Le Shadow AI n'est pas un problème de discipline. C'est un audit gratuit. Vos équipes vous disent, par leurs usages clandestins, exactement ce dont elles ont besoin et ce que vous n'avez pas su leur donner. La seule vraie faute de gouvernance serait de refuser de lire ce rapport.
Samsung, mars 2023 : trois fuites en un mois
Trois ingénieurs collent du code source confidentiel dans ChatGPT. L'un pour déboguer un programme, l'autre pour optimiser une séquence de test, le troisième pour transformer des notes de réunion en compte rendu. Trois fuites de données sensibles en moins d'un mois.
Aucun des trois n'avait l'intention de nuire. Les trois cherchaient simplement à mieux faire leur travail.
C'est toute l'histoire du Shadow AI en une anecdote : la faute n'est pas morale, elle est organisationnelle.
Ce n'est pas de la désobéissance. C'est un audit gratuit que personne ne veut lire.
Ce que les chiffres établissent
90 % vs 40 % Un écart de perception de cinquante points
Le MIT NANDA établit que plus de 90 % des entreprises comptent des salariés qui utilisent régulièrement des outils d'IA personnels pour leur travail quotidien. En face, 40 % des dirigeants affirment mettre à disposition des abonnements officiels conformes à la politique IT. Cinquante points d'écart entre ce que le comité de direction croit et ce que les équipes font.
Source : MIT NANDA Initiative, The GenAI Divide, 2025.
43 % L'interdiction ne fonctionne pas
Dans les entreprises qui interdisent formellement le recours à l'IA, 43 % des salariés continuent de l'utiliser régulièrement, dont 6 % quotidiennement. Et dans les entreprises sans aucune politique IA — 26 % de l'échantillon — 64 % des effectifs utilisent des outils gratuits. Ce chiffre est probablement un plancher : malgré l'anonymat des enquêtes, on peut supposer qu'une part des répondants a préféré la prudence.
Source : MIT NANDA Initiative, 2025.
61 % Ce ne sont pas les stagiaires
Étude Microsoft France / YouGov de janvier 2026, auprès de 657 cadres et dirigeants : 61 % des utilisateurs d'IA en entreprise passent par leurs comptes personnels au moins une fois par semaine, hors de tout cadre IT. Ce sont des décideurs, des commerciaux, des juristes, des comptables. À l'échelle mondiale, le rapport annuel Okta AI Agents at Work 2026 mesure 52 % de salariés reconnaissant utiliser des outils IA non approuvés.
×6 Les données sensibles circulent
38 % des salariés reconnaissent avoir partagé des informations professionnelles sensibles avec des outils d'IA sans l'autorisation de leur employeur (CybSafe / National Cybersecurity Alliance). Le baromètre BlackFog 2026 mesure 33 % de partages de données sensibles — recherche, données RH, informations financières — dans des outils non approuvés, et 49 % d'usage d'IA générative sans validation. Le Netskope Cloud and Threat Report 2025 documente le volume : 94 % des organisations utilisent des applications d'IA générative, et le nombre de requêtes envoyées vers ces outils a été multiplié par six en un an.
9 % Le cas français : prudence n'est pas maturité
Selon Okta, la France affiche le taux de Shadow AI le plus faible du monde. Faut-il s'en réjouir ? Le chiffre reflète surtout une adoption globalement plus prudente, pas une gouvernance plus mûre. La preuve : selon l'Observatoire de l'IA responsable d'Impact AI (2025), seuls 9 % des salariés français peuvent se référer à une charte éthique ou à un interlocuteur dédié sur l'IA dans leur entreprise.
Un sondage Inria × Datacraft de juin 2025, mené auprès de quatorze grandes organisations françaises — dont Airbus, L'Oréal, le Crédit Agricole et le ministère des Armées — décrit une appropriation informelle de l'IA par les collaborateurs, motivée par la recherche d'efficacité, de créativité ou d'autonomie.
Note de prudence : plusieurs chiffres circulent en France autour de 68 % de salariés en Shadow AI, tantôt attribués à Inria-Datacraft, tantôt à Salesforce (2024). Le chiffre exact est à manier avec précaution ; la tendance, elle, est robuste.
La discrétion n'est pas de la conformité.
Pourquoi ils le font : la vitesse différentielle
Le Shadow AI n'est pas du sabotage. C'est un symptôme de vitesse différentielle.
Ce qui le distingue du shadow IT classique, c'est l'échelle et la rapidité. ChatGPT a atteint cent millions d'utilisateurs en deux mois. Aucun logiciel métier n'avait jamais connu une adoption aussi rapide. Les équipes n'ont pas attendu la note de service — et une note de service, en 2026, se rédige encore en six semaines.
Trois moteurs, dans cet ordre
- L'outil officiel est moins bon. Le MIT le documente : les systèmes d'entreprise, sur mesure ou achetés, sont discrètement rejetés. 60 % des organisations les ont évalués, 20 % ont atteint le stade pilote, 5 % la production. Ils échouent parce qu'ils ne retiennent pas le contexte, n'apprennent pas, ne s'adaptent pas aux flux réels.
- Le besoin est immédiat, la validation ne l'est pas. Entre un livrable dû ce soir et une politique IA attendue au prochain trimestre, l'arbitrage est déjà fait.
- Personne n'a dit ce qui était permis. Neuf pour cent de salariés français avec un interlocuteur identifié : dans 91 % des cas, l'usage clandestin est la seule modalité disponible.
Le paradoxe central : l'interdiction ne réduit pas l'usage, elle réduit la visibilité. On ne diminue pas le risque, on éteint le radar.
L'analogie : les outils apportés de la maison
Un directeur d'usine découvre que ses ouvriers ont apporté leurs propres outils de chez eux. Deux réactions possibles. La première : fouiller les casiers, sanctionner, interdire. La seconde : regarder quels outils ils ont apportés — parce que cette collection est le cahier des charges le plus honnête et le plus gratuit que l'entreprise recevra jamais.
Le Shadow AI est une remontée de terrain. Il a juste le défaut de ne pas passer par la voie hiérarchique.
Les objections honnêtes
« Le risque est réel, pas symbolique. »
Absolument. Fuite de secrets d'affaires, non-conformité RGPD, exposition au règlement européen sur l'IA, hallucinations injectées dans des processus critiques. Rien de ce qui précède ne minimise le risque — l'argument porte sur la stratégie de réduction du risque, pas sur son existence.
« Les chiffres varient énormément d'une étude à l'autre. »
Vrai : 33 %, 38 %, 43 %, 49 %, 52 %, 61 %, 68 %, 90 %. Les périmètres diffèrent — salariés contre entreprises, monde contre France, déclaratif contre mesuré sur le poste. C'est un argument pour ne pas fétichiser un chiffre, et pour retenir l'ordre de grandeur : ce n'est pas une frange, c'est la norme.
« Un CASB ou une extension de navigateur suffisent. »
Ils ne voient que le SaaS sanctionné et le trafic navigateur. Les requêtes venant d'une application de bureau, d'un IDE ou d'un agent local leur échappent.
« Tout n'est pas équivalent. »
Juste : les offres entreprise — accords de traitement des données, non-réutilisation — n'offrent pas les mêmes garanties que les versions grand public. C'est un sujet de choix d'outil et de gouvernance, pas d'interdiction de principe.
Ce que ça change pour un dirigeant
- Ouvrir une amnistie avant d'ouvrir une enquête. Personne ne déclare un usage qui l'expose à une sanction. Le premier livrable d'une gouvernance IA, c'est un droit de dire.
- Traiter l'inventaire clandestin comme un cahier des charges. Ce que vos équipes utilisent en douce définit l'outil officiel dont vous avez besoin.
- Fournir avant d'interdire. L'interdiction sans alternative produit 43 % de contournement et 0 % de visibilité.
- Nommer un interlocuteur. Neuf pour cent : c'est le taux de salariés français qui savent à qui poser la question. C'est le chiffre le plus actionnable de tout cet article.
- Distinguer les données, pas les outils. Une politique utilisable ne dit pas « pas d'IA », elle dit « jamais ceci, jamais là ».
- Mesurer l'écart de perception. Demandez à votre Comex quel pourcentage de salariés utilise l'IA. Comparez à la réalité. L'écart lui-même est un diagnostic.
La compétence acquise — 2/6 : transformer un contournement en donnée de gouvernance
Niveau : diagnostic. Vous ne regardez plus seulement autrement — vous savez faire parler ce que vous voyez.
À la fin de cet épisode, vous savez :
- lire un usage clandestin comme un cahier des charges et non comme une infraction ;
- mesurer l'écart de perception entre ce que la direction croit et ce que les équipes font ;
- choisir entre interdire et fournir, en sachant que le premier choix ne réduit que la visibilité.
Le geste qui la prouve, cette semaine. Posez la même question à votre comité de direction et à un panel de vingt collaborateurs, anonymement : quel pourcentage de nos équipes utilise l'IA chaque semaine ? L'écart entre les deux réponses est votre premier indicateur de gouvernance IA. Il ne coûte rien à produire, et personne ne l'a.
L'erreur de celui qui n'a pas cette compétence : il publie une interdiction, obtient un silence, et prend ce silence pour de la conformité.
Ce que le livre en dit : l'asymétrie du blâme
Dans Ce que l'IA fait de nous, le chapitre 8 — « L'entreprise qui n'ose pas » — établit qu'une faute d'action est visible et punie, tandis qu'une faute d'inaction reste invisible et impunie. C'est la clé psychologique du Shadow AI, et elle vaut dans les deux sens.
- Côté salarié : déclarer son usage est une action visible, donc risquée. Se taire est une inaction invisible, donc gratuite. Le calcul est fait avant même d'être conscient.
- Côté dirigeant : autoriser un outil est une action qui pourra vous être reprochée. Ne rien autoriser est une inaction qui ne le sera jamais — même si elle produit quatre-vingt-dix pour cent d'usage non supervisé.
Les deux asymétries se renforcent. Résultat : une organisation entière où personne n'a intérêt à parler, et où tout le monde utilise.
Le chapitre 7, « La fracture », éclaire la suite : quand l'usage est clandestin, il n'est ni partagé ni enseigné. Ceux qui savent déjà s'en servir progressent seuls et vite ; les autres restent au point mort. C'est l'effet Matthieu appliqué à votre organigramme — l'écart se creuse à l'intérieur même de vos équipes, et l'ombre est ce qui l'empêche d'être corrigé.
📕 Le livre
Ce que l'IA fait de nous — la version longue de ce que vous venez de lire.
→ cequeliafaitdenous.com
🧭 Deux diagnostics gratuits
- Posture IA du manager — 5 dimensions, 20 questions.
→ Faire le diagnostic - Robustesse IA de votre organisation.
→ Évaluer votre organisation
🤝 Travailler ensemble
Audit de transition IA · Accompagnement de Comex · Formation.
→ aurelienmizeret.com
💬 On en parle : LinkedIn — 32 000 abonnés, c'est là que je publie le plus.
🎟️ Les Rencontres Alliages : le collectif indépendant sur la gouvernance de l'IA — non commercial, ni pro ni anti.
→ alliages.work
Questions fréquentes
Qu'est-ce que le Shadow AI ?
L'usage d'outils d'intelligence artificielle par les salariés en dehors du périmètre validé par l'entreprise : comptes personnels, versions gratuites, extensions non approuvées. Il se distingue du shadow IT classique par sa vitesse d'adoption et son échelle — plus de 90 % des entreprises sont concernées.
Interdire l'IA en entreprise fonctionne-t-il ?
Non. Dans les entreprises qui interdisent formellement l'IA, 43 % des salariés continuent de l'utiliser régulièrement, dont 6 % quotidiennement. L'interdiction ne réduit pas l'usage, elle réduit la visibilité : le risque reste, le radar s'éteint.
Quels sont les risques concrets du Shadow AI ?
Fuite de secrets d'affaires, non-conformité au RGPD, exposition au règlement européen sur l'IA et hallucinations injectées dans des processus critiques. 38 % des salariés reconnaissent avoir partagé des informations professionnelles sensibles avec des outils d'IA sans autorisation.
La France est-elle épargnée par le Shadow AI ?
Elle affiche le taux le plus faible au monde selon Okta, mais cela traduit une adoption plus prudente, pas une gouvernance plus mûre. Seuls 9 % des salariés français disposent d'une charte éthique ou d'un interlocuteur dédié sur l'IA. La discrétion n'est pas de la conformité.
Par où commencer pour reprendre la main ?
Par une amnistie avant l'enquête : personne ne déclare un usage qui l'expose à une sanction. Ensuite, nommer un interlocuteur identifié, fournir un outil au moins aussi bon que celui que les équipes ont trouvé seules, et écrire une politique qui distingue les données plutôt que d'interdire les outils.
Sources
- MIT NANDA Initiative, The GenAI Divide: State of AI in Business 2025.
- Okta, AI Agents at Work 2026 (rapport annuel).
- Microsoft France / YouGov, enquête janvier 2026 (657 cadres et dirigeants).
- CybSafe & National Cybersecurity Alliance, Oh Behave! Cybersecurity Attitudes and Behaviors Report.
- BlackFog, données 2026 sur le Shadow AI.
- Netskope, Cloud and Threat Report 2025.
- Impact AI, Observatoire de l'IA responsable, 2025.
- Inria × Datacraft, sondage juin 2025 (14 grandes organisations françaises).
- Cas Samsung, mars 2023 (couverture presse : Bloomberg, The Economist Korea).
Cet article est la version écrite de l'épisode 2 de la série « IA & Travail — Le travail recomposé ». Épisode précédent : le travail n'a pas été automatisé, il a été redistribué. Prochain épisode : le gain de temps qui n'arrive jamais.
