Shadow AI : quand les usages de l’IA échappent à l’entreprise

L’intelligence artificielle s’est installée dans le quotidien professionnel plus vite que les règles destinées à l’encadrer. Face à cette adoption diffuse, une plateforme IA pour PME peut apporter un environnement commun et maîtrisé, mais encore faut-il savoir quels outils sont déjà utilisés dans l’entreprise.

Un salarié utilise ChatGPT pour résumer un document, un autre demande à Claude de préparer une réponse client, tandis qu’un service teste une application spécialisée sans passer par le service informatique. Pris isolément, ces réflexes peuvent sembler anodins. Ensemble, ils forment pourtant un phénomène désormais bien identifié : le Shadow AI.

Cette expression désigne l’emploi de solutions d’intelligence artificielle non validées, non supervisées ou simplement inconnues de l’organisation. Comme le Shadow IT avant lui, il apparaît rarement par volonté de contourner les règles. Il naît plutôt d’un besoin concret : gagner du temps, automatiser une tâche ou disposer rapidement d’une aide supplémentaire.

Le problème commence lorsque des données sensibles, des documents internes, des accès professionnels ou des contenus destinés à des tiers sont confiés à des outils dont l’entreprise ne maîtrise ni les conditions d’utilisation ni les traitements. L’enjeu n’est donc pas de freiner l’innovation, mais de rendre ces pratiques visibles, d’en apprécier les risques et d’organiser un cadre permettant d’utiliser l’intelligence artificielle sans perdre la maîtrise de l’information.

Qu’est-ce que le Shadow AI ?

Le Shadow AI correspond à l’emploi d’applications ou de plateformes d’intelligence artificielle qui ne font pas partie des solutions officiellement approuvées. Il peut s’agir d’un compte personnel sur un outil grand public, d’une extension de navigateur, d’un assistant de rédaction, d’un générateur d’images, d’un agent connecté à des documents professionnels ou d’une fonction intégrée à un logiciel métier.

ChatGPT n’est donc qu’un exemple parmi d’autres. Microsoft Copilot, Claude, Gemini, Perplexity ou des applications spécialisées peuvent elles aussi relever du Shadow AI dès lors qu’elles sont adoptées sans validation préalable. Ce n’est pas la technologie qui pose problème en elle-même, mais l’absence de visibilité sur la façon dont elle est employée, sur les informations qui lui sont confiées et sur les autorisations qui lui sont accordées.

Une même plateforme peut d’ailleurs fonctionner dans un périmètre autorisé et relever du Shadow AI dans un autre. Tout dépend du compte choisi, du type de données manipulées, des connexions ouvertes vers le système d’information et des règles définies par l’entreprise.

Le caractère discret du phénomène explique une grande partie du risque. Copier un extrait de contrat pour obtenir un résumé, transmettre un tableau pour générer une analyse ou déposer quelques lignes de code afin de demander une correction ne prend que quelques secondes. Pourtant, ces gestes peuvent faire sortir des informations de l’environnement maîtrisé.

Le Shadow AI constitue ainsi un risque invisible : ces pratiques apparaissent parfois bien avant que la direction, la DSI ou le RSSI n’en aient une vision suffisante.

Pourquoi les salariés utilisent-ils des outils IA sans cadre ?

Dans la majorité des cas, le recours à des solutions non validées répond à une logique pragmatique. Les salariés cherchent à aller plus vite, à simplifier une tâche répétitive, à produire un premier brouillon ou à exploiter plus facilement un volume important de contenu.

L’accès immédiat joue un rôle majeur. Lorsqu’aucune solution officielle n’est proposée, ou lorsqu’elle paraît trop limitée, il suffit souvent de quelques minutes pour ouvrir un compte personnel et commencer à travailler. Cette facilité réduit fortement la distance entre la découverte d’un outil et son adoption réelle.

Ce décalage entre adoption officielle et pratiques réelles apparaît aussi dans les chiffres. En France, selon l’Insee, 10 % des entreprises de 10 salariés ou plus déclaraient utiliser au moins une technologie d’intelligence artificielle en 2024, contre 6 % en 2023.

Dans le même temps, le Baromètre de la formation et de l’emploi 2025 indique que 53 % des actifs utilisent l’IA dans un cadre professionnel, dont 31 % au moins une fois par semaine. Ces deux données ne mesurent pas exactement la même chose, mais elles montrent bien que les usages individuels peuvent progresser plus vite que leur encadrement au niveau de l’organisation.

La vitesse d’évolution du marché renforce encore ce phénomène. De nouvelles applications apparaissent en permanence et des fonctions génératives sont ajoutées à des logiciels connus. Le service informatique ne peut pas toujours évaluer chaque nouveauté au même rythme que les salariés les découvrent.

Le manque de règles compréhensibles joue également un rôle central. Si personne ne sait clairement quelles applications sont autorisées, quelles données peuvent être transmises ou qui doit approuver un nouvel outil, chacun finit par décider selon sa propre appréciation.

Cette situation se rencontre notamment lorsqu’un collaborateur découvre seul une nouvelle application et en fait une utilisation régulière avant même que son équipe ou la DSI n’en ait connaissance. Le risque augmente dès qu’une information sensible entre dans ce nouveau circuit de travail.

Enfin, l’intelligence artificielle est souvent perçue comme une aide personnelle plutôt que comme un nouveau composant du système d’information. Cette perception réduit la vigilance autour des éléments copiés dans un prompt, des fichiers téléversés ou des connexions accordées.

Comprendre ces motivations permet d’éviter une réponse uniquement punitive. Une entreprise qui souhaite réduire le Shadow AI doit aussi proposer des alternatives capables de répondre aux besoins réels des métiers.

Quels risques pour les données et l’entreprise ?

Le premier danger concerne la fuite de données. Un salarié peut transmettre à une plateforme externe un contrat, une liste de clients, des informations financières, des éléments de propriété intellectuelle, des données personnelles ou du code source sans mesurer pleinement leur sensibilité.

La difficulté augmente lorsque l’entreprise ignore où ces informations sont traitées, combien de temps elles sont conservées ou selon quelles conditions elles peuvent être réutilisées. La protection ne peut alors plus reposer seulement sur la prudence individuelle.

La conformité constitue un deuxième enjeu. Selon l’activité, certains traitements sont encadrés par le RGPD, des clauses contractuelles, des exigences réglementaires ou des politiques propres à l’organisation. Lorsqu’un outil non validé intervient dans ces flux, il devient plus difficile de démontrer que les règles applicables sont respectées.

La sécurité représente un autre point d’attention. Certaines applications demandent l’accès à Microsoft 365, à une messagerie, à un espace documentaire ou à d’autres ressources professionnelles. Si ces connexions sont accordées sans contrôle, des informations peuvent devenir accessibles à un service qui n’a pas été évalué.

Le niveau de risque dépend aussi de l’utilisation qui est faite de la solution. Un collaborateur qui sollicite une IA pour une tâche générique n’expose pas l’entreprise de la même manière qu’une équipe qui lui confie une donnée sensible ou lui ouvre un accès à des ressources internes.

La fiabilité des résultats doit également être prise en compte. Une réponse générée peut sembler convaincante tout en étant fausse, incomplète ou obsolète. Si elle intervient dans une décision, un document contractuel ou une relation avec un tiers, l’erreur peut avoir des conséquences concrètes.

Les activités de service client méritent à ce titre une vigilance particulière. L’intelligence artificielle peut aider à synthétiser une demande ou à préparer une réponse, mais les échanges traités peuvent contenir des éléments confidentiels.

Enfin, la multiplication des comptes personnels et des abonnements dispersés complique le pilotage. Les coûts sont moins lisibles, les technologies se chevauchent et les connaissances produites restent fragmentées. Le Shadow AI n’est donc pas seulement une question de cybersécurité : il touche aussi l’organisation, la conformité et l’efficacité opérationnelle.

Comment identifier les usages IA déjà présents ?

Avant de définir des règles, il faut comprendre ce qui se passe réellement. Une première étape consiste à interroger les métiers : quelles solutions sont employées, pour quelles tâches, avec quels types de données et dans quelles situations ?

L’analyse peut également s’intéresser au contexte de chaque utilisation : quel collaborateur a adopté l’outil, pour quel besoin, avec quelle équipe et avec quelles informations ? Cette lecture permet d’identifier plus facilement un risque lié au traitement d’un contenu sensible, sans considérer tous les usages comme équivalents.

Cette démarche n’a pas vocation à rechercher des fautes. Elle doit au contraire faire remonter les pratiques utiles autant que les situations problématiques. Certains cas peuvent révéler de véritables gains de productivité et mériter leur intégration à une offre officielle.

La DSI peut compléter cette cartographie grâce à l’examen des applications SaaS, des extensions installées, des autorisations accordées ou des connexions vers les ressources professionnelles. Selon l’infrastructure en place, des fonctions de supervision peuvent aussi aider à détecter certains services externes.

Tous les cas ne présentent pas le même niveau de danger. Reformuler un texte générique n’a pas les mêmes conséquences que téléverser un fichier client, traiter des données personnelles ou connecter un agent à une base documentaire confidentielle.

L’audit doit donc préciser le type d’outil, le besoin métier, les personnes concernées, les données manipulées et les connexions utilisées. À partir de cette photographie, il devient possible de construire un plan d’action : conserver certaines pratiques, en corriger d’autres et supprimer celles dont le niveau de risque est trop élevé.

Cette étape aide aussi à gérer les priorités. L’entreprise peut concentrer ses efforts sur les situations les plus sensibles au lieu d’appliquer la même réponse à tous les cas.

Faut-il interdire ou encadrer les usages ?

Interdire tous les outils d’intelligence artificielle peut sembler rassurant, mais cette réponse est rarement suffisante. Lorsqu’une solution apporte un gain concret, certains salariés peuvent continuer à l’employer avec un compte personnel ou en dehors des circuits habituels.

L’objectif consiste donc davantage à encadrer qu’à bloquer systématiquement. La mise en place d’une politique d’usage ou d’une charte interne peut préciser les applications approuvées, les catégories de données qui ne doivent jamais être transmises, les situations nécessitant une vérification humaine et le processus d’approbation d’un nouvel outil.

Ces règles doivent rester faciles à appliquer. Chacun devrait savoir répondre à quelques questions concrètes : puis-je envoyer ce document ? Puis-je utiliser mon compte personnel ? Qui valide une nouvelle application ? Que faire en cas de doute sur la sensibilité d’une information ?

La formation complète ce dispositif. Il faut former les salariés aux risques, mais aussi leur montrer comment sécuriser leurs pratiques, vérifier les résultats générés et reconnaître les cas où une vérification est nécessaire.

La meilleure pratique n’est donc pas de multiplier les interdictions, mais de combiner règles, sensibilisation et solutions adaptées au travail quotidien.

Cette approche favorise l’engagement. Lorsque les salariés comprennent les raisons des restrictions et disposent d’outils crédibles pour accomplir leurs tâches, ils ont moins intérêt à rechercher des alternatives en dehors du cadre défini.

Comment passer du Shadow AI à des usages maîtrisés ?

Réduire durablement le Shadow AI suppose de transformer des initiatives dispersées en une démarche structurée. Plusieurs stratégies peuvent être combinées selon la taille de l’entreprise, son exposition au risque et la maturité de son système d’information.

La première consiste à établir une gouvernance claire : qui décide, qui évalue un nouvel outil, quels critères sont retenus et comment les exceptions sont traitées ? La seconde consiste à proposer un catalogue de solutions approuvées afin d’éviter que chacun construise son propre environnement de travail.

La mise en place d’une plateforme centralisée ou de solutions intégrées à l’écosystème existant peut faciliter la gestion des comptes, des droits et des coûts. L’objectif est de reprendre la maîtrise sans supprimer les bénéfices recherchés par les métiers.

Le plan d’action peut s’organiser autour de quelques priorités : cartographier les solutions existantes, repérer les données les plus sensibles, sécuriser les accès, définir les applications autorisées et préciser les responsabilités.

Il faut également prévoir un mécanisme simple pour tester de nouveaux services. Lorsqu’un métier souhaite expérimenter une solution, il doit savoir à qui s’adresser et sur quels critères elle sera évaluée : confidentialité, conformité, intégration, coût, valeur opérationnelle ou exposition à un tiers.

Les stratégies retenues doivent enfin évoluer avec les technologies. Les fonctions proposées par une plateforme peuvent changer rapidement, tout comme ses conditions contractuelles ou ses possibilités de connexion. Une réévaluation régulière permet de garder une vision cohérente du périmètre autorisé.

L’accompagnement humain reste indispensable. Former les salariés, recueillir leurs retours et associer les métiers aux choix technologiques permet de maintenir leur engagement tout en limitant le retour de pratiques parallèles.

Passer du Shadow AI à des pratiques maîtrisées ne signifie donc pas ralentir l’adoption de l’intelligence artificielle. Il s’agit de créer les conditions permettant d’innover sans exposer inutilement les données, les clients ou les ressources numériques de l’entreprise.

Conclusion

Le Shadow AI révèle avant tout un décalage entre la vitesse d’adoption de l’intelligence artificielle et la capacité des entreprises à organiser son emploi. Faire comme si ces pratiques n’existaient pas ne les fait pas disparaître : cela les rend simplement plus difficiles à suivre.

La réponse repose sur un équilibre entre innovation, sécurité et gouvernance. Cartographier les outils existants, comprendre les besoins métiers, fixer des règles lisibles et proposer des solutions approuvées permet de réduire les zones d’ombre sans freiner les initiatives utiles.

L’enjeu est moins d’interdire que de reprendre la maîtrise. En donnant aux salariés un cadre compréhensible, des outils adaptés et des repères communs, l’entreprise peut transformer le Shadow AI en une adoption plus sûre, plus cohérente et plus durable de l’intelligence artificielle.

Pour faire le point sur vos priorités et bâtir une approche IA plus lisible, contactez les experts ACI Technology.