Un commercial colle un devis client dans son ChatGPT personnel pour le reformuler. Une assistante installe une extension qui résume ses mails. Personne n'a rien demandé à l'IT. C'est ça, le shadow AI, et il y en a probablement déjà chez vous. Voici ce que c'est vraiment, les risques réels, et comment l'encadrer sans tout interdire.
Réponse courte
Le shadow AI (ou shadow IA) désigne l'usage d'outils d'intelligence artificielle par des salariés sans validation ni encadrement de l'entreprise : comptes personnels ChatGPT ou Claude, extensions de navigateur, agents connectés aux mails, outils de transcription souscrits par un service. Le risque principal n'est pas l'IA elle-même, c'est que des données clients, des documents internes ou du code partent dans des outils que personne ne maîtrise. La réponse efficace n'est pas l'interdiction, qui pousse les usages dans l'ombre, mais un cadre simple : inventaire des usages, un ou deux outils officiels avec un compte entreprise, une règle claire sur les données, et une formation par métier.
Shadow AI : définition et différence avec le shadow IT
Le terme vient du shadow IT, l'usage de logiciels ou de services cloud non validés par la DSI (une Dropbox perso, un Trello d'équipe). Le shadow AI en est la version IA, avec une différence de taille : on ne se contente pas de stocker des fichiers, on les donne à lire à un modèle, souvent avec le contexte complet (nom du client, montant, stratégie).
Les salariés ne font pas ça par malveillance. Ils le font parce que ça marche et que l'entreprise ne leur a rien proposé. Selon le Work Trend Index 2024 de Microsoft et LinkedIn, 78 % des utilisateurs d'IA au travail apportent leurs propres outils. Autrement dit : si vous n'avez pas encore choisi d'outil, vos équipes l'ont fait pour vous.
Les risques réels du shadow AI (sans dramatiser)
Pas besoin de faire peur pour prendre le sujet au sérieux. Les chiffres existent : dans le rapport Cost of a Data Breach 2025 d'IBM et du Ponemon Institute, 20 % des organisations victimes d'une fuite étudiées déclarent un incident lié au shadow AI, et un fort niveau de shadow AI ajoute en moyenne 670 000 dollars au coût d'une fuite. Le même rapport note que 63 % de ces organisations n'avaient pas de politique de gouvernance de l'IA, ou étaient encore en train de l'écrire.
Concrètement, les risques à regarder sont ceux-ci :
- Les données qui sortent : données clients, contrats, chiffres, code source. Sur les offres grand public, l'utilisation des conversations pour entraîner les modèles dépend de réglages que le salarié ne connaît pas toujours. Les offres entreprise (ChatGPT Business ou Enterprise, Claude Team ou Enterprise) excluent par défaut l'entraînement sur vos données.
- Le RGPD et le secret professionnel : une donnée personnelle envoyée dans un outil non référencé, c'est un traitement que vous ne pouvez ni documenter ni justifier. Pour un avocat, un expert-comptable ou un professionnel de santé, la question du secret se pose avant même celle du RGPD.
- Les agents trop puissants : un assistant branché sur la messagerie ou le CRM avec des droits de suppression ou d'envoi peut faire des dégâts sans aucune mauvaise intention.
- Les erreurs non relues : une réponse fausse recopiée dans un devis ou un mail client engage l'entreprise, quel que soit l'outil.
Ce qu'il faut éviter aussi, c'est l'excès inverse. Aucune configuration ne garantit zéro fuite. L'objectif est de réduire les risques réels à un niveau maîtrisé, pas de promettre l'impossible.
Pourquoi interdire ChatGPT ne marche pas
Interdire est tentant : Samsung l'a fait en 2023 après que des ingénieurs ont collé du code interne dans ChatGPT. Mais dans une PME, une interdiction sans alternative a presque toujours le même effet : les usages passent sur les téléphones personnels et vous perdez toute visibilité.
Le bon réflexe est l'inverse : rendre l'usage sûr plus simple que l'usage caché. Un outil officiel, des règles courtes, et des exemples concrets par métier.
Comment encadrer le shadow AI en 5 étapes
1. Faire l'inventaire des usages, sans sanction
Un questionnaire anonyme de dix questions suffit : quels outils, pour quelles tâches, avec quelles données. Annoncez clairement que le but est de choisir de bons outils, pas de punir. C'est la première étape d'un audit IA.
2. Choisir un ou deux outils officiels
Prenez un compte entreprise sur l'outil le plus utilisé, plutôt que d'en imposer un nouveau. Le choix entre les deux grands se fait sur vos usages : voir mon comparatif Claude vs ChatGPT en entreprise, et le détail des offres ChatGPT Business et Enterprise ou Claude Team et Enterprise. Activez l'authentification unique, gérez les accès par équipe et vérifiez les réglages de conservation des données.
3. Fixer une règle des données en 3 couleurs
Une règle courte est appliquée, une politique de vingt pages ne l'est pas. Vert : ce qui peut aller partout. Orange : ce qui ne va que dans l'outil officiel. Rouge : ce qui ne va dans aucune IA en ligne sans validation. Cette règle devient le cœur de votre charte d'usage de l'IA.
4. Former chaque métier sur ses cas d'usage
Une formation générique ne change pas les habitudes. Montrez au commercial comment préparer un rendez-vous, à la comptable comment analyser un export, au support comment rédiger une réponse, dans l'outil officiel et avec les bonnes données. C'est l'objet d'une formation IA en entreprise par métier.
5. Revoir tous les trois mois
Le cadre doit vivre : un point trimestriel de trente minutes suffit pour mettre à jour les outils autorisés et la règle des données.
Données clients sensibles : l'option de l'IA locale
Pour certains métiers, la zone rouge est large. Dans ma vidéo sur le sujet, je montre une piste pour les avocats, juristes et comptables : faire tourner un modèle open source directement sur son ordinateur, avec AirLLM, pour que les dossiers clients ne quittent jamais la machine. La contrepartie est la vitesse : c'est lent, et ça ne remplace pas un outil officiel pour le quotidien. Mais pour analyser un document vraiment sensible, c'est une alternative concrète au copier-coller dans un ChatGPT personnel.
Shadow AI et AI Act : ce qu'il faut savoir
L'AI Act européen impose déjà aux entreprises qui utilisent des systèmes d'IA de veiller à un niveau suffisant de maîtrise de l'IA chez leurs équipes. Un salarié qui utilise un outil que l'entreprise ne connaît pas, c'est un usage qu'elle ne peut ni former ni documenter. Le détail des obligations est dans mon article sur l'AI Act pour les entreprises. Encadrer le shadow AI ne garantit pas la conformité, mais c'est un point de départ concret.
En clair
Le shadow AI n'est pas un problème de salariés indisciplinés. C'est le signe que vos équipes ont besoin de l'IA et que l'entreprise n'a pas encore fourni le cadre. Inventaire, outils officiels, règle des données, formation : quatre semaines suffisent souvent pour passer de l'usage caché à un usage maîtrisé.
C'est exactement ce que je fais avec les PME : diagnostic des usages, des outils et des données, configuration de Claude ou ChatGPT avec des règles de confidentialité claires, puis formation par métier. Si vous ne savez pas par où commencer, lisez l'IA en PME : par où commencer, ou réservez un appel.
FAQ
Qu'est-ce que le shadow AI ?
C'est l'utilisation d'outils d'IA par des salariés sans validation ni encadrement de l'entreprise : compte personnel ChatGPT ou Claude, extension de navigateur, agent connecté aux mails, outil de transcription souscrit par une équipe.
Quelle est la différence entre shadow AI et shadow IT ?
Le shadow IT couvre tous les logiciels non validés par la DSI. Le shadow AI en est la partie IA, plus sensible, car les outils lisent et analysent le contenu qu'on leur confie, souvent avec tout son contexte.
Faut-il interdire ChatGPT en entreprise ?
Une interdiction sans alternative déplace les usages vers les téléphones personnels. Il vaut mieux proposer un outil officiel avec un compte entreprise, des règles courtes sur les données et une formation.
Mes données sont-elles utilisées pour entraîner les modèles ?
Sur les offres entreprise de ChatGPT et de Claude, vos données ne servent pas à l'entraînement par défaut. Sur les offres grand public, cela dépend des réglages du compte, d'où l'intérêt d'un outil officiel.
Comment détecter le shadow AI dans une PME ?
Un questionnaire anonyme révèle l'essentiel. Complétez avec les abonnements IA passés en notes de frais et les extensions installées sur les postes.
Une charte IA suffit-elle à encadrer le shadow AI ?
Non, une charte seule reste souvent lettre morte. Elle fonctionne avec un outil officiel, une règle des données simple et une formation qui montre les bons usages par métier.