Posez la question à un dirigeant : « combien de vos collaborateurs utilisent l'IA au travail ? » La réponse tourne autour de deux ou trois personnes. Les enquêtes publiées ces derniers mois racontent une autre histoire, celle d'un usage devenu majoritaire et presque entièrement invisible. Ce phénomène porte un nom, le shadow AI, et il concerne déjà votre entreprise, que vous ayez ou non lancé un projet d'intelligence artificielle.
Ce que recouvre le shadow AI
Le shadow AI désigne l'utilisation d'outils d'intelligence artificielle par des salariés sans validation ni visibilité de leur direction ou de leur service informatique. Les formes les plus courantes sont banales : un assistant conversationnel grand public ouvert depuis une adresse personnelle, une extension de navigateur qui résume les courriels, un outil de transcription branché sur les réunions, un assistant de rédaction intégré à un logiciel déjà en place.
La comparaison avec le shadow IT, son prédécesseur, éclaire la différence de nature. Le shadow IT concernait des logiciels installés hors du cadre officiel, un problème de parc applicatif. Ici, ce qui quitte l'entreprise n'est pas un outil mais de la donnée. Contrats, dossiers clients, dossiers de lots, projections financières, code source : ces contenus transitent vers un service tiers, et cette transmission ne se rattrape pas.
L'ampleur du phénomène, sans exagérer les chiffres
Les statistiques circulant sur le sujet varient fortement, de l'ordre de 50 % à près de 80 % de salariés concernés selon la question posée, le pays et le public interrogé. Cette dispersion tient à la méthode, pas au phénomène. Quelques repères issus d'enquêtes identifiables :
- Une enquête Salesforce de 2024 situait à environ la moitié la proportion de salariés recourant à des outils d'IA non approuvés par leur employeur.
- Les enquêtes publiées en 2026 convergent vers une fourchette nettement plus haute, l'écart s'expliquant surtout par la formulation retenue, entre usage occasionnel et usage hebdomadaire.
- Les travaux menés en France par l'Inria et Datacraft en 2025 pointent une motivation dominante : la recherche d'efficacité, pas le contournement délibéré.
Une précision méthodologique s'impose. Certains pourcentages très cités ne renvoient à aucune étude identifiable. Avant de reprendre un chiffre dans un comité de direction, vérifiez qui l'a produit, sur quel échantillon et avec quelle question. Sur un sujet de gouvernance, une donnée fragile fragilise tout l'argumentaire.
« Le shadow AI n'est pas un problème de discipline. Il mesure l'écart entre ce que vos équipes ont besoin de faire et ce que vous leur avez donné pour le faire. »
Cinq situations que l'on retrouve partout
Les scénarios suivants reviennent dans la plupart des organisations, quels que soient le secteur et la taille.
- Le commercial et sa proposition. Il veut reformuler un texte, colle une offre complète avec noms de clients, montants et conditions. L'ensemble sort du périmètre de l'entreprise.
- L'extension de messagerie. Un module de navigateur installé en deux clics résume les courriels entrants. Il lit donc l'intégralité de la boîte, y compris les échanges financiers et juridiques.
- Le tri des candidatures. Un responsable RH fait passer des CV par un service gratuit. Ces documents contiennent des données à caractère personnel, parfois sensibles, transmises sans base légale.
- Les outils de rédaction en doublon. Trois personnes d'une même équipe utilisent trois services concurrents pour la même tâche. Aucun n'est validé, aucun n'est intégré, et l'entreprise paie trois fois.
- Le dirigeant lui-même. Il prépare ses réunions en collant comptes rendus internes et projections. Il classe cet usage comme personnel, alors que les données sont celles de l'entreprise.
Aucun de ces cas ne relève de la malveillance. Tous relèvent de l'absence d'alternative.
Trois risques concrets pour l'entreprise
Le risque RGPD
Transmettre des données à caractère personnel vers un service tiers non contractualisé constitue un transfert sans base légale, sans information des personnes concernées et souvent sans garantie sur la localisation des traitements. Le point juridique décisif tient en une phrase : le responsable de traitement reste l'entreprise, jamais le salarié qui a effectué le copier-coller.
Le risque réglementaire au titre de l'AI Act
Le règlement européen sur l'intelligence artificielle impose, à son article 4, applicable depuis février 2025, de garantir un niveau suffisant de maîtrise de l'IA aux personnes qui l'utilisent pour le compte de l'organisation. Des usages non recensés, non encadrés et non formés démontrent précisément l'inverse. Le shadow AI constitue ainsi la preuve la plus visible d'un déficit de gouvernance, au moment même où le calendrier d'application du règlement se resserre.
Le risque opérationnel et financier
Sans recensement, aucun pilotage budgétaire n'est possible : les abonnements individuels s'accumulent, les doublons se multiplient, les licences dormantes se paient. Un second effet, moins visible, pèse davantage. Lorsqu'une réponse produite par un outil externe entre dans un processus interne sans traçabilité, plus personne ne peut établir sur quelle source elle repose ni vérifier sa justesse. En environnement réglementé, cette absence de piste d'audit pose un problème autrement plus sérieux que la facture.
Diagnostiquer les usages en cinq étapes
Un diagnostic utile ne demande ni équipe dédiée ni outillage de supervision. Il demande de la méthode et de la franchise.
| Étape | Ce qu'elle produit | Point de vigilance |
|---|---|---|
| 1. Recenser les outils | Questionnaire anonyme : quels outils, à quelle fréquence, pour quelles tâches | Sans anonymat, les réponses sous-estiment massivement la réalité |
| 2. Tracer les flux de données | Pour chaque outil : quelles données envoyées, stockées où, sous quel régime | Les expositions réelles apparaissent à cette étape |
| 3. Consolider les dépenses | Abonnements individuels et professionnels, doublons, licences inutilisées | Les frais passés en note de frais échappent au recensement classique |
| 4. Évaluer les compétences | Qui maîtrise les limites des outils, qui les ignore | Cette cartographie sert directement l'obligation de l'article 4 |
| 5. Arbitrer et cadrer | Politique d'usage : outils approuvés, données autorisées, formation associée | Une politique sans alternative fournie reste lettre morte |
Une remarque sur la première étape. La qualité du recensement dépend entièrement du climat dans lequel il est mené. Annoncé comme un audit de conformité, il produit des réponses défensives. Annoncé comme une recherche des usages qui font gagner du temps, il produit une cartographie exploitable.
Pourquoi l'interdiction échoue
La réaction spontanée consiste à bloquer les accès. Elle échoue pour une raison mécanique : le besoin qui a déclenché l'usage ne disparaît pas avec le blocage. L'usage migre simplement vers le téléphone personnel, hors du réseau, hors de toute visibilité. L'entreprise a alors troqué un risque connu contre un risque invisible.
Le levier qui fonctionne relève d'une autre logique. Lorsque les équipes disposent d'une alternative approuvée au moins aussi pratique que l'outil contourné, le détour perd son intérêt. Encore faut-il que cette alternative réponde vraiment sur les documents de l'entreprise, à défaut de quoi elle sera abandonnée en quelques semaines.
La réponse souveraine : rendre l'usage interne préférable
Le shadow AI révèle un besoin légitime qui n'a pas trouvé de réponse officielle. Un assistant interne déployé sur votre infrastructure traite ce besoin à sa racine, à trois conditions :
- La donnée ne sort pas. En déploiement on-premise, corpus, index et traitements restent dans votre périmètre. La question du transfert vers un tiers ne se pose plus, ce que nous détaillons dans notre article sur le RAG souverain et on-premise.
- Les droits d'accès sont respectés. Chaque utilisateur n'obtient de réponses que sur les documents auxquels son profil lui donne accès. Un assistant qui ignore cette contrainte crée un problème de confidentialité interne à la place du précédent.
- Les réponses sont sourcées et tracées. Chaque réponse cite les documents dont elle provient, et les échanges sont journalisés. La traçabilité que le shadow AI détruit se reconstruit ainsi, condition indispensable en secteur réglementé.
Le raisonnement économique mérite d'être posé en regard. Comparer le coût d'un assistant interne aux seuls abonnements individuels donne une image incomplète : la comparaison pertinente inclut le temps perdu à chercher l'information, les doublons d'outils et l'exposition juridique. Notre guide sur le coût d'un projet RAG détaille cette approche budgétaire.
Cartographier vos usages IA ?
Un audit gratuit de 30 minutes permet de faire le point sur les usages existants, d'identifier les expositions les plus urgentes et de cadrer une alternative interne, sans engagement.
Réserver mon audit IA gratuitQuestions fréquentes
Qu'est-ce que le shadow AI ?
L'usage d'outils d'intelligence artificielle par des salariés sans validation ni visibilité de la direction ou du service informatique : assistant conversationnel ouvert depuis un compte personnel, extension de navigateur, outil de transcription branché sur des réunions professionnelles.
En quoi diffère-t-il du shadow IT ?
Le shadow IT concernait des logiciels installés hors cadre. Avec le shadow AI, ce qui sort de l'entreprise est de la donnée, et cette sortie est irréversible.
Quels sont les risques juridiques ?
Au titre du RGPD, un transfert de données personnelles sans base légale, dont l'entreprise reste responsable. Au titre de l'AI Act, un manquement à l'obligation de maîtrise de l'IA prévue à l'article 4, applicable depuis février 2025.
Faut-il interdire les outils non approuvés ?
L'interdiction déplace les usages vers les terminaux personnels, hors de toute visibilité. Fournir une alternative approuvée et pratique donne de meilleurs résultats que le blocage.
Une IA souveraine on-premise supprime-t-elle le shadow AI ?
Elle en supprime la cause principale. Quand l'assistant interne répond sur le corpus de l'entreprise, respecte les droits d'accès et garde les données sur l'infrastructure, le recours à un service externe perd son utilité.
Un révélateur, plus qu'un incident
Vos collaborateurs n'utilisent pas l'IA en dehors du cadre pour nuire à l'entreprise. Ils le font parce qu'ils ont identifié un gain réel que l'organisation ne leur a pas encore proposé. Traité comme une faute, le shadow AI se cache mieux. Traité comme une cartographie gratuite des cas d'usage prioritaires, il devient le meilleur point de départ d'un projet d'IA interne. Pour le cadre général, revenez à notre guide du RAG en entreprise.