Le shadow AI, c’est l’usage d’outils d’IA par vos salariés sans que l’entreprise l’ait organisé : un compte ChatGPT personnel pour rédiger un e-mail client, un tableau collé dans un assistant gratuit pour en tirer une synthèse. La bonne réponse n’est pas l’interdiction mais l’encadrement : un outil autorisé, une règle d’une page et une formation courte. Vous gardez le gain de temps que vos équipes ont déjà trouvé, sans le risque de fuite de données.
Un phénomène déjà installé
Selon le baromètre IA Entreprise et Durabilité de l’ESSCA et de Forvis Mazars (mars 2026, 826 professionnels de l’IT et du digital en France, au Royaume-Uni, en Allemagne et en Espagne), 66 % des répondants constatent du shadow AI dans leur organisation. En France, une entreprise sur cinq le décrit comme répandu, contre une sur dix dans les trois autres pays.
Le même baromètre montre que l’interdiction seule ne suffit pas : une entreprise sur huit constate que le shadow AI persiste malgré une interdiction claire. Et en France, moins d’une entreprise sur deux forme ses salariés à l’IA.
Autrement dit, vos salariés ont déjà trouvé des usages utiles. L’enjeu est de les faire passer de l’ombre à la lumière, pour que toute l’équipe en profite et que les données restent protégées.
Ce qui pose vraiment problème
L’IA en elle-même n’est pas le risque. Ce qui pose problème dans le shadow AI, ce sont trois choses précises :
| Risque | Exemple courant | Ce qui le règle |
|---|---|---|
| Données confidentielles saisies dans un outil grand public | Un contrat client collé pour « le résumer » | Une liste de données interdites et un outil validé |
| Compte personnel, hors de tout contrôle | Historique des échanges sur l’adresse Gmail du salarié | Des comptes créés avec l’adresse professionnelle |
| Réponse reprise telle quelle | Un chiffre inventé envoyé à un client | Une règle de relecture systématique |
La CNIL recommande justement, pour un usage non confidentiel d’un service grand public, des comptes créés avec des adresses électroniques professionnelles dédiées, et de désactiver si possible la réutilisation des données par le fournisseur.
Les 5 étapes pour reprendre la main
1. Demander, sans sanctionner
Lancez un questionnaire anonyme de cinq questions : quels outils, pour quelles tâches, combien de temps gagné, quelles données saisies, quelles difficultés. Annoncez clairement qu’il n’y aura pas de sanction : le but est d’apprendre, pas de punir. Vous découvrirez souvent des usages très rentables que vous voudrez généraliser.
2. Choisir un outil autorisé
Retenez un ou deux outils, selon vos logiciels existants : Copilot si vous êtes sous Microsoft 365, Gemini sous Google Workspace, ChatGPT, Claude ou Mistral Vibe (ex-Le Chat) en version professionnelle sinon. La CNIL conseille de partir des besoins concrets et de proportionner les exigences à la sensibilité de l’usage : une aide à la rédaction ne demande pas les mêmes garanties qu’une aide à la décision sur des clients ou des candidats.
3. Écrire une règle d’une page
Une charte IA efficace tient sur une page : les outils autorisés, les usages encouragés, les données à ne jamais saisir (données personnelles, informations couvertes par le secret des affaires), et l’obligation de relire chaque réponse. La CNIL recommande aussi de fournir des « prompts types » prêts à l’emploi : c’est le meilleur moyen de faire adopter l’outil officiel.
4. Former avant d’ouvrir les accès
La CNIL préconise des formations préalables à l’utilisation de ces systèmes : fonctionnement et limites de l’outil, usages permis et interdits, vérification des réponses. C’est aussi ce qui permet de documenter les mesures de maîtrise de l’IA attendues par l’AI Act (article 4). Une formation courte suffit : le module IA responsable : AI Act, RGPD et confidentialité dure une heure.
5. Faire vivre la règle
Désignez un référent qui recueille les questions et les bons usages, et refaites le point tous les trois mois. La CNIL recommande des contrôles réguliers et de recueillir l’avis des utilisateurs sur l’utilité et les limites de l’outil. Chaque nouveau bon usage partagé fait gagner du temps à toute l’équipe.
Interdire ou encadrer : le comparatif
| Interdiction | Encadrement | |
|---|---|---|
| Usage réel | Continue, mais invisible | Visible et mesurable |
| Données | Saisies dans des comptes personnels | Protégées par l’outil validé et la règle |
| Gain de temps | Profite à quelques-uns | Partagé dans toute l’équipe |
| Preuve de formation | Aucune | Attestations et règle écrite |
Pour un plan complet sur un mois, avec le calendrier semaine par semaine, lisez former ses salariés à l’IA dans une PME.
Ce qu’il faut retenir
Le shadow AI est le signe que vos équipes ont compris l’intérêt de l’IA. En quatre semaines, vous pouvez transformer cet usage caché en avantage pour l’entreprise : un outil validé, une règle claire, une formation courte, et des salariés qui gagnent du temps en toute sécurité.