Shadow IA, le risque de conformité que votre organisation ne voit pas
La moitié des salariés utilisent des outils d'IA non validés. Données, RGPD, AI Act, voici ce que vous risquez et comment reprendre la main sans tout interdire.
Article rédigé à l'aide de l'intelligence artificielle — en savoir plus sur l'article 50
Dernière mise à jour : novembre 2026 · Temps de lecture : 5 minutes
En bref. Le shadow IA désigne les outils d'IA utilisés par vos équipes sans validation de l'organisation. Il expose vos données, vous met en défaut sur le RGPD et peut vous faire basculer sans le savoir dans des usages encadrés, voire interdits, par l'AI Act. L'interdiction ne fonctionne pas. L'inventaire, des outils validés et la formation, si.
Qu'est-ce que le shadow IA ?
Le terme dérive du shadow IT. Il couvre tout usage d'IA à des fins professionnelles qui échappe à la direction, à la DSI ou au délégué à la protection des données.
- Un compte ChatGPT ou Claude personnel utilisé pour rédiger des documents clients
- Une extension de navigateur qui résume les pages ou les e-mails
- Un outil de transcription qui rejoint les visioconférences
- Un agent connecté à la messagerie ou au drive par un simple clic d'autorisation
- Une fonction IA activée par défaut dans un logiciel déjà en place, que personne n'a réévaluée
Ce dernier cas est le plus sous-estimé. Le shadow IA n'est pas toujours un outil nouveau, c'est parfois une mise à jour de votre CRM.
Un phénomène massif, et plus marqué en France
Selon une enquête BlackFog menée auprès de 2 000 salariés d'entreprises de plus de 500 personnes, 49 % utilisent des outils d'IA sans l'accord de leur employeur. Parmi eux, 58 % se tournent vers des versions gratuites.
Le Baromètre IA Entreprise et Durabilité de l'ESSCA, réalisé en mars 2026 auprès de 826 professionnels dans quatre pays européens, va dans le même sens. Deux tiers des répondants constatent du shadow IA dans leur organisation. En France, une entreprise sur cinq le décrit comme répandu, contre une sur dix au Royaume-Uni, en Allemagne et en Espagne, et moins d'une sur deux forme ses salariés à l'IA.
Ce que vous risquez concrètement
Vos données sortent sans contrat
Un salarié qui colle un contrat, un fichier client ou un bulletin de paie dans un outil grand public transmet ces données à un prestataire avec lequel vous n'avez signé aucun contrat de sous-traitance. Les versions gratuites peuvent réutiliser les contenus pour entraîner leurs modèles, et les serveurs sont souvent hors UE. C'est un manquement RGPD dont l'employeur, responsable du traitement, reste comptable.
Vous ne pouvez pas mettre en conformité ce que vous ignorez
L'AI Act raisonne par usage. Un outil anodin peut servir à un usage encadré sans que personne ne le sache.
- Pratique interdite. Analyser les émotions d'un candidat pendant un entretien vidéo relève de la reconnaissance des émotions au travail, interdite depuis le 2 février 2025.
- Haut risque. Un manager qui demande à un assistant généraliste de classer des candidatures réalise un usage de l'annexe III. Selon une lecture stricte de l'article 25, détourner un système généraliste vers un usage à haut risque peut même faire de l'organisation son fournisseur.
- Transparence. Un texte généré publié pour informer le public, comme une communication de collectivité, doit être signalé, sauf relecture humaine assortie d'une responsabilité éditoriale assumée.
- Littératie IA. L'article 4 vise votre personnel et toute personne qui utilise des systèmes pour votre compte. Sans inventaire, impossible d'adapter la formation aux outils réellement utilisés.
Erreurs, sécurité et responsabilité
Un chiffre inventé dans un livrable client engage votre responsabilité, pas celle de l'outil. Les extensions et agents connectés par autorisation OAuth ouvrent par ailleurs des accès durables à vos messageries et fichiers, hors de tout contrôle.
L'organisation est-elle responsable d'un outil qu'elle ignore ?
L'AI Act définit le déployeur comme celui qui utilise un système sous son autorité. Un usage caché et contraire aux règles internes pose donc une vraie question d'interprétation, que les autorités n'ont pas encore tranchée. Elle ne vous protège pas pour autant. Le RGPD, la confidentialité contractuelle et l'obligation de formation de l'article 4 s'appliquent quoi qu'il arrive, et l'absence de toute politique se défend mal.
Pourquoi interdire ne suffit pas
Le baromètre de l'ESSCA relève qu'une entreprise sur huit constate du shadow IA malgré une interdiction claire. Les salariés utilisent l'IA parce qu'elle leur fait gagner du temps. Une interdiction sans alternative déplace l'usage vers les téléphones personnels, encore moins visibles.
Le plan en six étapes
- Inventorier. Un questionnaire anonyme aux équipes, la revue des logiciels déjà utilisés et de leurs fonctions IA, l'analyse des autorisations accordées aux applications tierces.
- Qualifier chaque usage. Interdit, haut risque, transparence ou risque minimal, et données concernées.
- Proposer des outils validés. Des comptes entreprise avec un contrat de sous-traitance, sans réutilisation des données et hébergés dans l'UE ou dans un pays reconnu adéquat.
- Rédiger une charte d'usage. Données interdites, usages interdits, relecture obligatoire avant toute diffusion externe.
- Former et tracer. Une formation adaptée aux outils retenus, avec une trace des sessions, pour répondre à l'article 4.
- Tenir un registre vivant. Un canal simple pour déclarer un nouvel outil sans crainte de sanction, et une revue trimestrielle.
Une précision de droit du travail. Une charte annexée au règlement intérieur suppose la consultation du CSE lorsqu'il existe, et toute surveillance des usages doit être proportionnée et annoncée aux salariés.
FAQ
Qu'est-ce que le shadow IA ?
L'utilisation par des salariés d'outils d'IA non validés ou non encadrés par leur organisation, y compris des fonctions IA activées dans des logiciels existants.
Le shadow IA est-il illégal ?
Pas en soi. Il devient problématique quand il implique des données personnelles sans contrat, des informations confidentielles ou un usage encadré par l'AI Act.
Faut-il interdire ChatGPT en entreprise ?
L'interdiction seule déplace l'usage sans le supprimer. Mieux vaut proposer un outil validé et une charte claire.
Quel lien avec l'AI Act ?
L'AI Act impose de connaître ses usages pour éviter les pratiques interdites, identifier le haut risque et former les utilisateurs. Le shadow IA rend ces trois obligations impossibles à tenir.
À lire aussi
- Suis-je concerné par l'AI Act ? Le test en quatre questions
- IA agentique ou IA générative classique, ce qui change pour votre conformité
- OCR, LLM et AI Act, dois-je informer mon client ?
Et maintenant ?
L'inventaire est la première étape. Avec l'audit gratuit DILAIG, chaque usage recensé est qualifié puis rejoint l'inventaire de vos systèmes d'IA, inclus dans l'offre gratuite. Pour repérer en deux minutes un usage interdit, l'outil gratuit Mon IA est-elle interdite ? ne demande aucun compte.
Si vous lanciez un questionnaire anonyme demain, combien d'outils pensez-vous découvrir ?
Sources
Passer à l'action
Votre système IA est-il conforme ?
Audit gratuit en 20 minutes. Rapport détaillé, sans engagement.
Démarrer l'audit →Continuer à lire
Guides pratiques, analyses réglementaires, actualités DILAIG.