Shadow AI : vos salariés utilisent déjà l'IA sans en parler à la direction

Vous pensez peut-être que votre entreprise n'a pas encore commencé avec l'IA. C'est probablement faux. Selon le Work Trend Index de Microsoft, jusqu'à 78 % des salariés utilisent déjà des outils d'IA au travail, souvent depuis leur compte personnel, sans que la direction en soit informée. L'IA est déjà dans votre entreprise, que vous l'ayez décidé ou non. Ce qui compte vraiment, c'est ce que vos équipes y saisissent, et ce que ça vous coûterait de ne pas le savoir.

Combien de vos salariés utilisent déjà l'IA sans vous le dire

Les études convergent sans se copier exactement, ce qui rend le constat plus solide qu'un chiffre unique. En France, une étude INRIA-Datacraft de juin 2025 situe l'usage non déclaré à 68 % des salariés, un taux qui grimpe à 75 % chez les cadres et à 82 % dans le secteur technologique. Gartner, sur un échantillon de 500 entreprises en 2025, mesure une progression de 41 % à 68 % en deux ans. Une étude OpinionWay pour Factorial va plus loin sur le ressenti : 56 % des salariés estiment que leur entreprise les laisse se débrouiller seuls avec l'IA, sans règles ni cadre.

Le plus révélateur ne vient pas des équipes, mais de la direction elle-même. Selon une étude Microsoft France / YouGov de janvier 2026 menée auprès de 657 cadres et dirigeants, 61 % d'entre eux utilisent une IA générative via leur compte personnel au moins une fois par semaine, alors même qu'ils considèrent le sujet comme une priorité stratégique pour leur entreprise. Le dirigeant qui s'inquiète du shadow AI chez ses équipes en fait souvent partie lui-même.

Ce qui circule vraiment dans ces outils

Un salarié qui utilise ChatGPT pour reformuler un email ne met personne en danger, l'usage en lui-même n'a rien de problématique. Le vrai problème apparaît quand l'outil sert à traiter des données que l'entreprise ne devrait pas laisser sortir : contrats clients, données personnelles, code source, chiffres financiers non publics. Plusieurs études convergent sur ce point sans donner exactement le même chiffre : entre 40 et 54 % des usages non déclarés impliquent la saisie de données jugées sensibles ou confidentielles.

L'exemple le plus documenté reste celui de Samsung. En 2023, trois ingénieurs ont collé du code source confidentiel dans ChatGPT pour déboguer un programme, provoquant trois fuites en moins d'un mois. Samsung a fini par interdire purement et simplement les outils d'IA générative en interne, une réaction radicale qui montre surtout l'absence d'alternative au moment des faits : pas d'outil validé, pas de cadre, donc une interdiction totale plutôt qu'une politique d'usage.

Le vrai risque, c'est l'absence de cadre, pas l'usage

Interdire l'IA ne fait disparaître ni le besoin ni l'usage, ça les rend simplement invisibles. Un salarié qui trouve un vrai gain de temps avec un outil continuera à s'en servir, cadre ou pas, sur son téléphone personnel si nécessaire. La CNIL a d'ailleurs placé le contrôle des usages IA en entreprise parmi ses priorités pour la période 2025-2028, et l'AI Act européen impose depuis août 2026 une obligation de transparence et de littératie IA (former ses équipes à un usage minimal responsable), même si les obligations les plus lourdes sur les systèmes à haut risque ont été reportées à fin 2027.

Un baromètre EQS Group publié en 2026 pointe un déficit de visibilité qui rend cette obligation difficile à tenir concrètement : 80 % des organisations françaises n'ont pas une compréhension claire des systèmes d'IA réellement déployés en leur sein. On ne peut pas documenter un usage qu'on n'a jamais cartographié.

Ce qu'un audit IA révèle avant même de parler d'outils

C'est précisément ce que la phase Analyser de notre Méthode ASA fait émerger : des entretiens avec le dirigeant et ses responsables clés, pas seulement pour identifier de nouvelles opportunités IA, mais pour cartographier ce qui se passe déjà, y compris les usages jamais formalisés. Un dirigeant qui pense partir de zéro découvre souvent que trois personnes de son équipe utilisent déjà l'IA chaque semaine, avec des habitudes très différentes les unes des autres.

Cadrer ces usages, c'est choisir un outil validé pour les cas d'usage identifiés, fixer ce qui peut y être saisi et ce qui ne le peut pas, et laisser une vraie marge de manœuvre aux équipes. Une interdiction totale, elle, pousse surtout l'usage encore plus loin dans l'ombre.

Foire aux questions

Le shadow AI concerne-t-il aussi les petites entreprises ?

Oui, et parfois davantage. Une PME sans service IT dédié a rarement de politique IA formalisée, ce qui laisse chaque salarié décider seul de ce qu'il juge acceptable de saisir dans un outil gratuit.

Faut-il interdire les outils d'IA grand public en attendant d'avoir un cadre ?

Une interdiction totale pousse l'usage vers des comptes personnels encore moins traçables. Mieux vaut cadrer rapidement ce qui est autorisé et sur quelles données, plutôt que d'interdire sans alternative.

Comment savoir ce que mes équipes utilisent réellement aujourd'hui ?

Par des entretiens directs, pas par un outil de surveillance. Les équipes qui se sentent surveillées cachent davantage leurs usages ; celles à qui on demande simplement ce qu'elles utilisent et pourquoi répondent en général sans détour, surtout si la question est posée sans jugement.

Discutons de votre situation

Si vous ne savez pas précisément ce que vos équipes utilisent déjà comme outils IA, c'est en soi une bonne raison de commencer par un audit IA plutôt que par le choix d'un nouvel outil. Pour évaluer un prestataire avant de vous lancer, notre grille de critères pour choisir un audit IA reste un bon point de départ, et notre guide complet IA pour TPE et PME donne la vue d'ensemble si vous découvrez le sujet.