Sommaire6
Dans beaucoup d’entreprises, la question « faut-il autoriser l’IA ? » arrive trop tard. Les salariés s’en servent déjà, pour rédiger un e-mail, résumer un document ou préparer une présentation, souvent avec un compte personnel, parfois avec un abonnement payé de leur poche. La direction ne le sait pas, et c’est précisément le problème.
On appelle cela l’IA de l’ombre (en anglais, shadow AI), sur le modèle de l’informatique de l’ombre : des outils utilisés au travail sans que l’entreprise les ait choisis, configurés ni encadrés.
En bref
Une majorité de salariés français interrogés cachent leur usage de l’IA au travail, et près de la moitié ne vérifient pas ses résultats.
Au Royaume-Uni, près d’un utilisateur sur cinq paie lui-même au moins un outil d’IA pour son travail.
Interdire ne supprime pas l’usage : cela supprime seulement la visibilité.
Encadrer tient en quelques décisions : un outil approuvé, une règle écrite sur les données, une formation, un relecteur.
Ce que disent les enquêtes
Les chiffres les plus parlants pour la France viennent d’une étude mondiale financée par KPMG, qui vend de l’audit, du conseil et des services d’IA, et menée par l’Université de Melbourne auprès de plus de 48 000 personnes dans 47 pays, de novembre 2024 à janvier 2025. Ce sont des personnes interrogées, pas des entreprises, et l’effectif français n’est pas publié.
des salariés français interrogés cachent leur usage de l’IA et présentent le contenu produit comme le leur
admettent un usage inapproprié, contraire aux règles ou risqué
ne vérifient pas l’exactitude des résultats
seulement des personnes interrogées en France s’estiment formées à l’IA
La même étude ajoute que 92 % des personnes interrogées en France ne connaissent pas les lois qui encadrent l’IA, et que 71 % veulent un cadre. Autrement dit, les salariés ne réclament pas l’anarchie : ils avancent seuls parce que personne ne leur a dit comment avancer.
Au Royaume-Uni, Deloitte, qui vend du conseil, de l’audit et des services d’IA, a fait interroger par Ipsos 25 000 actifs de 18 à 70 ans au printemps 2026. Parmi ceux qui utilisent l’IA générative au travail, 31 % s’en servent à l’insu de leur employeur, et 17 % paient eux-mêmes au moins un outil, une dépense que Deloitte estime à 958 millions de livres par an (Deloitte UK, 16 septembre 2026). Environ la moitié n’a reçu aucune formation.
Côté grandes entreprises, le BCG, qui vend du conseil en IA, trouvait en 2025 que 54 % des salariés interrogés utiliseraient l’IA même sans autorisation ; son échantillon de plus de 10 000 répondants vient en majorité d’entreprises de plus de 500 millions de dollars de chiffre d’affaires (BCG, AI at Work 2025).
Un écart que la statistique publique laisse deviner
La statistique publique ne mesure pas l’IA de l’ombre directement, mais elle en laisse voir l’ampleur. Selon Eurostat, en 2025, 21,9 % des personnes de 25 à 64 ans en emploi dans l’Union ont utilisé l’IA générative pour leur travail (24,57 % en France), alors que 19,95 % des entreprises de dix personnes ou plus déclarent un usage organisé de l’IA. Les deux chiffres ne comptent pas la même chose, des personnes d’un côté, des entreprises de l’autre : ce n’est pas une mesure, c’est un indice. Il suggère que l’usage des salariés ne suit pas les décisions de leur employeur.
Pourquoi interdire ne marche pas
Face à ces chiffres, la tentation est de bloquer : filtrer les sites des assistants d’IA, ajouter une ligne au règlement intérieur, rappeler la confidentialité. C’est compréhensible, et ce n’est pas inutile pour les données les plus sensibles. Mais comme règle générale, l’interdiction a trois effets prévisibles.
Interdire
L’usage continue sur un téléphone ou un ordinateur personnel
L’entreprise perd toute visibilité sur ce qui sort
Les salariés les plus à l’aise partent avec leur avance
Aucune règle sur les données n’est réellement appliquée
Encadrer
L’usage passe par un outil choisi et configuré
On sait quelles données y entrent et qui s’en sert
Les bonnes pratiques se partagent d’une équipe à l’autre
Les données sensibles ont une règle claire et tenue
Le vrai risque n’est pas qu’un salarié rédige un e-mail avec un assistant. C’est qu’il y colle une liste de clients, un contrat ou un mot de passe, sur un compte personnel dont l’entreprise ignore tout, et que le résultat parte sans relecture. Ce risque-là ne disparaît pas avec une interdiction : il devient seulement invisible.
L’IA de l’ombre n’est pas un problème de discipline. C’est le signe qu’un besoin réel attend un outil et une règle.
Encadrer, en pratique
Une équipe de 20 à 500 personnes n’a pas besoin d’un programme de gouvernance de grand groupe. Elle a besoin de quelques décisions écrites, prises dans l’ordre.
- Faire l’inventaire sans sanction.
Demander qui utilise quoi, pour quelles tâches, avec quel compte. Sans promesse d’amnistie, personne ne répond.
- Fournir un outil approuvé.
Un assistant d’IA choisi par l’entreprise, avec des comptes professionnels et des réglages de confidentialité connus. Si l’outil officiel est moins bon que celui du téléphone personnel, l’usage restera dans l’ombre.
- Écrire une règle sur les données.
Trois catégories suffisent souvent : ce qui peut entrer dans l’outil, ce qui n’y entre qu’anonymisé, ce qui n’y entre jamais.
- Former à la vérification.
Pas une formation à l’outil, une formation à la relecture : ouvrir les sources, contrôler les chiffres, signer.
- Nommer un relecteur par document qui sort.
Un texte produit avec l’IA et envoyé à un client porte le nom de la personne qui l’a vérifié.
Ces étapes ne demandent pas d’interdire quoi que ce soit. Elles demandent de reconnaître que l’usage existe, et de lui donner un cadre plus confortable que l’ombre. La question des droits d’accès, qui voit quoi et quel agent peut écrire où, est détaillée dans notre guide de la gouvernance de l’IA en entreprise. Celle des mots de passe et des clés d’API, qui finissent trop souvent collés dans une conversation avec un assistant, l’est dans notre article sur le coffre-fort de secrets.
Sur le terrain
Nos propres outils n’ont que les droits dont ils ont besoin
Le robot qui recopie notre documentation dans Google Drive n’a que le droit drive.file : il ne voit que les fichiers qu’il a créés lui-même. C’est la logique que nous recommandons : un outil approuvé, configuré au plus juste, plutôt qu’un accès large que personne ne surveille.
Et les salariés dans tout ça ?
Ceux qui utilisent l’IA en cachette ne sont pas des fraudeurs. Ce sont souvent les plus curieux, ceux qui ont trouvé seuls comment gagner du temps. Les sanctionner revient à décourager exactement les personnes dont l’entreprise a besoin pour adopter l’IA correctement.
Le rôle de chacun ne disparaît pas pour autant : il se déplace vers ce que l’outil ne fait pas, juger, vérifier, décider, assumer. Un salarié qui sait relire un texte produit par l’IA et repérer ce qui cloche apporte plus qu’avant, pas moins. C’est aussi pourquoi la formation compte davantage que l’outil.
Si vous voulez faire ce travail avec méthode, notre Socle Croissance IA met en place l’outil approuvé, la règle sur les données et la formation des équipes, et notre Coffre-fort IA traite la question des secrets. Si la crainte porte sur la facture, notre offre IA au juste coût chiffre ce que coûte un usage encadré. Pour une vue d’ensemble de la démarche, commencez par notre guide pour intégrer l’IA en entreprise.
Questions fréquentes
Qu’est-ce que l’IA de l’ombre ?
C’est l’usage d’outils d’IA par les salariés pour leur travail, sans que l’employeur les ait choisis, configurés ni encadrés : un assistant sur un compte personnel, un abonnement payé de sa poche, une extension de navigateur installée sans prévenir. Le terme vient de l’informatique de l’ombre, qui désigne les logiciels utilisés au travail en dehors du service informatique.
Est-ce illégal d’utiliser l’IA au travail sans autorisation ?
Pas en soi. Le risque juridique vient des données : coller des données personnelles de clients ou des informations confidentielles dans un outil non maîtrisé peut contrevenir au RGPD ou à un engagement de confidentialité. C’est ce point que la règle sur les données doit trancher, en disant clairement ce qui peut entrer dans un outil d’IA et ce qui n’y entre jamais.
Faut-il bloquer les assistants d’IA sur le réseau de l’entreprise ?
Comme règle générale, non : l’usage passe alors sur les téléphones et les ordinateurs personnels, et l’entreprise perd toute visibilité. Un blocage ciblé peut se justifier pour certains postes très sensibles, à condition de fournir une alternative approuvée, au moins aussi pratique que l’outil qu’on retire, sans quoi l’usage revient par un autre chemin.
Par où commencer pour encadrer l’IA dans une PME ?
Par un inventaire sans sanction des usages réels, puis un outil approuvé et une règle écrite sur les données. La formation à la vérification vient ensuite, et elle compte plus que la formation à l’outil : savoir relire et vérifier protège mieux que savoir cliquer.
Sources
- Deloitte UK, 16 septembre 2026 (nouvel onglet)deloitte.com
- BCG, AI at Work 2025 (nouvel onglet)web-assets.bcg.com
- Eurostat (nouvel onglet)ec.europa.eu
Jim · fondateur de Brain Plus AI
À lire aussi en ia d'entreprise
Guide pratique13 min
Gouvernance de l'IA en entreprise : qui accède à quoi
Un assistant d'IA lit ce que vos droits d'accès lui laissent lire, erreurs de partage comprises. Voici comment découper vos bases par service, garder un socle commun et décider qui écrit dans la mémoire partagée.
Comprendre13 min
Coffre-fort de secrets : vos IA s'en servent sans les voir
Mots de passe envoyés par e-mail, clés d'API oubliées dans le code, agents IA qui pourraient tout recopier : voici les fuites qu'on croise le plus souvent. Et comment un coffre-fort à votre nom laisse vos IA utiliser vos clés sans jamais les lire.
Guide pratique12 min Le guide du sujet
Intégrer l'IA en entreprise : privée et au juste coût
Pour des équipes de 20 à 500 personnes, intégrer l'IA revient à répondre à cinq questions dans l'ordre : quelle tâche, où vont les données, quel modèle, à quel prix, sous quelles règles. Ce guide les prend une par une et renvoie vers nos articles détaillés.