Le shadow IA, c’est l’IA que vos équipes utilisent déjà sans que la DSI le sache. Un chatbot public pour reformuler un contrat. Un CV comparé par une IA perso. Un tableau de bord commercial résumé hors de tout cadre validé. Un outil de sécurité peut repérer ces flux. Il ne change pas ce qui pousse un salarié à les créer. La vraie parade combine un cadre écrit et des équipes qui savent pourquoi il existe.
Ce que le shadow IA recouvre vraiment
Le terme prolonge le shadow IT, l’usage d’un logiciel non validé par l’IT. Le shadow IA va plus loin : la donnée part dans un prompt, souvent sans laisser de trace stockée. Un extrait de code, une clause contractuelle, un fichier RH glissé dans un chatbot grand public. Une fois transmis, il est difficile de savoir où il finit.
Trois formes reviennent le plus souvent.
- Un compte personnel sur un assistant public. ChatGPT, Claude ou Gemini, ouvert sans validation de l’IT, pour traiter des documents internes.
- Un copier-coller de données internes dans un service cloud non homologué. Il sert à un premier jet de réponse client ou de note RH.
- Une extension ou un plugin IA installé dans le navigateur professionnel. Personne n’en connaît le périmètre d’accès.
Pourquoi ça se développe aussi vite
L’accès est gratuit ou presque, et le résultat est visible en quelques minutes. Face à ça, le circuit de validation IT paraît lent. Le contournement volontaire des règles reste rare. Un salarié cherche surtout à finir sa tâche vite, avec l’outil le plus accessible à ce moment-là.
Selon Odoxa pour Saegus, 57 % des utilisateurs ne savent pas comment sont traitées les données derrière leurs prompts. C’est 14 points de plus qu’un an avant. Et trois utilisateurs sur quatre n’ont pas été formés par leur entreprise.
Formation en entreprise · finançable OPCOCe que ça donne quand une équipe s'y met vraiment
Animée par Fathi Sehla, qui construit des agents
Claude Code et des automatisations n8n en production. Il anime lui-même les sessions.
Sur Malt, 4,7/5, moyenne de 8 avis, pour 14 projets.
- 1 000 € HT la journée, quel que soit le nombre de participants
- Selon votre branche et votre effectif, votre OPCO peut contribuer aux frais ; j'estime le reste à charge avant engagement. Dossier et convention portés par Alfie Formation, organisme certifié Qualiopi
- Chez Digital.Green, une équipe qui ne savait pas encore tirer pleinement parti de l'IA, formée en neuf jours. Deux workflows d'audit tournent encore
Une question avant de vous engager ? Appelez, c'est le plus rapide :
07 43 44 61 22.
Les risques concrets, sans dramatiser
Fuite de données
Un document confidentiel envoyé à un service externe échappe au contrôle de l’entreprise. Impossible de tracer son stockage ni sa réutilisation. Le risque touche autant les données clients que les dossiers RH ou les projets stratégiques en cours. Sur un compte professionnel, ce trajet est encadré et daté : voir où vont les données avec Claude.
Sans registre d’usage, difficile de prouver la base légale d’un traitement ou la supervision humaine d’une décision. Depuis février 2025, l’article 4 de l’AI Act demande d’aider les équipes à développer leur maîtrise de l’IA. Un usage non déclaré rend cette obligation impossible à documenter. Le détail est traité dans l’AI Act et la formation IA.
Décisions mal tracées
Un tri de candidatures, une synthèse client, une recommandation financière. Si l’IA y contribue hors cadre, personne ne sait sur quelle base la décision a été prise. Personne ne sait non plus qui la valide.
L’ANSSI et la DGSI ont publié des recommandations sur ces risques. Elles sont réunies dans notre page sur la sécurité de l’IA en entreprise.
Pourquoi l’outil de contrôle ne suffit pas seul
Un outil de sécurité (CASB, passerelle web sécurisée) donne de la visibilité sur les flux. C’est utile, mais ça ne dit pas pourquoi un salarié préfère un outil non validé à celui proposé. Bloquer l’accès sans alternative claire ne fait généralement que déplacer l’usage. Le salarié passe par son téléphone personnel, hors de toute visibilité, y compris celle de l’outil de contrôle.
Un cadre compris, plus un outil validé aussi simple que celui qu’on remplace, change le comportement.
Pourquoi la charte ne suffit pas seule
Une charte IA pose les données autorisées, les outils validés et la vérification humaine. C’est la première brique, et elle est nécessaire. Mais publiée seule, sans atelier associé, elle devient un document qu’on signe sans lire. Elle décrit alors un usage qui n’existe pas sur le terrain. Notre article sur la charte IA en entreprise détaille le format d’une charte qui reste lue.
L’atelier la fait vivre. Il la teste sur de vrais cas, avec les équipes qui l’appliqueront.
Un exemple réel de cadre qui a tenu
Chez Digital.Green, la charte vient d’un atelier mené directement sur les dossiers clients de l’équipe. Trois métiers, neuf jours, en distanciel. Les stagiaires ont noté la formation 9,6 sur 10. À l’agence, chaque outil est passé par une équipe qui sait pourquoi il est autorisé et jusqu’où. C’est ce qui manque à un shadow IA non maîtrisé.
Par où commencer
Cartographier ce qui se fait déjà, même de façon informelle, donne une base honnête de départ. Puis un cadre court, écrit avec les équipes concernées, testé sur un cas réel. C’est ce qu’on structure dans la formation IA en entreprise, sur vos cas. Elle couvre la cartographie des usages, la charte et la littératie AI Act. Les managers sont en première ligne sur ces usages : voir la formation IA pour les managers. Pour la gouvernance dans la durée, voir le comité de pilotage IA. Selon votre branche et votre effectif, votre OPCO peut contribuer aux frais ; j’estime le reste à charge avant engagement. Si le shadow IA est déjà une réalité chez vous, écrivez-moi, on cadre ça ensemble.
Côté service informatique, la formation IA pour la DSI part de cette cartographie et construit la grille d’arbitrage. Dans une structure sans DSI, le chemin est plus court : voir l’IA dans une PME.