Le shadow AI, c'est l'IA que vos salariés utilisent pour travailler sans que l'entreprise l'ait choisie ni encadrée, le plus souvent avec un compte personnel. Il ne se règle pas par une interdiction : on le mesure d'abord, puis on décide usage par usage s'il faut le garder et l'encadrer, l'outiller ou l'arrêter.
Qu'est-ce que le shadow AI ?
Le shadow AI désigne l'usage d'outils d'intelligence artificielle par les salariés sans validation ni encadrement de l'entreprise. Il s'agit surtout d'assistants génératifs grand public, ouverts avec un compte personnel, gratuit ou payé de sa poche, pour rédiger, résumer, traduire ou analyser.
Le terme vient de « shadow IT », qui désigne tout logiciel utilisé sans l'accord de l'entreprise, comme un espace de stockage en ligne personnel. Le shadow AI en est une forme plus sensible, pour une raison simple : un outil d'IA reçoit du contenu (un texte, un tableau, un document client) et rend des résultats que l'on reprend dans son travail. Ce qui sort compte autant que ce qui revient.
Trois portes d'entrée reviennent souvent :
- le compte personnel sur un assistant grand public, utilisé pour le travail de l'entreprise ;
- la fonction activée : une IA ajoutée dans un logiciel déjà payé (CRM, suite bureautique, outil de support), mise en service sans décision de la direction ;
- l'extension de navigateur, qui lit les pages ouvertes, résume les e-mails ou rédige les réponses.
Le mot « shadow » ne dit rien de l'intention. Dans la plupart des cas, le salarié cherche simplement à mieux faire son travail. C'est ce qui rend le sujet délicat pour un dirigeant : il faut protéger l'entreprise sans punir ceux qui ont trouvé quelque chose d'utile, et sans perdre ce qu'ils ont appris.
Shadow IA ou shadow AI : est-ce la même chose ?
Oui. « Shadow IA » est la version française de « shadow AI » ; on parle aussi d'IA fantôme. Les trois expressions désignent la même réalité : des usages de l'IA qui échappent à la vue de l'entreprise.
La nuance utile n'est pas dans le mot, mais dans le périmètre. Le shadow IA ne se limite pas aux salariés qui ouvrent un assistant conversationnel. Il couvre aussi les fonctions d'IA qui s'activent dans des logiciels déjà en place, parfois à l'occasion d'une simple mise à jour, et les prestataires qui travaillent pour vous avec leurs propres outils. Pour la direction, la question reste la même : qui utilise l'IA chez nous, pour quoi faire, et sur quelles données ?
Ce n'est pas un phénomène marginal. Selon le baromètre France Num 2026 de la DGE (septembre 2026), 53 % des PME françaises utilisent une solution d'IA. Selon Coface et Les Echos Études (baromètre Data et IA, octobre 2026), 60 % des entreprises n'ont aucun cadre formalisé d'usage. Entre ces deux constats se loge le shadow IA : un usage réel, sans règle commune. Ces chiffres sont des moyennes nationales ; seule une mesure dans votre entreprise dira où vous en êtes.
IA en cachette : pourquoi vos salariés ne vous disent rien ?
Parce que personne ne leur a dit ce qui était permis, et que parler, c'est risquer de perdre un outil devenu utile. L'IA en cachette s'installe en quatre temps : un gain réel, aucun outil fourni, aucune règle écrite, puis le silence.
Le premier temps est presque toujours positif. Un salarié découvre qu'un assistant lui fait gagner du temps sur un compte rendu, une relance ou une traduction. Faute d'outil fourni, il prend ce qu'il a sous la main : son compte personnel. Faute de règle, il ne sait pas s'il a le droit, et préfère ne pas poser la question. Le silence n'est pas une dissimulation organisée ; c'est la conséquence logique d'un cadre absent.
Les études nationales confirment l'ampleur de l'usage de l'IA par les salariés hors de tout cadre. Entre 31 % et 44 % des salariés français apportent leurs propres outils d'IA au travail, selon deux études (Okta, AI Agents at Work 2026 ; EY, Work Reimagined 2025). Selon Okta, 23 % partagent des documents confidentiels avec des IA. Les enquêtes sur l'ia au travail ne mesurent pas toutes la même chose, mais elles convergent sur un point : l'usage précède le cadre.
Ce que les salariés attendent est rarement une interdiction. Ils veulent savoir quels outils sont autorisés, quelles données ils peuvent utiliser, et disposer d'un compte fourni par l'entreprise. Autrement dit, savoir comment utiliser chatgpt au travail, ou n'importe quel autre assistant, sans se mettre en faute. Tant que la réponse n'existe pas, l'IA reste en cachette, et la direction reste dans le noir.
Quels sont les risques du shadow AI pour une PME ?
Le danger tient moins à l'outil qu'à ce que la direction ne voit pas : les données qui sortent, les résultats repris sans contrôle et les gains qui restent individuels. Chacun de ces risques a une parade simple, et aucune ne suppose d'interdire l'IA.
| Angle mort | Ce qui peut arriver | Premier geste |
|---|---|---|
| Les données | Un fichier client, un contrat ou des chiffres non publiés partent vers un service dont l'entreprise ne connaît pas les conditions | Écrire la liste des données à ne jamais saisir |
| Les comptes | Un compte personnel garde l'historique des échanges, même après le départ du salarié | Fournir des comptes professionnels pour les usages retenus |
| Les résultats | Une réponse fausse (chiffre, nom, référence) part chez un client sans relecture | Poser la règle : tout ce qui sort est relu par une personne |
| Les clients | Un grand compte demande votre politique IA dans son questionnaire fournisseur | Tenir une carte des usages et des règles d'une page |
| Les gains | Une bonne façon de faire reste dans la tête d'une personne et part avec elle | Repérer et partager les usages qui marchent |
Le risque le plus concret reste la fuite de données chatgpt, ou son équivalent sur un autre assistant : elle commence rarement par une attaque, presque toujours par un copier-coller. Dès que des données personnelles sont en jeu, le RGPD s'applique, et certaines catégories, les données sensibles, sont interdites de traitement par principe. La CNIL recommande d'éviter de saisir des données personnelles ou confidentielles dans un service grand public, de préférer des comptes professionnels et de désactiver la réutilisation des données quand c'est possible.
Le risque que l'on oublie est inverse : les gains perdus. Un usage caché ne profite qu'à une personne. Les bonnes pratiques ne circulent pas, et les licences payées dorment pendant que les comptes personnels servent. Pour un panorama plus large des risques ia en PME, et pour les classer par gravité et par probabilité, la matrice des risques ia proposée en modèle aide à faire le tri.
Comment savoir qui utilise l'IA, et sur quelles données ? La méthode CARTE
En mesurant avant d'interdire. La méthode CARTE, conçue par le Cabinet Flourens, tient en cinq étapes qui aboutissent à une carte d'une page et à une décision par usage. C'est la première étape d'Ardoise, notre démarche pour mettre l'IA en ordre de marche (semaines 1 et 2), et vous pouvez aussi la conduire vous-même.
- C · Compter les outils. Ce qui se voit sans demander à personne : abonnements, comptes créés avec l'adresse de l'entreprise, extensions de navigateur, notes de frais, fonctions IA activées dans les logiciels déjà payés.
- A · Anonymement, demander. Un questionnaire anonyme centré sur les tâches, pas sur les fautes : outils, tâches, fréquence, type de données saisies, compte personnel ou professionnel, ce qui aiderait. Un modèle de questionnaire usage ia salariés vous évite de partir d'une page blanche.
- R · Rencontrer. 8 à 12 entretiens courts de 30 minutes, choisis pour couvrir les métiers, pour comprendre les usages qui marchent et ceux qui inquiètent. Notre grille d'entretien usages ia donne les questions et la fiche de prise de notes.
- T · Trier. Chaque usage se place sur deux axes : les données engagées (publiques, internes, confidentielles ou personnelles) et le gain pour le travail (faible, réel, fort).
- E · Établir la carte et décider. Une carte d'une page, et une décision par usage parmi trois : garder et encadrer, outiller (compte professionnel, réglages vérifiés, voire automatisation), arrêter (avec une alternative).
Le questionnaire n'obtient des réponses honnêtes qu'à quatre conditions. Il est vraiment anonyme : ni nom, ni e-mail, ni adresse IP enregistrés. Ses résultats sont regroupés : aucun résultat n'est présenté pour un groupe de moins de cinq personnes. L'annonce dit par écrit qu'aucune sanction ne suivra. Et les questions portent sur les tâches, pas sur ce que chacun aurait dû faire. Traitez-le comme un traitement de données : informez les salariés et vérifiez la base légale avec votre DPO ou votre conseil.
Ce guide présente la méthode en version courte. Le pas à pas complet, avec un exemple de carte et les cas particuliers, figure dans notre guide de méthode : cartographie usages ia. Pour situer ensuite l'entreprise dans la durée, une grille maturité ia complète la carte.
Faut-il interdire ChatGPT en entreprise ?
Non, pas sans alternative. Une interdiction seule déplace les usages vers le téléphone personnel : l'entreprise perd la visibilité, les données ne sont protégées que sur le papier, et les gains disparaissent ou se cachent.
Beaucoup de dirigeants tapent « interdire chatgpt entreprise » dans un moteur de recherche après un incident ou une alerte d'un client. La réaction se comprend. Elle produit pourtant l'inverse de l'effet recherché : les salariés qui utilisaient l'IA continuent, mais n'en parlent plus du tout. Encadrer sans interdire, c'est accepter de regarder les usages en face, puis trancher usage par usage :
- garder et encadrer : l'usage continue, avec les règles écrites et la vérification humaine ;
- outiller : un compte professionnel, des réglages vérifiés, voire une automatisation quand la tâche se répète ;
- arrêter : toujours avec une alternative, selon le principe « pas ça, mais ceci ».
Quelques exemples d'alternatives : au lieu de coller un export du fichier clients, utiliser un export sans nom ni coordonnées ; au lieu du compte personnel, le compte professionnel fourni ; au lieu d'envoyer une réponse générée sans la lire, relire et vérifier chiffres et noms ; au lieu de demander à l'IA de trier des candidats, l'utiliser pour reformuler l'offre et trier soi-même. Ce dernier usage n'est pas anodin : l'AI Act range le tri de candidatures parmi les usages à haut risque de son annexe III (emploi et gestion des travailleurs).
Une leçon ancienne éclaire le sujet. Les ascenseurs automatiques ont mis longtemps à être adoptés ; la confiance est venue avec le bouton d'arrêt d'urgence et le téléphone de la cabine. On n'adopte pas un outil parce qu'il marche, mais parce qu'on sait comment l'arrêter. Des règles claires jouent ce rôle pour l'IA : elles rassurent assez pour que l'usage sorte de l'ombre.
Quelles règles poser dès cette semaine ?
Quatre règles tiennent sur une page et protègent tout de suite, avant même que la carte soit établie. Elles seront remplacées par des règles définitives, écrites à partir des usages réels.
- Les données à ne jamais saisir : données de clients identifiables, données personnelles, informations sur des collègues, accès et mots de passe, code source, chiffres financiers non publiés. En cas de doute, on ne saisit pas et on demande.
- Les comptes professionnels : pour le travail de l'entreprise, on utilise les outils et comptes fournis. Un outil manque ? On le demande au référent.
- La vérification humaine : un résultat de l'IA est un brouillon. Tout ce qui part vers un client est relu ; chiffres, noms, dates et références sont vérifiés à leur source.
- Le contact : un référent nommé, à qui l'on signale un doute ou un incident le jour même. Signaler un incident n'est pas une faute ; le cacher en est une.
Ces règles provisoires suivent les repères de la CNIL pour l'IA générative, qui recommande aussi une charte IA définissant les usages autorisés et interdits, la formation des utilisateurs et un point de contact. Le kit Word fourni avec ce guide contient la version prête à adapter, le message d'annonce aux équipes (« nous voulons savoir, pas punir ») et le questionnaire anonyme à copier dans un formulaire.
Le calendrier des 30 premiers jours tient en six temps. Le premier jour, la direction annonce la démarche, diffuse les règles provisoires et nomme le référent. La première semaine, on compte les outils et on ouvre le questionnaire anonyme. La deuxième, on conduit les entretiens. La troisième, on trie et on établit la carte. La quatrième, on décide : comptes professionnels ouverts, usages arrêtés avec leur alternative, CSE informé ou consulté selon l'avis de votre conseil. Au trentième jour, on restitue les résultats regroupés aux équipes et on fixe la date de la prochaine revue.
Que change l'article 4 de l'AI Act pour le shadow AI ?
Une PME dont les salariés utilisent un assistant génératif dans leur travail est « déployeur » au sens de l'AI Act. Depuis le 2 février 2025, elle doit prendre des mesures pour développer la maîtrise de l'IA de son personnel, et ignorer les usages réels n'en exonère pas.
L'AI Act, ou règlement (UE) 2024/1689, est entré en vigueur le 1er août 2024. Son article 3 désigne comme déployeur toute personne qui utilise un système d'IA sous sa propre autorité, hors activité personnelle : c'est le cas de l'entreprise dont les équipes se servent d'un assistant pour rédiger ou traduire. Le règlement (UE) 2026/1744, dit omnibus numérique, adopté le 8 juillet 2026 et entré en vigueur le 27 juillet 2026, a fait de l'article 4 une obligation de moyens : l'entreprise prend des mesures pour soutenir la maîtrise de l'IA de son personnel, sans qu'un niveau précis soit exigé de chacun.
Selon la Commission européenne, aucun certificat ni format de formation n'est imposé, et garder une trace des actions menées est utile. Le shadow AI pose ici un problème pratique : on ne peut ni former ni documenter des usages que l'on ne connaît pas. La carte des usages devient la première pièce du dossier : qui utilise quoi, quelles règles ont été diffusées, qui a été formé, et quand.
Le calendrier général reste à surveiller : application générale du règlement depuis le 2 août 2026, dont les obligations de transparence de l'article 50 ; règles des systèmes à haut risque de l'annexe III, dont ceux liés à l'emploi, au 2 décembre 2027.
Faut-il consulter le CSE quand les salariés utilisent l'IA d'eux-mêmes ?
C'est possible, et le risque n'est plus théorique. Le 21 mai 2026, la cour d'appel de Paris a confirmé la suspension de l'usage d'outils d'IA générative dans une entreprise qui n'avait pas consulté son CSE, y compris pour un usage facultatif ou déjà pratiqué (n° 25/13234, commenté dans la Gazette du Palais).
Dans les entreprises d'au moins 50 salariés, l'article L2312-8 du Code du travail prévoit que le CSE est informé et consulté sur l'introduction de nouvelles technologies. Un outil adopté par les salariés eux-mêmes peut donc relever de cette consultation. Sous ce seuil, les attributions du CSE sont plus limitées, mais informer les représentants du personnel reste utile pour l'adhésion aux règles.
Le choix entre une simple information et une information-consultation, le calendrier et l'ordre du jour relèvent de la direction et de son avocat. Ce que la méthode CARTE apporte, ce sont les faits : une carte des usages, des résultats regroupés, des règles proposées. C'est la matière d'une note au CSE solide. Ce guide est une information générale, à compléter par l'avis d'un conseil : il ne remplace pas l'avis d'un avocat sur votre situation.
Comment relier le shadow AI à un audit et à une revue régulière ?
En faisant de la carte un document vivant, revu au moins une fois par an et à chaque signal qui change la donne. Reprendre la main n'est pas un projet qui se termine : c'est un cycle court entre la carte, les règles, la formation, la trace et la revue.
Six moments doivent rouvrir la carte : le passage du cap des 50 salariés, le questionnaire fournisseur d'un grand compte qui demande votre politique IA, une levée de fonds ou une cession qui se prépare, l'arrivée de nouvelles personnes, une nouvelle fonction d'IA dans un logiciel déjà payé, et tout incident. L'enjeu grandit avec l'entreprise : selon l'Insee, 15 % des entreprises de 10 à 49 salariés utilisent au moins une technologie d'IA en 2025, contre 31 % de celles de 50 à 249 salariés.
Si vous voulez aller plus loin qu'une carte, un audit ia entreprise examine aussi les outils, les contrats et les processus. Pour situer votre progression d'une année sur l'autre, notre article sur la maturité ia entreprise donne les repères des différents stades.
Pour commencer, téléchargez le guide PDF de 32 pages et son kit Word avec le formulaire de cette page. Si vous préférez en parler, la Revue des usages IA dure 30 minutes, en visio, offerte, avec Clément Marchal : qui utilise l'IA chez vous, sur quelles données. Si Ardoise vous sert, une proposition de deux pages arrive sous 48 heures.