Shadow AI : les enjeux pour la PME
Le phénomène naît rarement d’une volonté de contourner les règles. Un salarié découvre qu’un assistant lui fait gagner une heure sur un compte rendu, l’utilise avec son compte personnel et y colle un document client. Le problème tient à ce que l’entreprise ne voit pas : quelles données sortent, sous quelles conditions d’utilisation, et quelles réponses sont reprises sans contrôle.
La CNIL donne les repères. Sur un service grand public, il faut éviter d’y saisir des données personnelles ou confidentielles, utiliser des comptes professionnels dédiés plutôt que des comptes personnels, et désactiver la réutilisation des données lorsque c’est possible. Elle recommande de définir clairement les usages autorisés et interdits dans une charte IA, de former les utilisateurs et de désigner un point de contact pour remonter les difficultés. Dès que des données personnelles sont en jeu, le RGPD s’applique.
Le shadow AI pose aussi une question d’AI Act. Selon la Commission européenne, une entreprise dont les salariés utilisent un assistant génératif dans leur travail est concernée par l’obligation de maîtrise de l’IA. Ignorer les usages réels n’en exonère pas.
Interdire sans proposer d’alternative déplace souvent le problème. Notre réflexe tient en trois étapes : mesurer d’abord, par un questionnaire anonyme sur les outils et les tâches ; proposer ensuite un outil encadré, avec comptes professionnels et réglages vérifiés ; fixer enfin les règles et former. L’objectif est de faire entrer ces usages dans votre démarche d’intelligence artificielle, pas de les faire disparaître. Notre revue gratuite des usages IA commence par ce recensement.
Notre radar des usages IA aide à faire ressortir les outils réellement utilisés par les équipes.
Exemple
Un cabinet d’architecture de 30 personnes lance un questionnaire anonyme. Sur 27 réponses, 19 personnes utilisent au moins un outil d’IA, 11 avec un compte personnel, et 4 indiquent y avoir déjà collé des pièces de projets clients. Le cabinet ouvre des comptes professionnels sur un assistant dont la réutilisation des données est désactivée, adopte une charte d’une page et organise une heure de formation. Trois mois plus tard, un second questionnaire ne relève plus aucun compte personnel déclaré.
Questions fréquentes
Faut-il interdire ChatGPT en entreprise ?
Une interdiction sans alternative pousse souvent les usages dans l’ombre. Il est plus efficace de proposer un outil encadré, de préciser les données à ne jamais saisir et de former les équipes.
Quels sont les risques du shadow AI pour une PME ?
Principalement la sortie de données confidentielles ou personnelles vers des services non maîtrisés, et la reprise de résultats erronés sans vérification. S’y ajoute une obligation de maîtrise de l’IA que l’entreprise ne peut pas remplir sans connaître les usages.
Comment savoir quels outils d’IA nos salariés utilisent ?
Le moyen le plus simple est un questionnaire anonyme, centré sur les tâches plutôt que sur les fautes. Il donne une image fidèle et prépare l’adhésion aux règles qui suivront.
Comment encadrer le shadow AI sans freiner les équipes ?
En validant un ou deux outils avec des comptes professionnels, en rédigeant une charte courte et en désignant un référent à qui poser ses questions.
Sources
- Les questions-réponses de la CNIL sur l’utilisation d’un système d’IA générative, CNIL — consulté le 16 octobre 2026
- AI Literacy - Questions & Answers, Commission européenne — consulté le 16 octobre 2026
Auteur
Clément Marchal a fondé le Cabinet Flourens. Depuis 2017, dont cinq ans à faire tourner des équipes, notamment dans un environnement régulé par l'AMF, il voit la même chose : l'IA entre dans l'entreprise par les salariés, pas par la direction. Personne ne sait qui l'utilise, sur quelles données, ni ce qu'elle rapporte. Avec Ardoise, le Cabinet Flourens met cet usage en ordre en six semaines : la carte des usages, des règles acceptées, deux automatisations ou agents IA sur vos outils et le dossier qui prouve ce que l'entreprise a fait.
L'histoire du cabinetMode d'Emploi, la lettre
Une méthode par semaine pour reprendre la main sur votre organisation. Désinscription en un clic.