Le Shadow Artificial Intelligence : vos collaborateurs utilisent l’IA. Vous n’en savez rien.

Cet article fait environ 1200 mots. Temps de lecture estimé : 6 minutes

avec ChatGPT

AVEC CLAUDE

Personne n’a demandé l’autorisation. Et pourtant, dans votre organisation, des outils d’intelligence artificielle (Chat GPT, Gamma, Claude) sont utilisés tous les jours par vos équipes. Pour rédiger des emails, résumer des réunions, analyser des données clients, générer des rapports.

Avec vos données. Sur des serveurs que vous ne contrôlez pas. Sans que votre service informatique, votre direction juridique, ou vous-même ne le sachiez.

Ce phénomène a un nom : le Shadow Artificial Intelligence (ou Shadow AI). Et il est très probablement déjà chez vous.

Sommaire

Le Shadow AI : on parle de quoi ?

Pourquoi le Shadow AI s’installe sans que vous le décidiez ?

Je risque quoi à laisser faire mes collaborateurs ?

Comment je peux détecter le Shadow AI dans ma société ?

Passer du Shadow AI à une gouvernance IA

Le Shadow AI révèle quelque chose d’utile pour vous

Le Shadow AI : on parle de quoi ?

Le terme vient du « Shadow IT », une pratique bien connue des DSI où des salariés utilisent des logiciels non validés par l’entreprise pour aller plus vite ou mieux travailler.

Le Shadow Artificial Intelligence en est la version actuelle : l’usage non autorisé, non supervisé ou non contrôlé d’outils d’intelligence artificielle par des employés, sans validation des équipes IT, sécurité ou direction.

Ce qui distingue le Shadow AI du Shadow IT, c’est l’échelle et la vitesse. ChatGPT a atteint 100 millions d’utilisateurs en deux mois. Aucun logiciel métier n’avait jamais connu une adoption aussi rapide. Les équipes n’ont pas attendu une note de service pour commencer.

Le Shadow AI désigne des situations très concrètes : un commercial qui colle un contrat client dans ChatGPT pour en extraire les points clés. Une assistante qui utilise Copilot pour rédiger des courriers avec des données RH. Un manager qui demande à Gemini d’analyser un fichier de résultats financiers.

Chaque usage individuel semble anodin. Mais quand on accumule avec tous les collaborateurs, ça ne l’est plus.

Pourquoi le Shadow AI s’installe sans que vous le décidiez ?

Vos collaborateurs ne cherchent pas à nuire. Ils cherchent à gagner du temps.

L’IA générative répond à un besoin réel : aller plus vite sur les tâches répétitives, améliorer la qualité d’un document, trouver une information enfouie dans un long fichier. Quand un outil est utile et accessible en trente secondes, les équipes l’adoptent. Sans attendre.

Le problème vient de l’absence de réponse côté organisation. Quand une entreprise ne propose pas d’outils IA validés, ses collaborateurs trouvent les leurs. Quand elle n’a pas de politique sur l’usage de l’IA, chacun interprète selon son bon sens.

Le Shadow AI est rarement le symptôme d’une mauvaise volonté.

Il se développe aussi parce que les outils peuvent passer sous les radars. Contrairement à l’installation d’un logiciel, utiliser ChatGPT depuis un navigateur ne laisse aucune trace dans les systèmes de l’entreprise. Personne ne reçoit d’alerte.

Deux salariés qui utilisent l'intelligence artificielle

Je risque quoi à laisser faire mes collaborateurs ?

Problème de conformité.
Quand un collaborateur colle un document dans un outil IA grand public, les données quittent votre périmètre. Potentiellement stockées sur des serveurs hors UE, potentiellement utilisées pour entraîner des modèles. En cas de violation, c’est votre responsabilité, pas celle de l’éditeur de l’outil. Le RGPD s’applique dès lors que des données personnelles sont traitées par un outil tiers. L’AI Act impose une traçabilité des usages IA à risque.

Dépendance invisible à des outils.
Sans inventaire des usages, vous ne savez pas sur quels outils votre activité repose réellement. Si un outil disparaît ou change ses conditions, vous découvrez que des processus entiers en dépendaient.

Des livrables de moins bonnes qualité.
Un collaborateur génère un document avec une IA et l’envoie sans relire. Une analyse produite par un modèle contient des erreurs factuelles. Sans cadre, la qualité des livrables devient aléatoire.

Comment je peux détecter le Shadow AI dans ma société ?

Vous ne pouvez pas voir directement ce qui se passe. C’est la nature même du phénomène.
Mais des signaux indirects existent.

Lors des entretiens avec vos équipes, posez la question directement.
« Utilisez-vous des outils IA dans votre travail quotidien ? » La plupart diront oui. Très peu auront reçu une autorisation formelle.

Regardez vos flux de données.
Des exports inhabituels, des fichiers copiés en dehors des outils habituels, des accès depuis des navigateurs personnels sur des ressources internes.

Observez les comportements.
Une équipe qui produit soudainement beaucoup plus vite, avec un style d’écriture différent, ou qui utilise des formulations qu’elle n’employait pas avant.

Auditez vos outils cloud.
Les plateformes comme Microsoft 365 ou Google Workspace permettent de voir quelles applications tierces ont été autorisées par les utilisateurs à accéder à leurs comptes.

Shadow AI : problème à éradiquer ou bon signal à écouter ?

La réponse rapide serait d’interdire. Bloquer les accès, verrouiller les navigateurs, envoyer une note de service. Beaucoup d’entreprises l’ont fait. Ça n’a pas fonctionné.

Les entreprises qui interdisent le shadow AI sans proposer d’alternative ne le font pas disparaître, elles forcent les salariés a être encore plus discrets. Et elles perdent les bénéfices réels que leurs équipes tiraient de ces outils.

Les équipes équipées d’outils IA validés et formées à leur usage constatent des gains de productivité de 20 à 35 % sur les tâches répétitives. Le shadow AI est souvent la preuve que vos collaborateurs veulent travailler mieux. Il faut en tirer le meilleur profit.

La bonne question n’est pas « comment arrêter le shadow AI » mais « comment cadrer ces usages ».

Passer du shadow AI à une gouvernance IA

Une gouvernance IA commence par un inventaire.

Cartographier les usages existants.
Avant de poser des règles, savoir ce qui se passe réellement. Quels outils sont utilisés, par qui, pour quelles tâches, avec quelles données. Cette cartographie est souvent la découverte la plus utile : les dirigeants sous-estiment systématiquement l’étendue des usages.

Distinguer ce qui est acceptable de ce qui ne l’est pas.
Certains usages sont sans risque (générer un brouillon de mail à partir d’informations publiques). D’autres exposent l’entreprise (coller une base de données clients dans un outil non sécurisé). Le cadre doit faire cette distinction.

Former vos équipes.
L’article 4 de l’AI Act impose aux organisations une obligation de culture suffisante en matière d’IA pour l’ensemble des collaborateurs exposés à ces outils. La formation est réglementaire, pas optionnelle.

Désigner un référent.
Il faut un pilote dans l’avion. Quelqu’un doit être responsable de tenir à jour l’inventaire des outils, de valider les nouveaux usages, et de faire évoluer les règles au rythme des outils.

Le Shadow AI révèle quelque chose d’utile pour vous

Vos équipes ont adopté l’IA parce qu’elles y ont vu une valeur. Elles n’ont pas attendu de permission parce qu’elles voulaient avancer.

Ce mouvement ne s’arrêtera pas. Il s’amplifiera. La question qui reste ouverte pour chaque dirigeant : est-ce que vous le subissez ou est-ce que vous le pilotez ?

Un cadre de gouvernance IA bien construit ne bride pas cette énergie. Il lui donne un cadre.

Data scientist / Expert Cloud & Cybersécurité

Fabien Serra

FAQ :

Quelle est la différence entre shadow AI et shadow IT ?

Le shadow IT désigne l’usage de logiciels non autorisés en général. Le shadow artificial intelligence en est la variante spécifique aux outils d’IA, avec des risques amplifiés sur la protection des données personnelles et la conformité au RGPD et à l’AI Act.

Est-ce que le shadow AI concerne les PME ?

Oui, et souvent davantage que les grandes entreprises. Les PME ont moins de ressources pour superviser les usages, moins d’outils de monitoring, et des collaborateurs qui adoptent les outils grand public parce qu’aucune alternative interne n’existe. Près de la moitié des utilisateurs d’IA générative s’appuient sur des applications personnelles totalement hors du contrôle de l’organisation.

Quels outils sont les plus concernés ?

ChatGPT (OpenAI), Copilot (Microsoft), Gemini (Google), Claude (Anthropic), et les dizaines d’outils sectoriels construits sur ces modèles. Les plugins de productivité intégrés aux navigateurs et aux suites bureautiques sont également une source majeure de shadow AI invisible.

Le shadow AI est-il illégal ?

L’usage lui-même n’est pas illégal. Mais il peut entraîner des violations du RGPD si des données personnelles sont traitées sans base légale adéquate, et exposer l’entreprise à des sanctions. L’AI Act ajoute des obligations de traçabilité et de formation qui s’appliquent dès lors que des systèmes IA sont utilisés dans un contexte professionnel.

Par où commencer pour reprendre le contrôle ?

Par un audit des usages. Avant de poser des règles, savoir ce qui se passe déjà. Un entretien terrain avec les équipes clés suffit souvent à révéler l’étendue réelle du phénomène et à identifier les deux ou trois actions prioritaires pour sécuriser la situation rapidement.

Combien de temps faut-il pour mettre en place une gouvernance IA ?

Pour une PME de 5 à 50 collaborateurs, un cadre de gouvernance IA opérationnel se construit en 2 à 4 semaines. Cartographie des usages, charte, politique données, désignation d’un référent. L’essentiel tient dans des livrables courts et applicables.

Sources et références

Kiteworks — Crise de la sécurité des données liée à l’IA en 2026 : Shadow AI et stratégies de gouvernance des données