Shadow AI : comment savoir si vos salariés utilisent l'IA sans vous le dire ?

Le shadow AI, c'est quoi exactement — et pourquoi maintenant ?

Le shadow AI désigne tout usage professionnel d'un outil d'intelligence artificielle qui échappe au cadre de l'entreprise : un commercial qui colle une proposition client dans ChatGPT ouvert avec son adresse Gmail, une assistante qui installe une extension de navigateur pour résumer ses mails, un développeur qui branche un assistant sur le dépôt de code. Le point commun n'est pas l'outil : c'est l'absence de traçabilité.

L'ampleur du phénomène est désormais documentée. L'enquête menée en 2025 par INRIA et Datacraft auprès de quatorze grandes organisations françaises — Airbus, L'Oréal, Crédit Agricole, ministère des Armées — relevée par le ministère de la Transition écologique, conclut que 68 % des salariés utilisent des solutions d'IA sans en informer leur management. Le taux monte à 75 % chez les managers et à 82 % dans le secteur technologique. Autrement dit : plus on monte dans la hiérarchie, plus l'usage est invisible.

Côté données, l'enquête CybSafe menée avec la National Cybersecurity Alliance chiffre à 38 % la part de salariés qui reconnaissent avoir transmis des informations sensibles à une IA sans autorisation hiérarchique. Rapporté à une PME de 25 personnes, cela représente une dizaine de collaborateurs qui ont, au moins une fois, fait sortir un document de l'entreprise sans que personne ne le sache.

Ce n'est pas une question de discipline. Les usages informels naissent de la recherche d'efficacité, pas d'une volonté de contourner. C'est précisément ce qui les rend durables — et ce qui rend l'interdiction inefficace.

Ce qui change en 2026, c'est l'adoption officielle en face : 26 % des TPE et PME françaises déclarent utiliser au moins une solution d'IA, contre 13 % en 2024 selon Bpifrance Le Lab et France Num. L'écart entre l'usage officiel (un quart des entreprises) et l'usage réel (deux tiers des salariés) est le vrai indicateur du shadow AI : ce n'est pas un problème d'adoption, c'est un problème de visibilité.

Comment détecter le shadow AI en 90 minutes, sans outil de sécurité ?

La plupart des articles sur le sujet renvoient vers une plateforme de gouvernance à plusieurs milliers d'euros par an. C'est une réponse d'ETI. Pour une PME, la cartographie initiale se fait avec ce que vous avez déjà. Voici la grille que nous utilisons, avec le budget-temps réel de chaque contrôle.

Les trois questions du contrôle n°5, dans cet ordre : « Quel outil t'a fait gagner du temps ce mois-ci ? », puis « Est-ce qu'il t'est arrivé d'y coller un document client ou un fichier RH ? », puis « Avec quel compte tu te connectes ? ». L'ordre compte : on commence par valoriser le gain avant d'aborder le risque. Une question ouverte posée sans menace fait sortir nettement plus d'usages qu'un questionnaire anonyme, parce que le salarié n'a rien à protéger.

À l'issue des 90 minutes, vous produisez un seul livrable : un tableau à quatre colonnes — outil, nombre d'utilisateurs constatés, type de données qui y transitent, compte utilisé (professionnel ou personnel). C'est ce tableau, et lui seul, qui permet les décisions de la suite.

Combien coûte vraiment le passage du shadow AI à l'usage encadré ?

C'est la question qui bloque la décision, et personne n'y répond avec des chiffres. Nous l'avons calculée. Le raisonnement est simple : un salarié en shadow AI paie déjà, de sa poche ou en note de frais, un abonnement individuel. La question n'est donc pas « combien coûte l'IA », mais combien coûte l'écart entre ce qu'il paie déjà et la version équipe équivalente.

Tarifs publics constatés le 3 août 2026, convertis à 1 € = 1,08 $, hors taxes, engagement annuel :

L'écart avec la situation shadow (19,17 € HT) donne le prix réel de la conformité :

• ChatGPT Business : -0,65 €/mois, soit -7,80 € par an et par utilisateur. Depuis la baisse tarifaire d'avril 2026, la licence équipe est moins chère que l'abonnement individuel. Encadrer fait économiser de l'argent.
• Microsoft 365 Copilot : +0,27 €/mois, soit +3,24 € par an — à condition d'avoir déjà les licences Microsoft 365, sans quoi le calcul change complètement.
• Claude Team : +3,98 €/mois, soit +47,76 € par an, avec le plancher de cinq sièges à prendre en compte pour les équipes de moins de cinq utilisateurs.

Traduit à l'échelle d'une PME de 25 salariés dont 15 utilisent réellement l'IA — un ratio cohérent avec les 68 % de l'enquête INRIA —, la bascule complète coûte entre -117 € et +717 € par an. À comparer au plafond de sanction du RGPD : 20 millions d'euros ou 4 % du chiffre d'affaires mondial. Le rapport entre les deux ordres de grandeur est l'argument le plus court à présenter en comité de direction.

Ce raisonnement complète, sans le remplacer, le calcul global d'un budget IA : voir notre décomposition poste par poste du coût réel d'un stack IA pour une PME en 2026.

Faut-il interdire l'IA ou l'encadrer ?

L'interdiction générale est la réaction réflexe, et c'est la moins efficace. Elle produit un déplacement, pas une disparition : l'usage migre du poste professionnel — où il laisse des traces dans les journaux réseau — vers le téléphone personnel, où l'entreprise ne voit plus rien. Vous perdez en une note de service la seule chose que vous aviez : la visibilité.

L'interdiction ciblée, en revanche, tient parfaitement. Elle s'applique à des périmètres nommés, pas à un outil : données de santé, dossiers en contentieux, éléments de paie, secrets industriels sous accord de confidentialité. Une règle courte du type « aucune donnée relevant de ces quatre catégories ne sort vers un outil externe, quel qu'il soit » est comprise et respectée, parce qu'elle est proportionnée.

Pour tout le reste, la séquence qui fonctionne tient en quatre temps : cartographier (les 90 minutes ci-dessus), fournir des comptes professionnels sur les deux ou trois outils réellement utilisés, publier une charte d'une page, former. Sur ce dernier point, la formation utile n'est pas un module de sensibilisation générique : elle porte sur les outils que vos équipes utilisent déjà — par exemple une formation opérationnelle à Claude Code pour des équipes techniques, ou une session interne d'une heure sur les cas d'usage validés pour les fonctions support.

Un point de vigilance souvent oublié : le shadow AI ne se limite pas aux assistants conversationnels. Les agents vocaux IA déployés sur des lignes téléphoniques traitent des conversations clients complètes. S'ils ont été mis en place par une équipe sans passer par la direction, ils relèvent exactement de la même problématique — avec en plus l'obligation d'information des interlocuteurs.

Que doit contenir une charte IA d'une page ?

Une charte de vingt pages n'est pas lue. Sept lignes, affichées et signées à l'arrivée, le sont. Voici la structure minimale qui couvre les obligations sans devenir un document juridique :

1. Les outils autorisés, nommément, avec le compte à utiliser (professionnel uniquement).
2. Les quatre catégories de données interdites en sortie, listées explicitement.
3. La règle de relecture : toute production IA destinée à un client ou à un document officiel est relue et validée par un humain identifié.
4. La règle de transparence : les cas où l'interlocuteur doit être informé qu'une IA intervient.
5. Le point de contact pour demander l'ajout d'un outil — sans cette porte d'entrée, le shadow AI se reconstitue en trois mois.
6. La conservation : ce qui est enregistré, où, et pendant combien de temps.
7. La date de revue, tous les six mois. Le paysage des outils change trop vite pour une charte figée.

La CNIL met à disposition des fiches pratiques IA qui précisent les attentes en matière de base légale, d'information des personnes et de sécurité : elles constituent la référence à citer dans la charte plutôt que des formulations maison.

Que change l'AI Act pour les usages non déclarés ?

Le règlement européen sur l'intelligence artificielle — règlement (UE) 2024/1689 — impose à son article 4, applicable depuis le 2 février 2025, que tout déployeur garantisse un niveau suffisant de « maîtrise de l'IA » à son personnel et à toute personne utilisant des systèmes d'IA sous son autorité. Aucun seuil d'effectif, aucun seuil de chiffre d'affaires : l'obligation vaut pour une entreprise de trois personnes qui se sert d'un assistant conversationnel.

Le 2 août 2026 marque l'entrée en application générale du règlement, avec des autorités nationales de surveillance opérationnelles et un régime de sanctions effectif. Le texte ne fixe ni durée minimale de formation, ni programme type, ni certification obligatoire : le niveau « suffisant » s'apprécie au regard du poste et du contexte d'usage. Une sensibilisation documentée suffit dans la majorité des cas.

Le problème est ailleurs, et c'est le lien direct avec le shadow AI : on ne peut pas documenter la formation à des usages qu'on ignore. Une entreprise qui forme ses équipes sur un outil officiel pendant que les deux tiers des salariés en utilisent trois autres en dehors du cadre ne produit pas une preuve de conformité — elle produit un document faux. La cartographie n'est donc pas une étape préalable optionnelle : c'est la condition de validité de tout ce qui vient après. Pour le cadre complet des échéances et des niveaux de risque, voir notre guide sur l'AI Act et la conformité des entreprises utilisatrices d'outils IA.

Dernier point pratique : le tableau à quatre colonnes produit à l'issue des 90 minutes est déjà, en lui-même, un début de preuve. Daté, signé, mis à jour tous les six mois, il montre que l'entreprise sait ce qu'elle déploie. C'est très exactement ce qu'un contrôle cherchera à établir.