Shadow AI : comprendre les risques et protéger vos données

Un commercial qui colle une grille tarifaire confidentielle dans ChatGPT pour la reformuler. Un responsable RH qui fait analyser des CV par Gemini. Un comptable qui soumet un bilan prévisionnel à Claude via son compte personnel. Aucun de ces gestes ne passe par la DSI, aucun n’est tracé. C’est le Shadow AI : l’usage d’outils d’intelligence artificielle par les collaborateurs, en dehors de tout cadre validé par le service informatique de l’organisation.

Statistiques et chiffres du Shadow AI en France

Les études sur le sujet ne mesurent pas toutes la même chose, ce qui explique des écarts importants d’une source à l’autre. Une étude YouGov réalisée pour Microsoft France menée en janvier 2026 auprès de 657 cadres et dirigeants d’entreprises française révèle que 61 % des utilisateurs d’IA en entreprise passent par leurs comptes personnels au moins une fois par semaine, hors de tout cadre IT. À l’inverse, l’étude d’Okta AI Agents at Work 2026 réalisé dans sept pays (Australie, États-Unis, Angleterre, Canada, Japan, Allemagne, France), situe la France au niveau le plus prudent des sept pays étudiés, avec un taux de Shadow AI d’environ 31 % soit le niveau le plus faible contre une moyenne mondiale largement supérieure.

Cet écart n’est pas une incohérence : Okta mesure une reconnaissance déclarative d’usage non approuvé, tandis que YouGov mesure la fréquence de connexion via des comptes personnels. Les données du rapport d’Okta montrent surtout que le risque ne se limite pas à l’usage non autorisé : les outils d’IA approuvés peuvent aussi exposer les organisations lorsque la gouvernance et les contrôles de sécurité sont insuffisants.

Pourquoi le Shadow AI est plus dangereux que le Shadow IT

Le terme dérive du Shadow IT, qui désigne depuis longtemps l’usage de logiciels non validés par la DSI. Mais la comparaison a ses limites. Un outil de gestion de projet non approuvé pose un problème de gouvernance ; un outil d’IA générative non approuvé absorbe activement les données qu’on lui soumet, peut les conserver, les réutiliser pour son propre entraînement, et dans certains cas les exposer à d’autres utilisateurs. La donnée ne transite pas simplement par l’outil : elle devient une partie de son fonctionnement.

Le cas Samsung reste la référence en la matière : en mars 2023, trois ingénieurs ont copié du code source confidentiel dans ChatGPT pour déboguer un programme et générer un compte-rendu de réunion. En moins d’un mois, l’entreprise a enregistré trois fuites distinctes, avec du code propriétaire durablement exposé sur des serveurs tiers, impossible à faire supprimer.

Les 4 risques majeurs du Shadow AI pour la sécurité des entreprises

• Fuite de données et propriété intellectuelle : plusieurs études récentes évaluent qu’une majorité des outils de Shadow AI détectés en entreprise avaient déjà ingéré des données sensibles : code source, fichiers clients, documents internes réglementés.
• Non-conformité RGPD : dès qu’un outil grand public traite des données personnelles (CV, données RH, informations clients) sans accord de traitement ni garantie de suppression, l’entreprise reste responsable du traitement, quel que soit l’outil utilisé par le collaborateur.
• Absence de traçabilité : sans journalisation, impossible de reconstituer quel collaborateur a utilisé quel outil pour produire quel livrable, ce qui devient critique en cas de contentieux client ou d’obligation documentaire sectorielle.
• Impact financier direct : le rapport IBM sur le coût des violations de données chiffre à plusieurs centaines de milliers de dollars le surcoût moyen des violations pour les organisations à haut niveau de Shadow AI, par rapport à celles qui en maîtrisent l’usage.

Gestion des risques IA : pourquoi l’interdiction pure et simple échoue

Plusieurs grandes organisations, y compris des banques, ont tenté de bloquer purement et simplement l’accès aux outils d’IA grand public, avant de constater que les collaborateurs continuaient à y accéder via leurs terminaux personnels ou des connexions hors réseau d’entreprise. Un dirigeant interrogé dans une étude Inria x Datacraft menée en 2025 auprès de grandes entreprises françaises résume le paradoxe : l’interdiction génère davantage d’usages cachés, pas moins. Le moteur du phénomène n’est pas la malveillance mais un déficit d’alternative : quand l’entreprise ne fournit pas d’outil validé aussi performant que ce que les collaborateurs connaissent déjà dans leur usage personnel, ils comblent l’écart eux-mêmes.

Plan d’action : comment cartographier et encadrer le Shadow AI en 3 étapes

La réponse efficace suit généralement trois étapes, dans cet ordre :

1. Mesurer avant d’agir : un sondage anonyme interne ou un audit technique du trafic réseau permet de quantifier l’écart entre l’usage réel et l’usage déclaré, sans jugement moralisateur qui pousserait à la dissimulation.
2. Fournir une alternative validée : déployer un accès encadré à un ou plusieurs modèles (via une plateforme d’entreprise avec journalisation, filtrage des données sensibles et résidence des données maîtrisée) réduit mécaniquement le recours aux comptes personnels, à condition que l’expérience utilisateur reste compétitive.
3. Former et documenter : une charte d’utilisation claire, assortie d’une formation courte sur ce qui peut ou ne peut pas être saisi dans un outil IA, comble le déficit de compétence identifié comme facteur aggravant dans la plupart des études récentes.

Cette approche progressive, plutôt que l’interdiction, est aujourd’hui documentée par plusieurs retours d’expérience d’entreprises françaises ayant fait chuter significativement leur taux d’usage non autorisé en quelques semaines, non pas en bloquant l’accès, mais en rendant l’alternative interne plus simple et plus rassurante que la solution grand public.

→ Pour structurer cette démarche dans un cadre complet, voir notre article sur la gouvernance de l’IA en entreprise, ainsi que notre article sur l’EU AI Act pour les obligations réglementaires.

Questions fréquentes sur la sécurité et la gouvernance du Shadow AI

Cartographier votre exposition au Shadow AI

Nos experts réalisent des audits qui comprennent d’exposition au Shadow AI et accompagnent le déploiement d’une gouvernance IA adaptée à la taille de votre organisation. Contactez-les.