Shadow IA : ce que vos équipes utilisent sans vous le dire

Les pages qui traitent ce sujet sont écrites pour des directions des systèmes d’information de grands comptes, avec le vocabulaire correspondant : détection, filtrage, gouvernance, passerelle de sécurité. Une entreprise de quarante personnes n’a ni direction informatique, ni budget de sécurité, ni personne pour administrer une plateforme de détection.

Cet article est écrit pour un dirigeant de PME. Il prend le contrepied de ce que vend le secteur, et il le fait pour une raison simple : nous voyons du shadow IA dans presque toutes les entreprises que nous auditons, y compris celles qui l’ont interdit. Surtout celles-là, en fait.

Qu’est-ce que le shadow IA ?

L’usage d’outils d’intelligence artificielle par des salariés, dans le cadre de leur travail, sans validation ni connaissance de la direction. Le mot est calqué sur le « shadow IT », qui désignait la même chose pour les logiciels et les services en ligne.

La différence entre les deux mérite d’être notée, parce qu’elle explique l’ampleur du phénomène. Le shadow IT demandait une installation, un budget, parfois une carte bancaire. Le shadow IA demande un onglet de navigateur et une adresse électronique. La barrière est tombée, et elle est tombée d’un coup, en deux ans.

À quoi ça ressemble concrètement

• Un commercial qui prépare ses relances dans un compte gratuit, sur son téléphone, le soir.
• Une assistante qui fait résumer un contrat client par un outil trouvé en cherchant « résumer PDF gratuit ».
• Un chargé d’affaires qui a installé un outil de transcription pour une réunion et ne l’a jamais désinstallé, si bien qu’il enregistre toutes les suivantes.
• Un technicien qui colle des extraits de code ou de configuration dans un assistant pour comprendre une erreur.
• Un responsable qui fait rédiger des évaluations annuelles avec un outil grand public.

Aucun de ces cinq n’a l’impression de mal faire. Les cinq ont raison sur un point : ils gagnent du temps, et personne ne leur a proposé autre chose.

Pourquoi vos équipes le font-elles ?

C’est la question qui décide de la réponse, et c’est celle que les solutions de filtrage n’abordent jamais. Quatre causes, dans l’ordre de fréquence que nous observons en audit.

1. Il n’y a pas d’outil autorisé

La cause numéro un, et de loin. Le besoin est réel, l’entreprise n’a rien mis à disposition, et l’outil gratuit est à un clic. Interdire dans cette configuration revient à demander à quelqu’un de faire son travail plus lentement sans lui expliquer pourquoi.

2. La demande a été faite et elle est restée sans réponse

Quelqu’un a demandé un abonnement il y a huit mois. La demande est passée en comité, puis en budget, puis nulle part. La personne a arrêté d’attendre. C’est le cas le plus injuste et le plus fréquent après le premier.

3. L’outil autorisé ne fait pas le travail

Une entreprise équipée d’un assistant intégré à sa suite bureautique découvre que ses équipes utilisent quand même autre chose, parce que l’outil fourni ne sait pas faire ce dont elles ont besoin. Le shadow IA est alors un retour d’information sur le choix d’outil.

4. Personne ne sait que c’est un sujet

La charte n’existe pas, ou elle existe et personne ne l’a lue. Beaucoup de salariés ne se représentent pas qu’un outil de résumé en ligne est un traitement de données, parce que rien dans l’interface ne le suggère.

Remarquez ce qui n’est pas dans cette liste : la malveillance. Nous n’avons jamais rencontré de cas où le shadow IA relevait d’une intention de nuire. C’est un problème d’organisation qui se présente sous les habits d’un problème de sécurité, et c’est ce qui explique que les réponses techniques échouent.

Pourquoi interdire ne marche pas

Trois concurrents sur quatre, sur cette requête, vendent l’interdiction outillée : filtrage, détection, blocage. Voici pourquoi nous pensons que c’est une mauvaise réponse pour une PME, et une réponse insuffisante pour les autres.

Comment repérer le shadow IA sans surveiller ses équipes ?

Il y a une façon de le faire qui abîme la confiance, et une façon qui la construit. Les deux donnent le même résultat.

Ce qu’il ne faut pas faire

Analyser les journaux de navigation, inspecter les postes, mettre en place une surveillance des salariés. Outre que c’est disproportionné dans une PME, c’est juridiquement risqué : la surveillance des salariés figure parmi les principaux thèmes de sanction de la CNIL en 2025, aux côtés des cookies et de la sécurité des données. Vous chercheriez à corriger un problème de conformité en en créant un autre, plus grave.

Ce qui fonctionne, et qui prend une demi-journée

1. 011

   Demandez, mais posez la bonne question

   « Quels outils d’IA utilisez-vous ? » donne des réponses incomplètes, parce que la question sonne comme un contrôle. « Qu’est-ce qui vous fait gagner du temps en ce moment, et qu’est-ce qui vous en fait perdre ? » donne la liste complète, parce que les gens sont fiers de ce qu’ils ont trouvé.

2. 022

   Regardez les écrans, sur place

   Une demi-journée par pôle à observer le travail réel. Les outils apparaissent parce qu’ils sont ouverts. C’est exactement ce que fait un audit de processus, et c’est pour ça que nous produisons le registre des systèmes d’IA à ce moment-là plutôt que dans un chantier séparé.

3. 033

   Regardez les notes de frais et les relevés

   Les abonnements personnels remboursés, les achats de moins de trente euros passés en fournitures. Ce n’est pas de la surveillance : ce sont vos propres comptes.

4. 044

   Annoncez pourquoi vous demandez

   « On veut vous fournir les bons outils et savoir ce qu’on doit encadrer », pas « on fait un audit de sécurité ». La première formulation vous donne des réponses honnêtes, la seconde des réponses prudentes.

La réponse en trois actes

Elle ne demande ni logiciel, ni budget de sécurité, ni direction informatique. Elle tient en trois décisions, et l’ordre compte autant que le contenu.

Acte 1 · ouvrir, avant d’encadrer

Des comptes professionnels sur les pôles concernés, à 18 à 25 € ou dollars par personne et par mois. Pas pour tout le monde : pour ceux qui en ont un besoin réel, identifié à l’étape précédente. Tant qu’il n’y a pas d’alternative autorisée, aucune règle ne tiendra, et c’est la seule loi vraiment fiable sur ce sujet.

Acte 2 · écrire la charte, et la faire signer

Deux pages : ce qui peut entrer dans un outil d’IA, ce qui ne le peut pas. Une liste par catégorie de données plutôt qu’une interdiction générale, parce qu’une règle qui distingue est une règle qu’on respecte. Signée, pas diffusée : c’est ce qui établit que la règle était connue.

Acte 3 · nommer quelqu’un et former

Une personne qui répond aux questions, tient la liste des outils et remonte les cas limites, avec une demi-journée par mois écrite dans ses objectifs. Puis une demi-journée de formation par pôle, sur les vrais documents. La formation fait plus contre le shadow IA que n’importe quel filtrage : elle donne aux gens la raison de la règle, pas seulement la règle.

Coût total pour une PME de quarante personnes : quelques centaines d’euros par mois d’abonnements, deux jours de travail interne, et une demi-journée de formation par pôle. À comparer au prix d’une plateforme de détection, et surtout à son coût d’administration.

Ce que le shadow IA vous fait risquer, précisément

Le premier de cette liste est celui qui préoccupe les directions. Le deuxième est celui qui se constate en une minute lors d’un contrôle. Le quatrième est celui qui coûte réellement de l’argent, et personne n’en parle.

Questions fréquentes sur le shadow IA