Shadow IA : ce que vos équipes utilisent sans vous le dire

Le shadow IA, ce sont les outils d'intelligence artificielle que vos équipes utilisent sans que la direction le sache. Un compte ChatGPT personnel ouvert un soir de bouclage. Une extension de navigateur installée pour résumer des pièces jointes. Un assistant branché sur une boîte mail professionnelle. L'intention n'a rien de clandestin. Les conséquences, elles, méritent qu'on s'y arrête.

Ce que disent les chiffres, et ce qu'ils ne disent pas

L'Observatoire de l'IA responsable 2026, réalisé par l'institut ViaVoice pour Impact AI avec KPMG France et Bouygues, a interrogé mille salariés du secteur privé représentatifs de la France métropolitaine, du 17 au 26 février 2026. Quatre résultats posent le sujet.

• 47 % des salariés du privé utilisent l'IA générative au travail, et 24 % au moins une fois par semaine.
• 61 % des utilisateurs passent par une IA grand public externe, contre 19 % par un outil fourni par leur entreprise.
• 23 % ont reçu une formation à l'IA responsable, dont 6 % de manière approfondie.
• 10 % signalent l'existence d'une charte ou d'un comité éthique IA dans leur organisation.

Rapprochez le deuxième chiffre du dernier. Six utilisateurs sur dix passent par un outil que l'entreprise ne fournit pas, et une organisation sur dix a posé des règles écrites. Le shadow IA n'est pas un incident, c'est l'état par défaut.

Une seconde étude circule beaucoup sur ce sujet, AI Agents at Work 2026, commanditée par Okta et menée par Apprize360 en mars 2026. Elle annonce 52 % d'usages non autorisés dans le monde et environ 30 % en France. Son échantillon total compte 784 répondants répartis sur sept pays, soit une centaine de personnes par pays. Traitez ce 30 % comme un ordre de grandeur, pas comme une mesure. Les pages qui le citent sans préciser l'échantillon vous vendent une statistique qu'elles n'ont pas lue.

Trois risques, et un seul qui coûte vraiment

La sortie de données. Un contrat déposé dans un outil grand public quitte votre système d'information. Selon les conditions d'usage du service et le réglage du compte, il peut alimenter un entraînement. Personne dans l'entreprise ne sait quels documents sont sortis, ni quand.

La dépendance invisible. Une collaboratrice construit en six mois une méthode de travail entière autour d'un outil payé sur sa carte personnelle. Elle part, la méthode part avec elle, et son remplaçant hérite d'un poste dont une partie du fonctionnement a disparu.

La décision non traçable. Un devis, une note de cadrage, un avis juridique rédigés avec un assistant dont personne ne connaît la version ni les réglages. Quand le client conteste, l'entreprise ne sait pas reconstituer comment le document a été produit.

Le premier risque fait les gros titres. Le troisième est celui qui vous mettra en difficulté devant un client ou un assureur. Sur le volet réglementaire, le point de départ utile est ce que l'IA Act impose vraiment à une PME, et sur le volet données personnelles, ce que les recommandations de la CNIL couvrent.

Pourquoi l'interdiction ne règle rien

La note de service qui interdit ChatGPT produit un résultat mesurable : les usages continuent et cessent d'être visibles. Les salariés qui gagnent deux heures par semaine ne renoncent pas à ces deux heures, ils renoncent à en parler. L'entreprise troque un problème qu'elle pouvait observer contre un problème qu'elle ne voit plus.

L'étude ViaVoice donne d'ailleurs un contre-argument utile : les salariés formés à l'IA responsable utilisent l'IA générative à 90 %, contre 47 % en moyenne. Former ne freine pas l'usage, cela le déplace vers des pratiques qu'on peut regarder.

L'inventaire, en une semaine et sans outil

Avant de poser la moindre règle, il faut savoir ce qui circule. Quatre gestes suffisent, et aucun ne demande de logiciel de supervision.

Un, la question posée sans menace. Un message aux équipes qui annonce franchement l'intention : on cherche à encadrer, pas à sanctionner, et aucun usage déclaré ne vaudra reproche. Sans cette phrase, vous obtiendrez des réponses polies et fausses.

Deux, les notes de frais et les abonnements. La comptabilité connaît déjà une partie de la réponse. Les abonnements à vingt euros par mois remboursés en note de frais dessinent la carte des outils adoptés.

Trois, un entretien par service. Trente minutes avec une personne par métier, sur ce qu'elle fait réellement, pas sur ce qu'elle est censée faire. Les usages intéressants ne sont jamais ceux qu'on anticipe depuis la direction.

Quatre, la liste des données concernées. Pour chaque usage relevé, une colonne : quelles informations sont sorties. C'est cette colonne qui classera les usages, pas le nom de l'outil.

Ce qu'on fait de l'inventaire

La liste obtenue se trie en trois piles.

À encadrer. Les usages qui apportent un gain réel sur des données non sensibles. On les reprend tels quels, on les documente, on les ouvre aux autres. C'est la pile qui crée de la valeur et elle est presque toujours la plus grosse.

À remplacer. Les usages utiles sur des données qui ne devaient pas sortir. L'outil change, le geste reste. Un compte professionnel avec les bons réglages règle la plupart de ces cas.

À arrêter. La pile la plus mince. Elle existe, elle est rarement celle qu'on redoutait.

Qui tranche, qui relit, ce qu'on dit aux personnes : ces arbitrages sont détaillés dans notre article sur la gouvernance IA. La pile « à encadrer » alimente ensuite la liste des cas d'usage et la feuille de route. Une fois ce tri fait, les règles écrites se rédigent en une heure parce qu'elles décrivent des situations réelles. Dans l'autre sens, une charte rédigée avant l'inventaire interdit des usages qui n'existent pas et autorise ceux qu'on n'a pas vus. Si vous voulez un point de départ, le générateur de charte IA produit un document adapté à vos outils et à votre cadre social, et il se corrige ensuite avec les résultats de l'inventaire.

Quand le faire faire

Cet inventaire se mène en interne. Une direction qui a le temps, la confiance de ses équipes et l'habitude de ce genre d'entretien n'a besoin de personne. Un regard extérieur sert dans deux cas : quand les équipes parleront plus librement à quelqu'un qui ne note pas leur entretien annuel, et quand la question suivante arrive, celle de la hiérarchisation des usages à industrialiser. C'est le travail que couvre l'audit IA, dont l'inventaire du shadow IA constitue la première journée.

Le document lui-même. Ce qu'il faut mettre dans une charte IA d'entreprise, et le cadre de confiance qui la rend tenable auprès des équipes.