Ton RSSI audite les accès. Ta DSI compare les offres API. Pendant ce temps, une partie de tes collaborateurs a déjà tranché : ils utilisent l'IA générative tous les jours, avec leurs comptes personnels, sur des données de l'entreprise.
Ce n'est pas un excès isolé. Selon une étude Microsoft / YouGov menée en janvier 2026 auprès de plus de 650 cadres et dirigeants français, 61 %des utilisateurs d'IA générative en entreprise passent par un compte personnel au moins une fois par semaine, en dehors de tout cadre IT. Et ce ne sont pas les stagiaires qui contournent le système d'information : ce sont, en bonne partie, les dirigeants eux-mêmes.
Bienvenue dans le Shadow AI. La question n'est plus de savoir s'il existe chez toi. Il existe. La vraie question, c'est ce que tu fais maintenant.
Pourquoi il ne suffit pas de dire non
Face à ce constat, deux réflexes reviennent systématiquement en comité de direction.
Le premier : tout interdire. Bloquer les domaines, couper les accès, rappeler la charte informatique. Le problème, c'est que cette approche ne fait pas disparaître le besoin, elle le pousse simplement hors de vue. Un collaborateur qui a besoin de gagner deux heures sur une synthèse n'attend pas une validation IT. Il sort son téléphone.
Le second réflexe : laisser filer, parce que « ça booste la productivité » et qu'on ne veut pas freiner l'adoption. Cette option est tout aussi risquée : elle laisse s'accumuler des usages non tracés, sans visibilité sur les données qui transitent, sans capacité à réagir si un incident survient.
Ni l'un ni l'autre ne tient. L'interdiction pure échoue parce qu'elle ignore le besoin. Le laisser-faire échoue parce qu'il ignore le risque.
Ce que le Shadow AI révèle vraiment
Le Shadow AI n'est pas un problème de discipline. C'est un symptôme.
Quand un collaborateur ouvre un outil grand public plutôt que la solution interne, c'est rarement par malveillance. C'est parce que l'alternative légitime n'existe pas, qu'elle est trop lente, trop limitée, ou tout simplement inconnue de lui.
Autrement dit : le Shadow AI ne se résout pas avec un pare-feu plus strict. Il se résout en donnant aux équipes un canal légitime, aussi rapide et aussi simple que celui qu'elles ont trouvé toutes seules, mais gouverné.
Scénario type
Un cas fréquent chez les grands comptes : une direction juridique découvre, lors d'un audit, que plusieurs collaborateurs utilisent un assistant IA grand public pour résumer des contrats fournisseurs, extraits confidentiels compris. Personne n'a « mal fait » : l'équipe cherchait simplement à gagner du temps, faute d'outil interne équivalent. La réponse qui fonctionne n'est pas de fermer l'accès à l'IA, mais d'ouvrir, en quelques semaines, un canal interne connecté aux bons documents, avec les bonnes limites d'accès.
Construire l'alternative gouvernée : trois chantiers, pas un
Cartographier avant de cadrer
Tu ne peux pas gouverner ce que tu ne vois pas. Avant de poser des règles, il faut savoir précisément quels outils sont utilisés, par qui, et sur quel type de données. Cette cartographie n'est pas un exercice ponctuel : c'est un point de départ, à réactualiser régulièrement à mesure que de nouveaux outils apparaissent.
Offrir un canal légitime, pas juste un catalogue d'interdits
Une charte qui liste ce qui est interdit, sans proposer d'alternative crédible, ne change rien au comportement. Ce qui fonctionne, c'est une plateforme interne connectée au bon référentiel documentaire, avec des accès maîtrisés : le type d'architecture qu'on retrouve derrière un RAG et un MCP bien pensés, où le modèle accède aux bonnes données via les bons outils, sans que chaque équipe ait à bricoler sa propre solution dans son coin.
Gouverner sans bureaucratiser
Une gouvernance trop lourde recrée exactement le problème qu'elle voulait résoudre : les équipes contournent un cadre trop contraignant. La bonne gouvernance repose sur trois piliers simples : une charte claire et courte, une formation rapide sur ce qu'on peut et ne peut pas faire, et une traçabilité qui permet de réagir en cas d'incident, sans microscope permanent sur chaque usage individuel.
Le Shadow AI, un angle mort pour l'AI Act aussi
Depuis le 2 août 2026, les obligations de transparence du règlement européen sur l'IA (AI Act) sont pleinement applicables, et les autorités disposent de leurs pouvoirs de sanction. Une entreprise incapable de dire quels systèmes d'IA sont réellement utilisés dans son organisation ne peut, par définition, pas documenter sa conformité sur ce qu'elle ne voit pas. Le Shadow AI n'est donc pas qu'un sujet de sécurité : c'est aussi un point aveugle réglementaire, qui prend de la valeur à mesure que le cadre européen se renforce.
De la contrainte à l'avantage
Les organisations qui traitent le Shadow AI comme un problème à bloquer perdent sur les deux tableaux : elles freinent l'adoption sans réduire le risque. Celles qui le traitent comme un signal, la preuve qu'il existe une vraie demande côté métiers, transforment une source d'angoisse en levier. Poser un cadre gouverné, connecté au système d'information, n'est pas qu'un exercice défensif. C'est souvent le point de départ d'une vraie stratégie IA d'entreprise, plutôt qu'une addition d'usages isolés.
FAQ
Qu'est-ce que le Shadow AI exactement ?
Le Shadow AI désigne l'usage d'outils d'intelligence artificielle générative par des collaborateurs, sans validation ni supervision de la DSI, le plus souvent via des comptes personnels et sur des données professionnelles. C'est l'équivalent, appliqué à l'IA, de ce que le Shadow IT a longtemps représenté pour les outils SaaS non validés.
Faut-il bloquer l'accès à ChatGPT et aux outils similaires en entreprise ?
Le blocage pur pousse l'usage vers des canaux encore moins visibles, comme le réseau mobile personnel, sans réduire le besoin réel.L'approche la plus efficace combine une alternative interne crédible, des règles claires sur les données utilisables, et une traçabilité des usages.
Le Shadow AI est-il un risque au sens de l'AI Act ?
Indirectement, oui. L'AI Act impose des obligations de transparence et de documentation sur les systèmes d'IA utilisés. Une entreprise qui n'a pas de visibilité sur les outils réellement utilisés par ses équipes ne peut pas démontrer une conformité qu'elle ne peut pas mesurer.
Combien de temps faut-il pour mettre en place une alternative gouvernée ?
Cela dépend du périmètre, mais une première version utile, un accès interne à un modèle sous contrat entreprise connecté à un périmètre de documents restreint, peut souvent être livrée en quelques semaines. L'enjeu n'est pas de tout couvrir dès le départ, mais de proposer rapidement un canal légitime suffisamment bon pour concurrencer le réflexe du compte personnel.
Le Shadow AI concerne-t-il aussi les outils IA utilisés par les développeurs ?
Oui, et c'est souvent un angle mort. Les assistants de code IA peuvent transmettre du code propriétaire ou des secrets techniques à des modèles tiers. Le sujet mérite le même traitement que les usages métiers : cartographie, alternative gouvernée, règles claires.
Tu veux savoir précisément où en est l'usage réel de l'IA dans tes équipes avant de poser un cadre ?
Parlons-en 📩 hello@skiils.com
