violation impliquant du shadow AI, par rapport à une violation classique
- 97 % des organisations victimes d’une faille liée à l’IA n’avaient aucun contrôle d’accès sur ces outils
- 63 % des entreprises touchées n’avaient pas de politique de gouvernance de l’IA (ou étaient en train de l’écrire)
Source : IBM, Cost of a Data Breach Report 2025 (étude Ponemon sur 600 organisations, mars 2024 à février 2025)
Le shadow AI désigne l’utilisation d’outils d’intelligence artificielle par les salariés sans accord, sans validation et sans encadrement de l’entreprise. La plupart du temps, cela passe par un compte personnel sur une version gratuite : ChatGPT, Gemini, Claude, Copilot, ou un traducteur, un générateur d’images, un assistant de réunion installé en deux clics.
Le terme vient du « shadow IT », ces logiciels que les équipes adoptaient déjà sans passer par le service informatique. L’IA accélère le phénomène, pour une raison simple : il n’y a rien à installer, rien à acheter, rien à demander. Un onglet de navigateur suffit. Le salarié qui ouvre ChatGPT pour rédiger un mail délicat ne pense pas faire quelque chose de risqué. Il gagne du temps. C’est précisément ce qui rend le shadow AI invisible et massif.
À retenir : le shadow AI n’est pas un acte malveillant. C’est un usage spontané, par des salariés motivés, d’un outil que l’entreprise ne leur a pas fourni officiellement. Le risque vient de l’absence de cadre, pas de l’intention.
Trois forces se sont additionnées. D’abord, l’adoption a explosé. En France, 31 % des TPE et PME utilisent déjà l’IA générative, et la proportion d’individus qui s’en servent grimpe chaque trimestre. Quand un salarié sur trois utilise ChatGPT à titre personnel, il l’amène naturellement au bureau le lundi matin.
Ensuite, l’entreprise n’a souvent rien prévu. Parmi les actifs qui utilisent déjà l’IA, 62 % n’ont suivi aucune formation à ce sujet, alors que 72 % en ressentent le besoin. Autrement dit, l’écrasante majorité se débrouille seule, avec les outils grand public qu’elle connaît, sans consigne sur ce qu’elle a le droit d’y mettre. L’usage précède la règle, et de loin.
Enfin, les outils sont devenus plus capables et plus autonomes. Un assistant ne se contente plus de répondre à une question : il lit des documents, se branche sur une boîte mail, agit. Plus l’outil est utile, plus la tentation d’y verser des données réelles est forte. La pression du temps fait le reste.
Pourquoi le shadow AI grandit (contexte France 2026) :
- 31 % des TPE-PME utilisent l’IA générative
- 62 % des actifs qui utilisent l’IA n’ont reçu aucune formation à ce sujet, alors que 72 % la réclament
- L’accès est gratuit, instantané et sans installation : aucune barrière à l’entrée
Sources : Bpifrance Le Lab, usage de l’IA générative dans les TPE-PME ; Baromètre Centre Inffo-CSA, 6e édition (avril 2025)
On résume souvent le shadow AI à un problème de confidentialité. C’est réducteur. Il y a trois familles de risques distinctes, et la troisième, la qualité, est celle que les dirigeants sous-estiment le plus.
C’est le risque le plus direct. Un salarié colle un fichier clients, un contrat, un budget ou un compte rendu interne dans un outil gratuit. Ces données partent sur un serveur externe, sur un compte personnel hors de tout contrat avec l’éditeur. Sur les versions grand public, elles peuvent en plus servir à entraîner le modèle et être conservées des mois, voire des années. L’entreprise n’a aucune trace de ce qui est sorti, ni aucun moyen de le récupérer. Quand une violation implique ce type d’usage non encadré, elle compromet des données personnelles dans 65 % des cas, contre 53 % en moyenne pour les autres incidents.
Dès qu’un prompt contient un nom, un e-mail, un numéro de dossier ou un avis client nominatif, vous traitez des données personnelles. Et c’est vous, l’entreprise, qui en restez responsable devant la CNIL, pas l’éditeur de l’outil. Sur un compte personnel gratuit, sans contrat de sous-traitance ni base légale identifiée, ce traitement est tout simplement hors cadre. Le mécanisme précis (qui traite quoi, où vont les données, quelle base légale) mérite un article à lui seul : nous le détaillons dans notre guide sur le RGPD et l’IA, et où vont vraiment vos données. Pour les usages qui décident du sort de personnes (tri de CV, scoring), s’ajoute l’AI Act, dont nous expliquons les obligations concrètes pour une PME dans notre dossier sur l’AI Act côté PME.
C’est le risque le moins visible et le plus quotidien. Un assistant IA peut inventer un chiffre, une référence légale, une clause de contrat, tout en ayant l’air parfaitement sûr de lui. Sans cadre, ce contenu part chez un client, dans un devis, dans une note interne, sans relecture critique. Le salarié, qui n’a pas été formé, ne sait pas où l’outil se trompe le plus souvent. Un texte fluide n’est pas un texte juste. Une entreprise qui laisse circuler des livrables produits par IA sans vérification expose sa crédibilité autant que ses données. La fuite se répare parfois. Une fausse information envoyée à un client, beaucoup moins.
Voici, pour chaque risque, ce qui se passe en l’absence de cadre et la parade concrète à mettre en place. C’est la grille à garder sous les yeux quand vous arbitrez.
| Risque | Ce qui se passe sans cadre | La parade concrète |
|---|---|---|
| Fuite de données | Fichiers clients, contrats, RH collés dans un outil gratuit, hors de tout contrôle | Offre entreprise (no-training), liste des données interdites, anonymisation avant envoi |
| RGPD / juridique | Traitement de données personnelles sans base légale ni sous-traitance, responsabilité de l’entreprise engagée | Contrat de sous-traitance (DPA) signé, base légale identifiée, information des personnes |
| Qualité des contenus | Erreurs et inventions de l’IA reprises telles quelles dans des livrables clients | Règle de relecture humaine systématique, formation aux limites de l’outil |
| Perte de visibilité | La direction ignore qui utilise quoi, sur quelles données : pilotage impossible | Cartographie des usages réels, outils validés et connus, charte écrite |
Le premier réflexe d’un dirigeant inquiet est souvent une note de service : « l’usage de ChatGPT est interdit ». L’intention est saine. Le résultat est l’inverse de celui recherché.
L’interdiction ne supprime pas le besoin, elle le déplace. Le salarié qui gagnait une heure par jour avec l’IA ne va pas y renoncer : il va simplement la cacher, sortir son téléphone personnel, utiliser un compte qu’aucun service informatique ne voit. Vous passez d’un usage visible et améliorable à un usage clandestin et incontrôlable. Les chiffres le confirment : la grande majorité des organisations victimes d’une faille liée à l’IA n’avaient aucun contrôle d’accès en place, et près des deux tiers n’avaient pas de politique de gouvernance du tout. Le problème n’est jamais l’usage, c’est l’absence de cadre.
Réponse directe : on ne réduit pas le shadow AI en l’interdisant, mais en offrant une alternative officielle meilleure que la version sauvage. Un outil validé, une charte claire et une formation courte ramènent les usages dans le périmètre de l’entreprise. L’interdiction sèche, elle, ne fait que les rendre invisibles.
Encadrer le shadow AI ne demande ni budget lourd ni service informatique étoffé. Quatre leviers suffisent, dans l’ordre où ils produisent le plus d’effet. Une TPE peut les mettre en place en quelques semaines.
La logique d’ensemble est celle de la CNIL. Dans ses questions-réponses sur l’usage de l’IA générative, elle recommande d’encadrer cet usage par des politiques ou chartes internes définissant clairement les usages autorisés et interdits, d’interdire la fourniture de certaines données confidentielles ou personnelles, et de familiariser les utilisateurs avec le fonctionnement et les limites de ces systèmes. La situation à éviter n’est pas le projet IA structuré, c’est l’usage diffus et individuel sans aucune règle.
Source : CNIL, questions-réponses sur l’utilisation d’un système d’IA générative
Le point de bascule n’est pas l’outil, c’est le type de compte. La même marque peut être risquée en version gratuite et conforme en version entreprise. La différence tient en trois questions à poser avant d’adopter un outil.
Les 3 questions pour valider un outil IA :
- Mes données servent-elles à entraîner le modèle ? (objectif : non par défaut)
- Y a-t-il un contrat de sous-traitance (DPA) et un hébergement maîtrisé, si possible en Europe ?
- Puis-je gérer les comptes, les accès et la rétention au niveau de l’entreprise ?
Si les trois réponses sont bonnes, l’outil peut entrer dans votre charte. Sinon, il reste un outil personnel, à proscrire pour les données professionnelles. Pour une première mise en place sans bagage technique, notre guide l’IA pour les TPE, par où commencer donne la marche à suivre étape par étape. Et avant de croire qu’un compte gratuit ne coûte rien, mesurez ce que vous payez réellement en risque et en temps perdu : nous le décortiquons dans le vrai coût de l’IA gratuite.
Ce travail d’arbitrage (cartographier les usages, choisir les bonnes offres, signer les contrats et écrire la charte) est exactement ce que notre agence met en place avec ses clients, pour que l’IA devienne un atout cadré plutôt qu’un angle mort.
Le shadow AI, qu’est-ce que c’est ?
C’est l’utilisation d’outils d’IA par les salariés sans validation ni encadrement de l’entreprise, le plus souvent via un compte personnel sur une version gratuite. Le salarié gagne du temps, mais l’entreprise ne sait ni qui utilise quoi, ni quelles données sortent, ni où elles vont.
Faut-il interdire ChatGPT au travail ?
Non, l’interdiction est contre-productive. Elle ne supprime pas le besoin, elle le rend invisible : les salariés basculent sur des comptes personnels que vous ne contrôlez plus. La bonne réponse est de fournir un outil validé et une charte claire, pour ramener les usages dans le périmètre de l’entreprise.
Quels sont les vrais risques du shadow AI ?
Trois familles. La fuite de données confidentielles vers des serveurs externes. Le risque RGPD et juridique, car l’entreprise reste responsable des données personnelles traitées. Et le risque de qualité : une IA peut inventer des informations qui partent ensuite chez un client sans relecture.
Comment encadrer l’IA sans freiner les équipes ?
Avec quatre leviers : cartographier les usages réels, fournir une ou deux offres entreprise validées, écrire une charte IA simple d’une page, et former brièvement les équipes. L’objectif est de rendre l’alternative officielle plus pratique que le compte personnel sauvage.
Une offre entreprise protège-t-elle vraiment mes données ?
Sur les offres entreprise (ChatGPT Business ou Enterprise, Copilot, Claude for Work, Mistral), le contenu saisi ne sert pas par défaut à entraîner le modèle et un contrat de sous-traitance encadre le traitement. C’est l’inverse des versions grand public. C’est la base d’un usage conforme, à compléter par une charte et de la formation.
Sources : IBM, « Cost of a Data Breach Report 2025 » et communiqué associé (étude Ponemon, 600 organisations, mars 2024 à février 2025) ; Bpifrance Le Lab, enquête sur l’usage de l’IA générative dans les TPE-PME ; CNIL, « IA et RGPD : nouvelles recommandations » (février 2025). Données à jour au 29 juin 2026.
Ordiama, c'est aussi une agence IA à Strasbourg : on crée votre site, on vous rend visible dans l'IA et on automatise vos tâches.