Le shadow IA, c’est l’IA que vos équipes utilisent déjà sans que la DSI le sache. Un chatbot public pour reformuler un contrat. Un CV comparé par une IA perso. Un tableau de bord commercial résumé hors de tout cadre validé. Un outil de sécurité peut repérer ces flux. Il ne change pas ce qui pousse un salarié à les créer. La vraie parade combine un cadre écrit et des équipes qui savent pourquoi il existe.
Ce que le shadow IA recouvre vraiment
Le terme prolonge le shadow IT, l’usage d’un logiciel non validé par l’IT. Le shadow IA va plus loin : la donnée part dans un prompt, souvent sans laisser de trace stockée. Un extrait de code, une clause contractuelle, un fichier RH glissé dans un chatbot grand public. Une fois transmis, il est difficile de savoir où il finit.
Trois formes reviennent le plus souvent.
- Un compte personnel sur un assistant public. ChatGPT, Claude ou Gemini, ouvert sans validation de l’IT, pour traiter des documents internes.
- Un copier-coller de données internes dans un service cloud non homologué, pour un premier jet de réponse client ou de note RH.
- Une extension ou un plugin IA installé dans le navigateur professionnel, sans que personne n’en connaisse le périmètre d’accès.
Pourquoi ça se développe aussi vite
L’accès est gratuit ou presque, et le résultat est visible en quelques minutes. Face à ça, le circuit de validation IT paraît lent. Le contournement volontaire des règles reste rare. Un salarié cherche surtout à finir sa tâche vite, avec l’outil le plus accessible à ce moment-là.
Selon une étude Saegus et Odoxa, 44 % des salariés français se forment seuls à l’IA. 75 % utilisent des outils ni fournis ni validés par leur entreprise. L’écart n’est pas marginal. La majorité des usages échappe au cadre.
Les risques concrets, sans dramatiser
Fuite de données
Un document confidentiel envoyé à un service externe échappe au contrôle de l’entreprise. Impossible de tracer son stockage ni sa réutilisation. Le risque touche autant les données clients que les dossiers RH ou les projets stratégiques en cours. Sur un compte professionnel, ce trajet est encadré et daté : voir où vont les données avec Claude.
Non-conformité RGPD et AI Act
Sans registre d’usage, difficile de prouver la base légale d’un traitement ou la supervision humaine d’une décision. Depuis février 2025, l’article 4 de l’AI Act demande d’aider les équipes à développer leur maîtrise de l’IA. Un usage non déclaré rend cette obligation impossible à documenter. Le détail est traité dans l’AI Act et la formation IA.
Décisions mal tracées
Un tri de candidatures, une synthèse client, une recommandation financière. Si l’IA y contribue hors cadre, personne ne sait sur quelle base la décision a été prise. Personne ne sait non plus qui la valide.
Pourquoi l’outil de contrôle ne suffit pas seul
Un outil de sécurité (CASB, passerelle web sécurisée) donne de la visibilité sur les flux. C’est utile, mais ça ne dit pas pourquoi un salarié préfère un outil non validé à celui proposé. Bloquer l’accès sans alternative claire ne fait généralement que déplacer l’usage. Le salarié passe par son téléphone personnel, hors de toute visibilité, y compris celle de l’outil de contrôle.
Un cadre compris, plus un outil validé aussi simple que celui qu’on remplace, change le comportement.
Pourquoi la charte ne suffit pas seule
Une charte IA pose les données autorisées, les outils validés et la vérification humaine. C’est la première brique, et elle est nécessaire. Mais publiée seule, sans atelier associé, elle devient un document qu’on signe sans lire. Elle décrit alors un usage qui n’existe pas sur le terrain. Le contenu et le format d’une charte qui reste lue sont détaillés dans notre article sur la charte IA en entreprise.
L’atelier la fait vivre. Il la teste sur de vrais cas, avec les équipes qui l’appliqueront.
Un exemple réel de cadre qui a tenu
Chez Digital.Green, la charte vient d’un atelier mené directement sur les dossiers clients de l’équipe. Six personnes, trois métiers, neuf jours, en distanciel. Satisfaction mesurée à 9,6 sur 10 par l’organisme partenaire. Chaque outil, chez eux, est passé par une équipe qui sait pourquoi il est autorisé, et jusqu’où. C’est ce qui manque à un shadow IA non maîtrisé.
Par où commencer
Cartographier ce qui se fait déjà, même de façon informelle, donne une base honnête de départ. Puis un cadre court, écrit avec les équipes concernées, testé sur un cas réel. C’est ce qu’on structure dans la formation IA en entreprise : cartographie des usages, charte, et littératie AI Act, sur vos cas. Les managers sont en première ligne sur ces usages : voir la formation IA pour les managers. Pour la gouvernance dans la durée, voir le comité de pilotage IA. Le financement passe par votre OPCO, souvent jusqu’à 100 %. Si le shadow IA est déjà une réalité chez vous, écrivez-moi, on cadre ça ensemble.
Côté service informatique, la formation IA pour la DSI part de cette cartographie et construit la grille d’arbitrage. Dans une structure sans DSI, le chemin est plus court : voir l’IA dans une PME.