Shadow AI : l'IA que vos salariés utilisent sans vous le dire
Le shadow AI n'est pas un problème de discipline mais un symptôme. Ce qui se passe concrètement, pourquoi c'est risqué, et ce qui marche pour reprendre la main.
Votre responsable RH a rédigé une fiche de poste en dix minutes la semaine dernière. Elle ne vous a pas dit qu'elle l'a écrite avec ChatGPT, sur son compte personnel, en collant au passage deux paragraphes d'une fiche de poste existante qui contenait des informations sur un salarié. Ce n'est pas de la malveillance. C'est juste que personne ne lui a donné d'outil pour aller aussi vite, autrement.
Ce qui se passe concrètement, cette semaine, dans votre entreprise
Le shadow AI ne ressemble pas à un salarié qui contourne une règle en connaissance de cause. Il ressemble à quelqu'un qui résout un problème réel avec l'outil qu'il a sous la main.
Un commercial colle un compte rendu de rendez-vous client dans un chatbot gratuit pour en tirer un mail de relance propre. Un chef de projet fait résumer un contrat fournisseur de douze pages par un outil trouvé en deux clics, pour gagner l'après-midi. Un office manager génère les visuels d'une newsletter interne avec un service dont il ne sait même plus s'il a coché la case qui autorise l'entraînement du modèle sur ses fichiers. Aucun de ces trois usages n'a été demandé par la direction. Aucun n'a non plus été interdit explicitement, ce qui revient au même dans les faits.
Ce que ces trois situations ont en commun : la tâche existait déjà, elle prenait du temps, et l'entreprise n'a proposé ni outil validé, ni méthode, ni limite claire. L'IA générative n'a rien créé de nouveau ici. Elle a juste rendu visible, d'un coup, un besoin qui traînait depuis des années sans qu'aucun logiciel maison n'y réponde.
Un symptôme, pas un problème de discipline
La tentation, face au shadow AI, est de le traiter comme une faute d'usage : on écrit une note de service, on rappelle la charte informatique, on ferme l'accès à quelques domaines connus sur le réseau de l'entreprise. Ça déplace le problème plutôt que de le résoudre. Un salarié qui a trouvé un moyen de gagner deux heures par semaine ne va pas y renoncer parce qu'une note l'interdit, il va simplement passer par son téléphone personnel plutôt que par le poste de travail. L'usage sort du champ de vision de l'entreprise au lieu de disparaître.
C'est la différence entre interdire et cadrer. Interdire suppose que le problème est le salarié. Cadrer suppose que le problème est l'absence d'alternative légitime, et cette deuxième lecture correspond mieux à ce qu'on observe sur le terrain.
| Interdire | Cadrer et former | |
|---|---|---|
| Ce que fait le salarié | Continue, mais depuis son téléphone personnel, hors de vue | Utilise un outil connu, avec des limites claires sur ce qui peut y entrer |
| Ce que voit l'entreprise | Rien : l'usage devient invisible | Un usage qu'elle peut accompagner et corriger |
| Ce qui se passe en cas de contrôle ou d'incident | Aucune trace d'action, aucune preuve de vigilance | Une politique documentée et des salariés formés |
| Le sentiment du salarié | Il contourne une règle qu'il juge déconnectée du réel | Il applique un cadre qui reconnaît son besoin |
Faites glisser le tableau pour voir toutes les colonnes.
Ce que ça expose vraiment
Trois risques reviennent, dans un ordre qui n'est pas celui qu'on croit.
Le premier, et le plus concret, c'est la fuite de données. Un fichier client, un extrait de contrat, une donnée RH collée dans un outil grand public quitte le périmètre de l'entreprise sans qu'aucune clause de confidentialité n'ait été négociée pour cet usage précis. La plupart des conditions d'utilisation des services gratuits autorisent une réutilisation des contenus soumis, et peu de salariés les ont lues avant de coller un document de travail.
Le deuxième, c'est la dépendance à un outil que personne n'a choisi ni évalué. Si le service change ses conditions, ferme l'accès gratuit ou disparaît, le processus qui en dépendait s'effondre du jour au lendemain, et personne dans l'entreprise n'a de vue sur l'ampleur du problème puisque personne ne savait que ce processus existait.
Le troisième, c'est la qualité non vérifiée des résultats. Un résumé de contrat généré par un outil non maîtrisé peut omettre une clause importante sans que rien ne le signale. Quand ce résumé sert de base à une décision, l'erreur se propage sans que la source soit questionnée : le document a l'air fini, propre, présentable.
Sur le fond réglementaire, le sujet dépasse la simple prudence interne : plusieurs textes européens encadrent déjà l'usage professionnel de l'intelligence artificielle, avec des obligations qui varient selon la taille de l'entreprise et le rôle qu'elle joue. Notre article sur ce qui concerne vraiment une PME détaille ce point sans reprendre ici l'ensemble du cadre.
Recenser avant de décider
Avant de rédiger la moindre règle, la première étape utile consiste à savoir ce qui se passe réellement. Une charte écrite sans ce recensement traite un problème imaginaire plutôt que le vôtre.
Trois passes pour cartographier les usages existants
Les outils achetés
Les licences que la direction ou l'IT ont validées, souvent peu nombreuses, et souvent mal connues des équipes qui pourraient s'en servir.
Les outils intégrés
Les fonctions d'IA arrivées par une mise à jour d'un logiciel déjà en place : suite bureautique, CRM, outil de visioconférence. Personne ne les a demandées, elles sont là.
Les outils personnels
Ceux que les salariés utilisent de leur propre initiative, depuis un compte perso, sans en parler. C'est la partie invisible, et souvent la plus large des trois.
Cette troisième catégorie ne se recense pas par une note demandant de déclarer ses usages : elle se recense en discutant, métier par métier, de ce qui prend du temps et de ce que chacun a déjà tenté pour aller plus vite. C'est un travail d'écoute avant d'être un travail de conformité.
Donner un cadre, pas une interdiction
Une fois le recensement fait, le cadre qui fonctionne repose sur trois éléments simples : un outil légitime à proposer à la place du réflexe individuel, une règle claire sur ce qui ne doit jamais y entrer (données clients, données RH nominatives, informations contractuelles sensibles), et une formation qui explique pourquoi plutôt que d'imposer un interdit sec.
C'est là que la formation change de statut. Elle n'est plus une case à cocher pour se couvrir en cas de contrôle, elle devient l'outil qui permet à chaque métier de comprendre ce qu'il peut faire avec l'IA et ce qu'il ne devrait jamais lui confier. Un commercial formé sur des cas concrets de son propre métier retient mieux une limite qu'un commercial qui a lu une charte générique une fois, en arrivant.
Cette logique de cadrage plutôt que d'interdiction rejoint directement l'esprit du texte européen évoqué plus haut, qui pousse vers une obligation de moyens sur la maîtrise de l'IA du personnel plutôt que vers une liste d'interdits. Sur la manière de documenter cette démarche en cas de contrôle, notre article sur ce qui fait une attestation valable entre dans le détail.
Ce qu'il faut retenir avant la prochaine note de service
Le shadow AI ne se règle pas en fermant des accès. Il se règle en donnant aux équipes un outil qu'elles préfèrent utiliser à leur réflexe personnel, avec des limites qui ont du sens pour leur métier. C'est plus lent à mettre en place qu'une interdiction, et c'est la seule des deux approches qui tient dans la durée.
Pour aller plus loin sur le cadre réglementaire qui pousse dans cette direction, la page dédiée rassemble les obligations qui concernent réellement une entreprise. Nos programmes de formation par métier sont conçus pour traiter ces usages concrets plutôt que des principes généraux, et le tarif tient en une ligne.
