Shadow AI : ce que risque l'entreprise et comment l'encadrer

01Shadow AI : de quoi parle-t-on ?

Le shadow AI désigne l'utilisation d'outils d'intelligence artificielle par les salariés sans l'accord ni la connaissance de l'entreprise : assistants conversationnels grand public, outils de traduction ou de rédaction en ligne, extensions de navigateur, agents créés par les équipes elles-mêmes.

• 96 %

  des dirigeants pensent que leurs salariés utilisent l'IA générative sans autorisation

  dataiku · harris poll

• 70 %

  des organisations admettent que des flux d'IA touchent des données sensibles sans supervision complète

  veeam · censuswide

• 40 %

  des dirigeants interrogés s'inquiètent de leur responsabilité personnelle

  veeam · censuswide

Chiffres cités par L'Informaticien, n° 250, octobre 2026.

Le problème ne tient pas à l'IA elle-même, qui fait gagner un temps précieux. Il tient à l'absence de cadre : l'entreprise ignore quels outils sont utilisés, quelles données y sont confiées et qui en répond.

02Quels sont les risques juridiques ?

• Données personnelles

  rgpd, art. 28

  Saisir les données d'un client, d'un candidat ou d'un salarié dans un outil d'IA constitue un traitement dont l'entreprise reste responsable. Sans outil choisi et encadré, ni contrat avec le prestataire, ni information des personnes, ni sécurité, ni encadrement des transferts hors de l'Union.

• Secret des affaires

  c. com., art. l. 151-1

  Une information n'est protégée que si l'entreprise a pris des mesures raisonnables pour la garder confidentielle. Laisser circuler des documents stratégiques vers des outils extérieurs affaiblit cette protection.

• Engagements envers les clients

  responsabilité contractuelle

  Contrats et accords de confidentialité interdisent souvent de communiquer les informations du client à des tiers. Un fournisseur d'IA est un tiers.

• Propriété intellectuelle

  droit d'auteur

  Un contenu produit par une IA peut ne pas être protégé et reprendre des éléments qui le sont. Un livrable ou un code repris sans vérification fait courir un risque de contrefaçon.

• Règlement européen sur l'IA

  règl. (ue) 2024/1689, art. 4

  Depuis le 2 février 2025, l'entreprise doit assurer un niveau suffisant de maîtrise de l'IA chez son personnel. Elle ne peut former ses équipes ni écarter les usages interdits sans savoir quels outils sont utilisés.

04Qui est responsable ?

Le fait que l'usage n'ait pas été autorisé n'exonère pas l'entreprise. Il révèle au contraire une organisation insuffisante, et c'est précisément ce que les autorités examinent.

05Gouvernance de l'IA : encadrer sans interdire

Interdire l'IA est rarement efficace : les salariés continuent de l'utiliser, simplement sans le dire. Mieux vaut fixer un cadre clair et proposer des outils validés, dans cet ordre.

1. Tenir un registre des outils d'IA

   Recenser par service les outils et agents réellement utilisés et les données qui y sont confiées. Un questionnaire anonyme donne souvent une image plus fidèle qu'un audit technique seul.

2. Adopter une charte IA

   Outils autorisés, données à ne jamais saisir, vérification des contenus produits, procédure pour demander un nouvel outil.

3. Former les équipes

   C'est une obligation de l'article 4 du règlement sur l'IA et le meilleur moyen de rendre la charte effective.

4. Contrôler et mettre à jour

   Désigner un référent, prévoir un canal de signalement des incidents et revoir la liste des outils autorisés au moins une fois par an.

06Mesurer l'exposition de votre entreprise

Avant d'adopter un cadre, il faut savoir d'où l'on part. L'autodiagnostic du cabinet situe votre niveau d'exposition au règlement européen sur l'IA en dix questions.

Cet article présente des règles générales et ne constitue pas une consultation juridique.