Un commercial prépare une réponse à appel d'offres. Il colle le cahier des charges du client dans un assistant en ligne, gratuit, ouvert avec son adresse personnelle, pour gagner deux heures. Le document contient les volumes, les prix, le nom du donneur d'ordre. Personne ne lui a dit qu'il ne fallait pas. Personne ne lui a dit qu'il fallait non plus.
Ce n'est pas un cas d'école. C'est la situation de la majorité des entreprises françaises aujourd'hui, et elle porte un nom : le shadow AI.
L'ampleur réelle, en chiffres
Le phénomène se mesure mal, parce qu'il repose sur du déclaratif et que les salariés ont peu d'intérêt à déclarer. Les études convergent tout de même sur un ordre de grandeur.
| Constat | Chiffre | Source |
|---|---|---|
| Salariés français utilisant l'IA générative hors d'un cadre défini par l'employeur | 58 % | Salesforce |
| Parmi eux, la part qui utilise des outils explicitement interdits par l'entreprise | 49 % | Salesforce |
| Salariés utilisant l'IA au bureau, contre un sur quatre formé | 1 sur 2 | Impact AI · KPMG France, 2026 |
| Utilisateurs d'IA au travail apportant leurs propres outils | 78 % | Microsoft · LinkedIn, Work Trend Index 2024 |
| Utilisateurs réticents à admettre qu'ils s'en servent sur leurs tâches importantes | 52 % | Microsoft · LinkedIn, Work Trend Index 2024 |
← Faites glisser le tableau pour voir toutes les colonnes →
Ce dernier chiffre est le plus instructif quand on dirige. Un salarié sur deux cache son usage de l'IA, non par malveillance, mais par crainte de paraître remplaçable. Autrement dit : l'absence de remontée dans votre entreprise n'est pas un indice que le phénomène vous épargne. C'est exactement l'inverse.
Ce qui se passe vraiment quand ça tourne mal
Le risque le plus souvent cité est la fuite de données. Il est réel, et il est désormais chiffré. Le rapport IBM Cost of a Data Breach 2025 a isolé pour la première fois le surcoût des violations impliquant du shadow AI : 670 000 dollars de plus que la moyenne mondiale des autres incidents.
Le même rapport apporte trois constats qui expliquent ce surcoût :
- 20 % des organisations interrogées ont subi une violation liée à un incident impliquant du shadow AI.
- 97 % des organisations ayant connu un incident de sécurité lié à l'IA n'avaient pas de contrôle d'accès approprié sur ces outils.
- 63 % n'avaient aucune politique de gouvernance de l'IA.
Les incidents impliquant du shadow AI mettent aussi plus longtemps à être détectés et contenus, environ une semaine de plus que la moyenne, et exposent davantage de données personnelles de clients.
La fuite de données n'est pas le seul sujet. Un devis chiffré par un assistant qui invente une référence produit, un contrat relu par un outil qui hallucine une clause, un courrier client au ton inadapté envoyé tel quel : ces incidents ne déclenchent aucune alerte de sécurité. Ils se règlent avec un client mécontent, et personne ne remonte jamais que l'IA était dans la boucle.
Pourquoi l'interdiction ne règle rien
Le premier réflexe, quand on découvre l'ampleur du phénomène, est d'interdire. C'est compréhensible, et c'est le plus souvent inefficace.
Les chiffres le disent : près d'un utilisateur sur deux recourt déjà à des outils explicitement interdits. Une interdiction ne supprime pas l'usage, elle le déplace vers le téléphone personnel, où il ne laisse plus aucune trace exploitable. Vous perdez la visibilité sans gagner la sécurité.
Il y a une raison de fond à cela. Le salarié qui utilise un assistant en cachette ne cherche pas à contourner une règle, il cherche à finir son travail plus vite. Tant que le gain de temps est réel et que l'entreprise ne propose pas d'équivalent encadré, l'usage se maintiendra, quel que soit le règlement intérieur.
Ce que la loi vous demande déjà
Un point que beaucoup de dirigeants ignorent : il existe désormais une obligation, et elle ne dépend d'aucun seuil de taille.
L'article 4 du règlement européen sur l'intelligence artificielle, l'AI Act, impose depuis le 2 février 2025 à tout déployeur d'un système d'IA de garantir un niveau suffisant de maîtrise de l'IA chez son personnel et chez toute personne qui utilise ces systèmes sous son autorité. Cette obligation ne dépend pas du niveau de risque du système : le simple usage d'un assistant conversationnel la déclenche. Elle ne prévoit pas non plus de seuil d'effectif ou de chiffre d'affaires.
Les sanctions nationales, elles, sont applicables depuis le 2 août 2026, et c'est la CNIL qui exerce ce contrôle en France.
Si vos salariés utilisent un assistant IA dans leur travail, même occasionnellement, même un outil gratuit, vous êtes déployeur au sens du texte. L'obligation de formation vous concerne, et elle se documente : ce qui a été enseigné, à qui, et quand. C'est précisément le point que le shadow AI rend impossible à démontrer, puisque l'usage n'est pas connu.
Quatre actions concrètes
- Demandez, sans sanction annoncée. Une question ouverte en réunion, ou un formulaire anonyme : quels outils utilisez-vous, pour quoi faire. Tant que la réponse expose à une remontrance, elle sera fausse. C'est le seul point de départ possible, et il ne coûte rien.
- Écrivez la règle sur les données, avant la règle sur les outils. Une page suffit : ce qui ne se colle jamais dans un outil en ligne, données personnelles de clients ou de salariés, contrats, prix, éléments couverts par le secret des affaires. Cette règle se retient, contrairement à une liste d'interdictions.
- Ouvrez une porte officielle. Un ou deux outils validés, avec des comptes professionnels et des paramètres vérifiés sur la réutilisation des données. Un usage encadré et visible vaut mieux qu'un usage caché sur un compte personnel.
- Formez, et gardez la trace. Une session courte pour les personnes concernées, avec la liste des participants et la date. C'est utile pour l'usage, et c'est ce qui matérialise l'obligation de l'article 4 en cas de contrôle.
Aucune de ces quatre actions ne demande d'outil supplémentaire ni de budget. La première demande surtout d'accepter, en tant que dirigeant, d'apprendre que le phénomène est plus étendu que prévu.