Blogs

Shadow AI en entreprise : sortir l'IA générative de l'ombre

Shadow AI en entreprise : sortir l'IA générative de l'ombre

IA

Shadow AI en entreprise : sortir l'IA générative de l'ombre

Ronan Broussier

Shadow AI en entreprise : sortir l'IA générative de l'ombre

Ronan Broussier

Deux tiers des organisations observent du shadow AI selon un baromètre ESSCA et Forvis Mazars. Risques réels et méthode en 5 étapes pour bien l'encadrer.

Un lundi matin, une chargée de communication colle le compte rendu d'un comité de direction dans un assistant d'IA générative grand public pour en tirer une note de synthèse. Elle gagne une heure. Personne ne le sait, et personne ne lui a dit si elle avait le droit de le faire. Multipliez cette scène par des centaines de collaborateurs : c'est ce qu'on appelle le shadow AI, l'usage d'outils d'IA non validés par l'entreprise.

Le phénomène n'est plus marginal. Le deuxième baromètre « IA : Entreprise et Durabilité » de l'ESSCA et de Forvis Mazars, publié le 1er octobre 2026, indique que deux tiers des professionnels du numérique interrogés observent du shadow AI dans leur organisation. Et pour près d'une organisation sur quatre, la première réponse n'est ni l'interdiction ni l'encadrement, mais la tolérance.

Dans cet article, je vous propose de regarder ce que disent les chiffres récents, pourquoi l'interdiction ne fonctionne pas, quels sont les vrais risques, puis une méthode pour faire sortir ces usages de l'ombre sans casser la dynamique.

Ce que montrent les chiffres récents

Le baromètre ESSCA et Forvis Mazars repose sur 826 professionnels de l'informatique et du numérique, interrogés en mars 2026 en France, au Royaume-Uni, en Allemagne et en Espagne. Les principaux résultats :

  • 66 % observent du shadow AI dans leur organisation.

  • 24 % des organisations répondent d'abord par la tolérance.

  • 12 % constatent que le shadow AI persiste malgré une interdiction explicite.

  • 44 % seulement disposent de règles éthiques formalisées.

  • 28 % estiment que leur entreprise connaît bien l'AI Act, un niveau stable par rapport à 2024.

  • 57 % forment leurs collaborateurs (sur le périmètre France et Royaume-Uni, la part est passée de 40 % en 2024 à 62 % en 2026).

D'autres sources convergent. En France, l'enquête Ipsos BVA pour Greenworking (juin 2025, 1 000 salariés du privé) montrait que deux salariés sur trois utilisaient l'IA générative, mais que seuls 32 % utilisaient systématiquement les outils fournis par leur employeur. L'étude Microsoft France et YouGov (février 2026, 657 cadres et dirigeants) indiquait que 61 % des utilisateurs d'IA passaient par des comptes personnels au moins une fois par semaine.

À l'échelle des entreprises, la Banque de France estimait en septembre 2026 que 67 % des sociétés d'au moins 20 salariés utilisaient l'IA générative début 2026, le plus souvent de manière limitée ou expérimentale. Autrement dit : l'usage s'est diffusé plus vite que les cadres pour l'accompagner.

Une précaution de lecture s'impose. Ces études n'utilisent ni les mêmes échantillons ni les mêmes définitions. Il ne faut donc pas les additionner ni les comparer terme à terme, mais retenir la tendance commune.

Pourquoi l'interdiction ne suffit pas

Le réflexe de l'interdiction est compréhensible. Samsung l'avait adopté en 2023, après que des ingénieurs avaient collé du code source interne dans ChatGPT. Mais le baromètre le montre : 12 % des organisations voient le shadow AI persister malgré une interdiction claire.

La raison est simple. Les collaborateurs n'utilisent pas ces outils par provocation, mais parce qu'ils leur font gagner du temps sur des tâches réelles : rédiger, résumer, reformuler, analyser. Interdire sans proposer d'alternative revient à leur demander de renoncer à ce gain. Beaucoup continuent, simplement de manière plus discrète, sur leur téléphone ou leur ordinateur personnel. Le risque ne disparaît pas, il devient invisible.

Il existe aussi un effet pervers sur la culture interne. Quand l'usage est caché, il n'est pas partagé. Les bonnes pratiques ne circulent pas, les erreurs non plus. L'entreprise se prive de ce qui fait la valeur de l'IA générative au travail : l'apprentissage collectif.

Enfin, l'interdiction crée une inégalité silencieuse. Les collaborateurs les plus à l'aise avec le numérique continuent d'utiliser l'IA et en tirent un avantage, tandis que les autres respectent la règle et prennent du retard. Le baromètre ESSCA et Forvis Mazars relève d'ailleurs que 40 % des organisations investissent dans l'IA surtout par peur de « rater le train », contre 28 % pour un besoin clairement identifié. Sans cap clair ni outil commun, chacun avance à son rythme, et l'entreprise n'a aucune vision d'ensemble de ce qui se fait réellement.

Les vrais risques du shadow AI

Il ne s'agit pas de dramatiser, mais d'être précis. Les risques principaux sont au nombre de quatre.

  • La fuite de données. Un document client, une information RH ou une stratégie commerciale collée dans un outil grand public peut être conservée, voire utilisée pour entraîner des modèles selon les paramètres du compte. Les données d'éditeurs de sécurité vont dans ce sens : Netskope relevait en janvier 2026 que 47 % des utilisateurs d'IA générative au travail passaient encore par des comptes personnels.

  • La non-conformité au RGPD. Traiter des données personnelles dans un outil non référencé, sans base légale ni analyse, expose l'entreprise.

  • La qualité non contrôlée. Une synthèse erronée ou une hallucination intégrée dans un livrable client peut coûter cher, surtout si personne ne sait que l'IA a été utilisée.

  • Le décalage avec l'AI Act. L'article 4 impose aux entreprises de veiller à un niveau suffisant de maîtrise de l'IA chez les personnes qui l'utilisent. Difficile de le faire pour des usages que l'on ne connaît pas.

Gartner prévoyait en novembre 2025 que plus de 40 % des entreprises connaîtront d'ici 2030 un incident de sécurité ou de conformité lié à un shadow AI non autorisé. Il s'agit d'une projection, pas d'un constat, mais elle donne l'ordre de grandeur de l'enjeu.

Une méthode en cinq étapes pour sortir de l'ombre

Les recommandations de la CNIL, de Gartner et les retours de terrain convergent vers une même logique : reconnaître l'usage, proposer une alternative sûre, encadrer et former.

1. Faire un état des lieux sans sanction. Certaines organisations organisent une période d'« amnistie » de quelques semaines : chacun déclare les outils qu'il utilise et pour quoi faire, sans conséquence. Un simple questionnaire suffit. Vous découvrirez souvent des cas d'usage métier très pertinents.

2. Proposer un outil validé. C'est le levier le plus efficace. La CNIL recommande, pour les tâches non confidentielles, d'utiliser des comptes professionnels plutôt que personnels, avec la réutilisation des données désactivée. Un outil d'entreprise correctement paramétré (ChatGPT Enterprise, Microsoft 365 Copilot, Gemini, Claude ou une solution européenne) rend l'usage caché beaucoup moins attractif.

3. Écrire des règles courtes et claires. La CNIL invite à définir les usages autorisés et interdits. Une page suffit : quelles données ne jamais saisir, quels outils sont autorisés, qui contacter en cas de doute. Si vous partez de zéro, une charte d'usage de l'IA est un bon point de départ.

4. Former, et pas seulement informer. Une note de service ne change pas les pratiques. Des sessions de sensibilisation adaptées à chaque métier, avec des exemples concrets, permettent de comprendre pourquoi les règles existent. C'est aussi la meilleure réponse à l'article 4 de l'AI Act.

5. Suivre dans la durée. Désigner un référent, recenser régulièrement les nouveaux outils, et organiser des temps collectifs pour partager les usages qui fonctionnent. Le shadow AI se réduit quand les usages visibles deviennent plus simples et plus utiles que les usages cachés.

Qui fait quoi dans l'entreprise

Pour que la démarche aboutisse, chacun doit savoir ce qui lui revient.

  • La direction générale donne le cap : l'IA générative est bienvenue, dans un cadre. Sans ce message, les équipes interprètent le silence comme une interdiction ou comme un feu vert.

  • La DSI et le RSSI choisissent et paramètrent les outils validés, et surveillent les usages sans tomber dans le contrôle de chaque requête.

  • Le DPO identifie les traitements de données personnelles et les analyses d'impact nécessaires.

  • Les RH intègrent la formation à l'IA dans le plan de développement des compétences.

  • Les managers encouragent le partage des usages dans leurs équipes et donnent l'exemple.

Mon avis

À mon sens, le shadow AI est avant tout un signal positif mal canalisé. Il montre que vos collaborateurs ont trouvé, seuls, des usages utiles. Le problème n'est pas qu'ils utilisent l'IA, c'est qu'ils le fassent sans cadre, sans outil adapté et sans formation.

Je vous conseille donc de considérer le shadow AI non comme une faute à sanctionner, mais comme un inventaire gratuit de cas d'usage métier. Les entreprises qui réussiront ne seront pas celles qui interdisent le plus, mais celles qui rendent l'usage encadré plus simple que l'usage caché. Reste une vraie difficulté, que je ne veux pas minimiser : cela demande du temps, un budget pour les outils et un effort de formation que beaucoup d'organisations n'ont pas encore engagé.

Et chez vous, savez-vous réellement quels outils d'IA vos équipes utilisent au quotidien ? Seriez-vous prêt à leur poser la question sans arrière-pensée ?

Au plaisir de vous lire.

Passer de l'usage caché à l'usage maîtrisé

Pour donner à vos équipes un socle commun avant de déployer un outil validé, la formation aux bases de l'IA générative d'IAG Formation couvre les bons réflexes : quelles données protéger, comment vérifier un résultat, comment identifier les cas d'usage métier qui font vraiment gagner du temps.

Sources