Qu’est-ce que la shadow IA ?
La shadow IA désigne tous les outils d’IA générative utilisés pour le travail sans validation de l’entreprise : la version gratuite d’un chatbot, une application de transcription sur un téléphone personnel, une extension de navigateur qui reformule les mails.
Elle hérite du shadow IT, le tableur hébergé on ne sait où ou la messagerie installée sans prévenir. Avec une différence de taille : un outil de shadow IT stocke ce qu’on lui confie. Un outil d’IA le lit, le reformule et le renvoie dans un devis, un mail client, une note de direction. La donnée sort, et la réponse revient dans vos documents officiels.
Ce que disent les chiffres
Le 14 septembre 2026, Cybermalveillance.gouv.fr publie ses recommandations pour encadrer l’IA générative en entreprise. Les chiffres relayés avec cette publication : 45 % des salariés utilisent des outils d’IA non autorisés, et 36 % d’entre eux y collent des données confidentielles.
Bpifrance Le Lab avait posé le décor dès son étude de 2024 sur les entreprises françaises et l’IA : 54 % des utilisateurs travaillaient sur des outils gratuits et génériques, et 73 % des projets IA étaient portés par le seul dirigeant.
Mis bout à bout, ces chiffres décrivent une entreprise coupée en deux. Le dirigeant teste seul, de son côté. Les équipes font la même chose, du leur. Personne n’en parle à personne.
Ce qu’on voit chez nos clients
Le schéma revient dans presque toutes les PME qu’on accompagne. Le dirigeant a un abonnement payant à un assistant grand public, il avance vite et il en est content. Ses équipes utilisent des versions gratuites, tolérées tant que personne ne pose la question.
Résultat : le dirigeant ne sait pas quels documents sont sortis de l’entreprise, ni quelles réponses inventées sont entrées dans un devis. Il ne sait pas non plus quels salariés ont trouvé des usages qui feraient gagner une heure par jour à tout le service.
Un cas nous a appris quelque chose. Un de nos clients, une petite structure abonnée à une offre mensuelle, nous a quittés pour un compte Claude. Puis il a pris des licences pour ses collaboratrices. On ne le compte pas comme une perte : il a fait ce que la plupart des dirigeants ne font pas, donner un outil officiel à son équipe au lieu de laisser chacun bricoler le sien.
Pourquoi l’interdiction échoue
Le réflexe, c’est de bloquer les sites des chatbots sur le réseau de l’entreprise. Le lendemain, l’usage passe sur le téléphone personnel, en 4G. Vous avez perdu la seule chose que vous aviez : la possibilité de voir.
On a déjà vu ce film avec le CRM. Un outil imposé d’en haut, qui ne rend pas service à ceux qui doivent l’utiliser, produit un contournement : le tableur parallèle, le carnet, les notes dans le téléphone. On l’a décrit dans Votre CRM ne sert à rien. La shadow IA suit la même pente, en plus rapide.
Un salarié qui utilise l’IA en cachette n’est pas en faute. Il a trouvé un moyen de travailler plus vite et personne ne lui a proposé mieux.
Ce que la shadow IA vous coûte, concrètement
Les données. Un nom de client, un montant, une clause de contrat collés dans un outil gratuit partent chez un éditeur avec lequel vous n’avez signé aucun contrat de sous-traitance. Pour les données personnelles, c’est l’article 28 du RGPD qui s’applique, et c’est l’entreprise qui est exposée. On détaille la méthode dans RGPD et assistants IA.
La qualité. Un chatbot généraliste ne connaît ni votre grille tarifaire, ni vos références, ni vos engagements contractuels. Il comble avec du plausible. Le plausible part chez le client sous votre logo.
Le savoir. Le salarié qui a trouvé la bonne façon de préparer un compte rendu de chantier en 5 minutes garde sa méthode dans son téléphone. Le jour où il part, elle part avec lui.
Reprendre la main en 4 semaines
Semaine 1, l’inventaire. Demandez à chaque équipe quels outils d’IA elle utilise, pour quoi faire, avec quelles données. Promettez par écrit qu’aucun usage déclaré ne sera sanctionné. Sans cette promesse, vous n’obtiendrez que les usages déjà autorisés.
Semaine 2, l’outil officiel. Choisissez un outil payant, avec un contrat, un hébergement connu et l’engagement écrit que vos données n’entraînent aucun modèle. Nos 10 questions à poser à votre fournisseur IA font le tri en une réunion.
Semaine 3, la règle d’une page. Ce qui peut entrer dans l’outil, ce qui ne doit jamais y entrer : données nominatives de clients, chiffres non publiés, contrats signés. Une page, pas un règlement de 20 pages que personne ne lira.
Semaine 4, la mise en commun. Les usages remontés en semaine 1 qui font gagner du temps deviennent des outils d’équipe. C’est le travail d’un assistant forgé sur vos documents : la méthode d’un salarié devient celle du service, avec des sources citées et un journal que vous pouvez consulter.
Trois questions à poser cette semaine
Pas d’audit, pas de logiciel de surveillance. Trois questions, posées en réunion d’équipe, avec la promesse de ne sanctionner personne.
La réponse à la deuxième vous dit votre niveau de risque. La réponse à la troisième vous dit par quel assistant commencer.
Qu’est-ce que la shadow IA ?
L’usage par les salariés d’outils d’IA générative que l’entreprise n’a ni choisis ni encadrés : versions gratuites de chatbots, applications sur téléphone personnel, extensions de navigateur. Le risque principal tient aux documents et aux données qu’ils y collent.
La shadow IA est-elle illégale ?
Pas en soi. Le risque juridique vient des données : coller des données personnelles de clients dans un outil sans contrat de sous-traitance au sens de l’article 28 du RGPD expose l’entreprise, pas seulement le salarié.
Faut-il interdire ChatGPT en entreprise ?
Interdire sans alternative déplace l’usage vers les téléphones personnels. Fournissez d’abord un outil encadré, écrivez une règle d’une page, puis interdisez ce qui reste hors cadre.
Comment savoir quels outils d’IA mes salariés utilisent ?
En le demandant, avec l’engagement qu’aucun usage déclaré ne sera sanctionné. L’analyse des journaux réseau vient en complément : elle rate les usages sur téléphone personnel et casse la confiance si elle passe en premier.
Une charte IA suffit-elle ?
Non. Une charte sans outil fourni reste un document. Une règle d’une page associée à un outil que les équipes préfèrent à leurs versions gratuites change les pratiques.
Sources
- Cybermalveillance.gouv.fr, recommandations pour encadrer l’usage de l’IA générative en entreprise, 14 septembre 2026.
- Bpifrance Le Lab, « Les entreprises françaises et l’IA », 2024.
- Observations terrain Forgeron3 auprès de PME clientes, 2025 à 2026.
Venez avec la liste des outils d’IA que vos équipes déclarent utiliser. On vous montre l’assistant qui reprend ces usages sur vos propres documents, ce qu’il lit, ce qu’il cite, et où il s’arrête.
Demander une démo→