Shadow AI : quand vos salariés utilisent l'IA sans cadre

Qu'est-ce que le shadow AI et pourquoi se développe-t-il ?

Le terme reprend celui de « shadow IT », qui désigne les logiciels installés hors du contrôle du service informatique. Avec l'IA générative, le phénomène change d'échelle : un compte personnel gratuit, ouvert en quelques minutes, suffit pour confier à un outil externe un texte, un tableau ou un document interne.

Les raisons sont rarement malveillantes. Vos salariés cherchent à gagner du temps sur des tâches répétitives, à mieux rédiger, à traduire ou à synthétiser. Le shadow AI prospère surtout là où l'entreprise n'a rien proposé : pas d'outil validé, pas de consigne, pas de formation. Il révèle donc un besoin réel autant qu'un risque, et c'est sous cet angle qu'il faut l'aborder.

Quels risques le shadow AI fait-il courir à votre entreprise ?

Le premier risque porte sur la confidentialité. Quand un salarié colle dans un outil en ligne un devis, un plan de production ou la liste de vos clients, l'entreprise perd la maîtrise de ces informations. L'Agence nationale de la sécurité des systèmes d'information recommande d'ailleurs de ne jamais intégrer de données sensibles de l'entreprise dans les requêtes adressées à des outils d'IA générative accessibles sur Internet : données personnelles, informations contractuelles, juridiques ou financières, mots de passe et secrets techniques.

Les autres risques sont tout aussi concrets :

• Données personnelles : un CV, une évaluation ou un échange avec un client transmis à un outil non encadré constitue un traitement de données personnelles que l'entreprise ne peut ni documenter ni sécuriser au regard du RGPD.
• Qualité : un contenu produit par IA peut contenir des erreurs ou des affirmations inventées ; sans relecture organisée, il part tel quel chez un client.
• Dépendance et compétences : des tâches entières peuvent glisser vers l'outil sans que personne ne mesure ce qui se perd en savoir-faire, ni ce qui se libère en temps.
• Inégalités entre équipes : certains salariés progressent vite avec ces outils, d'autres restent à l'écart, sans que l'entreprise l'ait décidé.

Que dit le droit sur l'usage de l'IA par vos salariés ?

Le règlement européen sur l'IA (AI Act) impose aux entreprises qui utilisent des systèmes d'IA de prendre des mesures pour développer la maîtrise de l'IA de leur personnel. Depuis le 27 juillet 2026, le texte modifié par l'omnibus numérique précise qu'il s'agit de favoriser ce développement, en tenant compte des connaissances et du contexte d'utilisation, sans obligation de garantir un niveau précis pour chaque salarié. La Commission européenne et les États membres doivent soutenir les PME dans cette démarche. Une entreprise qui tolère des usages sans les connaître ni les accompagner aura du mal à montrer qu'elle a pris de telles mesures. Pour le reste du calendrier, voir notre article sur l'AI Act pour les PME.

Le droit du travail fixe aussi le cadre :

• une charte d'usage de l'IA qui comporte des obligations générales et permanentes est, lorsqu'il existe un règlement intérieur, considérée comme une adjonction à celui-ci et suit les mêmes règles d'adoption ;
• dans les entreprises d'au moins cinquante salariés, le comité social et économique est informé et consulté sur l'introduction de nouvelles technologies ;
• aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n'a pas été porté préalablement à sa connaissance : si vous décidez de contrôler les usages, les salariés doivent en être informés avant.

Comment encadrer le shadow AI sans brider vos équipes ?

Une méthode en cinq étapes suffit pour passer d'usages invisibles à un cadre partagé.

• Faire l'état des lieux sans chercher de coupables. Un questionnaire anonyme ou un temps d'échange par équipe permet de savoir quels outils sont utilisés, pour quelles tâches et avec quelles données. Le ton compte : si la démarche ressemble à une enquête disciplinaire, les usages restent cachés.
• Classer vos informations. Distinguez ce qui peut être confié à un outil externe (textes publics, reformulations sans données réelles), ce qui exige un outil validé par l'entreprise, et ce qui ne sort jamais : données personnelles, informations clients, données financières, secrets de fabrication.
• Proposer une alternative autorisée. Interdire sans rien offrir déplace le problème. Un outil choisi et paramétré par l'entreprise, avec des droits d'accès revus régulièrement, répond au besoin tout en gardant la maîtrise des données.
• Rédiger une charte courte. Une à deux pages suffisent : outils autorisés, données interdites, relecture humaine obligatoire avant tout envoi externe, personne à contacter en cas de doute. Associez le CSE en amont.
• Former, puis faire le point. Une prise en main pratique par métier vaut mieux qu'une présentation générale. Prévoyez un point régulier pour ajuster la charte aux nouveaux usages.

Pourquoi relier le shadow AI à votre GEPP ?

L'état des lieux du shadow AI est une mine d'informations pour votre gestion des emplois et des parcours professionnels. Les tâches que vos salariés confient déjà à l'IA montrent, métier par métier, ce qui peut être automatisé et où le temps libéré pourrait être réinvesti. Elles signalent aussi les compétences à renforcer : esprit critique face aux résultats, rédaction des consignes, vérification des sources, protection des données.

Croisez ces constats avec la cartographie présentée dans notre article sur les métiers exposés à l'IA : vous obtenez une vision concrète des postes qui évoluent déjà, et un plan de formation fondé sur les usages réels plutôt que sur des hypothèses.

Le Diagnostic express vous aide à repérer rapidement les métiers de votre entreprise où l'IA change déjà le travail. Pour construire la charte, associer le CSE et bâtir le plan de formation, notre offre de conseil RH peut vous accompagner.