Shadow AI : définition, risques et réponse de l’entreprise

Quelle est l’ampleur du shadow AI ?

Deux études donnent un ordre de grandeur. Aucune ne mesure les fuites de données.

• En France. Le baromètre Ifop pour Talan « Les Français et les IA génératives » interroge 1 100 personnes de 18 ans et plus en mars 2025. Parmi celles qui utilisent l’IA générative dans un cadre professionnel, 37 % disent ne pas avoir informé leur supérieur hiérarchique, 39 % l’ont informé et 24 % n’ont pas de supérieur. Ifop invite à lire ces résultats avec prudence : le groupe des utilisateurs professionnels reste petit.

• Dans le monde. Le Work Trend Index 2024 de Microsoft et LinkedIn (31 000 personnes dans 31 pays) indique que 78 % des utilisateurs d’IA apportent leurs propres outils au travail. Microsoft vend un assistant d’entreprise : lisez ce chiffre comme celui d’un acteur intéressé.

Ces deux chiffres mesurent des choses différentes. Un usage non déclaré n’est pas forcément un usage interdit.

Quels risques le shadow AI fait-il courir à l’entreprise ?

• Les données sortent. Un salarié qui colle un contrat dans un service grand public transmet son contenu au fournisseur. Chez OpenAI, par exemple, les conversations des offres grand public peuvent servir à entraîner les modèles, sauf si l’utilisateur le refuse dans ses réglages ; les offres entreprise et l’API ne le font pas par défaut. L’ANSSI recommande de proscrire les outils d’IA générative sur Internet pour un usage professionnel qui implique des données sensibles (R34). Si le document contient des données personnelles, le RGPD s’applique aussi.

• Personne ne vérifie. Un texte produit hors de tout cadre entre dans un livrable sans relecture dédiée. Une hallucination passe alors jusqu’au client.

• L’entreprise perd la mesure. Elle ne sait ni quels gains existent, ni quelles équipes former, ni quels usages généraliser.

• La formation manque sa cible. Depuis le règlement 2026/1744, l’article 4 de l’AI Act demande aux fournisseurs et aux déployeurs de « prendre des mesures pour favoriser le développement de la maîtrise de l’IA ». Vous formez mal à des usages que vous ignorez.

Faut-il interdire l’IA générative au travail ?

Une interdiction sans solution de remplacement ne supprime pas le besoin. Nous proposons plutôt une réponse en cinq temps :

1. Inventoriez les usages réels, par une enquête anonyme : quels outils, pour quelles tâches, avec quelles données.

2. Tracez une ligne rouge sur les données : ce qui ne sort jamais vers un outil externe.

3. Proposez un outil validé pour les usages courants, sous contrat d’entreprise.

4. Formez sur les usages que l’inventaire a révélés.

5. Écrivez la charte à partir de ces usages, pas d’un modèle générique.

Avec quoi ne pas confondre le shadow AI ?

• Shadow AI ≠ shadow IT. La logique est la même, mais l’outil d’IA reçoit le contenu du travail lui-même : textes, chiffres, documents.

• Usage non déclaré ≠ usage interdit. Sans règle écrite, un salarié ne sait pas ce qu’il doit déclarer.

• Shadow AI ≠ vibe coding. Le vibe coding crée un logiciel avec l’IA ; il relève du shadow AI quand la plateforme utilisée n’a pas la validation de l’entreprise.

Exemple illustratif

Ce cas est fictif. Un commercial colle le compte rendu d’un appel d’offres dans un assistant grand public pour en tirer une synthèse. Il gagne du temps. L’entreprise, elle, ne sait ni quelles données sont sorties, ni ce que le service en fait. Une ligne rouge sur les données clients et un outil validé règlent ce cas sans priver l’équipe du gain.