Shadow AI : vos salariés utilisent déjà ChatGPT (en cachette).

Faites le test lundi matin : demandez, sans ton accusateur, qui dans votre équipe a déjà utilisé ChatGPT pour une tâche professionnelle. Puis comptez les regards qui se croisent. Fin 2025, 55 % des TPE-PME françaises utilisaient l'IA générative selon Bpifrance Le Lab, mais une grande partie de ces usages n'apparaît dans aucun outil validé, aucun budget, aucune charte. C'est ce qu'on appelle le shadow AI : l'IA qui travaille déjà chez vous, sans vous.

Le shadow AI, c'est quoi (et pourquoi c'est déjà chez vous)

Le terme désigne tous les usages d'IA non déclarés et non encadrés par l'entreprise : le commercial qui fait rédiger ses relances par ChatGPT depuis son compte personnel, l'assistante qui résume un contrat dans un outil gratuit, le comptable qui « fait vérifier » un tableau par une IA en accès libre. Rien de malveillant là-dedans, au contraire : ces salariés cherchent à travailler mieux, plus vite, et ils ont trouvé un levier avant que l'entreprise ne l'organise.

Les chiffres disent l'ampleur du phénomène. Parmi les entreprises qui ont adopté l'IA, 50 % utilisent exclusivement des solutions gratuites et prêtes à l'emploi, d'après l'enquête Bpifrance Le Lab auprès des dirigeants de PME et ETI. Gratuit, dans ce contexte, veut presque toujours dire : compte personnel, conditions d'utilisation grand public, aucune garantie sur le sort des données. Et pendant ce temps, le premier frein cité par les dirigeants pour adopter l'IA est précisément l'exposition de données confidentielles (33 %). L'ironie est complète : l'entreprise hésite par peur pour ses données, et cette hésitation laisse les données partir sur des comptes persos.

Pourquoi l'interdiction aggrave tout

Le réflexe classique face au shadow AI : interdire. Bloquer les sites, publier une note de service, rappeler que « l'IA n'est pas validée par la direction ». C'est compréhensible, et c'est presque toujours contre-productif, pour trois raisons.

D'abord, l'interdiction ne supprime pas l'usage, elle le déplace. Le salarié qui gagnait une heure par jour ne renonce pas à cette heure : il bascule sur son téléphone personnel, son navigateur privé, son compte gratuit. Vous n'avez pas éliminé le risque ; vous avez perdu toute visibilité dessus. Les données qui passaient par un poste de travail identifiable passent maintenant par des canaux que vous ne voyez plus du tout.

Ensuite, vous vous privez du signal. Chaque usage caché est une information gratuite : cette tâche est répétitive, ce salarié est motivé, ce gain est réel. Une entreprise qui interdit sans regarder jette la meilleure étude de terrain dont elle disposera jamais, celle que ses propres équipes ont menée, sur ses vraies tâches, sans facturer un centime de conseil.

Enfin, l'interdiction ne vous met même pas en règle. Depuis le 2 février 2025, l'article 4 du règlement européen sur l'IA demande aux entreprises utilisatrices de garantir un « niveau suffisant de maîtrise de l'IA » à leur personnel, et la Commission européenne a confirmé que les PME sont concernées sans seuil de taille, dès qu'un salarié utilise un outil d'IA au travail. Un usage caché reste un usage : interdire officiellement pendant que tout le monde utilise officieusement, c'est cumuler l'obligation et l'absence de réponse. On a détaillé ce que l'AI Act exige vraiment d'une PME, spoiler : pas une usine à gaz, mais pas non plus une note de service d'interdiction.

Ce que risque concrètement l'entreprise

Soyons précis, sans catastrophisme. Le shadow AI expose une PME à trois risques bien identifiés.

1 · Vos données clients dans des comptes personnels. Un prompt du type « reformule cet email pour M. Durand, qui conteste sa facture de 12 400 € » contient un nom, une situation commerciale, un montant. Envoyé depuis un compte grand public gratuit, il part vers un service dont vous n'avez ni vérifié ni négocié les conditions, avec, selon les réglages par défaut, une possible réutilisation pour l'entraînement des modèles. Si le salarié quitte l'entreprise, l'historique de ces conversations part avec lui.

2 · Le RGPD s'applique, prompts inclus. La CNIL est claire dans ses questions-réponses sur l'IA générative : dès que des données personnelles entrent dans un système d'IA ou en sortent, le RGPD s'applique. L'entreprise reste responsable de traitement, même quand le traitement a lieu sur le compte perso d'un salarié, elle doit pouvoir vérifier l'encadrement contractuel, la non-réutilisation des données pour l'entraînement, les transferts hors UE. Sur un compte grand public gratuit, elle ne peut rien vérifier du tout. On a consacré un guide complet à l'IA et au RGPD pour démêler ce qui est permis, interdit et encadrable.

3 · La fuite de savoir-faire. Vos méthodes de chiffrage, vos argumentaires, vos modèles de contrats sont un actif. Copiés-collés au fil des mois dans des outils non maîtrisés, ils se diluent hors de l'entreprise sans qu'aucun document n'ait jamais été « volé ». C'est le risque le plus invisible, et celui qu'aucun blocage de site ne couvre, puisqu'il suffit d'un téléphone personnel.

Faire sortir l'IA de l'ombre : la méthode en 4 étapes

La réponse au shadow AI n'est ni l'interdiction ni le laisser-faire : c'est un cadre, des comptes professionnels et une formation. Dans cet ordre, et sans chasse aux sorcières.

• 1 · Inventoriez les usages réels, en amnistie. Annoncez la couleur : personne ne sera sanctionné pour un usage passé, l'objectif est de savoir qui utilise quoi, pour quelles tâches, avec quelles données. Sans cette garantie, vous n'obtiendrez que des déclarations de façade. Avec elle, vous découvrez en une semaine votre vraie carte des usages, souvent la meilleure surprise du diagnostic : les cas d'usage que 23 % des dirigeants disent peiner à identifier, vos équipes les ont déjà trouvés.
• 2 · Ouvrez des comptes professionnels. Les versions pro des outils d'IA offrent ce que les comptes persos n'offrent pas : données exclues de l'entraînement par défaut, administration centralisée, contrat avec l'entreprise. Et contrairement à une idée reçue, le budget est modeste au regard des gains, quelques dizaines d'euros par utilisateur et par mois, à comparer au coût d'une seule fuite de données clients.
• 3 · Posez une politique IA d'une page. Outils autorisés, données interdites, règle de relecture humaine, référent désigné. C'est exactement ce que recommande la CNIL pour tout déploiement d'IA générative : une liste d'usages autorisés et interdits, l'information des salariés sur les limites des outils, et leur formation. Notre modèle de politique IA d'une page se remplit en une réunion.
• 4 · Formez par métier, sur les vraies tâches. C'est la réponse attendue par l'article 4 de l'AI Act (« en tenant compte du contexte d'utilisation »), et c'est surtout ce qui transforme des bricolages individuels en gains d'équipe : les bons réflexes de vérification, les données à ne jamais coller, les usages qui rapportent vraiment dans chaque métier. Notre guide complet de l'IA en PME détaille comment structurer cette montée en compétence, pôle par pôle.